- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Die ersten 90 Tage


Was jeder IT-Sicherheitschef wissen sollte. Ein Leitfaden
IT-Sicherheit und Entwicklung gehören zusammen - Das Verhältnis zwischen Sicherheits- und Entwicklungsteams bildet das Fundament für die IT-Sicherheit

- Anzeigen -





Beitrag basiert auf einem Handbuch von HackerOne

Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss.

Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

In dieser Phase ist es hilfreich sich die Gründe anzuschauen, warum die Position gerade jetzt besetzt wurde. Egal ob Startup oder Konzern, es sind drei Hauptgründe, die immer wiederkehren:

>> Das Unternehmen wächst. Und damit auch die Sicherheitsanforderungen. Gerade Startups konzentrieren sich zunächst darauf, Produkte oder Dienstleistungen möglichst schnell auf den Markt zu bringen. Mit zunehmender User-Zahl steigt der Sicherheitsbedarf, und der durch eine Sicherheitslücke potenziell entstehende Schaden ist weitreichender. Man braucht Praktiken und Verfahren für die Applikationssicherheit und Richtlinien für Infrastruktur-, Netzwerk- und Cloud-Sicherheit. Letztere verbinden die IT-Sicherheitsabteilung mit anderen wichtigen Abteilungen im Unternehmen. Dadurch sieht sich die Abteilung wahlweise in der Rolle des Kapitäns oder des Botschafters zwischen Abteilungen und Hierarchieebenen. Ein grundlegend anderes Anforderungsprofil als zu Anfang.

>> Übernahme eines Unternehmens. Wird ein Unternehmen übernommen, ist eine der wichtigsten Aufgaben, die betreffenden Systeme sicher in eigene Umgebung zu integrieren. Anwendungen weisen potenziell Schwachstellen auf oder durch die Übernahme entsteht ein neues Risikoprofil. Die sichere Integration liegt in der Verantwortung des Leiters der IT-Sicherheit.

>> Expansion in eine neue Region. Wer in neuen Regionen unternehmerisch tätig wird, sieht sich mit neuen Regularien, Gesetzen und Vorschriften konfrontiert, die es zu verstehen und anzuwenden gilt. Die EU-Datenschutzgrundverordnung (DSGVO/GDPR) ist dabei nur eines von vielen Beispielen.

Wer einen angemessenen Sicherheitsplan erstellen und mittel- bis langfristig umsetzen will, kann das in der Regel besser, wenn er die Gründe versteht, warum die Position gerade jetzt besetzt worden ist.

Der Status Quo
Im zweiten Schritt gilt es sich ein Bild von der derzeitigen Sicherheitslage zu machen und dabei die unterschiedlichen Blickwinkel in einem Unternehmen zu berücksichtigen.

Sprechen Sie mit Führungskräften und Managern aus verschiedenen Abteilungen, wie Personal, Recht, Finanzen, IT und Sicherheit. Von ihnen erfahren Sie, welche Risiken und Bedrohungen für das Unternehmen als Ganzes bestehen. Fragen Sie nach dem aktuellen Stand des Risikomanagements und wie die ermittelten Risiken konkret gehandhabt werden. In welchem Zeitfenster werden Bedrohungen erkannt und wie lange dauert es bis die Schadensbegrenzung greift? Es ist leichter, Risiken einzuschätzen und zu priorisieren, wenn man das Gesamtbild vor sich hat, also etwa geschäftliche und technologische Risiken im Allgemeinen.

Machen Sie sich ein Bild von den jüngsten Vorfällen ebenso wie von wichtigen Problemen im Unternehmen. Die weisen nicht selten auf systembedingte Mängel hin, die man sofort beheben muss. Oder sie geben Anlass für Verfahrensverbesserungen, die das Risikomanagement als Ganzes effizienter machen.

Die Zusammenarbeit mit anderen Abteilungen hat zwei Vorteile. Zunächst werden Sie besser verstehen wie das Unternehmen derzeit mit Risiken umgeht. Zweitens haben Sie dadurch die Gelegenheit sich als Partner zu positionieren und nicht als Gegner. Sie sind nicht jemand, der nur Probleme auf den Tisch bringt oder gar Schuldzuweisungen trifft. Das übergreifende Ziel ist es Risiken zu senken und die Sicherheit für Mitarbeiter und Kunden zu verbessern. Das gelingt am besten wenn man zunächst eine vergleichsweise altmodisch anmutende Tugend beherzigt. Zuhören.

