- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Erfüllung der hohen Compliance-Anforderungen


So lassen sich Compliance-Herausforderungen erfolgreich meistern
Durch eine regelmäßige Überprüfung der IT-Sicherheitsrichtlinien lassen sich vorhandene Lücken zwischen Geschäftsanforderungen, IT-Systemen und dem Anwenderverhalten aufspüren

Autor André Lutermann
Autor André Lutermann Verantwortlichkeiten bezüglich der IT-Compliance und IT-Sicherheit etablieren, Bild: Dell

Von André Lutermann, Technical Strategist bei Dell Software

(03.07.15) - Die Implementierung von IT-Compliance-Vorgaben kann sich als wahre Mammutaufgabe erweisen. Dell erläutert fünf Best Practices, mit denen die Umsetzung gelingt. Die Einhaltung gesetzlicher Bestimmungen, regulatorischer Vorschriften, Standards und nicht zuletzt interner Regeln ist heute für alle Unternehmen ein zentrales Thema – seien es Behörden, Organisationen im Gesundheitswesen, Automobil- oder Maschinenbauer, Finanzdienstleister oder Einzelhändler. Eine wichtige Rolle spielen dabei Maßnahmen wie die Förderung eines Sicherheitsbewusstseins unter den Mitarbeitern inklusive fortlaufender Schulungen, klarer Regeln für die Zugriffe auf Daten sowie eine regelmäßiger Überprüfung und Anpassung der Sicherheitsregeln. Der folgende Fünf-Stufen-Plan von Dell ebnet Unternehmen den Weg zur Erfüllung der hohen Compliance-Anforderungen.

• 1. Bewerten. Durch eine regelmäßige Überprüfung der IT-Sicherheitsrichtlinien lassen sich vorhandene Lücken zwischen Geschäftsanforderungen, IT-Systemen und dem Anwenderverhalten aufspüren. Die drei Bereiche müssen immer wieder von neuem optimal aufeinander abgestimmt werden. Wichtig ist aber auch eine Überprüfung, ob die IT-Sicherheitsrichtlinien auch tatsächlich die externen und internen Compliance-Anforderungen erfüllen beziehungsweise welche Diskrepanzen sich im Alltag zeigen. Ein weiteres Element der Bestandsaufnahme ist eine Auflistung der Zugriffsberechtigungen. Sie ist allein schon deshalb hilfreich, weil sie spätestens beim nächsten Audit benötigt wird.

• 2. Überwachen und Benachrichtigen. Unternehmen sollten für ihr Umfeld Sicherheitskennzahlen – beispielsweise die Zahl der Sicherheitsvorfälle, Hacker- oder Trojaner-Angriffe – definieren und fortlaufend messen. Dazu gehört auch, die Aktivitäten der Benutzer einschließlich der Privileged User aufzuzeichnen. Bei auffälligen Aktivitäten und Ereignissen muss sofort ein Alarm ausgelöst werden können, um rechtzeitig Gegenmaßnahmen einzuleiten. Darüber hinaus steht eine Überprüfung der Dokumentation solcher Vorkommnisse bei Audits regelmäßig auf der Checkliste. Auch Richtlinien zur Problembehandlung sind eine wesentliche Komponente von Audits.

• 3. Schwachpunkte beseitigen. Eine regelmäßige Überwachung und Benachrichtigung ist die Voraussetzung dafür, dass Schwachpunkte erkannt und beseitigt werden können. Erforderlich ist in diesem Zusammenhang aber auch, dass unerwünschte Änderungen der Konfigurationseinstellungen zeitnah erkannt und rückgängig gemacht werden. Geschieht dies nicht, entstehen Sicherheitslücken, die von Hackern sehr schnell aufgespürt und ausgenutzt werden könnten. Sollte es trotz aller IT-Sicherheitsvorkehrungen dennoch zu einem gravierenden Sicherheitsvorfall kommen, muss ein Unternehmen darauf vorbereitet sein. Dazu gehört auch ein Disaster-Recovery-Plan, der periodisch getestet und auf seine Wirksamkeit überprüft wird. Im schlimmsten Fall ist mit diesem Plan die baldige Wiederherstellung einer funktionierenden Arbeitsumgebung möglich.

Implementierung von IT-Compliance-Vorgaben

IT-Sicherheits- und Compliance-Maßnahmen
IT-Sicherheits- und Compliance-Maßnahmen Die Einhaltung gesetzlicher Bestimmungen, regulatorischer Vorschriften, Standards und nicht zuletzt interner Regeln ist heute für alle Unternehmen ein zentrales Thema, Bild: Dell


• 4. Verwalten.
Bei allen Verwaltungsaktivitäten vereinfachen automatisch arbeitende Tools die Arbeit der Administratoren deutlich. Solche Werkzeuge verwalten und kontrollieren beispielsweise die Passwortvergabe und widerrufen bei Bedarf automatisch die zuvor zugeteilten Benutzerrechte. Wichtig ist in diesem Falle auch der Nachweis, dass die Datenschutzbestimmungen eingehalten werden. Oft-mals ist es für Administratoren schwierig, aus vorhandenen Aufzeichnungen die von einem Auditor benötigten Informationen zu ermitteln. In vielen Fällen müssen dazu unzählige Eventlog-Dateien mit nativen Betriebssystem-Tools einzeln durchsucht werden – eine zeitaufwändige Tätigkeit, die ein automatisch arbeitendes Tool schneller und effizienter erledigen kann.

