Dokumentieren, patchen und investieren Drei vermeidbare Fehler in der IT-Sicherheit

Anbieter zum Thema

SolarWinds EMEA Headquarters

Aagon GmbH

Die meisten Sicher­heits­vor­fälle ließen sich vermeiden, wären die Unternehmen bei der IT-Sicherheit nicht nur im Reaktionsmodus. Gleich­zeitig unterlaufen ihnen immer dieselben drei Fehler, indem sie grundlegende Bestandteile eines Sicher­heitsplans für Unternehmen miss­achten. Der Artikel betrachtet Doku­men­ta­ti­on, Patchen und Investitionen in Redundanz.

Dokumentation: Der erste Schritt beim proaktiven Erstellen einer Informationssicherheitsstrategie besteht im Dokumentieren der Prozesse, die Patch-Richtlinien festlegen. Dies ist ein grundlegender und zentraler Schritt in der IT – und die Dokumentation auszulassen ist ein ebenso fundamentaler Fehler. Schließlich gilt: Wenn man aus einem Fundament nur einen Stein herausnimmt, kann das gesamte Gebäude instabil werden.

Die Dokumentation sorgt für eine Befehlskette, ermöglicht die Durchsetzung und hilft zu überprüfen, ob Updates durchgeführt wurden oder nicht. Damit Prozesse und Richtlinien dokumentiert werden können, müssen sie getestet, implementiert und überprüft sowie die Wiederherstellung geplant werden. Diese Arbeit ist nur dann effektiv, wenn sie detailgenau und sorgfältig durchgeführt wird – deshalb gilt sie oft als mühsam und kann schnell einmal übergangen werden. Andererseits nimmt es noch deutlich mehr Zeit in Anspruch, einen Angriff zurückzuverfolgen und seine Auswirkungen zu mindern.

Auf dem neuesten Stand bleiben

Patching: Das Durchführen der Updates, die in der Dokumentation festgelegt wurden, wird von Unternehmen häufig als Downtime wahrgenommen. Ironischerweise ist es genau dieses Versäumnis, das zu Ausfallzeiten und Schlimmerem führt: Kundenverlusten, finanziellen Belastungen und Rufschädigungen.

Ein Beispiel ist WannaCry. Microsoft entdeckte eine Schwachstelle und veröffentlichte im März einen Patch. Im April wurde die Ransomware publik und im Mai setzte sie Unternehmen außer Gefecht. Eine simple Patching-Richtlinie hätte den Angriff verhindert.

Das Gleiche gilt für Equifax, eine Datensicherheitsverletzung, die zur fortlaufenden Offenlegung von persönlichen Daten führte und letztendlich Milliarden Dollar kosten könnte. Die Auswirkungen werden noch viele Jahre spürbar sein, sodass spätere Vorfälle vermutlich etwas anderem angelastet werden.

Man darf nicht vergessen: Wenn Massen-Updates veröffentlicht werden, finden es auch diejenigen heraus, die bösartige Absichten hegen. Cyberkriminelle nutzen das Wissen darum, wie viele Unternehmen den Fehler begehen, keine Patches zu installieren.

Sicherheit ist ein geschäftskritisches Problem

Investitionen: Ein häufiger Hinderungsgrund für Patches besteht darin, dass die Geschäftsleitung oft „Downtime“ versteht, wenn die IT „Updates“ sagt. Folglich wird zugunsten einer ständigen Verfügbarkeit und Uptime auf das Patchen verzichtet. Die IT muss deutlich machen, dass Updates und Uptime sich nicht gegenseitig ausschließen, sofern die richtigen Systeme verwendet werden.

Da Budgetentscheidungen, die sich auf die IT auswirken, üblicherweise abteilungsübergreifend getroffen werden und da der Geschäftserfolg von der Datenintegrität abhängt, ist die Sicherheit ganz eindeutig ein geschäftliches Anliegen und auch die Führungsebene sollte sich mit der Informationssicherheit beschäftigen. Es ist zu erwarten, dass das Einstellen und Managen von Sicherheitsexperten in diesem Jahr noch wichtiger wird als je zuvor, da die Zahl der Endpunkte ständig wächst und Cyberangriffe immer ausgefeilter werden. Die IT kann helfen, indem sie beziffert, welche langfristigen Kosten eine Datensicherheitsverletzung verglichen mit einer kurzfristigen Investition in Technologien mit sich bringen könnte. Mitglieder der Führungsebene, die Druck auf die IT ausüben, sind sich vermutlich nicht darüber bewusst, dass sie optimalen Sicherheitsrichtlinien zuwiderhandeln und dem Unternehmen sogar Schaden zufügen.

