So sichert ein IT-Dienstleister mobile Anwendungen

Private Smartphones mit Unternehmensdaten sind bei CIOs und Leuten aus der IT-Security nicht unbedingt beliebt. Wie ist das bei einem großen IT-Dienstleister wie Unisys?

Auch wir sind bei Dingen wie “Bring Your Own Device” sehr vorsichtig - meiner Meinung nach zu recht. Da viele Leute mit Smartphones etwas lässiger umgehen, ist die Sicherheit der Daten unserer Kunden natürlich ein besonderes Problem. Unisys nutzt sowohl hochsichere BlackBerrys und Geräte anderer Anbieter, die in Firmenbesitz sind, als auch die privaten Smartphones der Mitarbeiter.

Wie sieht die BYOD-Strategie von Unisys aus?

Private Smartphones sind bei uns schon länger erlaubt, aber nur sehr eingeschränkt. Grundsätzlich wird nur die Auslieferung von E-Mails auf das Smartphone erlaubt. Auf einzelnen, geeigneten Gerätemodellen werden auch Randanwendungen wie zum Beispiel Spesenabrechnung, Flugbuchung oder Zeiterfassung ermöglicht. Kernanwendungen mit wichtigen Kundendaten sind aber tabu für Mobilgeräte.

Das klingt nach relativ großen Einschränkungen. Wie sieht der Umgang mit Mobilgeräten konkret aus?

Wir erlauben im Regelfall zwar nur E-Mail, schränken den Zugang auf die Mailkonten und die darin enthaltenen Mails mitsamt Anhängen aber nicht weiter ein. In diesem Fall vertrauen wir auf das Verantwortungsbewusstsein unserer Mitarbeiter. Immerhin handelt es sich um erfahrene IT-Profis mit hoher “Security Awareness”. Und natürlich sind entsprechende Sicherheitsmechanismen wie Passwortschutz und ähnliches installiert.

Aber echtes BYOD mit Business-Apps ist das nicht. Nutzen Sie so etwas gar nicht?

Meiner Meinung nach muss man von einem zu umfangreichen BYOD-Modell für Smartphones im Moment noch abraten. Ein Beispiel: Die mobilen Betriebssysteme haben noch viele unbekannte Sicherheitslücken. Die Sicherheit kann nur innerhalb einer App garantiert werden, nicht für das Zusammenspiel zwischen App und Betriebssystem.

Wer eine Risikoabschätzung unternimmt, merkt recht schnell, dass mobile Apps in einigen Randbereichen sicher sinnvoll sind, aber Anwendungen, die mit Finanzen oder Kundendaten zu tun haben, gehören noch nicht auf Mobilgeräte.

Sowohl die von Unisys zur Verfügung gestellten Endgeräte als auch jene im Privatbesitz der Mitarbeiter arbeiten direkt mit einem Mail Server innerhalb von Unisys. Die Mails gehen also nicht zuerst an einen externen Mailanbieter. Eine wichtige Funktion ist Remote Wiping im Falle eines Verlustes des Smartphones.

Und was ist mit Notebooks und dem Homeoffice?

Diese Möglichkeit bieten wir an, da Notebooks leichter abzusichern sind als Smartphones oder Tablets. Es ist bei uns sogar möglich, private Notebooks oder Desktop-PC einzusetzen. Auch hier kann ein Zugang zur beruflichen E-Mail geöffnet werden, auch über ein privates WLAN.

Allerdings gibt es einige Voraussetzungen. So muss ein speziell von uns vorkonfiguriertes Client-System eingesetzt werden, das wir als Image auf den Rechner kopieren. Es hat unter anderem einen bestimmten von uns genehmigten Virenscanner und ist nach umfangreichen Sicherheitskriterien optimiert.

Gibt es dabei nicht trotzdem das Risiko, dass Schadsoftware in das Unternehmens-LAN geschleust wird?

Theoretisch ja, aber wir stellen zur Vermeidung solcher Probleme eine weitere Bedingung für den Einsatz von privater IT für geschäftliche Zwecke: Das heimische LAN oder WLAN sowie alle darin angemeldeten Geräte, die direkt oder indirekt Zugriff auf den „Unisys-Rechner“ haben, müssen jederzeit von der Sicherheitssoftware im Image und von unseren Security-Experten via Remote-Zugriff gescannt werden können.

Was ist der Vorteil dieser Vorgehensweise?

Dadurch vermeiden wir zum Beispiel offene Sicherheitslücken in Windows-Systemen oder die Installation von Trojanern, die einen Rechner zu einem “Zombie” in einem Botnet machen. Die privaten Daten unserer Mitarbeiter und ihrer Familien werden dabei übrigens nicht angetastet, die sind nicht sicherheitsrelevant. Aber natürlich gibt es auch Mitarbeiter, die sich angesichts unserer Regeln gegen den Einsatz von Privatgeräten entscheiden.

Bildquelle: Unisys