• 5. Governance sicherstellen. Unternehmen sollten einen hierarchisch strukturierten Plan auf Basis von Verantwortlichkeiten bezüglich der IT-Compliance und IT-Sicherheit etablieren (IT-Governance). Jede Ebene trägt dabei ihren Anteil zur Einhaltung der externen Vorschriften und Standards bei. Ein derartiger Plan umfasst Aspekte wie die grundlegenden Regeln bei der Zuweisung von Benutzerrechten und der damit verbundenen Pflichten, die Überwachung der Vorschriften, Standards und Prozesse, das gesamte Dokumentations- und Berichtswesen sowie das interne Auditing. Mit einem solchen Compliance-Plan kann sich ein Unternehmen auch effizient auf anstehende externe Audits vorbereiten.

Organisationen sind heute auf die Implementierung und kontinuierliche Überwachung unternehmensweit gültiger IT-Sicherheits- und Compliance-Maßnahmen angewiesen. Die skizzierten fünf Best Practices unter-stützen Unternehmen bei der Umsetzung externer sowie interner Vorgaben und führen letztlich zu einer höheren Effizienz und Sicherheit. (Dell Software: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

Dell: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • IoT-Geräte kompromittieren

    Sei es der Kühlschrank, der meldet, wenn die Milch alle ist, oder der Thermostat, der Nutzungsstatistiken aufs Smartphone sendet - verschiedenste Produkte, die traditionell nicht über eine Netzwerkverbindung verfügten, werden mittlerweile damit ausgestattet. Abgesehen von Computer, Telefon, Tablet oder Router gilt grundsätzlich jedes Endanwender-Gerät, das sich mit einem Netzwerk verbinden kann, als IoT-Device. Zu den größten Problemen dieser Entwicklung zählen jedoch immer noch die vielen Sicherheitslücken der Geräte. Zwar bemühen sich Hersteller mittlerweile um Verbesserungen, zugleich zeigen sich neue Bedrohungen wie die Kompromittierung von Anmeldeinformationen durch Schwachstellen in Web- und Mobil-Applikationen bestimmter IoT-Devices.

  • Maschinelles Lernen in der IT-Security

    Artificial Intelligence, zu Deutsch Künstliche Intelligenz (KI), hat sich zum Hypebegriff entwickelt und es scheint fast so, als wären alle IT-Lösungen über Nacht intelligent geworden. KI wird als Antriebsfeder der digitalen Transformation betrachtet, doch steckt sie in ihren Anwendungsbereichen noch in den Kinderschuhen. Im Prinzip geht es darum, menschliche Entscheidungsstrukturen mit Hilfe eines Computers nachzubauen, ihn sozusagen "intelligent" werden zu lassen. Häufig wird die Begrifflichkeit verwendet und dabei absichtlich mit dem Maschinellen Lernen synonym verwendet. Doch Maschinelles Lernen ist eher ein Teilgebiet der KI. Maschinelles Lernen ist im Prinzip auf Algorithmen basierende Software, die darauf spezialisiert ist, sehr große Datenmengen anhand vordefinierter Parameter zu bearbeiten.

  • Geschichte und Zukunft der Ransomware

    Aktuelle Ransomware-Angriffe wie das erneute Aufflammen der GandCrab-Welle oder die Attacke auf den deutschen Maschinenbauer Krauss Maffei, durch den zahlreiche Rechner lahmgelegt und die Produktion wochenlang gedrosselt wurde, zeigen, dass das Geschäftsmodell der Datengeiselnahme für Cyberkriminelle leider nichts an Attraktivität eingebüßt hat. Lösegelderpressung durch Ransomware hat von ihren frühesten Anfängen vor 30 Jahren bis heute eine berüchtigte Karriere hingelegt. Durch die enorme Professionalisierung der Vertriebswege, beispielsweise durch Ransomware-as-a-Service (RaaS), wurden Krypto-Trojaner-Attacken auch für technisch wenig versierte Kriminelle zu einer der lohnenswertesten und erfolgreichsten Angriffsarten.

  • Unterschätzte Bedrohung "Datendiebstahl"

    Datendiebstahl zählt zu den größten Bedrohungen in der Cyberwelt. So wurden im Jahr 2017 rund 2,6 Milliarden Daten gestohlen. Das entspricht einer Zunahme von 88 Prozent im Vergleich zum Vorjahr (1). Trotzdem wird diese Gefahr häufig noch immer unterschätzt. Denn gerade durch das Aufkommen des Internet of Things (IoT) sowie des Industrial Internet of Things (IIoT) können die Folgen solcher ungewollten Datenabflüsse weitaus größere Ausmaße haben als "nur" den reinen Verlust von wichtigen Daten. Dabei haben es die Hacker auf den ersten Blick auf vermeintlich uninteressante Unternehmens- und Mitarbeiterdaten abgesehen.

  • Wer muss die Sicherheitsstrategie mittragen?

    Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?