Dass traditionelle Rechenzentrumsstrukturen durch Cloud Computing und Virtualisierung dynamischer und flexibler werden, bestreitet heute niemand mehr. Diese Tendenzen erweitern natürlich auch die eigentliche Definition des Rechenzentrums. Es gibt einerseits die großen, zentralen Anbieter von IT-Diensten mit internationalen Cloud-Rechenzentren. Auf der anderen Seite werden auch Unternehmen weiter eigene Data Center betreiben, in denen sie dezentrale Standorte konsolidieren und gleichzeitig externe IT-Dienste nutzen. Je beweglicher die Grenzen klassischer Rechenzentren werden, desto deutlicher rückt das Thema Informationssicherheit in den Fokus.
Schützenswert ist das Data Center in zweierlei Hinsicht: Es liefert einerseits IT-Services wie E-Mail oder SAP-Anwendungen mit geschäftskritischen Daten für Fachabteilungen, Partner oder Lieferanten. Zum anderen ist das Data Center natürlich ein physisches Gebäude mit sensiblen IT-Komponenten und Haustechnik. Beide Einheiten müssen mit entsprechenden Security-Maßnahmen geschützt werden, um die Verfügbarkeit, Integrität und Vertraulichkeit der verarbeiteten Daten zu schützen. Folgende Maßnahmen sorgen für eine Grundsicherheit im modernen Rechenzentrum. Sie stellen aber nur einen Teil der notwendigen Schritte dar, die in der Praxis durch weitere individuelle Maßnahmen ergänzt werden müssen.
Analyse des Schutzbedarfs
Unternehmen, die ihre Daten, Infrastrukturen und IT-Prozesse effizient schützen wollen, sollten eine genaue Analyse des Schutzbedarfs im Rechenzentrum durchführen. In der Vergangenheit wurde die Verfügbarkeit der IT häufig durch teure redundante Komponenten und Ausfallstandorte unverhältnismäßig stark abgesichert. Bei näherer Betrachtung muss nicht jede Applikation tatsächlich zu annähernd 100 Prozent verfügbar sein, nicht alle Informationen auf drei Speicherebenen vorgehalten werden. Die Basis für die Analyse des individuellen Schutzbedarfs liefert ein funktionierendes Risiko-Management. Es betrachtet unter anderem den möglichen Schaden, wenn IT-gestützte Prozesse, Daten, physische und virtuelle Instanzen nicht ordnungsgemäß funktionieren oder ausfallen. Dieser theoretische Schaden wird mit der Eintrittswahrscheinlichkeit für eine Störung gewichtet. Weiß ein Unternehmen, was es im Schadensfall verlieren kann, so weiß es auch, welche Systeme und Umgebungen besonders schützenswert sind. Es lohnt sich in jedem Fall, den Schutzbedarf der Services und des Rechenzentrums in regelmäßigen Abständen zu überprüfen, um die Infrastruktur kosteneffizient und sicher betreiben zu können.
Verantwortlichkeiten neu und richtig definieren
Eine sinnvolle organisatorische Maßnahme, die die steigende Bedeutung von Security würdigt, ist die Bestellung eines Verantwortlichen für IT-Sicherheit. Dieser sollte als zentraler Ansprechpartner rund um die Themen Datenschutz und Sicherheit allen Mitarbeitern bekannt sein. Neue Systeme, die bereichsübergreifende Technologien in einer Komponente vereinen, oder Querschnittsthemen wie die Virtualisierung lassen sich nur schwer in den klassischen Verantwortungsbereichen Client-/Server, Netzwerk und Storage abbilden. Ist der Desktop-Verantwortliche für die Sicherheit virtueller Clients zuständig? Oder ist es vielleicht doch der Chef des Rechenzentrums, der das Client-Image verwaltet? Um Verantwortlichkeiten richtig definieren zu können, muss die traditionelle IT-Organisation überprüft und gegebenenfalls angepasst werden.
Physikalischer RZ-Aufbau und Prozessalternativen
Auch wenn die Grenzen der Rechenzentren durch die Virtualisierung und das Einbinden von Cloud-Diensten durchlässiger werden, ist der Zugangsschutz immer noch ein wichtiger Baustein der Security-Strategie. Dazu gehören beispielsweise zwei getrennte, nicht öffentlich erkennbare Standorte mit Mindestentfernungen, redundante Komponenten, abgesicherter Zutritt, eine ausreichende Notstrom- und Klimaversorgung, Brandfrüherkennung und moderne Löschsysteme. Es ist zudem unerlässlich, den Betrieb eines Rechenzentrums und damit den Ablauf betrieblicher Prozesse durch ein umfassendes Business Continuity Management garantieren zu können, etwa bei Krankheit der Mitarbeiter oder technischen Störungen. Fallen in einer Bank die Server aus, die die Überweisungsterminals betreiben, müssen manuell ausgefüllte Überweisungsträger den Zahlungsverkehr weiter sicher stellen.
