Trotz Dynamik auf der sicheren Seite

Doch damit nicht genug. IT-Services wie E-Mail oder SAP mit geschäftskritischen Daten können grenzüberschreitend für Fachabteilungen, Partner oder Lieferanten bereit gestellt werden. Der Zugriff auf die Daten muss dabei von überall, zu jeder Zeit mit jedem Gerät ermöglicht werden. Aber wie steht es mit der Sicherheit? Welche Maßnahmen schützen sensible Daten vor Missbrauch, teure Technologien vor Einbrüchen Unbefugter oder Datendiebstahl aus den eigenen Reihen? Neben dem physischen Schutz von Gebäuden, Netzen und Systemen müssen aktuelle Sicherheitsstrategien den Schutz von Informationen, den Umgang mit Benutzerrechten sowie organisatorische Schutzmaßnahmen ins Kalkül ziehen.

Begriffe wie Mobility, Cloud-Services und soziale Netzwerke kursieren in den Organigrammen der IT-Bereiche. Natürliche Hardwaregrenzen lassen sich zwischen diesen Diensten nicht mehr definieren. Von daher rückt der Schutz der Daten selbst in den Mittelpunkt, da sie sehr dynamisch zwischen den Welten kursieren und stetig in Bewegung sind. Das A und O einer informations- und benutzerzentrierten Sicherheitsstrategie ist zunächst die Klassifizierung der Daten: Welche Arten von Datenklassen soll es geben? Der zweite Schritt ist das Auffinden der Daten. Erst dann können technologische und organisatorische Maßnahmen wie z.B. die Verschlüsselung zum Schutz dieser Daten definiert und umgesetzt werden. Sie umgibt die Informationen mit einer Art Schutzhülle gegen unbefugten Zugriff, egal in welchem Netzwerk sie unterwegs sind. Zusätzlich muss festgelegt werden, wer zu welchem Zeitpunkt Zugriff auf welche Daten haben soll. Direkt an den Daten selbst definierte Berechtigungen (Information Rights Management) verhindern, dass das Sicherheitsniveau vom Speicherort abhängt. Ein übergeordnetes Identity- und Access-Management verwaltet die Identitäten mit den zugehörigen Rollen von der Einrichtung, Änderung, Suspendierung bis zur Archivierung und erhöht so auch langfristig die Zugriffssicherheit.

Gegen Datenklau durch Industriespione, aber auch gegen unlautere Absichten der eigenen Mitarbeiter hilft an dedizierten Stellen ein Data-Loss-Prevention-System (DLP). Information-Rights-Management-Systeme (IRM) definieren nicht nur die zugriffsberechtigten Personen, sondern übernehmen auch die Datenverschlüsselung. Gerade im sensiblen Bankenumfeld muss die IT jederzeit wissen, welcher Administrator auf welchem System wann welche Aufgabe erledigt hat. Diese Vorgabe kann durch eine benutzerzentrierte Maßnahme wie das Priviledged User Management einfacher umgesetzt werden. Dabei erhalten Administratoren nur die Rechte, die sie wirklich täglich benötigen.

Mit der Zeit gehen

Neben dem Informationsschutz und einer geeigneten Rechteverwaltung sollten IT-Verantwortliche auch die vorhandene Sicherheitsinfrastruktur an Dynamiktrends wie Cloud und Mobility anpassen. Neue Systeme, die bereichsübergreifende Technologien in einer Komponente vereinen, oder Querschnittsthemen wie die Virtualisierung lassen sich nur schwer in den klassischen Verantwortungsbereichen Client-/Server, Netzwerk und Rechenzentrum abbilden: Ist der Desktop-Verantwortliche für die virtuellen Clients zuständig, oder vielleicht doch der Chef des Rechenzentrums? Die traditionelle IT-Organisation gehört also auf den Prüfstand und muss gegebenenfalls verändert werden. Eine sinnvolle organisatorische Maßnahme ist die Ernennung eines Verantwortlichen für Informationssicherheit. Dieser sollte als zentraler Ansprechpartner rund um die Themen Datenschutz und Sicherheit allen Mitarbeitern bekannt sein.

