IT-Security-Richtlinien Diese BYOD-Risiken müssen CISOs kennen

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

Mit einer sinnvollen Richtlinie für externe Geräte in Unternehmensnetzwerken (BYOD - Bring Your Own Device) sichern CISOs sensible Geschäftsdaten. Gleichzeitig sollte es Mitarbeitern möglich sein, ihre persönlichen Geräte für arbeitsbezogene Zwecke zu nutzen. Welche Vorkehrungen sind zu treffen?

Angesichts der beliebter gewordenen Fernarbeit und einer anhaltenden Zunahme von Hacker-Angriffen wurden viele Unternehmen von der Notwendigkeit, BYOD-Richtlinien zu definieren, buchstäblich überrumpelt. In Umfragen geben rund 50 Prozent der Befragten an, dass externe Geräte aus Sicherheitsgründen registriert werden müssten. Davon benötigen jedoch nur rund 30 Prozent eine Registrierung für Sicherheitssoftware.

Da die meisten davon betroffenen Mitarbeiter unweigerlich zwischen eignen Geräten und denen des Unternehmens hin- und herwechseln, können daraus eine Reihe von nicht zu unterschätzenden Risiken entstehen. Um einerseits die Sicherheit der Geschäftsdaten nicht zu gefährden und andererseits die Mitarbeiterzufriedenheit zu erhalten, müssen mögliche Risiken gemanagt bzw. umfassende BYOD-Richtlinien definiert werden.

BYOD und mögliche Sicherheitsrisiken

In der Folge sind einige der größten und häufigsten Risiken skizziert, die durch BYOD auftreten können:

Offengelegte E-Mails

Mitarbeiter, die geschäftliche E-Mails auf privaten Geräten abrufen, versäumen es oft, grundlegende Sicherheitsmaßnahmen vorzunehmen.

Als Abhilfe empfehlen sich unter anderem robuste Penetrationstests und deren Lösungen, um den Zugriff für Unbefugte einzuschränken. Gespräche lassen sich durch umfassende Datenverschlüsselungen zusätzlich schützen. Idealerweise trennen Mitarbeiter ihre privaten und beruflichen Interaktionen und nutzen für jede Kontaktart völlig unterschiedliche Apps.

Geräteverlust bzw. Diebstahl

Leider verlegen Mitarbeiter, die viel unterwegs sind, manchmal ihre Geräte, wodurch sensible Unternehmensdaten auch dann gefährdet sind, wenn sie ordnungsgemäß gesichert sind.

Hierzu empfehlen sich Tracking-Systeme, um die Wiederbeschaffung des Geräts zu erleichtern. Darüber hinaus können mobile Datenverwaltungslösungen gefährdete Geräte aus der Ferne löschen, bevor die Daten für Dritte zugänglich werden.

Schadsoftware

Für Desktop- und Laptop-Benutzer stellt Schadsoftware nach wie vor ein Problem dar, für Smartphone-User ist sie meist jedoch noch riskanter. Nicht wenige Mitarbeiter laden problematische Apps auf ihre persönlichen Geräte herunter, ohne sich die Mühe zu machen, die Authentizität zu überprüfen.

Gehackte Apps können scheinbar harmlose Funktionen wie Telefonkameras oder GPS für kriminelle Zwecke nutzen. Daten, die durch die Integration mit Kalender-Apps oder Audio-Recordern erfasst werden, können an Dritte gesendet werden. Oft ist der schädliche Status einer App für Mitarbeiter selbst Monate nach dem Download praktisch nicht erkennbar.

Als Lösung sollten die Mitarbeiter am Arbeitsplatz darin geschult werden, problematische Apps zu erkennen. Automatisierte Bereitschaftslösungen identifizieren riskante Apps sehr schnell und minimieren Malware-Schäden. Neue Technologien wie beispielsweise „Mobile Application Management“ gestatten es, die Sicherheitseinstellungen für jeden Benutzer oder jede Anwendung zu ändern.

Cloudbasierte Speicher

Apps wie DropBox ermöglichen eine einfache Speicherung wichtiger Dokumente in der Cloud. Sie stellen leider auch ein ideales Ziel für Hacker dar. Ein BYOD-Ansatz ermöglicht es, dass immer größere Mengen sensibler Daten unsichere Cloud-Speichersysteme erreichen.

