Falsch gelebte IT-Security
Aufbau einer nachhaltigen Security-Strategie im Unternehmen
Fehler: "Quick-Wins": Manche Unternehmen versuchen, mit möglichst geringem Aufwand zügig einen Großteil der Probleme zu beseitigen - Leider funktioniert die Taktik im Bereich der Security nur selten
Autor Carsten Fritze
Aussagen wie "Was kann ein Hacker in unserem Unternehmen schon an interessanten Informationen finden?" hört man leider allzu oft, Bild: MTI Technology
Von Carsten Fritze, Account Manager Security MTI Technology
(04.03.15) - IT-Security geht jeden etwas an von den Anwendern über IT-Administratoren bis hin zur Unternehmensleitung. Jedoch existieren unterschiedliche Vorstellungen, wie die IT-Sicherheit etabliert und sichergestellt werden soll. Diverse Ansätze in Verbindung mit sehr unterschiedlichem Wissen über sicherheitsrelevante Themen und Technologien sind nur schwer in einer einheitlichen Security zu vereinen. Oftmals wird falsch oder gar nicht reagiert anstatt sich der Security-Probleme einzeln und detailliert anzunehmen, um diese innerhalb einer Gesamtstrategie zielgerichtet zu lösen.
Ein typisches Beispiel aus der Praxis
Ein Unternehmen lässt von einem Dienstleister einen Penetrationstest durchführen. Regelmäßige Penetrationstest sind eine sinnvolle Methode, um die Leistungsfähigkeit und Sicherheit der IT-Infrastruktur im Unternehmen zu beurteilen. Im Anschluss an den Test können nötige Schritte zielgerichtet geplant und umgesetzt werden, um die IT wieder leistungsfähig und sicher zu gestalten. Im folgenden Beispiel sollen die externen IP-Adressen der Firmen-Server geprüft und ein Bericht über deren Schwachstellen erstellt werden. Wie in solchen Fällen nicht unüblich, deckt der Bericht tatsächlich einige erhebliche Mängel auf. Leider werden bei der Behebung der Schwachstellen entscheidende Fehler gemacht.
Auf die vorliegenden Ergebnisse des Penetrationstests reagiert der IT-Leiter des Unternehmens prompt. Er ruft seinen Hoster an, bei dem die Server stehen, und verlangt bei dessen Service-Level-Manager eine umgehende Beseitigung der Schwachstellen. Der Service-Level-Manager des Hosters erhält den Bericht und macht sich auch gleich ans Werk. Er prüft den Bericht, stellt fest, dass das Problem durch einen relativ einfachen Eingriff in die Konfiguration der Firewalls behoben werden kann und wendet sich an sein Team. Gewissenhaft wie er ist, veranlasst der Hosting-Dienstleiter, dass sein Linux-Experte die gefundenen Apache-Schwachstellen und der Mailserver-Experte alle SMTP-Probleme behebt.
Nach kurzem Brainstorming fallen den Experten auch einige Schwachstellen auf Webservern auf, die gar nicht mehr genutzt werden. Nach Rücksprache mit dem IT-Leiter werden die Ports dieser Server gesperrt, sodass ein externer Aufruf nicht mehr möglich ist. Auf weitere Schritte wird verzichtet, da durch die Blockierung der Ports alle anderen Schwachstellen ebenfalls nicht mehr ausgenutzt werden können. Die Beteiligten wähnen sich auf der sicheren Seite. Nur der Systemverantwortliche ist bei all diesen Schritten nicht einbezogen worden.
Alles umgesetzt dauert es keine zwei Stunden, bis sich der erste Anwender meldet, der seinen Webserver nicht mehr erreichen kann. Kurze Zeit später monieren weitere Anwender und verlangen sofortige Nachbesserung. Eine sofort durchgeführte Recherche zeigt, dass alle Anwender versuchen, auf Server zuzugreifen, deren Ports zur Beseitigung der Schwachstellen geschlossen wurden. Also öffnen die IT-Verantwortlichen die Ports und die Anwender können wieder arbeiten. Auch wenn anfangs versucht wurde, sich auf die nötigsten Ports zu beschränken, müssen nach und nach alle wieder geöffnet werden.