In virtuellen Umgebungen sollten Verantwortliche besonders auf die Einhaltung von Sicherheitsrichtlinien achten. Oft genügen schon Sekunden, um auf Knopfdruck einen neuen Server einzurichten. Ein nachhaltiger Kontrollprozess (Continuous Control Management) stellt sicher, dass alle Sicherheits- und Compliance-Anforderungen für die einzelnen Systeme aktuell und umgesetzt sind. Als Teil des Risikomanagements übernimmt diese Aufgabe im besten Falle das Security-Management als neutrale, übergeordnete Instanz, die auch die aufgedeckten Mängel behebt.

Wer die IT-Organisation anpasst, sollte sich bewusst sein, dass dadurch neue Sicherheitsrisiken entstehen können. In produzierenden Unternehmen verschmelzen immer häufiger die ehemals getrennten Bereiche Office- und Produktions-IT miteinander. In der Produktion gibt es als bekannten Gefahrenpunkt die Anbindung der Anlagen an die Fernwartung. Durch die Verbindung zwischen Büro- und Produktionssystemen geht jetzt allerdings vom Fernwartungstechniker eine neue potenzielle Gefahr aus, denn er hat Zugriff auf die Office Welt des Unternehmens.

Schnelle Reaktion auf Angriffe

Die kriminelle Energie von Datendieben wird eher zu- als abnehmen. Daher werden künftig auch ausgeklügelte präventive Schutzmaßnahmen Einbrüche in das Unternehmensnetz nicht zu hundert Prozent abwehren können. In modernen, dynamischen Rechenzentren wird deshalb die schnelle reaktive IT-Sicherheit immer bedeutender. Um Angriffe aufzuspüren und abzuwehren, müssen sicherheitsrelevante System-Logs zentral gesammelt, aufbewahrt, korreliert und ausgewertet werden. Nützlich dafür sind spezielle Monitoring Tools wie Security-Information-and-Event-Management-Lösungen (SIEM). Mit Incident-Handling-Prozessen können IT-Abteilungen angemessen auf Sicherheitsereignisse reagieren. Unerlässlich ist auch die genaue, forensische Analyse jedes Vorfalls, um den exakten Schaden an Daten und Systemen festzustellen. Denn erst, wenn genau feststeht, wie ein Datendiebstahl oder ein unbefugter Zugriff von statten ging, können die Sicherheitslücken entdeckt und geschlossen werden.

Alle genannten Maßnahmen sind wichtige Bausteine für eine umfassende Sicherheitsstrategie moderner cloudifizierter und virtualisierter Umgebungen. Kombiniert mit traditionellem Zugangsschutz, durch Firewalls für definierte Netzwerkbereiche, Intrusion Prevention, Virenschutz und Antispamfiltern, um nur einige Schutzmethoden zu nennen, liefern sie die sichere Basis für flexible und dynamische Infrastrukturen.


Welchen Schutz brauchen moderne Rechenzentren?

Informations- und benutzerzentrierte Sicherheit:

• Verschlüsselung
• starke Authentifizierung
• Identity- und Access-Management
• Priviledged User Management
• Data Loss Prevention
• Information Rights Management

Anpassung der IT-Sicherheitsinfrastruktur an die neue Dynamik:

• Verantwortlichkeiten neu definieren
• ein zentraler Sicherheitsmanager
• Continuous Control-Management: regelmäßige Kontrolle der Einhaltung der Sicherheits- und Compliance-Vorgaben
• kontinuierlich neue Risiken aufdecken

Neuer Stellenwert von Detektion und Reaktion:  

• Monitoring: Korrelation von Systemlogs
• Incident Handling
• forensische Analyse von Sicherheitsereignissen
• das Schließen von Sicherheitslücken

Quelle: Computacenter AG

Bildquelle: iStockphoto.com/Pashalgnatov