In 15 Schritten zur Datensicherheit
In einem so gestalteten Umfeld skizziert Forrester die Arbeit eines Risiko- und Sicherheitsverantwortlichen. Die Trends und Herausforderungen, die seine Arbeit beeinflussen, fassen die Analysten in 15 Punkten zusammen. Im Einzelnen sind das:
1. Wege der Erfolgsmessung überdenken: Vor einem Problem stehen S&R-Verantwortliche immer - das Ergebnis ihrer Arbeit lässt sich schwer messen. Üblicherweise konzentrieren sie sich beispielsweise auf Fragen nach der Zahl der Viren, die sie abfangen konnten, oder nach der Zahl der Patches.
Laut Forrester sollten sie sich vor allem um zwei Aspekte kümmern: Ist Malware ins Firmennetz hinein geraten - oder hinaus? Wer diese Fragen nicht beantworten kann, dem nützen die besten Security-Tools nichts. In Sachen Security-Tools erwarten die Analysten, dass zunehmend intelligentere Sicherheits-Software zur Marktreife gelangt.
2. File-Sharing und Collaboration nehmen zu: Die Diskussion um den Schutz geistigen Eigentums lässt Unternehmen genauer darauf achten, wie ihre Angestellten mit sensiblen Informationen umgehen. Im schlimmsten Fall - und der ist laut Forrester nicht selten - tragen sie solche Daten auf verschiedenen mobilen Geräten mit sich herum, auf die die IT-Abteilung keinen Zugriff hat. Da innerhalb der Unternehmen die abteilungs- und funktionsübergreifende Zusammenarbeit immer stärker verlangt wird, steigt auch das Risiko von Datenmissbrauch oder -verlust.
3. Datenverschlüsselung und das Management mobiler Geräte: Dieser Punkt resultiert aus verschiedenen Aspekten, etwa aus der wachsenden Beliebtheit von Laptop und Tablet gegenüber dem klassischen PC wie auch aus dem "Bring your own device"-Trend. Wichtig für S&R-Verantwortliche ist, dass immer mehr Daten auf mobilen Geräten liegen und über solche abgerufen werden. Sie müssen sich darum kümmern, diese Geräte und Daten zu verschlüsseln.
4. Traditionelle Antiviren-Lösungen können nicht gewinnen: Im Wettrennen Hacker gegen Sicherheits-Anbieter werden die Anbieter immer hinterher laufen. Es ist also nicht damit getan, stets die neuesten Versionen aufzuspielen.
Um das Unternehmen zusätzlich zu schützen, sollten sich Security-Verantwortliche regelmäßig die Anwendungslandschaft ansehen. Alles, was nicht mehr gebraucht wird, und alles, was der Sicherheits-Chef nicht kennt, darf eliminiert werden. Ein Zusatznutzen besteht darin, dass das Netz entlastet wird.
5. Die Daten bekommen ein Gesicht: Die anschwellende Datenflut ist nur in den Griff zu kriegen, wenn S&R-Chefs die Daten klassifizieren. Ob das besser automatisiert geschieht oder manuell, da legt sich Forrester nicht fest.
6. Aus dem Umgang mit den Daten Schlüsse ziehen: Es ist möglich, aus der Art, wie ein Endanwender mit Daten umgeht, Profile zu erstellen. Weicht der Nutzer plötzlich von diesem Profil ab, kann das ein Hinweis auf Risiken sein. Forrester rät zu Tools, die diese Vorgänge monitoren und gegebenenfalls eingreifen.
7. Das Wissen über Bedrohungen wächst - die Handlungsfähigkeit nicht: Cyber-Kriminalität hat ihren Platz in den Medien gefunden, auch die Security-Anbieter berichten über neue Bedrohungen. Das heißt allerdings nicht unbedingt, dass Entscheider und Nutzer kompetenter werden im Umgang mit realen Gefahren.
Wer also für die Unternehmenssicherheit sorgen muss, kann eigentlich nur eines tun: fachlich versierte Mitarbeiter einstellen. Und darauf hoffen, dass Security-Anbieter immer bessere Tools offerieren.