Am Abend entspricht der Zustand genau der Ausgangssituation und sicher ist nur, dass der Kunde für die nutzlos erbrachte Dienstleistung tief in die Tasche greifen muss.
Lektionen aus diesem typischen Beispiel
Hier ist nicht nur eine Sache, sondern gleich eine ganze Reihe von Dingen schief gegangen: Eines der wesentlichen Probleme war sicherlich, die Systemverantwortlichen des Unternehmens nicht mit einzubeziehen. Der Hoster kümmert sich klassischer Weise um die Bereitstellung der Serverplattformen, der Internetanbindung und unterstützt bei kleineren Anpassungen der vorhandenen Hardware-Infrastruktur. Die Designer und Administratoren der Umgebung, die sich um die Verfügbarkeit der Software kümmern, wurden aber bei Behebung der Schwachstellen nicht eingebunden, obwohl sie sich mit den internen Abläufen und Zusammenhängen der IT bestens auskennen. Nur sie können beurteilen, ob etwas am System zugunsten der Sicherheit geändert werden kann.
Typisch in der heutigen Zeit ist ein weiterer Fehler. Die Beteiligten bauen auf "Quick-Wins" und versuchen, mit möglichst geringem Aufwand zügig einen Großteil der Probleme zu beseitigen. Leider funktioniert die Taktik im Bereich der Security nur selten. Die entsprechenden Infrastrukturen gestalten sich zunehmend komplexer und erfordern Fach- und Produktkenntnisse sowie umfangreiches Wissen über Abläufe und Prozesse in Unternehmen. Entscheidungen ohne Berücksichtigung aller Komponenten und Prozesse führen aber oftmals zur Verschlechterung der Sicherheit im Unternehmen.
Die Lage heute
IT-Sicherheit ist eine Angelegenheit, die viele unterschiedliche Stellen und Kompetenzen im Unternehmen betrifft. Um diese zu koordinieren, gewinnt die zentrale Sicherheitsstelle deutlich an Bedeutung. Doch diese Stabstellen können sich nur sehr große Unternehmen und Konzerne leisten. Hilfe für den Mittelstand und kleinere Unternehmen bieten hier spezialisierte IT-Unternehmen, die sich genauestens mit den aktuellen Themen und Bedrohungslagen der IT-Security auskennen und aufgrund ihrer Erfahrungen bei unterschiedlichen Kunden, schnell und zielorientiert reagieren können.
Leider herrscht in vielen Branchen noch Zurückhaltung gegenüber externen Security-Beratern. Zum einen liegt das an einer generell traditionellen Einstellung und zum anderen will man sich möglichst wenig in die Karten schauen lassen. Deutschland nimmt weltweit eine führende Rolle in der Rangliste der Schäden durch Cyber-Attacken ein. Allein im Jahr 2013 betrug der Verlust durch Cyber-Attacken rund 1,6 Prozent des Bruttoinlandsproduktes, was circa 43 Milliarden Euro entspricht. (Quelle: CSIOS Studie, Juni 2014 "Die Globalen Kosten von Cybercrime")
Wo liegen die Assets?
