- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Erfüllung der hohen Compliance-Anforderungen


So lassen sich Compliance-Herausforderungen erfolgreich meistern
Durch eine regelmäßige Überprüfung der IT-Sicherheitsrichtlinien lassen sich vorhandene Lücken zwischen Geschäftsanforderungen, IT-Systemen und dem Anwenderverhalten aufspüren

Autor André Lutermann
Autor André Lutermann Verantwortlichkeiten bezüglich der IT-Compliance und IT-Sicherheit etablieren, Bild: Dell

Von André Lutermann, Technical Strategist bei Dell Software

(03.07.15) - Die Implementierung von IT-Compliance-Vorgaben kann sich als wahre Mammutaufgabe erweisen. Dell erläutert fünf Best Practices, mit denen die Umsetzung gelingt. Die Einhaltung gesetzlicher Bestimmungen, regulatorischer Vorschriften, Standards und nicht zuletzt interner Regeln ist heute für alle Unternehmen ein zentrales Thema – seien es Behörden, Organisationen im Gesundheitswesen, Automobil- oder Maschinenbauer, Finanzdienstleister oder Einzelhändler. Eine wichtige Rolle spielen dabei Maßnahmen wie die Förderung eines Sicherheitsbewusstseins unter den Mitarbeitern inklusive fortlaufender Schulungen, klarer Regeln für die Zugriffe auf Daten sowie eine regelmäßiger Überprüfung und Anpassung der Sicherheitsregeln. Der folgende Fünf-Stufen-Plan von Dell ebnet Unternehmen den Weg zur Erfüllung der hohen Compliance-Anforderungen.

• 1. Bewerten. Durch eine regelmäßige Überprüfung der IT-Sicherheitsrichtlinien lassen sich vorhandene Lücken zwischen Geschäftsanforderungen, IT-Systemen und dem Anwenderverhalten aufspüren. Die drei Bereiche müssen immer wieder von neuem optimal aufeinander abgestimmt werden. Wichtig ist aber auch eine Überprüfung, ob die IT-Sicherheitsrichtlinien auch tatsächlich die externen und internen Compliance-Anforderungen erfüllen beziehungsweise welche Diskrepanzen sich im Alltag zeigen. Ein weiteres Element der Bestandsaufnahme ist eine Auflistung der Zugriffsberechtigungen. Sie ist allein schon deshalb hilfreich, weil sie spätestens beim nächsten Audit benötigt wird.

• 2. Überwachen und Benachrichtigen. Unternehmen sollten für ihr Umfeld Sicherheitskennzahlen – beispielsweise die Zahl der Sicherheitsvorfälle, Hacker- oder Trojaner-Angriffe – definieren und fortlaufend messen. Dazu gehört auch, die Aktivitäten der Benutzer einschließlich der Privileged User aufzuzeichnen. Bei auffälligen Aktivitäten und Ereignissen muss sofort ein Alarm ausgelöst werden können, um rechtzeitig Gegenmaßnahmen einzuleiten. Darüber hinaus steht eine Überprüfung der Dokumentation solcher Vorkommnisse bei Audits regelmäßig auf der Checkliste. Auch Richtlinien zur Problembehandlung sind eine wesentliche Komponente von Audits.

• 3. Schwachpunkte beseitigen. Eine regelmäßige Überwachung und Benachrichtigung ist die Voraussetzung dafür, dass Schwachpunkte erkannt und beseitigt werden können. Erforderlich ist in diesem Zusammenhang aber auch, dass unerwünschte Änderungen der Konfigurationseinstellungen zeitnah erkannt und rückgängig gemacht werden. Geschieht dies nicht, entstehen Sicherheitslücken, die von Hackern sehr schnell aufgespürt und ausgenutzt werden könnten. Sollte es trotz aller IT-Sicherheitsvorkehrungen dennoch zu einem gravierenden Sicherheitsvorfall kommen, muss ein Unternehmen darauf vorbereitet sein. Dazu gehört auch ein Disaster-Recovery-Plan, der periodisch getestet und auf seine Wirksamkeit überprüft wird. Im schlimmsten Fall ist mit diesem Plan die baldige Wiederherstellung einer funktionierenden Arbeitsumgebung möglich.

