Schlüssel zum Königreich

IT-DIRECTOR: Sehr häufig gelten Angriffe von außen sowie von den eigenen Mitarbeitern – sei es aufgrund von Fahrlässigkeit oder aus voller Absicht – als größtes Gefahrenpotential für die Unternehmens-IT. Viele Großfirmen und Konzerne arbeiten jedoch insbesondere im Beratungs- und IT-Umfeld oftmals mit externen Dienstleistern zusammen – welches Risiko bergen deren Mitarbeiter für die Unternehmenssicherheit?
M. Waldherr: Das Risiko ist durchaus real. Es geht generell um den unkontrollierten Zugriff auf sensitive Unternehmensdaten. Die übliche Vergabe von sogenannten „Keys to the Kingdom“ bietet keine aufgabenbezogene Einschränkung von Rechten. Ein weiteres Problem besteht darin, dass oft auch nach der getanen Arbeit die Berechtigungen nicht entzogen werden und somit ein potentieller Angriffspunkt entsteht.

IT-DIRECTOR: Inwiefern nehmen IT-Verantwortliche die von den Mitarbeitern externer Dienstleister ausgehende Bedrohung bereits ernst?
M. Waldherr: Das wird immer stärker thematisiert, entweder durch interne Vorgaben oder auch externe Richtlinien. Es ist einer der am stärksten wachsenden Bereiche des Identity-Access-Management-Marktes.

IT-DIRECTOR: Um effektiv arbeiten zu können, müssen externe Kollegen nahtlos in die Prozesse des Anwenderunternehmens eingebunden werden. Worauf sollten die Verantwortlichen beim entsprechenden Benutzer- bzw. beim Identity-Management achten?
M. Waldherr: Besonders wichtig ist ein durchgängiger Prozess für alle Benutzer – unabhängig ob intern oder extern. Ferner sollten Unternehmen auf eine anforderungsabhängige und zeitlich begrenzte Vergabe von Systemzugriffen und Rechten achten.

IT-DIRECTOR: Welche Rolle spielt das „Social Engineering“ bei Mitarbeitern von externen Dienstleistern?
M. Waldherr: Auch dieses Risiko kann man durch mehr Systemsicherheit mit automatisierten und vor allem nachvollziehbaren Prozess minimieren. Zusätzlich hilft auch Aufklärung in den Firmen darüber, wie eine unbewusste Informationsweitergabe vermieden werden kann.

IT-DIRECTOR: Um böse Überraschungen zu vermeiden: Welchen Sicherheitsanforderungen bzw. Zertifizierungen müssen IT-Dienstleister entsprechen, die sich um Projektausschreibungen bei Unternehmen sowie bei Behörden bewerben wollen?
M. Waldherr: In der Regel wird eine Verpflichtung aller mit der Datenverarbeitung befassten Mitarbeiter auf den Datenschutz sowie nicht selten eine Zertifizierung nach ISO 27001 und BSI-IT-Grundschutz gefordert. Hinzu kommt die Einhaltung und Auskunftspflicht für einige Wirtschaftsprüfungsvorgänge. Es gibt darüber hinaus auch Besonderheiten, die sich an den Sicherheitsanforderungen des Kunden orientieren.

IT-DIRECTOR: Gibt es neben dem Behördenumfeld weitere Branchen, die bestimmte Sicherheitsqualifizierungen seitens des externen Personals fordern?
M. Waldherr: Einige Branchen wie Banken und Versicherungen haben von Natur aus höhere Sicherheitsstandards. Allerdings sind Sicherheitsqualifizierungen auch in andere Branchen üblich, so zum Beispiel im Automobilsektor, wo der Zugriff auf Designinformationen streng reglementiert ist.

IT-DIRECTOR: Wie können IT-Verantwortliche auf Nummer sicher gehen, dass der Dienstleister mit personenbezogenen Daten des Anwenderunternehmens kein Schindluder treibt?
M. Waldherr: Der beste Ansatz ist Prävention. Das Unternehmen sollte vorab sicherstellen, dass der Dienstleister erst gar nicht in den Besitz von sensitiven personenbezogenen Daten kommt.

IT-DIRECTOR: Viele externe Fachkräfte arbeiten mitunter häufig mit Laptops bzw. anderen mobilen Endgeräten wie Tablets oder Smartphones innerhalb des Anwenderunternehmens – wie können Verantwortliche dafür sorgen, dass diese der eigenen IT nicht gefährlich werden?
M. Waldherr: Das gelingt, indem die Rechte nicht nur personenbezogen vergeben werden. Stattdessen müssen die Rechte basierend auf dem Gerät, von dem aus auf die Informationen zugegriffen wird, vergeben werden. Dadurch erhält zum Beispiel ein Consultant, der einen durch die Firma gemanagten Desktop-PC verwendet, volle Zugriffsrechte, doch ein Consultant, der mit eigenem Gerät von außerhalb des Firmennetzes zugreift, nur eingeschränkte Berechtigungen.