Assets, das neue Wort für Unternehmenswerte, sind in jedem Unternehmen zu finden. Aussagen wie "Was kann ein Hacker in unserem Unternehmen schon an interessanten Informationen finden?" hört man leider allzu oft. Dabei ist es doch logisch, dass jedes auch nur einigermaßen erfolgreiche Unternehmen etwas Besonderes hat, auf dem es sein Geschäft aufbaut, entwickelt und betreibt. Dabei geht es nicht nur um Zahlen wie Umsatz oder Produktionswerte. Auch Inhalte von Datenbanken wie Kundennamen oder Konstruktionsdaten sind beliebtes Ziel von Cyber-Kriminellen, ganz gleich wie groß das Unternehmen ist. Um das Potenzial der Schäden wirtschaftlich und im Hinblick auf die Reputation bei einem Cyber-Angriff überhaupt bewerten zu können, müssen zuvor die geschäftskritischen Assets des Unternehmens klar definiert sein. Speziell an dieser Stelle eignen sich vertrauenswürdige externe Dienstleister. Denn der Blick von Außen auf das Unternehmen findet oftmals wichtige Werte, die Mitarbeiter oder die Geschäftsleitung eines Unternehmens aus ihrer Sicht nicht mehr wahrnehmen und daher nicht in die Waagschale werfen. Erst wenn alle schützenswerten Assets niedergeschrieben sind, lassen sich Verknüpfungen zur IT-Security herstellen und entsprechende Maßnahmen ableiten.
Security-Analyse im Unternehmen: Penetrationstest
Sind die Security-Verantwortlichkeiten und die Unternehmenswerte definiert, geht es darum, den Gesundheitszustand der IT im Unternehmen unter die Lupe zu nehmen. Um eine gute Einschätzung zu ermöglichen, ist es sinnvoll, alle IT-Bereiche des Unternehmens zu untersuchen, also nicht nur das Rechenzentrum, sondern auch den Anwender samt seiner Arbeitsgewohnheiten. Dazu gehören nicht nur die klassische Datenverarbeitung und deren Austausch, sondern auch moderne Arbeitsweisen wie beispielsweise mit sozialen Netzen.
Ein geeignetes Mittel für diesen Gesundheits-Check bieten Penetrationstests. Hierbei prüft der auf Security spezialisierte Dienstleister alle Bereiche der IT, darunter auch solche, an die interne Mitarbeiter im Unternehmen vielleicht nicht denken würden. Der wesentliche Vorteil des Dienstleisters ist seine Erfahrung, die er in vielen unterschiedlichen Situationen in anderen Unternehmen gesammelt hat. Daher kann er auf Lücken hinweisen, die im Unternehmen unter Umständen nicht bekannt sind. Die Ergebnisse von Penetrationstests werden in einem Bericht zusammengefasst, auf dessen Grundlage sich die nächsten Schritte zur Behebung der Schwachstellen hervorragend entwickeln lassen. Dabei werden alle Ergebnisse einer gründlichen Risikoanalyse unterzogen. Zu Beginn wird für jede Schwachstelle festgelegt, welche Auswirkungen diese auf das Unternehmen haben kann und wie hoch das Risiko ist. Anschließend wird beschlossen, ob die Schwachstelle jetzt, zu einem späteren Zeitpunkt oder möglicherweise überhaupt nicht behoben wird. Häufig gibt es ganz triviale Gründe, weshalb eine Schwachstelle nicht behoben werden kann. So verwenden beispielsweise sehr viele CNC-Fräsen heute noch Steuerungsprogramme, die unter Windows NT laufen. Häufig lassen sich diese nicht aktualisieren, da die CNC-Steuerung genau für eine bestimmte Windows-Version mit festgelegtem Patch-Stand geschrieben wurde. In solchen Fällen kann man die Infrastruktur nur soweit härten, dass die Maschine nicht mehr direkt angreifbar ist, beispielsweise mithilfe eines White-Listing.
Soll die Schwachstelle behoben werden, wird definiert, wie der Administrator und seine Systemkollegen die Sicherheitslücke schließen können und wann dies erfolgt. Ein weiterer Penetrationstest sollte den erfolgreichen Eingriff verifizieren. Viele Dienstleister bieten diese Dienste mittlerweile als Bundle an, bei denen jährlich, quartalsweise oder monatlich auf Schwachstellen geprüft wird. Das ermöglicht ein durchgängig hohes Sicherheitsniveau und ist mittlerweile auch von vielen Wirtschaftsprüfern anerkannt.