Implementierung von IT-Compliance-Vorgaben

IT-Sicherheits- und Compliance-Maßnahmen
IT-Sicherheits- und Compliance-Maßnahmen Die Einhaltung gesetzlicher Bestimmungen, regulatorischer Vorschriften, Standards und nicht zuletzt interner Regeln ist heute für alle Unternehmen ein zentrales Thema, Bild: Dell


• 4. Verwalten.
Bei allen Verwaltungsaktivitäten vereinfachen automatisch arbeitende Tools die Arbeit der Administratoren deutlich. Solche Werkzeuge verwalten und kontrollieren beispielsweise die Passwortvergabe und widerrufen bei Bedarf automatisch die zuvor zugeteilten Benutzerrechte. Wichtig ist in diesem Falle auch der Nachweis, dass die Datenschutzbestimmungen eingehalten werden. Oft-mals ist es für Administratoren schwierig, aus vorhandenen Aufzeichnungen die von einem Auditor benötigten Informationen zu ermitteln. In vielen Fällen müssen dazu unzählige Eventlog-Dateien mit nativen Betriebssystem-Tools einzeln durchsucht werden – eine zeitaufwändige Tätigkeit, die ein automatisch arbeitendes Tool schneller und effizienter erledigen kann.

• 5. Governance sicherstellen. Unternehmen sollten einen hierarchisch strukturierten Plan auf Basis von Verantwortlichkeiten bezüglich der IT-Compliance und IT-Sicherheit etablieren (IT-Governance). Jede Ebene trägt dabei ihren Anteil zur Einhaltung der externen Vorschriften und Standards bei. Ein derartiger Plan umfasst Aspekte wie die grundlegenden Regeln bei der Zuweisung von Benutzerrechten und der damit verbundenen Pflichten, die Überwachung der Vorschriften, Standards und Prozesse, das gesamte Dokumentations- und Berichtswesen sowie das interne Auditing. Mit einem solchen Compliance-Plan kann sich ein Unternehmen auch effizient auf anstehende externe Audits vorbereiten.

Organisationen sind heute auf die Implementierung und kontinuierliche Überwachung unternehmensweit gültiger IT-Sicherheits- und Compliance-Maßnahmen angewiesen. Die skizzierten fünf Best Practices unter-stützen Unternehmen bei der Umsetzung externer sowie interner Vorgaben und führen letztlich zu einer höheren Effizienz und Sicherheit. (Dell Software: ra)

Lesen Sie auch den Schwerpunkt:
"IT-Sicherheit im Kontext von Compliance"

Dell: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Fachkräfte im Bereich Cybersicherheit

    Laut einer im Herbst letzten Jahres von der (ISC)² veröffentlichten Studie beläuft sich der Mangel an Fachkräften im Bereich Cybersicherheit derzeit auf nahezu 3 Millionen weltweit. Der Befund an sich ist nicht überraschend, allerdings klafft die Schere immer weiter auseinander. Unterbesetzte IT- und IT-Sicherheitsabteilungen auf der einen Seite, und eine sich in Art und Umfang rasant weiter entwickelnde Bedrohungslandschaft auf der anderen. Gut ausgebildete IT-Sicherheitsfach- und Führungskräfte sind Mangelware und selten lange auf Jobsuche. Die Lücke zwischen Angebot und Nachfrage ist beträchtlich. Die Folgen bekommen Unternehmen täglich zu spüren.

