Datensicherheit in 15 Schritten

Weit mehr als Null und Eins: Daten bilden heute einen Unternehmenswert. Um ihren Schutz zu gewährleisten, müssen Unternehmen den Umgang mit ihren digitalen Informationen neu justieren. Das verändert auch die Rolle des S&R-Chefs (Security and Risk).

Die Analysten von Forrester Research raten in ihrem Papier "Top 15 trends S&R pros should watch" zunächst zu folgenden vier Maßnahmen:

Daten gehören in den Mittelpunkt: Weil Unternehmen ihre Daten immer besser vor Hackern und organisierten Banden schützen müssen, rücken die Daten selbst in den Mittelpunkt. Es geht also nicht mehr um den Blick auf das Netzwerk oder auf die Geräte oder auf die Nutzer. Unternehmen brauchen eine Daten-zentrierte Kultur.

Analytics als Sicherheitsinstrument: Viel wird über die Möglichkeiten gesprochen, mit Analytics das Kundenverhalten vorherzusagen oder neue Geschäftsfelder zu entdecken. Forrester betont, dass Analytics auch helfen sollen, Risiken vorherzusehen und Sicherheitsschwachstellen aufzudecken.

10 skurrile Datenpannen von 2012
Jahresrückblick von Datenretter Kroll Ontrack: Der Sicherheitsanbieter dokumentiert außergewöhnliche Vorfälle, die Daten 2012 ernsthaft zusetzten.

Platz 10 – Daten im Schleudergang:
Ein Korb voll schmutziger Wäsche, eine Hauskatze und eine externe Festplatte waren die Zutaten für diesen Datenverlust, von dem aus Frankreich berichtet wird. Ein Frau transportierte ihre externe Festplatte im Wäschekorb, die Hauskatze setzte sich drauf. Als der Lebensgefährte die Katze wegscheuchte und die Wäsche schnell in die Maschine warf, war es schon zu spät. „Die Daten machten sich im Schleudergang davon“, kommentiert Kroll Ontrack.

Platz 9 – Alkoholische Ernüchterung:
Ein polnischer Grafikdesigner beendete gerade den Auftrag für ein 3D-Logo. Leider kippte er in seiner Vorfreude seinen Drink um. Der Computer bekam zu viel vom Getränk ab und der Designer war schnell ernüchtert: Die Projektdaten waren erst einmal verschwunden.

Platz 8 – Hilfe in der Wüste:
Mitarbeiter eines Minenkonzerns in der Wüste Gobi löschten versehentlich eine VMware-Maschine und mehrere Snapshots. Die IT-Abteilung kontaktierte Kroll Ontrack und so konnte schnell eine Remote-Verbindung per Satellit aufgebaut werden, über die die Datenrettung in Angriff genommen wurde und auch gelang.

Platz 7 – Einbruch mit Salzsäure:
Nach dem Einbruch in ein Spa in Australien wollten einige besonders gründliche Einbrecher ihre Spuren unkenntlich machen. Sie verteilten deshalb einen Vorrat an Salzsäure auf dem Tresen und Fußboden und beschädigten dabei auch den Computer und das Kassenterminal. Dennoch konnte die Daten auf der Festplatte im Labor gerettet werden – auch wenn das Ding ungesund roch.

Platz 6 – Einsatz auf Ölplattform:
Wasserschäden sind eine der häufigsten Ursachen für Datenverluste bei Mobilgeräten. „Wenn allerdings ein iPad mit wichtigen Bohrungsdaten in Nigeria von einer Ölplattform ins Wasser fällt, ist das auch für Kroll Ontrack nicht alltäglich“, berichtet der Anbieter stolz. Trotz des eingedrungenen Salzwassers habe man alle Daten problemlos wiederherstellen können.

Platz 5 – iPad unter Rädern:
Beim Warten auf den nächsten Stadtbus setzte ein Geschäftsmann seinen Rucksack auf dem Boden ab. Der Bus fuhr beim Rangieren darüber. Im Rucksack: Das iPad des Geschäftsmanns mit zahlreichen Daten. Der physische Schaden war erheblich, die Daten konnten gerettet werden.

Platz 4 – Rache beim Burger-Schmaus:
In einem Fast-Food-Restaurant schmiedete ein entlassener Mitarbeiter seinen Racheplan – und handelte sogleich. Über das kostenlose Wi-Fi-Netzwerk des Restaurants loggte er sich mit seinem noch nicht gesperrten Zugang im Unternehmensnetzwerk ein und löschte alle Daten, derer er habhaft werden konnte. Mehrere Terabyte an Daten konnten dennoch gerettet werden. Der Schuldige wurde überführt, als die Polizei Kassenbons und Zahlungsinformationen mit den Netzwerkinformationen und der Zeit der Löschattacke abglich.