Entwickler ins Boot holen
IT-Sicherheit und Entwicklung gehören zusammen. Das Verhältnis zwischen Sicherheits- und Entwicklungsteams bildet das Fundament für die IT-Sicherheit. Allerdings bedarf es vorab meistens einiger vertrauensbildender Maßnahmen. Für Entwicklungsteams ist es wichtig zu verstehen, dass Sie da sind, um Lösungen zu finden. Sie sind nicht die "Code-Polizei", die mit der Tür ins Haus fällt. Ihre Rolle ist es, Entwicklerteams zu unterstützen, Lösungen für fundamentale Sicherheitsprobleme zu finden und dabei Funktionalitäten nicht aus den Augen zu verlieren. Auf der Suche nach praktikablen Lösungen, haben beide Bereiche ein gleichberechtigtes Mitspracherecht. Schon weil jedes Unternehmen Lösungen brauchen, mit denen beide Abteilungen gut leben können.

Sicherheit aus Sicht des Benutzers
Ein wichtiges Element für den Aufbau einer tragfähigen Sicherheitsstrategie ist, wie diese aus Sicht der Mitarbeiter und Kunden wahrgenommen wird. Beide Sichtweisen sind der Schlüssel zu einer erfolgreich umgesetzten Sicherheitsstrategie. Ethical Hacker machen sich mit der oder den Sicherheitslösungen vertraut und versuchen, sich in die Rolle eines Benutzers zu versetzen. Sie versuchen das System zu knacken indem sie unerwartete Dinge tun. Die Frage ist dabei: "Was kann ein Benutzer tun, um das System dazu zu bringen, etwas zu tun, das es nicht tun sollte?" Der Sicherheitsverantwortliche eines Unternehmens sollte mit einem ganz ähnlichen Ansatz an seine Aufgabe herangehen. Beginnen Sie damit, den Onboarding-Prozess der Mitarbeiter von Anfang bis Ende durchzugehen. Achten Sie besonders auf Prozesse, die das Erstellen von Konten oder Passwörtern betreffen oder das

Bereitstellen von Hardware. Suchen Sie nicht nach Schwachstellen, sondern achten Sie auf Anzeichen von Ineffizienz und für offensichtliche Problembereiche.

Wechseln Sie anschließend die Perspektive und tauschen Sie die interne Sichtweise gegen die eines Kunden. Fangen Sie beim Marketing an, gehen Sie weiter zu den Kundenkonten und den damit verbundenen Zugriffsberechtigungen, der Eingabe von Kreditkarten-informationen oder wie auch immer der individuelle Ablauf aussieht. Wichtig ist es, sich die Wahrnehmung aus Sicht eines zahlenden Kunden zu Eigen zu machen. Wenn man die internen und externen Abläufe aus Sicht der jeweiligen Benutzer versteht, ist es leichter die zukünftige Strategie zu steuern.

Potenzielle Bedrohungen für Netzwerksysteme
Beim Threat Modeling überprüft man proaktiv wie ein System aufgebaut ist um potenzielle Bedrohungen zu erfassen. Threat Modeling hat den Vorteil, Probleme vorausschauend zu Identifizieren und Systembedrohungen in Form von möglichen Schwachstellen zu erkennen. Und zwar bevor ein Angreifer sie ausnutzt. Voraussetzung ist allerdings, dass dies früh genug im Entwicklungszyklus passiert. Die Ergebnisse des Threat Modeling haben durchaus das Potenzial Ihre bisherigen Pläne über den Haufen zu werfen. Es hat aber auch einen unschätzbaren Vorteil: Threat Modeling erlaubt es, Sicherheitsbudgets und Aktivitäten wie Penetrationstests zu fokussieren.

Priorisieren und umsetzen
Bis zu diesem Punkt haben Sie hoffentlich Antworten auf die folgenden Fragen gefunden und die entsprechenden Informationen einholen können:

>> Welche Projekte laufen aktuell?
>> Welche Projekte sind nötig um den Sicherheitsstatus zu verbessern?
>> Verbesserungen, die auf den Ergebnissen des Threat Modeling basieren
>> Sie haben sich einen Überblick über Risiken und Bedrohungen verschafft
>> Sie kennen die Systeme sowohl aus technischer als auch aus benutzerorientierter Sicht in- und auswendig
>> Sie haben entschieden, welche Projekte zunächst durchgeführt und abgeschlossen werden müssen

Soweit die Bestandsaufnahme aus verschiedenen Perspektiven. Jetzt muss man nur noch wissen, was man zuerst tun sollte. Ein Allheilmittel für eine effektive Planung gibt es nicht.

