„Anwender müssen gezwungen werden, ihr Passwort zu ändern.“

ITD: Von welcher Seite droht die größte Gefahr für sensible Unternehmensdaten?
Bill Roth: Statistiken wie etwa Verizons Data Brech Report zeigen, dass Mitarbeiter und diejenigen mit den Zugangsmöglichkeiten von Mitarbeitern wie Freunde, Familie und Exmitarbeiter, die größte Einzelbedrohung für Unternehmensdaten darstellen. Jedoch verdeutlichen Sicherheitsvorfälle wie etwa der im Januar bekanntgewordene Fall von „Lush Cosmetics“, bei dem Hacker Kreditkarteninformationen von Kunden abschöpfen konnten, dass viele Unternehmen schlichtweg die einfachsten Sicherheitsstandards nicht erfüllen. Unabhängig von den Risiken durch Insider liegt darin weiteres Gefahrenpotential.

ITD: Welche Maßnahmen muss ein Unternehmen ergreifen, damit einerseits nur befugte Personen auf sensible Datenbestände zugreifen können und sich andererseits nachweisen lässt, wer wann Zugriff auf welche Daten hatte?
Bill Roth: Data Loss Prevention (DLP) setzt prinzipiell darauf, Datenzugriffe im Hinblick auf Verfasser, Befugnisse und Verantwortlichkeiten zu reglementieren. Dieses Prinzip greift in weiten Teilen nicht. Zum einen ist es fast unmöglich umzusetzen, zum liegen die Schlüssel, Passwörter und Möglichkeiten, diese zu umgehen, bei den IT-Abteilungen. Das führt unabhängig von der Sicherheit eines Systems häufig zu Problemen,

Wenn man sich die internationalen Standards wie etwa PCI DSS 2.0, ISO 27001 oder COBIT genauer ansieht, wird hier statt einer Trennung von Pflichten und der Aufteilung von Daten empfohlen, Richtlinien und Prozesse einzuhalten, die aktiv Passwörter, Zugangskontrollen und Benutzeraktivitäten beobachten und prüfen. Aus unserer Sicht schafft diese aktive Haltung eine Kultur, die bei Mitarbeitern das Sicherheitsbewusstsein wach hält und es unnötig macht, Mitarbeiter von den Informationen fernzuhalten, die sie für hohe Leistungsfähigkeit benötigen. Loglogic nennt diesen Ansatz IT Data Management – die Fähigkeit, alle Audit-Daten vorzuhalten, zu verstehen und zu nutzen, die nachweisen, was Mitarbeiter tun oder nicht.

ITD: Welche Compliance-Anforderungen haben Unternehmen dabei zu beachten?
Bill Roth: Fast jeder erstellt heute ein Audit-Archiv. Es gibt kostenlose Open-Source-Anwendungen, die diese Aufgaben mit sehr geringem Einfluss auf die Unternehmenssysteme umsetzen. Allerdings liegt die größte Herausforderung in der eigentlichen Bereitstellung dieser Daten, um in Echtzeit auf Verletzungen von Richtlinien reagieren zu können. Um die Erfassung und Nutzung von IT-Daten für Compliance, Sicherheit oder reibungsloseren IT-Betrieb zu verbessern, müssten viele Unternehmen zunächst ihre Mitarbeiter und Prozesse identifizieren sowie visualisieren.

Das zweite Hindernis auf dem Weg zum Erfolg ist der eigene Anspruch, Compliance-konform zu werden. Wenn der Hauptfokus eines Sicherheitsteams im Unternehmen darauf liegt, die europäische Datenschutzrichtlinie einzuhalten, wird es scheitern. Aus unserer Sicht sollten Unternehmen das höhere Ziel einer anpassungsfähigen, kontinuierlichen und umfassenden Sicherheit anvisieren. Nur mit diesem hohen Anspruch besteht die Hoffnung, die zumeist niedrigeren Standards der Behörden und Industrieverbände zu erfüllen: Compliance ist ein Teil auf dem Weg zu mehr Sicherheit, nicht aber das Ziel selbst.

ITD: Welche Herausforderungen stellen sich Unternehmen bei der
Zusammenarbeit / Collaboration und wie sind diese zu bewältigen?
Bill Roth: Viele Unternehmen arbeiten reibungslos zusammen ohne von Horror-Meldungen betroffen zu sein, mit denen sich derzeit etwa die Automobilindustrie auseinandersetzt. Der Schlüssel zu erfolgreichen Partnerschaften ist das alte Prinzip „Vertrauen ist gut, Kontrolle ist besser“. Auch hier gilt wieder, eine umfassende, aktive Kontrolle und Prüfung ist der einzige Weg, um vollständigen Zugang zu Daten gewährleisten zu können und sicher zu sein, dass solche Privilegien nicht missbraucht werden.