Ihr Handeln liegt darin begründet, dass sie fälschlicherweise annehmen, das Patchen würde die Geschäftskontinuität unterbrechen. Wenn eine Datensicherheitsverletzung auftritt, wird die Unternehmensleitung jedoch als Erstes – zu Recht – fragen: „Warum waren unsere Systeme nicht auf dem aktuellen Stand?“ Oder, falls die aktuellen Fixes auf veralteten Geräten nicht funktionieren: „Warum gab es kein Upgrade?“

Die Realität ist: Die Verfügbarkeit ist der IT genauso wichtig wie dem Rest des Unternehmens, doch sie wird von Fehler Nummer 3 behindert – ungenügenden Budget-Investitionen durch das Unternehmen, sodass keine sichere, immer betriebsbereite Umgebung garantiert werden kann. Die finanziellen Mittel fließen beispielsweise stärker in kundenorientierte Marketingprojekte, deren ROI schneller messbar ist. Dabei wäre eine einmalige Kapitalausgabe im Vergleich zu den Langzeitkosten einer Sicherheitsverletzung und dem damit einhergehenden Schaden für die Kunden in Wirklichkeit ein Klacks.

Um Updates und Uptime gleichzeitig zu ermöglichen, muss das Unternehmen also die Notwendigkeit einer duplizierten Infrastruktur für kritische Anwendungen verstehen. Während sich ein System im Standby befindet und das andere aktiv ist, können Updates und Tests durchgeführt und anschließend ohne Unterbrechung auf die aktualisierten Anwendungen umgeschaltet werden. Das Ergebnis: Ständige Verfügbarkeit UND Sicherheit.

Geplante Downtimes und Uptimes können gleichzeitig stattfinden, ohne dass Systeme offline gehen. Diese Art der Kontinuität erfordert allerdings finanzielle Investitionen in entsprechende Technologien.

Vorbereitung = Vorbeugung

Wenn Dokumentation, Patching und Redundanz als offensichtliche und einfache Schritte erscheinen, dann deshalb, weil sie die Grundlage der IT sind und sein sollten. Dennoch erstaunt und erschreckt es mich immer wieder, wie viele Unternehmen die Dokumentation umgehen, das Patching ignorieren und keine Upgrades durchführen – insbesondere wenn Software verfügbar ist, die das Patching und die Berichterstellung automatisiert und Dienstunterbrechungen minimiert.

Angesichts der Tatsache, dass Datensicherheitsverletzungen im Jahr 2017 fast schon zum Alltag gehörten, gehe ich davon aus, dass der Bedarf an robusten Sicherheitstools 2018 exponentiell ansteigen wird. Es ist ratsam, ein umfassendes Monitoring-Toolset zu nutzen, das eine Performance-Baseline für die Systeme, Netzwerke und insbesondere Datenbanken erstellen kann, die besonders anfällig für Angriffe sind.

Seltsamerweise scheint die steigende Zahl der Sicherheitsverletzungen die Gleichgültigkeit gegenüber der Informationssicherheit noch zu verstärken. Anstatt die Bedeutung besserer Sicherheitspraktiken zu betonen, lässt die Häufigkeit der Vorfälle sie eher aus dem Bewusstsein schwinden. Unter Laien ist ein gewisses Akzeptanzniveau entstanden und die Notlösung, beispielsweise Kreditkarten auszutauschen, ist mehr zu einer Unannehmlichkeit denn zu einer Bedrohung geworden.

Eine ähnliche Resignation ist allmählich auch in Unternehmen zu beobachten, in denen potenzielle Verluste bereits in die jährliche Verlusterwartung einkalkuliert werden. Die Kosten einer Datensicherheitsverletzung sind jedoch in Wirklichkeit um ein Vielfaches höher als dieser Standardbetrag.

Gleichzeitig bewegen wir uns allmählich in einem Bereich, in dem auch jene, die Opfer von Sicherheitsverletzungen werden, als kriminell gelten können: Der kürzlich in den USA eingeführte Data Security and Breach Notification Act könnte von Unternehmen verlangen, Datensicherheitsverletzungen innerhalb von 30 Tagen zu melden. Jeder, der einen Vorfall bewusst verschweigt, könnte mit Geld- oder Gefängnisstrafen belegt werden.

Die gute Neuigkeit lautet, dass groß angelegte Datensicherheitsverletzungen vermeidbar sind, doch dazu ist Zusammenarbeit erforderlich. Die IT muss für ein starkes und aktuelles Fundament sorgen, doch das ist nur mit Unterstützung der Führungsebene möglich. Zusammenfassend lässt sich sagen: Wer Wert auf seine Kunden und sein Unternehmen legt, dem wird auch die Sicherheit wichtig sein.

Über die Autorin: Destiny Bertucci ist Head Geek bei SolarWinds.

(ID:45404727)