Angemessen abschirmen

IT-DIRECTOR: Auf welche Entwicklungen müssen sich Sicherheitsverantwortliche angesichts der sogenannten Consumerization der IT einstellen?
T. Hemker: Die strenge Trennung zwischen beruflicher und privater Nutzung mobiler Geräte ist passé. Immer häufiger nutzen Menschen ihr privates Endgerät für ­geschäftliche Zwecke und umgekehrt. Dieses Bring-Your-Own-Device-Konzept wird von mehr und mehr Unternehmen unterstützt. Bisherige Schutzwälle um die Rechenzentren und Netzwerke der Firmen sind in dieser flexiblen, mobilen Welt durchlässiger geworden. Mit den Geräten wandern aber auch die Daten aus den Unternehmen hin zu Partnern, Dienstleistern und mobilen Geräten der Mitarbeiter. Selten liegen die Geräte und damit die darauf enthaltenen Informationen noch an einem Ort, über den die Organisation die volle Kontrolle hat. Außerdem stellen sich rechtliche Fragen. Darf ein Firmenadministrator Backups von Geräten aufsetzen, auf denen private und geschäftliche Daten wild durchmischt sind?

IT-DIRECTOR: Wo lauern in Unternehmen die größten Ge­fahren für sensible Daten?
T. Hemker: Sie lauern darin, nicht zu wissen, was die wichtigen Daten sind. Wer hierauf keine klare Antwort hat, wird niemals genau wissen, wo seine wichtigen Daten liegen und wie er sie geschützt hat. Die Folgen sind vielfältig. Statt angemessen abgeschirmt zu sein, werden diese Dokumente unkontrolliert von einem auf den anderen Ort kopiert, dupliziert und verschoben. Mitarbeiter können beispielsweise unkontrolliert wichtige Informationen auf USB-Sticks oder andere mobile Geräte kopieren, um am Wochenende daran weiterzuarbeiten. Diese Daten sind im Klartext abgespeichert und bei Verlust oder Diebstahl des Geräts lesbar. Dadurch wächst das Risiko, dass die Daten in die Hände Dritter ge­raten.

IT-DIRECTOR: Welche Lösungsansätze können Unternehmen helfen, die Datendiaspora auf unterschiedlichen Endgeräten effizient abzusichern?
T. Hemker: Das Wichtigste ist, sich von der Systemdenke zu emanzipieren und sich auf das Wesentliche zu konzentrieren, den Schutz der Information und der Anwender. Diese informationszentrische Sicherheitsstrategie gibt klare Richtlinien vor, wie Firmen ihre Daten abhängig von ihrem Wert und dem Risiko, dem sie ausgeliefert sind, absichern können. Und zwar unabhängig davon, um welches System, welchen Speicherort und welches Gerät es sich handelt.

IT-DIRECTOR: Welche Voraussetzungen müssen bei den Unternehmen geschaffen werden, um potentiellen Datenverlusten entgegenzuwirken?
T. Hemker: Als wichtigsten Schritt müssen sie die Informationen ihrer „Funktion“ und Wichtigkeit entsprechend kategorisieren und abhängig von diesem Wert Schutzmaßnahmen aufsetzen. Denn ihr Wert wird die Höhe einer Investition rechtfertigen.

Diese Klassifizierung ist notwendig, Firmen schrecken aber davor zurück, da sie große Komplexität vermuten. Inzwischen gibt es aber ausgereifte Lösungen, die die wichtigen Inhalte der Dokumente und ihre Eigenschaften automatisch erfassen. Mit Technologien wie Data Loss Prevention (DLP) können Informationen nach ihrer Relevanz für das Unternehmen eingestuft und behandelt werden. In diesem Prozess werden wichtige Fragen wie „Wem gehört die Information?“ oder „Wie wertvoll ist sie?“ genauso behandelt wie die Frage, wie mit einer Information verfahren werden darf.

Bei allen Anstrengungen gehören die wichtigen Maßnahmen Firewall, VPN-Verbindungen und Sicherheitsupdates auch weiterhin in ein umfassendes Securitypaket. Dabei helfen reputationsbasierte Modelle, die auch den Kontext einer Datei untersuchen und schnellen sowie umfassenden Schutz gewähren.

IT-DIRECTOR: Unternehmen verbreiten immer öfter geschäftsrelevante Informationen über soziale Netzwerke. Allerdings gelangen auch vertrauliche Daten über derartige Kanäle an die Öffentlichkeit. Wie können Firmen sich vor etwaigen negativen Konsequenzen falsch genutzter sozialer Medien schützen?
T. Hemker: Auch hier sollten Firmen erst im zweiten Schritt an Technik und im ersten an interne, organisatorische Maßnahmen denken. Dazu gehört, die Mitarbeiter aufzuklären und ihnen klare Richtlinien mitzugeben, wie sie mit Firmendaten umgehen sollten. Ein gut geschulter Mitarbeiter, der verantwortungsbewusst mit sensiblen Informationen umgehen kann, ist für ein Unternehmen noch immer der beste Schutz.

Als zweiten Schritt bieten sich technische Maßnahmen wie Data Loss Prevention an. Sie setzen beispielsweise durch, dass hochsichere Inhalte nicht auf externe Speichermedien kopiert werden dürfen. Sie können genauso garantieren, dass beispielsweise wichtige Bilanzen automatisch verschlüsselt werden, sobald der Anwender sie auf einen Stick kopiert oder auf sein Notebook verschiebt. So bleiben die Daten selbst bei Diebstahl oder Verlust geschützt.

Weiterhin sollten Unternehmen in der Lage sein, sämtliche über die verschiedenen Kanäle veröffentlichten Informationen zu erfassen und gemäß branchenspezifischer Vorgaben zu archivieren. Dies ist beispielsweise für eine E-Discovery-Anfrage notwendig, bei der Firmen im Rahmen gerichtlicher Auseinandersetzungen ihre elektronischen Daten als Beweismittel offenlegen müssen. Eine Archivierungssoftware kann dabei helfen, derartige Inhalte übersichtlich zu speichern und auf Facebook, Twitter, Linkedin, Sharepoint oder Blogs veröffentlichte Informationen schnell wiederzufinden. Dies kann die Beweisführung vor Gericht erheblich vereinfachen und damit die Erfolgschancen erhöhen.

Und schließlich gilt es, die Kanäle selbst wie Instant Messaging oder E-Mails zu schützen. Dies kann ein Unternehmen mit Lösungen von Symantec im eigenen Netz tun oder aber als externen Software-as-a-Service direkt aus der Cloud beziehen. Symantec.cloud beispielsweise kann sowohl jede Webanfrage wie auch die Dienste E-Mail und Instant Messaging auf schädliche Inhalte hin durchleuchten und diese herausfiltern.