8. Netzwerk- und Sicherheits-Chefs müssen zusammenrücken: Bis heute operieren Netzwerk-Verantwortliche und Sicherheits-Chefs für sich. Forrester hält das für falsch - je früher Netzwerk und Security zusammenrücken, desto besser. Aufgabe der Security-Fachleute ist beispielsweise das Entwickeln einer Policy. Das Netzwerk-Team sorgt dann für deren Implementierung.
9. Die Menschen in den Mittelpunkt stellen: Dass die besten Sicherheitswerkzeuge scheitern, wenn die Nutzer sie nicht anwenden, ist bekannt. Forrester will aber weg von der rein negativen Sichtweise auf den Menschen. Es sei nicht damit getan, noch ein und noch ein Awareness-Training anzubieten. Vielmehr plädieren die Analysten für einen Kulturwandel, der jedem Mitarbeiter deutlich macht, wie wertvoll die Daten eines Unternehmens sind.
10. Es sind immer mehr Managed Security Services im Angebot: Das Konzept der Managed Services erreicht das Thema Sicherheit. Grund dafür ist der Mangel an erfahrenen Praktikern. Forrester sagt dem Teilmarkt Managed Security Services in diesem Jahr ein Wachstum von 30 Prozent voraus.
11. Die Kommunikation rund um Sicherheitsvorfälle drängt Firmen in die Offensive - oder Defensive: Endverbraucher, Lobbyisten, Politiker - immer mehr Interessenten verlangen von Unternehmen Aufklärung über Security-Vorfälle. Einige Unternehmen werden solche Fälle von sich aus aktiv kommunizieren, bevor geschickte Anwender es tun. Andere werden versuchen, die Dinge herunterzuspielen.
Forrester stellt eines klar: Jedes Unternehmen muss sich an Regularien und Compliance-Vorgaben halten. Keine Firma aber ist vor Angriffen gefeit. Je sauberer ein Unternehmen gearbeitet hat, umso leichter der Gang an die Öffentlichkeit, wenn etwas passiert ist.
12. Nutzer-Authentisierung muss zum Nutzer passen: Forrester hält Maßnahmen zur Nutzer-Authentisierung für unabdingbar. Die Analysten warnen jedoch davor, den Anwender aus den Augen zu verlieren. S&R-Verantwortliche sollten wissen, wie und wo die Anwender arbeiten, welche Geräte sie nutzen und anderes mehr. Und: Tools zur Authentisierung müssen sich gut ins Back-end integrieren lassen.
13. Das Business hakt bei Social Media nach: Mit der Beliebtheit von Facebook steigt das Interesse der Geschäftsleitungen, aus Social Media Kapital zu schlagen. S&R-Chefs sollten sich daher mit den Fachbereichen Marketing und Kommunikation zusammensetzen. Als Sicherheitsverantwortliche müssen sie verstehen, wie ihr Unternehmen Social Media nutzen kann, um Risiken und Gefahren einschätzen zu können.
14. Anbieter versprechen bessere Risk-Management-Produkte: Dass Risiken nicht mehr schlicht abgewendet, sondern gemanagt werden, ruft Anbieter auf den Plan. Sie bringen Produkte mit immer mehr Business-Kontext auf den Markt. Forrester rät Entscheidern, genau hinzusehen.
Bevor irgendein Risk Management Framework implementiert wird, sind erst einmal die Hausaufgaben zu erledigen. Das heißt: Rolle und Ziele des firmeneigenen Risiko-Verantwortlichen sind zu definieren, ebenso Definition und Kategorisierung der verschiedenen Risiken, Fragen der Erfolgsmessung und anderes.
15. Raus aus den Silos: So, wie Netzwerk- und Sicherheitschef besser zusammenarbeiten müssen (siehe Punkt 8), brechen Silo-Strukturen insgesamt auf, sagt Forrester. Das heißt: S&R-Chefs müssen sich zumindest soweit in alle Geschäftsprozesse einarbeiten, dass sie deren Gefahrenpotenzial identifizieren können.
Dieser Artikel basiert auf einem Beitrag der CW-Schwesterpublikation CIO.de. (mhr)