  • Security-GAU: Advanced Persistent Threats

    Moderne Hackerangriffe werden immer komplexer und überfordern damit herkömmliche Lösungen für Endpoint- und Netzwerksicherheit. Zwar ist Ransomware die Wahl für Cyberkriminelle die schnellen Bitcoins hinterherjagen, Sicherheitsverantwortliche fürchten heute jedoch viel mehr Advanced Persistent Threats (APTs). Denn diese bleiben im schlimmsten Fall jahrelang unentdeckt und ermöglichen Cyberkriminellen über lange Zeit hinweg umfangreiche Datenmengen zu stehlen und geben ihnen dauerhaft Zugriff auf sensible Dateien wie Produktionspläne, Entwicklungsberichte, Kommunikationsdaten oder Sitzungsprotokolle. Eine ständige Analyse des Datenverkehrs im Netzwerk kann jedoch auch solche Angriffe aufdecken.

  • Mit UEBA die Sicherheit der IT erhöhen

    Das Verhältnis von erfolgreichen und nicht erfolgreichen Cyberangriffen auf Unternehmen schätzen Experten auf 80 zu 20 ein. Und nein, die Zahlen sind keinesfalls verdreht: Experten gehen tatsächlich davon aus, dass viermal so viele Angriffe erfolgreich sind, wie abgewehrt werden. Zwar werden erfolgreiche Cyberbangriffe auf Organisationen jeder Art in den Schlagzeilen tagtäglich publik und man sollte meinen, diese seien die Ausnahme. Tatsächlich stellen diese Angriffe jedoch nur die sichtbare Spitze des Eisbergs dar. Dies gibt zu denken, geben Unternehmen doch jährlich Milliarden für den Schutz ihrer IT aus, deren Abwehrstrategien auf Prävention und reaktionäres Management von Bedrohung basieren. Und es muss die Frage gestellt werden, ob diese eingesetzten Sicherheitsprodukte denn überhaupt noch geeignet sind, vor heutigen Cyberattacken schützen zu können. Denn eines ist sicher: die derzeitigen Cyberbedrohungen entwickeln sich ständig weiter - und die IT-Security muss mit ihnen Schritt halten. Doch wie kann die IT-Security ihren Rückstand aufholen?

  • Die Strategie der Cyberkriminellen

    Social Engineering gilt heute als eine der größten Sicherheitsbedrohungen für Unternehmen. Im Gegensatz zu traditionellen Hacking-Angriffen können Social Engineering-Angriffe auch nicht-technischer Natur sein und müssen nicht zwingend eine Kompromittierung oder das Ausnutzen von Software- oder System-Schwachstellen beinhalten. Im Erfolgsfall ermöglichen viele Social-Engineering-Angriffe einen legitimen, autorisierten Zugriff auf vertrauliche Informationen. Die Social Engineering-Strategie von Cyberkriminellen fußt auf starker zwischenmenschlicher Interaktion und besteht meist darin, das Opfer dazu zu verleiten, Standard-Sicherheitspraktiken zu missachten. Und so hängt der Erfolg von Social-Engineering von der Fähigkeit des Angreifers ab, sein Opfer so weit zu manipulieren, dass es bestimmte Aktionen ausführt oder vertrauliche Informationen preisgibt. Da Social-Engineering-Angriffe immer zahlreicher und raffinierter werden, sollten Organisationen jeder Größe eine intensive Schulung ihrer Mitarbeiter als erste Verteidigungslinie für die Unternehmenssicherheit betrachten.

  • IAM eine der grundlegenden Sicherheitsmaßnahme

    Wenn man die Analogie zum Fußball bemühen will, dann hat der Erfolg einer IT-Sicherheitsabteilung maßgeblich mit einer guten Verteidigung zu tun. Es kommt darauf an, dass die Abwehr geschlossen steht und der Gegner am besten gar nicht erst zum Schuss oder auch nur in eine dafür geeignete Position gelangt. Die beste Voraussetzung für einen Sieg. Ein Bild, dass sich durchaus auf den Datenschutz und das Zusammenwirken unterschiedlicher Sicherheitsebenen übertragen lässt. Im Idealfall hält ein mehrschichtiger Sicherheitsansatz Cyberkriminelle davon ab "ein Tor zu machen" - sprich in ein Netzwerk vorzudringen, an Unternehmensdaten zu gelangen, diese zu entwenden und zu missbrauchen.