Wider das Rechte-Durcheinander

ITD: Herr Kenzle, Bankangestellte verkaufen CDs mit Daten über Steuersünder, Regierungsmitarbeiter geben vertrauliche Dokumente an die Internetplattform Wikileaks weiter und regelmäßig kursieren Kundendaten aller möglichen Unternehmen – vom Einzelhändler bis zur Telefongesellschaft – im Internet und auf dem Schwarzmarkt. Von welcher Seite droht die größte Gefahr für sensible Unternehmensdaten?
Dietmar Kenzle: Die größte Gefahr für sensible Unternehmensdaten kommt eindeutig von innen. Mitarbeiter mit bevorzugten Rechten, sogenannte „Privileged User“, haben direkten und meist auch uneingeschränkten Zugriff auf sensible Informationen.

ITD: Welche Maßnahmen muss ein Unternehmen ergreifen, damit einerseits nur befugte Personen auf sensible Datenbestände zugreifen können und sich andererseits nachweisen lässt, wer zu welchem Zeitpunkt Zugriff auf welche Daten hatte?
D. Kenzle: Wichtig ist zunächst, für ein geeignetes Rechtemanagement der Mitarbeiter zu sorgen. Ziel muss sein, die Rechtevergabe auf einem aktuellen Stand zu halten und nur die Rechte zu vergeben, welche die Mitarbeiter für das tägliche Arbeiten benötigen. In vielen Organisationen haben Mitarbeiterwechsel und interne Re-Organisationen zu einem sehr schwer durchschaubaren Rechte-Durcheinander geführt. Ziel muss an dieser Stelle auch sein, Anwender mit überdurchschnittlich vielen Rechten, also „Power-User“, oder nicht mehr genutzte Rechte bzw. Anwender, sogenannte „Dormant User“, aus dem System zu löschen.

Parallel dazu muss eine Monitoring-Lösung für die Zugriffe auf strukturierte (Datenbanken) und unstrukturierte (Files) Daten eingeführt werden. Auf diese Weise werden die Aktivitäten der einzelnen Anwender protokolliert. Aussagekräftige Reports geben Auskunft über den Datenzugriff und protokollieren das entsprechende Nutzerverhalten. Im Bedarfsfall, etwa beim Datendiebstahl, können die Audit-Reports für die Beweislage verwendet werden.

Für den Schutz sehr sensibler Daten ist der Einsatz einer aktiven Security-Komponente, etwa eine File Firewall oder eine Datenbank-Firewall, stark zu empfehlen. Damit wird der Zugriff auf sensible Daten für den Anwender unterbunden.

ITD: Welche Compliance-Anforderungen haben Unternehmen dabei zu beachten?
D. Kenzle: Den Zugriff auf sensible Daten per Monitoring zu überwachen, ist ein wesentlicher Bestandteil unterschiedlicher Compliance-Mandate. So achten vor allem SOX und PCI DSS 1.2/2.0 auf diesen Bereich. PCI schreibt in Kapitel 10/11.5 das Auditieren der Zugriffe auf Kreditkarten-Daten vor. Das Thema Rechtemanagement wird in den Kapiteln 7/8.5 geregelt.

ITD: Welche Herausforderungen stellen sich Unternehmen bei der Zusammenarbeit/Collaboration und wie sind diese zu bewältigen?
D. Kenzle: Durch eine unternehmensweite und eventuell sogar globale Zusammenarbeit steigt das Risiko von Datenmissbrauch. Auch hier ist eine wohlüberlegte Vergabe der Rechte für den Zugriff auf Informationen eine wichtige Grundlage. Trotz aller Security-Anstrengungen bleibt immer ein bestimmtes Restrisiko. Tritt der Fall von Datenverlust ein, müssen Unternehmen dazu in der Lage sein, eine entsprechende Analyse in Form eines Audit-Logs über den Zugriff auf bestimmte Daten aufzuzeigen.

ITD: Stichwort Konsolidierung: Einige größere Anbieter im Sicherheitsmarkt stellen sich durch Firmenakquisitionen so breit auf, dass sie Produkte und Lösungen für jeden Unternehmensbereich aus einer Hand anbieten können. Das geht etwa von der Netzwerksicherheit über E-Mail- und Web-Sicherheit bis zur sicheren Einbindung mobiler Endgeräte. Welche Vorteile bringt es dem Anwender, alle Sicherheitsleistungen aus einer Hand zu empfangen?
Kenzle: Ein wesentlicher Vorteil liegt sicherlich in Fragen der Lizenzpolitik und bei möglichen Problemen mit den jeweiligen Produkten.

ITD: Welche Nachteile hat er dadurch?
Kenzle: In vielen Fällen wird nach der Akquisition seitens der Hersteller die Integration in zentrale Managementkomponenten versprochen. In vielen Fällen ist dies auch sehr sinnvoll, da die Korrelation unterschiedlicher Bereiche zu Synergien führt. Die Praxis zeigt jedoch viele andere Beispiele, in denen die Integration und Korrelation nur mit sehr großem Zusatzaufwand funktioniert. Zusätzlich versetzen sich die Unternehmen unnötig in die Situation der Herstellerabhängigkeit und sind damit der Unternehmens- und Lizenzpolitik ausgeliefert.