Platz 3 – Vorsicht beim Einparken:
Während einer Umparkaktion fiel einem Mann in Polen seine Kamera aus dem Auto. Beim Korrigieren der Parkposition spürte er etwas unter dem Rad, überfuhr aber trotzdem mehrmals seine Kamera. Dank Technologie anno 2012 waren selbst dadurch sein Fotos nicht verloren.

Platz 2 – Malware-Flächeninfektion:
Bei einem Mineralölkonzern im Nahen Osten waren von einer Malware-Attacke 30.000 Workstations betroffen. Um den Schaden zu begrenzen und den weiteren Betrieb des Unternehmens nicht zu stark einzuschränken, war schnelle Reaktion gefragt. Der Virus konnte schließlich identifiziert werden. Die Daten von wichtigen Servern und Workstations wurden wiederhergestellt.

Platz 1 – Negierte Störung:
Drei Wochen blinkte an einem defekten RAID 5 in Spanien ein rotes Licht. Der zuständige IT-Manager vertrat jedoch die Meinung, dass das Licht nichts zu bedeuten habe – und schließlich gab das System die Funktion auf. Auch hier konnten die Daten vollständig gerettet werden.

S&R-Chefs werden auch im Kunden-Management eine größere Rolle spielen: Der Verlust von Kundendaten kann sich massiv auf das Image eines Unternehmens und damit auf seinen Wert auswirken. Deswegen müssen S&R-Chefs mit dem Marketing zusammenarbeiten.

Risiko-Management integrieren: Genauso wenig wie ein Unternehmen Daten-Silos braucht, braucht es Risiko-Silos. Die Einteilung in operative Risiken, Informationsrisiken, Verfügbarkeit, Disaster Recovery und andere Bereiche ist für die tägliche Arbeit sinnvoll, Unternehmen müssen aber dennoch einen integrierten Blick auf das Risiko-Management entwickeln.

In 15 Schritten zur Datensicherheit

In einem so gestalteten Umfeld skizziert Forrester die Arbeit eines Risiko- und Sicherheitsverantwortlichen. Die Trends und Herausforderungen, die seine Arbeit beeinflussen, fassen die Analysten in 15 Punkten zusammen. Im Einzelnen sind das:

1. Wege der Erfolgsmessung überdenken: Vor einem Problem stehen S&R-Verantwortliche immer - das Ergebnis ihrer Arbeit lässt sich schwer messen. Üblicherweise konzentrieren sie sich beispielsweise auf Fragen nach der Zahl der Viren, die sie abfangen konnten, oder nach der Zahl der Patches.

Laut Forrester sollten sie sich vor allem um zwei Aspekte kümmern: Ist Malware ins Firmennetz hinein geraten - oder hinaus? Wer diese Fragen nicht beantworten kann, dem nützen die besten Security-Tools nichts. In Sachen Security-Tools erwarten die Analysten, dass zunehmend intelligentere Sicherheits-Software zur Marktreife gelangt.

2. File-Sharing und Collaboration nehmen zu: Die Diskussion um den Schutz geistigen Eigentums lässt Unternehmen genauer darauf achten, wie ihre Angestellten mit sensiblen Informationen umgehen. Im schlimmsten Fall - und der ist laut Forrester nicht selten - tragen sie solche Daten auf verschiedenen mobilen Geräten mit sich herum, auf die die IT-Abteilung keinen Zugriff hat. Da innerhalb der Unternehmen die abteilungs- und funktionsübergreifende Zusammenarbeit immer stärker verlangt wird, steigt auch das Risiko von Datenmissbrauch oder -verlust.

3. Datenverschlüsselung und das Management mobiler Geräte: Dieser Punkt resultiert aus verschiedenen Aspekten, etwa aus der wachsenden Beliebtheit von Laptop und Tablet gegenüber dem klassischen PC wie auch aus dem "Bring your own device"-Trend. Wichtig für S&R-Verantwortliche ist, dass immer mehr Daten auf mobilen Geräten liegen und über solche abgerufen werden. Sie müssen sich darum kümmern, diese Geräte und Daten zu verschlüsseln.

4. Traditionelle Antiviren-Lösungen können nicht gewinnen: Im Wettrennen Hacker gegen Sicherheits-Anbieter werden die Anbieter immer hinterher laufen. Es ist also nicht damit getan, stets die neuesten Versionen aufzuspielen.

Um das Unternehmen zusätzlich zu schützen, sollten sich Security-Verantwortliche regelmäßig die Anwendungslandschaft ansehen. Alles, was nicht mehr gebraucht wird, und alles, was der Sicherheits-Chef nicht kennt, darf eliminiert werden. Ein Zusatznutzen besteht darin, dass das Netz entlastet wird.

5. Die Daten bekommen ein Gesicht: Die anschwellende Datenflut ist nur in den Griff zu kriegen, wenn S&R-Chefs die Daten klassifizieren. Ob das besser automatisiert geschieht oder manuell, da legt sich Forrester nicht fest.

