Sicherheitsmanagement bei der Deutschen Telekom

“Sicherheit schafft Vertrauen”: Steuerung der internen Sicherheit bei der Deutschen Telekom – ganzheitlich, konvergent, integriert, risikoorientiert und partnerschaftlich.

Als Teil des Vorstandsbereichs Technologie & Innovation (V TI) gewährleistet der Sicherheitsbereich die strategische Steuerung des Konzerns in allen Themenfeldern der Sicherheit - von Daten - Informations- und Cybersicherheit über physische und personelle Sicherheit bis hin zu Missbrauchserkennung und Business Continuity Management – mit einem ganzheitlichen, konvergenten und integrierten Sicherheitsmanagement-Ansatz und -verständnis.

Dieser Ansatz ist konsequent umgesetzt in der konzernweiten Sicherheitsstrategie – abgeleitet aus der Konzernstrategie „Leading European Telco“ – und verfolgt das Ziel, Sicherheit als Erfolgsfaktor der Deutschen Telekom entlang „Protect, Enable & Monetize“ nachhaltig zu etablieren: 

• Protect: Schutz der Deutschen Telekom entlang der Wertschöpfungskette inklusive Menschen und Prozesse, Infrastruktur und Technologie, Produkte und Services sowie Daten und Informationen
• Enable: Unterstützung der Geschäftstätigkeiten durch Integration von Sicherheit in Lebens- und Berufsalltag, tägliche Arbeitsabläufe und Geschäftsprozesse als natürlichen Bestandteil der DNA der Deutschen Telekom 
• Monetize: Etablierung des eigenständigen strategischen Geschäftsfelds „Security“ mit entsprechendem Produkt- & Serviceportfolio für Privat-, Mittelstands- & Geschäftskunden.

Zur Steuerung der Sicherheit im Konzern dient das DT Security Governance Modell als Orientierung und Umsetzungsrahmen für die Sicherheitsverantwortlichen in allen Konzerneinheiten weltweit. Dabei werden diese in ihrer Sicherheitsarbeit durch zentrale Business Partner unterstützt, so dass gemeinsam ein adäquat hohes Sicherheitsniveau im Konzern gewährleistet wird.

Auf Basis des Governance Modells und der Sicherheitsstrategie werden jährliche strategische Schwerpunktthemen gemäß Sicherheitsrisikolage, strategischen Geschäftsprojekten und zukünftigen Trends abgeleitet. Diese bilden den Kern der durch die Sicherheitsverantwortlichen entwickelten Sicherheitsjahresprogramme der Konzerneinheiten sowie auf Gesamtkonzernebene – resultierend im Konzernsicherheitsprogramm eines Jahres. 

Zur Gewährleistung angemessener Sicherheitsniveaus im Konzern dient die ganzheitliche Konzernsicherheitsrichtlinie auf Basis internationaler Sicherheitsstandards, - insb. ISO 27000ff., nach der wir auch zertifiziert sind. Sie beinhaltet - gemäß unseres ganzheitlichen Sicherheitsverständnisses und der konvergenten, wechselseitigen Abhängigkeiten und Auswirkungen aller Sicherheitsthemen - konzernweite Vorgaben zu allen Themenfeldern der Sicherheit inkl. Daten- Informations-, IT-/NT- & Cybersicherheit sowie physische und personelle Sicherheit, Kontinuitäts-, Notfall- und Krisenmanagement und umfasst auch die Themenbereiche Ermittlungen und Missbrauchserkennung. Zudem sind dort die grundlegenden Rollen und Verantwortlichkeiten im Konzern sowie zentralen Vorgaben zum Informationssicherheitsmanagementsystem (ISMS), Kontinuitätsmanagementsystem (BCMS) und Sicherheitsrisikomanagementsystem (ESRM) formuliert und werden auf dieser Basis systematisch in den Konzerneinheiten etabliert und nachhaltig umgesetzt. Die Konzernsicherheitsrichtlinie ist in allen Konzerneinheiten durch entsprechende Geschäftsführungsgremien in Kraft gesetzt.

Als Teil unseres Security Control Frameworks bewerten alle Sicherheitsverantwortlichen per web-basiertem Self-Assessment ihre Sicherheitsreifegrade auf Basis des COBIT-Modells und evaluieren priorisierte Sicherheitsrisikoszenarien. Die Ergebnisse werden in der Konzernsicherheitsrisikolandkarte zusammengeführt, regelmäßig aktualisiert und zur Ableitung entsprechender Verbesserungs- und Risikogegenmaßnahmen ausgewertet. Dies ist zudem etablierter Teil des Konzernrisikomanagements gemäß konzernweitem Risikomanagementprozess. Stichprobenbasiert werden Sicherheitsüberprüfungen (Security Audits) durchgeführt, um die Ergebnisse der Selbsteinschätzungen zu verifizieren und zugleich Unterstützung bei adäquaten Verbesserungsmaßnahmen zu leisten.

Zur Gewährleistung und Überprüfung des Sicherheitsbewusstseins im Konzern wird regelmäßig eine Online Security Awareness Umfrage anhand einer repräsentativen Stichprobe von rund 30 Prozent der Konzernmitarbeiter durchgeführt. 

Die jährliche Global Telekom Security Conference ist der Ort und die zentrale Plattform zur strategischen Ausrichtung der konzernweiten Security Community. Die Themenvielfalt hierbei reicht von gesellschaftspolitischen Beiträgen aus Politik und Wirtschaft über strategische Konzernschwerpunkte bis hin zu Best Practice-Beiträgen aus den Konzerneinheiten. 

Darüber hinaus findet insbesondere im konzernweiten Intranet über die „International Security“-Group - mit über 600 aktiven Mitgliedern eine der größten Fach-Communities im Konzern - auch die virtuelle Zusammenarbeit der Security Community statt. Dies unterstützt und fördert den gemeinsamen Austausch und die kontinuierliche Weiterentwicklung der Sicherheit in der Deutschen Telekom auch über Ländergrenzen hinweg.