// Value Chain Security

Entgegen meiner ursprünglichen Planung möchte ich im vierten Teil meiner Serie "Value Chain Information Security" zunächst auf einige rechtliche Fragen im Bereich des Schutzes von Betriebs- und Geschäftsgeheimnissen innerhalb der erweiterten Wertschöpfungskette eingehen. Im Rahmen dieses Beitrags spreche ich übrigens von "Betriebsgeheimnissen", auch wenn ich sowohl Betriebs- als auch Geschäftsgeheimnisse meine.

Im dritten Teil meiner kleinen Serie zur Rolle der Informationssicherheit in der Value Chain Security geht es um eine Grundsatzfrage: welche sensiblen Daten oder Gegenstände dürfen das Unternehmen verlassen?

Die Motivation, dieser Frage einen eigenen Beitrag zu widmen, kommt nicht aus der Theorie, sondern aus der (Prüfungs-)Praxis. Schaut ,man sich den Fluss sensibler Informationen innerhalb und außerhalb eines Unternehmens an, so stellt man in vielen Fällen fest, dass manch Schützenswertes unnötig außer Haus gegeben wird.

Im zweiten Teil meiner kleinen Serie über die Rolle die Rolle der Informationssicherheit in der Value Chain Security möchte ich mich mit einem scheinbar trivialen Thema auseinandersetzen, das jedoch in der Praxis oft erhebliches Getriebeknirschen auslöst: der Frage, welche Daten und Informationen des Unternehmens tatsächlich sensibel sind.

Viele Menschen tendieren dazu, diese Frage als "ist doch selbstverständlich" abzutun. Die Praxis zeigt jedoch immer wieder auf teils drastische Weise, dass unterschiedliche Menschen oft vollkommen unterschiedliche Vorstellungen davon haben, was sensibel ist und was nicht. Dazu kommt eine erhebliche Zahl an Menschen, die sich im Unternehmensalltag einfach keine Gedanken über diese Frage machen.

Informationssicherheit wird in der Praxis meist isoliert aus dem Blickwinkel des einzelnen Unternehmens betrachtet. Die gestellten Fragen drehen sich darum, wie das Unternehmen die in seinem Wirkungskreis befindlichen sensiblen Daten und die darunter liegende Infrastruktur sinnvoll schützen kann. So notwendig diese Betrachtung auch ist, in der Sicherheitsanalyse erweist sie sich häufig als unvollständig.