Neue IT - der Kampf um Sicherheit
An erster Stelle steht heute die Informationssicherheit, gefolgt von der Anwendungs- und Geräteverwaltung
Vorbei sind die Zeiten, als herkömmliche Silokonzepte zur Absicherung der Systeme zuverlässig als vorderste Verteidigungslinie beim Schutz der Unternehmensressourcen fungierten
Von Mav Turner, Sicherheitsleiter bei SolarWinds
(15.12.14) - Disruptive Technologien wie das Internet der Dinge, BYOx und die Cloud haben alle Aspekte der heutigen, digital gesteuerten Geschäftswelt durchdrungen. Sie leiten die Ära der "neuen IT" ein und ändern grundlegend die Art und Weise, wie wir Geschäfte abwickeln. In dieser Ära der neuen IT ist Technologie die Quintessenz der Geschäftstätigkeit – sie fördert die Innovation und Agilität in einem vom Wettbewerb geprägten Umfeld. Das einst festungsähnliche Rechenzentrum ist durch Partnerkonnektivität, Cloud Computing, Virtualisierung und BYOD durchlässig geworden. Ein weiterer Punkt betrifft die Kosten: Im Vergleich zu den Vorabkosten für die Sicherheit können die Kosten von Sicherheits- und Compliance-Verletzungen erheblich sein. Eine Umfrage des Ponemon Institute hat ergeben, dass die Kosten durch Datenschutzverletzungen in Deutschland seit 2013 um 15 Prozent auf 3,5 Millionen EUR gestiegen sind.
Lesen Sie zum Thema "Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)
Vorbei sind die Zeiten, als herkömmliche Silokonzepte zur Absicherung der Systeme zuverlässig als vorderste Verteidigungslinie beim Schutz der Unternehmensressourcen fungierten. Heutzutage sind Daten vollständig zugänglich und verfügbar – überall, jederzeit und auf vielen Geräten –, was den Schutz vertraulicher Unternehmensdaten immer komplizierter macht. Gleichzeitig spielt die IT-Sicherheit jedoch eine wichtigere Rolle als je zuvor. Beispielsweise zeigen die drastischen Sicherheitsverletzungen der letzten Zeit, wie der massive Diebstahl von E-Mail-Kennwörtern im April 2014 oder der Diebstahl von Kundenidentitäten bei Vodafone Deutschland im September 2013, dass eine Verletzung nicht nur das Umsatzergebnis des Unternehmens, sondern auch dessen Integrität beeinträchtigen kann.
Eine kürzlich von SolarWinds durchgeführte Umfrage zur künftigen Rolle der IT-Profis hat gezeigt, wie entscheidend die Informationssicherheit heute ist. Auf die Frage nach den wichtigsten IT-Qualifikationen, die in den kommenden drei bis fünf Jahren hoch im Kurs stehen dürften, nannten die Befragten an erster Stelle die Informationssicherheit, gefolgt von der Anwendungs- und Geräteverwaltung. Zudem stuften die Befragten die Informationssicherheit als die Funktion ein, bei der im gleichen Zeitrahmen die Anpassung an neue Technologien am dringendsten erforderlich ist. Eine weitere, kürzlich durchgeführte SolarWinds-Studie hat gezeigt, dass 85 Prozent der deutschen IT-Spezialisten sehr viel Vertrauen in die eigenen Sicherheitsmaßnahmen setzt. Dies widerspricht jedoch der Tatsache, dass drei Viertel bereits in der einen oder anderen Form mit Sicherheitsverletzungen zu kämpfen hatten. Hier könnte also ein schwerer Fall von Selbstüberschätzung vorliegen.
Das Unternehmen vorbereiten
Damit Sie den steigenden Anforderungen hinsichtlich neuer Sicherheitsqualifikationen und einer Funktionsanpassung gerecht werden können, müssen Sie zuerst bereit sein, sich mit den übrigen Verantwortlichen an einen Tisch zu setzen. Erklären Sie der Geschäftsführung, wie wichtig die Sicherheit ist. Das Bewusstsein für ihre Wichtigkeit nimmt zwar zu, doch ist die Sicherheit häufig so lange nicht geschäftskritisch, bis sie verletzt wurde. Die Anpassung an die disruptiven Technologien, aus denen die neue IT hervorgegangen ist, erfordert interne Überzeugungsarbeit. Es muss klar werden, dass ein entsprechendes Sicherheitsprogramm entwickelt werden muss, um den neuen Angriffspunkten und den daraus resultierenden Risiken zu begegnen.
Die jüngsten Sicherheitsverletzungen haben dazu beigetragen, dass die Bedeutung von Sicherheitsinvestitionen mehr Aufmerksamkeit durch das Management erfährt. Ohne ein klares Verständnis der neuen Angriffspunkte, die die "neue IT" geschaffen hat, der sich wandelnden Gefahrenlandschaft und deren Auswirkungen auf das unternehmerische Risiko, können diese nun sensibilisierten Führungskräfte jedoch keine vernünftigen Investitionsentscheidungen treffen. Damit Sie also bei der Anpassung an die neue IT das Budget und die Ressourcen erhalten, die Sie zum Ausbau der Sicherheitsvorkehrungen benötigen, können Sie Beispiele von Sicherheitsverletzungen bei Mitbewerbern, Partnern oder Unternehmen in der Nähe heranziehen und aufzeigen, welches unternehmerische Risiko direkt damit verbunden ist. Es muss auch darauf hingewiesen werden, dass Geschäftsdaten nie vollständig sicher sein werden.