ITD: Lösungen für das Identitäts- und Zugriffsmanagement, die mit digitalen Identitäten arbeiten, kennen unterschiedliche Authentisierungsmerkmale. Welche Authentisierungsmethoden bieten die größte Sicherheit?
Bill Roth: Alle Sicherheitssysteme können geknackt werden. Sowohl biometrische Verfahren, von Hollywood als das sicherste System erachtet, als auch jede andere Einzellösung werden scheitern, sofern sich Unternehmen auf veraltete Passwort-Systeme verlassen. Dies hat sich kürzlich etwa an der News-, Popkultur- und Klatsch-Website „Gawker“ gezeigt, bei der Hacker rund 1,3 Mio. Anwenderdaten stehlen konnten. Das am meisten verbreitete Passwort lautet dort „123456“.

Sicherheit kann nur dann garantiert werden, wenn die Einhaltung von Richtlinien aktiv trainiert und durchgesetzt wird. Anwender müssen gezwungen werden, ihr Passwort zu ändern; es muss dokumentiert werden, wer zu ungewöhnlichen Zeiten das Gebäude betritt oder verlässt. Es gibt Systeme, die dabei unterstützen. Mithilfe von Korrelationstechnologien lassen sich Audit-Log-Daten dafür einsetzen, scheinbar  nicht zusammenhängende  Vorfälle zu erfassen und daraus das größere Bild zu erkennen, das dahinter steckt. Die Audit-Log-Daten ermöglichen zudem, unzureichende Passwortprotokolle zu identifizieren und Standards durchzusetzen.

ITD: Warum sind in bestimmten Fällen vielleicht weniger sicherheitsstarke
Methoden empfehlenswert?
Bill Roth: Es gibt sicher Bereiche, die höhere Sicherheit erfordern als andere. Die Sicherheitsanalysten von „Securosis“ geben etwa an, dass sie ein Vier-Stufen-Modell für die Evaluation dazu erstellt haben, wann und worauf sie ihre Sicherheitsaktivitäten konzentrieren sollten. Natürlich war dies Teil ihres SIEM-Evaluierungsprozesses (Security Information and Event Management). Wobei SIEM heute als zentraler Begriff für die Kontrolle und Reaktion auf IT-Daten steht.

ITD: Für welche Anwendungsbereiche empfiehlt sich die Authentisierung mit einer Public Key Infrastructure (PKI)?
Bill Roth: Wie schon gesagt ist die PKI-Technologie aus unserer Sicht unzureichend. Jede Technologie die dazu führt, dass Anwender die Brisanz der Sicherheit vergessen, birgt Risiken. Wir verfolgen den Ansatz, dass Wachsamkeit nach dem Motto „Vertrauen ist gut, Kontrolle ist besser“ eine wirkungsvollere, einfacher nachweisbare Sicherheitsumgebung schafft als jede Einzeltechnologie.

ITD: Stichwort Konsolidierung: Einige größere Anbieter im Sicherheitsmarkt stellen sich durch Firmenakquisitionen so breit auf, dass sie Produkte und Lösungen für jeden Unternehmensbereich aus einer Hand anbieten können. Das geht etwa von der Netzwerksicherheit über E-Mail- und Web-Sicherheit bis zur sicheren Einbindung mobiler Endgeräte. Welche Vorteile bringt es dem Anwender, alle Sicherheitsleistungen aus
einer Hand zu empfangen?
Bill Roth: Alles aus einer Hand zu erhalten, ist immer attraktiv. Aus diesem Grund ist Amerika auch mit riesigen Shopping Malls und Megastores überzogen. Die Lösungen werden umso besser, wenn sie auch tatsächlich integriert sind und nicht nur auf derselben Seite eines Katalogs stehen. Dann setzen sie häufig auf gängige Infrastruktur auf, können gemeinsam installiert und, das ist besonders wichtig, von Fehlern befreit werden. Dazu kommt, dass es nur eine Telefonnummer anzurufen gibt, wenn alles schief läuft oder Rabatte und Rückerstattungen verhandelt werden sollen.

ITD: Welche Nachteile haben Anwender dadurch im Gegenzug zu befürchten?
Bill Roth: Mega-Kaufhäuser sind natürlich häufig auf den kleinsten gemeinsamen Nenner ausgerichtet. Bessere Produkte sind stets in Boutiquen zu finden, sofern man den Einkaufsaufwand dafür investiert und die zusätzliche Woche in Kauf nimmt, um die Roll-Out-Prozeduren zu koordinieren. Im Hinblick auf die Frage, welches das beste Sicherheitssystem ist, führt aus meiner Sicht ein Produktmix von mehreren Anbietern, die den eigentlich notwendigen Schutz verfielfachen, zur mit Abstand besten Lösung.