Mehr Sicherheit durch IT-Compliance

Die aktuelle „Cost of Cyber Crime“-Studie des Ponemon Institute nennt zwei Haupteinfallstore für schadensreiche Angriffe: zum einen die externen gewaltsamen Einbrüche, sei es mittels Schadprogrammen (Malware) oder z.B. mittels Serverüberlastung (Denial of Service) – zum anderen aber die Taten krimineller Insider. Diese nutzen ihre Kenntnis über die Struktur der Datenverarbeitung im Unternehmen, über eingesetzte Schutzmechanismen und Zugangswege. Obwohl man externen wie internen Einfallstoren gleichermaßen Rechnung tragen muss, fokussieren unserer Erfahrung nach die meisten Unternehmen, gerade auch Banken und Finanzdienstleister, zu stark das Draußen, sie vermuten das Problem nur außerhalb. Für diesen Bereich lässt sich im Wesentlichen auf rein technologischer Ebene Vorsorge treffen, über Zugangshürden wie Firewalls und indem man aktuelle Sicherheitspatches für Betriebssysteme und Antivirenprogramme einsetzt. Hier spielt sich meist ein technologischer Wettlauf zwischen potenziellen Eindringlingen und den Unternehmen ab.

Mindestens ebenso gravierend ist aber der Einfallsweg über kriminelle Insider. Diese haben in der Regel eine klare Vorstellung davon, was sie suchen und wo es zu finden ist. Neben reinen Sabotage-Akten wie dem Löschen relevanter Daten steht hier der Datendiebstahl an oberster Stelle. Dabei handelt es sich meist um wichtige Kundendaten – Stichwort: Steuer-CDs – oder um geistiges Eigentum, etwa in Form von Produktionsplänen bei Industrieunternehmen. Diese Cyberkriminalität von innen verursacht gerade im Finanzsektor üblicherweise einen realen Schaden, der deutlich über die Beseitigung der Einbruchsspuren hinausgeht. Für Unternehmen der Finanzwirtschaft ist Datendiebstahl zum echten Problem geworden. Leider nehmen zu viele von ihnen diese Form der Insiderkriminalität als gegeben hin und fühlen sich außerstande, ihre IT-Umgebung grundlegend zu schützen. Tatsächlich ist dieser Schutz aber nötig – und möglich.

Eine neue Disziplin der risikoorientierten IT-Steuerung ist angetreten, auch die Insiderkriminalität zu bekämpfen: die sogenannte IT-Compliance. Diese Disziplin des IT-Managements setzt sich mit Verfahren auseinander, die gegen Schäden von außen und innen vorbeugen. Dazu gehören die folgenden fünf Teildisziplinen:

•    IT-Gefährdungsanalyse und Schutzklasseneinordnung von Systemen und Daten: zur strukturierten Betrachtung von Schwachstellen der IT-Architektur
•    IT-Berechtigungsmanagement: zur Beschränkung von Zugangsrechten auf Anwendungen und Datenbanken, für Mitarbeiter und auch für Administratoren
•    IT-Providermanagement: zur Steuerung und Beschränkung der Datenverarbeitung durch Serviceprovider (etwa mit anonymisierten Daten statt echter Produktionsdaten)
•    IT-Security-Management: zur permanenten Berücksichtigung von auftretenden externen Gefährdungslagen und für Sicherheitstests
•    IT-Desaster Recovery Management: zur effektiven Wiederherstellung von IT-Systemen nach Störfällen

Ein Steuerungskreislauf verbindet diese Teildisziplinen der IT-Compliance mit den laufenden IT-Prozessen. So ist zum einen in der Systemlandschaft für eine initiale Grundbeordnung und generelle Risikoreduktion gesorgt, zum anderen findet eine laufende Risikoanalyse statt, deren Erkenntnisse direkt wieder in den Schutz der Infrastruktur einfließen können. Es steht fest: Sicherheit ist zu einem großen Teil realisierbar – wenn man sich klarmacht, dass die Bedrohung oft von Insidern mit sehr spezifischem Wissen kommt. Mit einer umfassenden IT-Compliance lässt sich aktiv dagegen steuern.

www.severn.de