Aber es gibt Möglichkeiten, die erforderlichen Bestandteile des Plans aufzuschlüsseln und in sinnvoll anzuordnen.

Eine Checkliste wie diese hilft dabei:
>> Verstehen Sie zunächst die Gründe, die für die bereits laufenden Projekte entscheidende Auslöser waren. Basieren sie auf einem echten Bedarf? Basiert dieser Bedarf auf erhobenen Daten? Möglicherweise ist es notwendig Projekte zu beenden, die entweder nicht mehr wichtig oder nicht erfolgreich verlaufen sind.

>> Finden Sie heraus, welche Initiativen als nächste auf dem Plan stehen sollten, indem Sie versuchen zukünftige Bedarfe zu antizipieren. Das können gesetzliche Änderungen sein, neue Marketing- oder Technologieinitiativen. Setzen Sie die Prioritäten für das kommende Jahr.

>> Nach der Projektliste kommt der schwierige Teil. Sie haben nur begrenzte Ressourcen und müssen die Projekte auswählen, die im Moment absolut notwendig sind. Gehen Sie das kommende Jahr quartalsweise durch. Wählen Sie für das erste Quartal ein oder zwei Projekte aus, die erledigt werden müssen und bei denen Sie keinerlei Spielraum haben.

>> Bei jedem folgenden Quartal stellen Sie sich vor, dass Sie wieder am Anfang des ersten Quartals stehen. Die beiden ersten Projekte sind erfolgreich erledigt. Welches Projekt muss genau jetzt folgen? Dieses Projekt ist das nächste Projekt auf Ihrer Prioritätenliste. Gehen Sie das gesamte Jahr so durch und platzieren Sie jedes Projekt dort, wo es hingehört. Alle Projekte werden in diesem Jahr abgeschlossen, aber nicht alle sollten gleichzeitig in Arbeit sein. Diese Art der Planung stellt sicher, dass sich das IT-Sicherheitsteam auf den Abschluss des jeweils wichtigsten Projekts konzentrieren kann. Wenn man seine Mitarbeiter auf zu viele Projekte gleichzeitig verteilt, führt das oft dazu, dass man nur minimale Fortschritte erzielt und dabei riskiert, dass schlussendlich keines der Projekte abgeschlossen wird. Wenn man es schafft sich mit sämtlichen Ressourcen auf zwei, vielleicht drei Projekte zu konzentrieren, stellt man soweit als möglich sicher, diese abzuschließen bevor man mit dem nächsten startet.
(HackerOne: ra)

eingetragen: 11.07.19
Newsletterlauf: 14.08.19

HackerOne: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • KI: Neue Spielregeln für IT-Sicherheit

    Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

  • Cyber-Sabotage durch Datenmanipulation

    Cyberkriminelle stehlen nicht nur Daten. Manchmal ist es stattdessen ihr Ziel, Daten bewusst zu manipulieren. Attacken, bei denen externe Angreifer oder böswillige Insider subtile Veränderungen an unternehmenskritischen Daten wie etwa Quellcodes, Finanzdokumenten oder Bauplänen vornehmen, können für Unternehmen genauso verheerend sein wie Diebstahl. Es bedarf oft nur eines Fehlers, beispielsweise durch einen Angriff auf industrielle Steuerungssysteme, um die Produktion von Gütern zu unterbrechen oder zu verzögern und eventuell eine gesamte Lieferkette zu gefährden. Hat das Unternehmen keine adäquate Möglichkeit zu überprüfen, ob wichtige Daten legitim sind, kann dies zudem das Vertrauen im Unternehmen von innen heraus zersetzen.

  • Datenmanipulation auf dem Vormarsch

    Technologie hat die Eigenschaft uns auf Trab zu halten. Und obwohl ständiger Wandel und Innovation aufregend sind, damit wirklich Schritt zu halten kann ein zweischneidiges Schwert sein. Das hat den Datenschutz zur heute vielleicht größten Herausforderung für Unternehmen gemacht. Bei der Sicherheitsplanung für das kommende Jahr gehen wir davon aus, dass einige Probleme vorrangig sein werden.