Intelligente Segmentierung der Netze
Die Architektur moderner Rechenzentren muss eine strikte Trennung zwischen öffentlichen, nicht öffentlichen und sogar geheimen Bereichen ermöglichen. Web-Server, die einen Zugriff von außen erlauben, müssen beispielsweise durch Firewalls von allen Firmendaten abgeschottet werden. Mail-Server gehören ebenfalls in das öffentliche Segment und müssen gesondert geschützt werden. Durch die Sende- und Empfangsfunktion verbinden sie vertrauenswürdige und nicht-vertrauenswürdige Bereiche. Die Segmentierung kann natürlich auch nach funktionalen Kriterien erfolgen. So sollte ein Automobilhersteller die Bereiche Produktions-IT, Bürokommunikation und strategische Abteilungen wie HR, und F&E voneinander abkoppeln, um etwa den Produktionsprozess im Fall von Angriffen auf einen anderen Bereich aufrecht zu erhalten.
Basisschutz für Netze und Daten
Firewalls fungieren als Barrieren zwischen getrennten Segmenten im Data Center und den Übergängen zu externen Netzen. Ergänzend hierzu erkennt Intrusion-Detection Angriffe. Intrusion-Prevention-Systeme gehen einen Schritt weiter und unterbrechen unbefugte Datenübertragungen sogar aktiv. Zusätzlich sollte die Kommunikation auf Web- und Mail-Servern mittels URL-Filtern und Anti-Spam-Gateways überwacht werden. Verschlüsselung verleiht den übermittelten Daten eine Schutzhülle gegen unbefugten Zugriff, egal in welchem Netzwerk sie unterwegs sind. Diese Maßnahmen sollten schließlich mit einer starken Authentifizierung gekoppelt werden, mit der Administratoren, Mitarbeiter, Lieferanten oder Partner berechtigten Zugriff zu den Unternehmensressourcen erhalten. Ein übergeordnetes Identity- und Access Management verwaltet diese Identitäten mit den zugehörigen Rollen von der Einrichtung, Änderung, Suspendierung bis zur Archivierung und erhöht so auch langfristig die Zugriffssicherheit.
Virenschutz und Verschlüsselung
Neben Netzen und Daten müssen natürlich auch Server- und Storage-Systeme im Rechenzentrum gegen Datendiebstahl, unberechtigten Zugriff sowie „Verschmutzung“ und Angriffe durch Viren und Würmer geschützt werden. Das gilt im Übrigen genauso für virtualisierte Systeme. Ein stets aktueller Schutz gegen Schadsoftware für alle Maschinen und mobilen Geräte im Rechenzentrum ist Pflicht. Eine lokale Verschlüsselung von Dateien und Ordnern ist ebenfalls unerlässlich. Für die Server empfiehlt sich eine konsequente Systemhärtung. Das heißt, alle Instanzen im Data Center liefern nur die benötigten Dienste und alle anderen Funktionen müssen abgeschaltet werden. Speichersysteme, die noch auf Fibre Channel (FC)-Basis arbeiten, sind gegen die gängigen TCP/IP-Netze gut abgeschottet. Unterschiedliche Protokolle liefern hier die größte Sicherheit, bedeuten aber auch einen höheren Betriebsaufwand. Die Archivdaten und Ordner auf den Speichersystemen müssen zusätzlich unbedingt verschlüsselt werden. Dabei sollten Möglichkeiten der Entschlüsselung, die auch nach Aufbewahrungszeiträumen von 30 und mehr Jahren noch gelten, mit eingeplant werden.
Kontrolle privilegierter Benutzer
Ein weiteres Risiko für die Verfügbarkeit der Ressourcen im Data Center stellen Fehlkonfigurationen durch die RZ-Mitarbeiter dar. Oft nutzen mehrere Administratoren gemeinsam einen Root-Account mit sämtlichen Rechten. Unternehmen, die menschliches Versagen an dieser Stelle vermeiden möchten, sollten jedem Account nur einen Nutzer zuweisen. Sie sollten bestehende Berechtigungskonzepte genau hinterfragen und die Administration für spätere Nachvollziehbarkeit protokollieren: Was darf ein Administrator wann auf welchem System tun? Wie wird die Berechtigung auditiert? Nur wenn alle Aktionen genau nachvollziehbar sind, können Fehler rückgängig gemacht werden. Außerdem sollte ein Administrator sein Passwort nicht selber auswählen dürfen. Moderne Stellvertretersysteme generieren beispielsweise Passwörter, die der Benutzer selber nicht kennt. Wie in vielen anderen Bereichen auch ist das Vier-Augen-Prinzip ein hilfreicher Schutz: Änderungen dürfen nur durchgeführt werden, wenn zwei authentifizierte User zustimmen.
