Abgeschottetes Gästenetz

IT-DIRECTOR: Herr Dr. Rosche, sehr häufig gelten Angriffe von außen sowie von den eigenen Mitarbeitern – sei es aufgrund von Fahrlässigkeit oder aus voller Absicht – als größtes Gefahrenpotential für die Unternehmens-IT. Viele Großfirmen und Konzerne arbeiten jedoch im Beratungs- und IT-Umfeld oftmals mit externen Dienstleistern zusammen – welches Risiko bergen deren Mitarbeiter für die Unternehmenssicherheit?
M. Rosche: Externe Dienstleister können ein nicht unerhebliches Gefahrenpotential darstellen, wenn diesbezüglich keine klaren Regelungen und Prozesse existieren. Dies fängt mit dem Non-Disclosure Agreement (NDA) an und endet mit einem abgeschotteten Gästenetz für den Internetzugang. Unternehmen sollten sich bewusst sein, welche Art von Dienstleister eingesetzt werden und welche Zugänge benötigt werden. Dies sollte nicht nur per Policy definiert, sondern auch überwacht und auditiert werden. Das Problem ist nicht der Einsatz externer Dienstleister, sondern das Unternehmen, das nicht darauf vorbereitet ist.

IT-DIRECTOR: Inwieweit sind bereits Fälle bekannt, bei denen sich der externe IT-Dienstleister als Sicherheitsrisiko für Unternehmen erwiesen haben? Können Sie uns ein konkretes Beispiel nennen?
M. Rosche: Datenverluste bei Amazon oder anderen Hosting und Cloud-Services gibt es immer wieder und das trotz SLA und Garantien. Am Ende gilt auch hier, man sollte immer davon ausgehen, dass ein Vorfall auch bei einem Dienstleister passiert und sich darauf vorbereiten die Auswirkungen zu begrenzen.

IT-DIRECTOR: Um effektiv arbeiten zu können, müssen externe Kollegen nahtlos in die Prozesse des Anwenderunternehmens eingebunden werden. Worauf sollten die Verantwortlichen beim entsprechenden Benutzer- bzw. beim Identity-Management achten?
M. Rosche: Auch hier gilt – so viel Zugriff wie nötig und nicht mehr. Man sollte Externe auch darauf hinweisen, dass Zugriffe überwacht und protokolliert werden. Gerade bei Remote-Zugriffen ist eine zeitliche Begrenzung bzw. Deaktivierung des Accounts sehr wichtig.

IT-DIRECTOR: Welche Rolle spielt das „Social Engineering“ bei Mitarbeitern von externen Dienstleistern?
M. Rosche: Gerade Mitarbeiter von Outsourcing- und Cloud-Anbietern sind optimale Angriffsvektoren, da sie in der Regel Zugriff auf mehr als ein Kundensystem haben. Entsprechende Mitarbeiter sollten ausreichend geschult und sensibilisiert sein.

IT-DIRECTOR: Um böse Überraschungen zu vermeiden: Welchen Sicherheitsanforderungen bzw. Zertifizierungen müssen IT-Dienstleister entsprechen, die sich um Projektausschreibungen bei Unternehmen sowie bei Behörden bewerben wollen?
M. Rosche: Standards wie ISO2700x gehören mittlerweile zur Grundausstattung eines IT-Dienstleisters. Im öffentlichen Bereich werden vermehrt Sicherheitsüberprüfungszeugnisse Ü1, Ü2 etc. erforderlich. Daneben gibt es in bestimmten Branchen dedizierte Sicherheitsanforderungen, die verbindlich sind und für eine Teilnahme an Ausschreibungen erforderlich sind.

IT-DIRECTOR: Gibt es neben dem Behördenumfeld weitere Branchen, die bestimmte Sicherheitsqualifizierungen seitens des externen Personals fordern?
M. Rosche: Neben einigen Nischen, wie Atomkraftwerke, wo sehr genau definierte Zertifizierungen notwendig sind, wird Branchen-Know-how mehr und mehr hinterfragt. Während Security früher ein generelles Thema war, spielt heute zunehmend die Kenntnis über Geschäftsabläufe, branchenspezifischen Schutzbedarf und Compliance eine Rolle. Dienstleister im Sicherheitsbereich strukturieren sich daher zunehmend branchenorientiert.

IT-DIRECTOR: Wie können IT-Verantwortliche auf Nummer sicher gehen, dass der Dienstleister mit personenbezogenen Daten des Anwenderunternehmens kein Schindluder treibt?
M. Rosche: Klare vertragliche Regelung mit entsprechenden Konsequenzen sind die Ausgangsbasis. Eine Erlaubnis zum Audit des Dienstleisters schärft üblicherweise die Sinne im Umgang mit den Daten und die tatsächliche Auditierung schafft Gewissheit. Ein anderes Mittel ist es, Datensätze von virtuellen Personen einzustreuen, die vom Anwenderunternehmen überwacht werden. Wenn man das dem Dienstleister dann noch mitteilt, hat man sicher das Maximum an Aufmerksamkeit geschaffen.

IT-DIRECTOR: Viele externe Fachkräfte arbeiten mitunter häufig mit Laptops bzw. anderen mobilen Endgeräten wie Tablets oder Smartphones innerhalb des Anwenderunternehmens – wie können Verantwortliche dafür sorgen, dass diese der eigenen IT nicht gefährlich werden?
M. Rosche: Eine klare Zugriffsbeschränkung z.B. über NAC (Network Access Control) ist der erste Schritt. Der Zugang zum internen Netz sollte nur nach Prüfung des Sicherheitslevels auf dem Endgerätes erfolgen. Unter Umständen reichen auch virtuelle Desktops oder der Zugriff auf ein Gäste-LAN für die entsprechenden Tätigkeiten. In jedem Fall sollte vor dem Einsatz genau geklärt werden, welche Berechtigungen und Zugriffe benötigt werden.