6. Aus dem Umgang mit den Daten Schlüsse ziehen: Es ist möglich, aus der Art, wie ein Endanwender mit Daten umgeht, Profile zu erstellen. Weicht der Nutzer plötzlich von diesem Profil ab, kann das ein Hinweis auf Risiken sein. Forrester rät zu Tools, die diese Vorgänge monitoren und gegebenenfalls eingreifen.

7. Das Wissen über Bedrohungen wächst - die Handlungsfähigkeit nicht: Cyber-Kriminalität hat ihren Platz in den Medien gefunden, auch die Security-Anbieter berichten über neue Bedrohungen. Das heißt allerdings nicht unbedingt, dass Entscheider und Nutzer kompetenter werden im Umgang mit realen Gefahren.

Wer also für die Unternehmenssicherheit sorgen muss, kann eigentlich nur eines tun: fachlich versierte Mitarbeiter einstellen. Und darauf hoffen, dass Security-Anbieter immer bessere Tools offerieren.

8. Netzwerk- und Sicherheits-Chefs müssen zusammenrücken: Bis heute operieren Netzwerk-Verantwortliche und Sicherheits-Chefs für sich. Forrester hält das für falsch - je früher Netzwerk und Security zusammenrücken, desto besser. Aufgabe der Security-Fachleute ist beispielsweise das Entwickeln einer Policy. Das Netzwerk-Team sorgt dann für deren Implementierung.

9. Die Menschen in den Mittelpunkt stellen: Dass die besten Sicherheitswerkzeuge scheitern, wenn die Nutzer sie nicht anwenden, ist bekannt. Forrester will aber weg von der rein negativen Sichtweise auf den Menschen. Es sei nicht damit getan, noch ein und noch ein Awareness-Training anzubieten. Vielmehr plädieren die Analysten für einen Kulturwandel, der jedem Mitarbeiter deutlich macht, wie wertvoll die Daten eines Unternehmens sind.

10. Es sind immer mehr Managed Security Services im Angebot: Das Konzept der Managed Services erreicht das Thema Sicherheit. Grund dafür ist der Mangel an erfahrenen Praktikern. Forrester sagt dem Teilmarkt Managed Security Services in diesem Jahr ein Wachstum von 30 Prozent voraus.

11. Die Kommunikation rund um Sicherheitsvorfälle drängt Firmen in die Offensive - oder Defensive: Endverbraucher, Lobbyisten, Politiker - immer mehr Interessenten verlangen von Unternehmen Aufklärung über Security-Vorfälle. Einige Unternehmen werden solche Fälle von sich aus aktiv kommunizieren, bevor geschickte Anwender es tun. Andere werden versuchen, die Dinge herunterzuspielen.

Forrester stellt eines klar: Jedes Unternehmen muss sich an Regularien und Compliance-Vorgaben halten. Keine Firma aber ist vor Angriffen gefeit. Je sauberer ein Unternehmen gearbeitet hat, umso leichter der Gang an die Öffentlichkeit, wenn etwas passiert ist.

12. Nutzer-Authentisierung muss zum Nutzer passen: Forrester hält Maßnahmen zur Nutzer-Authentisierung für unabdingbar. Die Analysten warnen jedoch davor, den Anwender aus den Augen zu verlieren. S&R-Verantwortliche sollten wissen, wie und wo die Anwender arbeiten, welche Geräte sie nutzen und anderes mehr. Und: Tools zur Authentisierung müssen sich gut ins Back-end integrieren lassen.

13. Das Business hakt bei Social Media nach: Mit der Beliebtheit von Facebook steigt das Interesse der Geschäftsleitungen, aus Social Media Kapital zu schlagen. S&R-Chefs sollten sich daher mit den Fachbereichen Marketing und Kommunikation zusammensetzen. Als Sicherheitsverantwortliche müssen sie verstehen, wie ihr Unternehmen Social Media nutzen kann, um Risiken und Gefahren einschätzen zu können.

14. Anbieter versprechen bessere Risk-Management-Produkte: Dass Risiken nicht mehr schlicht abgewendet, sondern gemanagt werden, ruft Anbieter auf den Plan. Sie bringen Produkte mit immer mehr Business-Kontext auf den Markt. Forrester rät Entscheidern, genau hinzusehen.

Bevor irgendein Risk Management Framework implementiert wird, sind erst einmal die Hausaufgaben zu erledigen. Das heißt: Rolle und Ziele des firmeneigenen Risiko-Verantwortlichen sind zu definieren, ebenso Definition und Kategorisierung der verschiedenen Risiken, Fragen der Erfolgsmessung und anderes.

15. Raus aus den Silos: So, wie Netzwerk- und Sicherheitschef besser zusammenarbeiten müssen (siehe Punkt 8), brechen Silo-Strukturen insgesamt auf, sagt Forrester. Das heißt: S&R-Chefs müssen sich zumindest soweit in alle Geschäftsprozesse einarbeiten, dass sie deren Gefahrenpotenzial identifizieren können.

Dieser Artikel basiert auf einem Beitrag der CW-Schwesterpublikation CIO.de. (mhr)