Einhalten von Richtlinien
IT-Verantwortliche sollten das Compliance-Risiko, also die Nicht-Einhaltung von internen und gesetzlichen Richtlinien sowie Branchenstandards nicht unterschätzen. Insbesondere wenn Cloud-Dienste bezogen werden, muss genau geprüft werden, ob die nationalen oder speziellen Compliance-Anforderungen vom Anbieter eingehalten werden können. Besondere Vorsicht ist bei der Auslagerung personenbezogener Daten an Cloud-Betreiber im Ausland geboten. Konflikte mit dem Bundesdatenschutzgesetz sind dann programmiert. GRC-Lösungen (Governance, Risk, Compliance) können sicherstellen, dass alle definierten Security-Maßnahmen umgesetzt werden. Diese Systeme bilden eine zentrale Plattform für einen dauerhaften Überblick über die bestehenden internen und gesetzlichen Richtlinien sowie Branchenstandards, verwalten diese in einem integrierten Dokumenten-Management-System und dokumentieren die Umsetzung der technologischen und organisatorischen Maßnahmen mit Hilfe von Verlinkungen.
Detektion und Reaktion
Es ist absehbar, dass die kriminelle Energie von Datendieben künftig eher zu- als abnehmen wird. Auch ausgeklügelte präventive Schutzmaßnahmen werden Einbrüche in das Unternehmensnetz oder Schäden durch Würmer, Trojaner & Co. nicht zu 100 Prozent abwehren können. Daher spielt die schnelle reaktive Security eine zentrale Rolle für die Sicherheitsstrategie in modernen, dynamischen Rechenzentren. Um Angriffe aufzuspüren und abzuwehren, müssen sicherheitsrelevante System-Logs zentral gesammelt, aufbewahrt, korreliert und ausgewertet werden.
Schwachstellen- und Patch-Management
Zu den sicherheitsrelevanten Ereignissen gehören auch Schwachstellen der Software. Diese können automatisiert mittels regelmäßiger Scans erkannt werden. Die IT-Organisation muss zudem für ein funktionierendes Patchmanagment Sorge tragen, um die erkannten Schwachstellen schnellstmöglich zu schließen. Dass dies noch immer nicht zeitnah erfolgt, zeigt beispielsweise der Data Breach Investigations Report von Verizon.
Information Protection
Industriespione, aber auch die eigenen Mitarbeiter zeigen leider oft ein großes Interesse an sensiblen Firmendaten. Gegen den unerlaubten Abfluss von Informationen kann an dedizierten Stellen ein Data Loss Prevention (DLP)-System helfen. Zur organisatorischen Vorarbeit gehört die Klassifizierung von Informationen nach ihrer Relevanz. Data Discovery-Werkzeuge helfen dann dabei, die schützenswerten Daten innerhalb der Infrastruktur zu orten. Schließlich definiert ein Information Rights Management (IRM)-System die zugriffsberechtigten Personen und sorgt für die Verschlüsselung von Daten. Das IRM legt genau fest, ob bestimmte Informationen von den Berechtigen zum Beispiel per E-Mail versandt, kopiert, verändert oder nur angesehen werden dürfen.
Backup & Recovery
Eine wichtige Maßnahme gegen den Verlust von Daten im Katastrophenfall, ein versehentliches Löschen oder Verfügbarkeitseinschränkungen durch logische Fehler ist die regelmäßige Sicherung des Datenbestands. Damit die Informationen nach einem Ausfall tatsächlich wieder zeitnah verfügbar sind, muss auch die Rücksicherung turnusmäßig getestet werden. Werden etwa Backup-Tapes außerhalb des Unternehmens gelagert, können die Daten mit Hilfe von Backup-Software verschlüsselt werden. Mittlerweile gibt es auch schon Bandlaufwerke mit hochwertiger Verschlüsselung. In der virtuellen Welt ist der Backup- und Recovery-Prozess ungleich komplexer als in traditionellen Umgebungen. Ein wichtiges Thema ist die Konsistenz von Applikationen im virtuellen Umfeld. Hier gilt es, die vorhandenen Schnittstellen genau auf Tauglichkeit für die Backup-Instanzen zu prüfen. Wer plant, seine Infrastruktur mittelfristig in größerem Rahmen zu virtualisieren, sollte mit leistungsfähigen Enterprise Backup Tools arbeiten, die Backup Services automatisieren, Applikationen konsistent sichern und den Betrieb zentral administrieren.