Sicherheitskultur gefragt

Ransomware zählt nach wie vor zu den großen Cyberbedrohungen, mit denen Unternehmen konfrontiert sind. Cyberkriminelle wenden mittlerweile oft doppelte Erpressung an: Sie beschränken sich längst nicht mehr nur darauf, Daten durch Verschlüsselung zu blockieren, sondern drohen auch damit, sie zu veröffentlichen, wenn das Opfer kein Lösegeld zahlt.

Damit erhöht sich der Schaden für Unternehmen um ein Vielfaches. In jüngster Zeit haben Ransomware-Attacken eine neue Dimension erreicht. Cyberkriminelle nutzen jetzt auch bisher unbekannte Schwachstellen aus und kompromittieren Software von großen Anbietern, um ihre Malware bei deren Kunden und Partnern einzuschleusen. Was können Unternehmen tun, um sich und ihre Kunden zu schützen? Sie müssen ihre Software und Services von Grund auf sicher gestalten, sodass Schwachstellen schon während der Entwicklung erkannt und geschlossen werden.

Oft scheitert das jedoch an kulturellen Gräben zwischen den beteiligten Teams. Traditionell gibt es in ­Unternehmen ein Zwei-Boxen-Modell: eine organisatorische Trennung zwischen Entwicklern und Security-Mitarbeitern. Beide Teams haben unterschiedliche Interessen. Entwickler sind darauf fokussiert, möglichst schnell Codes zu schreiben. Security-Mitarbeiter wollen dagegen alles gründlich prüfen und Regularien einhalten. Hier sind Konflikte also vorprogrammiert.

Aus dem Zwei-Boxen-Modell hat sich durch die Einführung von DevOps ein Drei-Boxen-Modell entwickelt. Das DevOps-Team übernimmt die operativen Aufgaben in der Software-Entwicklung und kümmert sich zum Teil auch um die Sicherheit. Es hat jedoch andere Prioritäten als das Security-Team – und denkt eher aus Entwicklerperspektive. Daher bevorzugt es schlanke, schnelle Tools.

Mit dem zunehmenden Einsatz von komplexen Multi-Cloud-Infrastrukturen ist in vielen Unternehmen noch eine vierte Box hinzugekommen: das Cloud­Ops-Team. Es kümmert sich um den Cloud-Betrieb und die Optimierung der Cloud-Umgebung. Auch das CloudOps-Team übernimmt Sicherheitsaufgaben, fokussiert sich dabei aber eher auf Cloud-spezifische Risiken wie die Vermeidung von Fehlkonfigurationen. Aus dem Zwei-­Boxen-Modell ist jetzt also ein Vier-­Boxen-Modell geworden: vier separate Teams, die in Silos arbeiten und unterschiedliche Interessen ver­folgen. Oft haben sie wenig Verständnis für die Sichtweise der anderen. Die Entwickler möchten sich am liebsten gar nicht um Security kümmern, dem DevOps-Team sind die traditionellen Security-Tools nicht agil genug, dem Security-Team sind die DevOps-Prozesse zu schnell und das CloudOps-Team interessiert sich nur für die Absicherung der Cloud-Umgebung.

Dies ist ein Artikel aus unserer Print-Ausgabe 11/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Moderne Security-Tools sollten die Automatisierung von Sicherheitsfunktionen ermöglichen und sich in die DevOps-Pipeline einbinden lassen, sodass sie Innovationen nicht ausbremsen. Solche Tools helfen, die Kommunikation zu fördern und Gräben zu überwinden. Nur wenn Security genauso agil wird wie DevOps und CloudOps und alle Teams von Beginn an auch an die Ab­sicherung denken, können Unternehmen sich und ihre Kunden auch vor fortgeschrittenen perfiden Cyberangriffen schützen.

Bildquelle: Trend Micro