Deshalb muss sich Ihr Unternehmen unbedingt darüber klar werden, dass es sich auch weiterhin schnell auf mögliche Gefahren einstellen muss. Dabei ist besonders das Monitoring hilfreich, denn die Verantwortlichen können schnell identifizieren, wenn eine Sicherheitsverletzung vorliegt. Das Ziel sollte dabei sein, diese Information für ein schnelles Eingreifen zu nutzen, bevor die Angreifer ihr Ziel erreichen oder an kritische Daten gelangen. So war es in manchen der großen Datenlecks in den USA tatsächlich der Fall, dass die Unternehmen über Angriffe Bescheid wussten, aber bewusst nicht reagierten. Dabei kann man die Sicherheit ganz einfach dadurch erhöhen, indem man dafür vorausplant, sowohl proaktiv als auch reaktiv zu agieren.
Selbst wenn sich das Unternehmen der Bedeutung von Sicherheitsinvestitionen bewusst ist, kann es schwierig sein, die Höhe dieser Investitionen zu bestimmen. Als IT-Sicherheitsexperte sind Sie perfekt gerüstet, um das Heft in die Hand zu nehmen und den Wert der IT-Sicherheit anschaulich darzulegen. Sie können letztendlich erklären, dass Sicherheitsinvestitionen für das Unternehmen zu den obersten Prioritäten der allgemeinen Geschäftsstrategie gehören sollten.
So sichern Sie die neue IT im Angesicht wachsender Bedrohungen
IT-Experten sollten beim Sichern der Geschäftsumgebungen in der neuen IT Folgendes berücksichtigen:
• >> Bei Projekten der neuen IT kann Verfügbarkeit oft Vorrang vor Sicherheit haben. Unternehmen müssen sich darauf einstellen, indem sie in die Projekte – egal ob Erweiterung in die Cloud oder Einführung von BYOD – eine Risikoanalyse und ein Sicherheitsbudget aufnehmen.
• >> Es sollten jedoch nicht nur oberflächlich Mindestanforderungen abgehakt werden. Die gesetzlichen Compliance-Anforderungen sollten dazu genutzt werden, Budgets für starke Sicherheitstools, -prozesse und -mitarbeiter zur Verfügung zu stellen. So wird sichergestellt, dass sich die Sicherheitsvorkehrungen weiterentwickeln und nicht einfach nur ausgetauscht werden.
• >> Bei einer Arbeitslosenquote von nahezu null – wie vor kurzem für die IT-Branche gemeldet – kann es schwierig sein, gute Sicherheitsanalysten zu finden. Unternehmen, die proaktiv die Sicherheitsqualifikationen talentierter IT-Mitarbeiter fördern, sind gegen den zunehmenden Mangel an versierten Sicherheitsexperten besser gewappnet.
• >> Um anpassungsfähig bleiben zu können, muss auch das Risikomanagement berücksichtigt werden. Eine Faustregel bei der Sicherheit lautet, dass nichts jemals wirklich sicher ist. Es handelt sich immer um ein Vabanquespiel. Je wertvoller die Information, umso größer die Bedrohung. Zum Spiel gehört es, genug Verteidigungsmechanismen einzubauen, dass ein Angreifer nicht genug Ressourcen aufbringen kann, um sie zu umgehen – anders ausgedrückt, dass er nach unzähligen Versuchen einfach frustriert aufgibt. Das Spiel ist jedoch nie zu Ende. Wir müssen die Verteidigung der Sicherheit laufend weiterentwickeln, denn alles, einschließlich neuer Dienste, wirkt sich auf das Risiko aus, das sich in unserem Umfeld entwickelt.
• >> Mithilfe einer zuverlässigen Überwachungsstrategie kann das Sicherheitsprogramm bei diesem Wettrüsten besser auf neue Schwachstellen ausgerichtet werden. Eine zuverlässige Überwachungsstrategie, die sich an den Risiken orientiert und auf SIEM-Software (Security Information and Event Management) basiert, kann dazu beitragen, neue Bedrohungen zu erkennen, sobald sie auftreten, und den Überwachungsprozess in einer Zeit beschränkter Sicherheitsressourcen zu automatisieren. Es ist unmöglich, jede potenzielle Gefahr zu eliminieren, die sich in Ihre Umgebung einschleicht. Deshalb ist ein effektives Überwachungssystem unverzichtbar. Es muss ungewöhnliche Trends erkennen und verhindern, dass Angriffe tiefer gehen und echten Schaden anrichten.
Das Sichern der neuen IT kann mühsam erscheinen. Wenn Sie jedoch Ihre Qualifikationen erweitern und sich bemühen, der Geschäftsführung die Bedeutung von Sicherheitsstrategien und -investitionen zu vermitteln, kann alles auch ganz einfach sein.
(SolarWinds: ra)
SolarWinds: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.