Für Unternehmen, die eine einzige Cloud-Lösung nutzen, wird die Sicherheit am besten durch eine robuste Verschlüsselung und Authentifizierung erreicht. Eine besonders proaktive Lösung: clientseitige Verschlüsselungs-Gateways, die verhindern, dass sensible Informationen überhaupt in eine unsichere Cloud gelangen.

Grundüberlegungen für BYOD-Richtlinien

Bei BYOD handelt es sich um Richtlinien, die es den Mitarbeitern in die Lage versetzt, ihre eigenen Geräte zur Arbeit mitzubringen (und mit nach Hause zu nehmen), anstatt arbeitsspezifische Geräte zu nutzen. Wenn CISOs die Kontrolle über die BYOD-Sicherheit in einem Unternehmen wiedererlangen möchten, benötigen sie gut durchdachte Richtlinien.

Endpunktunabhängig

BYOD-Richtlinien sollten endpunktunabhängig sein, damit auch neue oder neu entstehende Geräte und Plattformen ebenfalls berücksichtigt werden können.

Langfristige Gültigkeit

Ständige Überarbeitungen von einmal aufgestellten Richtlinien wird die Durchsetzbarkeit in der Belegschaft erschweren. Für eine weitere Reduktion der Sicherheitsrisiken empfiehlt es sich, unterschiedliche BYOD-Richtlinien für Auftragnehmer sowie Zeit-, Teilzeit- und Vollzeitmitarbeiter festzulegen.

Partizipation aller Parteien

Alle interessierten Parteien müssen in den Prozess der Richtlinien-Erstellung einbezogen werden. Das bedeutet, dass jeder – von leitenden Teammitgliedern bis hin zu den Personal-, IT-, Buchhaltungs- und Rechtsabteilungen – sich für die Erarbeitung einbringen sollte.

Durch die Einbeziehung dieser Mitarbeiter können CISOs eine umfassende Richtlinie erstellen, die alle Sicherheits-, Funktionalitäts-, Regulierungs-, Rechts- und Technologieanforderungen erfüllt. Darüber hinaus lassen sich Warnsignale oder Kontroversen angemessen angehen, bevor sie negative Auswirkungen zeigen.

Richtlinien müssen zur Belegschaft passen

Was für ein Unternehmen gut funktioniert, ist nicht zwingend für ein anderes geeignet. Ziel ist es, eine Richtlinie zu erstellen, die den Bedürfnissen der Mitarbeiter entspricht, ohne die Datensicherheit zu beeinträchtigen.

Liste zulässiger Geräte erstellen

Bereits in den frühesten Phasen der Implementierung der BYOD-Richtlinien sollte eine Liste der Geräte und deren Sicherheitsanforderungen erstellt werden. Darüber hinaus wäre es hilfreich, wenn CISOs darauf bestehen würden, dass die Mitarbeiter bei der Auswahl von Passwörtern, der Verwendung von Bildschirmsperren und dem Zugriff auf das Unternehmensnetzwerk alle größtmöglichen Vorsichtsmaßnahmen treffen.

BYOD-Richtlinien kommunizieren

Diese Richtlinien erfüllen nur dann einen Zweck, wenn die Mitarbeiter, die sie anwenden, alle Anforderungen verstehen und verinnerlicht haben. Ganz gleich, ob CISOs eine Informationsveranstaltung abhalten oder ein Memorandum erstellen, eines ist sicher: Wenn CISOs ihre BYOD-Richtlinien nicht richtig kommunizieren, könnte jeder User wiederum eine potenzielle Bedrohung darstellen.

Trennung von privatem Gebrauch und Arbeit

Eine BYOD-Richtlinie muss eine klare Grenze zwischen der Arbeit und dem Privatleben der Mitarbeiter ziehen. Das bedeutet, dass berufliche Apps niemals für persönliche Angelegenheiten genutzt werden können (und umgekehrt).

Das gleiche gilt für die Nutzung von Kalender-Apps, das Erstellen von Kontaktlisten und Versenden von E-Mails. Bei sehr sensiblen Daten muss eine BYOD-Richtlinie darauf hinweisen, dass keine beruflichen Daten auf Geräten verbleiben dürfen.

Haftungsfragen

Bei der Erstellung von BYOD-Richtlinien muss ebenfalls über Haftungsfragen nachgedacht werden. Verhaltensweisen der Mitarbeiter können dazu führen, dass ein Unternehmen wegen Fahrlässigkeit mit Schadensersatzansprüchen konfrontiert werden.

(ID:49594665)