Das richtige Maß an Sicherheit
In punkto Sicherheit sollte ein besonderes Augenmerk auf der Usability liegen. IT-Abteilungen und auch einige Berater neigen dazu, sehr komplexe Security-Lösungen und Strategien zu implementieren, die in vielen Fällen komplett an den Anforderungen der Anwender und des Unternehmens vorbei gehen. Beispielsweise ist eine Passwortrichtlinie ein sehr effektives Mittel, um die Unternehmenssicherheit nachhaltig zu verbessern. Werden jedoch zu komplexe Kennwörter gefordert, mit mindestens 20 Zeichen, Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, darf man sich nicht wundern, wenn überall im Unternehmen Merkzettel mit Kennwörtern zu finden sind. Findet der Anwender eine Möglichkeit, seine Aufgaben einfacher und schneller zu erledigen, wird er in den meisten Fällen auch Sicherheitsregeln außer Acht lassen. Ein häufiges Problem: Sicherheit ist vor der Erledigung der Kernaufgaben bestenfalls zweitrangig.
Das richtige Maß an Sicherheit ist also das A und O, um Unternehmen nachhaltig vor Angriffen zu schützen. Eine Risikobetrachtung der gefundenen Schwachstellen zusammen mit den Unternehmensverantwortlichen ist unabdingbar. Immerhin sind sie auch diejenigen, die das Risiko tragen. Sie müssen gemeinsam mit den IT-Verantwortlichen eine grundlegende Strategie verabschieden, wie die digitale Sicherheit umgesetzt wird und wie der IT-Security-Dienstleister mit seinen Erfahrungen zu einer sinnvollen Strategie und Umsetzung beitragen kann.
Fazit
IT-Security betrifft, von der Geschäftsleitung bis hin zum Sachbearbeiter, alle Mitarbeiter im Unternehmen. Eine Standard-Security existiert nicht. Die Bedürfnisse eines Unternehmens müssen individuell an dessen Anforderungen und an die Gegebenheiten angepasst sein. Um jedoch eine durchgängige und konsolidierte Sicherheit zu gewährleisten, ist entweder eine zentrale Security-Stelle im Unternehmen zu schaffen oder man bedient sich eines externen Spezialisten, der aufgrund seiner Erfahrung und seines Fachwissens alle Bereiche analysieren kann und daraus in Zusammenarbeit mit dem Unternehmen die richtigen Strategien ableitet. Die Strategie muss mit der Geschäftsleitung abgestimmt sein, denn schlussendlich ist diese für jeden Schaden durch Cyberkriminalität verantwortlich (persönlich haftbar) und muss Fälle auch entsprechend dem Bundesdatenschutzgesetz öffentlich bekannt geben. Die grundlegende Strategie muss daher mit den Unternehmensverantwortlichen abgestimmt, umgesetzt und überprüft werden. Als Hilfe bietet sich beispielsweise der PDCA-Zirkel an. Er beschreibt genau wie eine nachhaltige Security-Strategie im Unternehmen aufgebaut werden kann.
Der PDCA-Zyklus besteht aus vier Elementen:
>> Plan: Definition der Information-Security-Management (ISM)-Richtlinien, Ziele, Prozesse und Verfahren zur Verwaltung des Risikomanagements und der Sicherheitsoptimierung, um die Resultate in Einklang mit den übergeordneten Richtlinien des Unternehmens zu bringen.
>> Do: Implementierung und Umsetzung der ISM-Richtlinien, Steuerelemente, Prozesse und Verfahren.
>> Check: Bewertung und gegebenenfalls Messung der Prozessleistung auf Basis der Vorgaben durch die ISM-Richtlinien und der Ziele. Vorlage der Ergebnisse beim Management zur Prüfung.
>> Act: Einleitung von Korrektur- und Vorbeugungsmaßnahmen, basierend auf den Ergebnissen des internen ISMAudits und der Prüfung durch das Management sowie Einarbeitung anderer relevanter Informationen, um eine kontinuierliche Verbesserung des ISM zu erreichen.
(MTI Technology: ra)
MTI: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
