3 Fragen an...

Zu den Klassikern der IT-Schlampereien zählen veraltete Systeme und fehlende Updates, die Sicherheitslücken hätten schließen können. Problematisch sind auch die Smartphones, zumal dann, wenn sie nicht einmal über einfachsten Virenschutz verfügen. Dazu kommen Anwendungen auf einfach zu knackenden Webservern. Und allzu oft fehlt ein umfassendes Sicherheitskonzept, das mit der gebotenen Regelmäßigkeit auf den aktuellen Stand gebracht wird.

Andererseits geraten die IT-Chefs zunehmend unter Handlungsdruck. Der spiegelt sich z.B. im Wachstum des Weltmarktes für Sicherheitssoftware, der 2010 laut Gartner Group um 12 Prozent auf 16,5 Mrd. Dollar zulegte. Doch während andere IT-Märkte durch einen Trend zur Konsolidierung geprägt sind, sind es hier vor allem Start-ups und innovative Spezialisten, die beim Schutz gegen neuartige Bedrohungen punkten und Kunden hinzugewinnen.
Verbuchten die Top 5 der IT-Sicherheitshersteller – Symantec, McAfee, Trend Micro, IBM und EMC/RSA – im Jahr 2006 noch 60 Prozent des Marktvolumens für sich, waren es 2010 laut Gartner trotz zahlreicher Akquisitionen nur noch 44 Prozent. Das heißt im Umkehrschluss aber auch: Es reicht für den IT-Chef nicht, sich wie in anderen Bereichen an den Marktführern zu orientieren, um sicherheitstechnisch up to date zu sein.

IT-MITTELSTAND hat deshalb bei zwei Experten nachgefragt, worauf es heute ankommt – wobei klar ist, dass neben den technischen Maßnahmen auch die adäquate Organisation und ein ausgeprägtes Sicherheitsbewusstsein der Mitarbeiter treten müssen.

ITM: Die neue Generation von Cloud-Anwendungen stellt die Unternehmen vor Herausforderungen in puncto IT-Sicherheit. Mit welchen Maßnahmen kann der IT-Chef die neuen Sicherheitsrisiken im Griff behalten?
Daniel Wolf: Gerade bei Cloud-Anwendungen herrscht noch immer der Trugschluss der größeren Unsicherheit von Unternehmensdaten vor. Meist wird allerdings vergessen, die Sicherheit der Datenvorhaltung im Unternehmen ebenso kritisch auf den Prüfstand zu stellen.
Bei der Auswahl jeglicher IT-Strategie sollten in einem ersten Schritt Risiken evaluiert und bewertet werden. Bei Cloud-Angeboten eigenen sich dazu die Service Level Agreeements (SLAs), die mit dem Service-Paket gekauft werden. In diesen Vertragsbestandteilen werden die physischen und organisatorischen Rahmenbedingungen dargelegt. Generell gilt abzuwägen, welche Daten Cloud-Providern anvertraut werden wollen.

Udo Schneider: Hier empfehlen sich zwei sich ergänzende Maßnahmen: angepasste Wahrnehmung sowie Kontrollmechanismen. Insbesondere bei Angeboten wie Infrastructure as a Service (IaaS) sollte man immer von einer Grundhaltung ausgehen, nämlich jener, dass die eigenen Ressourcen in „feindlichem Territorium“ laufen. Mit dieser Wahrnehmung als Grundlage sollten die entsprechenden technischen Mechanismen umgesetzt werden. Dazu gehören unter anderem ein inhärenter Sicherheitsansatz zum Schutz der wichtigen Instanzen sowie Verschlüsselung zum Schutz der Daten.

Funktionen wie Firewall sowie Intrusion-Detection und Intrusion-Prevention (IDS bzw. IPS) übernimmt die Instanz für sich selbst – sie verlässt sich nicht mehr auf ihre Umgebung, und der Schutz zieht gewissermaßen mit um. Außerdem werden sämtliche Daten auf persistenten Medien verschlüsselt abgelegt. Erst innerhalb der Instanz werden die Daten transparent ver- und entschlüsselt. Gekoppelt mit einem zur Cloud disjunkten Schlüsselmanagement, das die Identität und Integrität der Instanzen sicherstellt, kann man so die Kontrolle über die Daten behalten.

ITM: Nicht nur Anwendungen selbst lassen sich als Cloud-Services implementieren, sondern auch Aufgaben im IT-Sicherheitsmanagement. Wann macht „Security as a Service“ heute schon für mittelständische Unternehmen Sinn?
Wolf: Gerade im Bereich SecaaS gibt es auch Lösungen, die sich seit schon zehn Jahren auf dem Markt bewährt haben und ein sehr hohes Maß an Sicherheit gewährleisten. Hier lässt sich der Mittelstand also nicht mehr auf ein Experiment ein – und Sicherheitsbedenken sind einfach zu entkräften.

Für den Unternehmer gilt es grundsätzlich eine Make- oder Buy-Entscheidung zu fällen. Dabei ist es leichter, Daten und Anwendungen aus der Hand zu geben, die weiter von den Kernprozessen der unternehmerischen Wertschöpfung entfernt liegen. Gerade in Bereichen, in denen die eigene Expertise oder auch die Ressourcen fehlen, sind Cloud-Lösungen eine interessante Option. Falls also eigene Infrastruktur für die heutigen Sicherheitsanforderungen im Web- und E-Mail-Verkehr nicht vorhanden sind oder das Know-How fehlt, erhält der Mittelstand über den Cloud-Anbieter ein kostengünstiges Sicherheitsniveau zur Verfügung gestellt, das sich sonst nur große Unternehmen leisten können.

Schneider: Vor allem in kleinen und mittelständischen Unternehmen ist die IT-Administration meistens ein „Nebenjob“. IT-Sicherheit ist dabei einer der Punkte, die häufig aufgrund der allgemeinen Arbeitslast zu kurz kommen. Security-as-a-Service kann hier sowohl den Administrationsaufwand senken als auch die Sicherheit erhöhen.
Wenn „auf der anderen“ Seite Experten sitzen, die sich täglich mit entsprechenden Gefahren beschäftigen, ist das Sicherheitsniveau in der Regel deutlich höher bzw. die Reaktionszeit deutlich kürzer. Für Unternehmen ohne dedizierte Verantwortlichkeit für IT-Sicherheit sind SaaS-Angebote also sowohl aus Sicherheits- als auch wirtschaftlicher Sicht mehr als sinnvoll.

ITM: Was sind die Hauptvorteile von Cloud-Lösungen für die IT-Sicherheit im Vergleich zu klassischen Appliances – und wann ist von „Security as a Service" noch abzuraten?
Schneider: Selbst klassische On-premise-Angebote, unabhängig vom Formfaktor, sind heute Hybrid-Lösungen. Das heißt: auch diese greifen auf die Cloud zurück, um beispielsweise Updates in Echtzeit zu erhalten bzw. Anfragen in Echtzeit zu beantworten. Diese Funktion ist in der heutigen Zeit auf jeden Fall zu empfehlen. Bei der Nutzung von SaaS-Angeboten, zum Beispiel Hosted E-Mail oder Antiviren-Management, ist in den wenigsten Fällen der Leistungsumfang ein Ausschlusskriterium. Wenn überhaupt, spielen Integrationsanforderungen oder ein „schlechtes Bauchgefühl“ beim Auslagern der Dienste eine Rolle. Die Integration, beispielsweise in lokale Verzeichnisdienste, ist heute in vielen Fällen jedoch problemlos möglich.

Ein gutes Bauchgefühl muss mit Vertrauen in das Angebot geschaffen und mit entsprechenden Dienstgütevereinbarungen (SLAs) untermauert werden. Grundsätzlich ist bei sensitiven Daten – insbesondere bei geheimschutzbetreuten Unternehmen – der Standort des Rechenzentrums (außerhalb der EU?) und/oder der Sitz des Betreibers ein mögliches Ausschlusskriterium.

Wolf: Durch eine Cloud-Lösung für Web- und E-Mail-Sicherheit entfällt der arbeitszeitaufwändige Systembetrieb im Unternehmen. Die IT-Abteilung muss sich nicht mehr um die Verwaltung und Wartung von eigener Hardware oder Software für den Schutz der IT kümmern.

Die zentrale Vorhaltung der Sicherheitsintelligenz in der Cloud ermöglicht ein Schutzniveau, das jederzeit auf dem aktuellsten Stand ist. Hierdurch entfallen gefährliche Sicherheitslücken wegen mangelnder Updates auf Anwenderseite. Auch die mobilen Anwender sind durch die Infrastruktur aus der Wolke abgesichert – unabhängig vom Standort und eingesetzten Gerät. Damit wird eine Cloud-Lösung der modernen Arbeitswelt mit Notebook und Smartphone bestens gerecht.

Nicht zuletzt überzeugen die Kostenvorteile: Durch eine Cloud-Lösung entfallen Investitionskosten und die Betriebskosten lassen sich bis um die Hälfte reduzieren. Planungssicherheit der Kosten ist das Ergebnis. Lediglich in dem Fall, in dem Unternehmensdaten zu keiner Zeit die eigene Infrastruktur verlassen sollten, erfüllt eine Hardware-basierte Lösung die Anforderungen eher, auch wenn hier Private Clouds bereits eine Option darstellen.