Informationssicherheit-as-a-Service Remote Work als Risiko für die Informationssicherheit

Schon ein falscher Klick reicht manchmal aus, um eine gut geplante IT-Security-Strategie und mehrere Layer an Sicherheits­technologie auszuhebeln. Verstärkt wird das Problem noch durch die seit zwei Jahren verstärkt genutzte Remote Work. Um dem entgegenzuwirken, müssen Unternehmen dazu übergehen, Informationssicherheit als zentralen Aspekt der Unternehmensstrategie zu verankern.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

TXOne Networks

DATAGROUP AG

Die Pandemie-Monate haben gezeigt, dass besonders bei der Informationssicherheit große Lücken klaffen. Hier gilt es dringend nachzubessern. Dabei führt kein Weg daran vorbei, die Informationssicherheit auf ein neues Level zu heben. Die Lösung heißt: Informationssicherheit-as-a-Service. Um das zu erläutern, mag folgendes Beispiel dienen. Bei Operationen gelten strengste Hygieneregel und Prozesse, die sicherstellen sollen, dass die Umgebung steril und der Patient bestmöglichst geschützt ist. Desinfektion, Masken und Handschuhe und jede Person in dem Raum weiß, was zu tun ist. Die Best Practices sind etabliert. Was aber würde passieren, wenn auch nur eine Person den Raum betritt, die noch ihre Straßenschuhe trägt? Der Raum ist nicht mehr für eine sichere Operation geeignet.

Vor ähnlichen Herausforderungen stehen Unternehmen, wenn es um die Informationssicherheit geht. Selbst wenn diese ihre Firmennetze maximal absichern und sehr viel investieren, um die Sicherheit der eigenen Daten und die der Kunden zu gewährleisten: Eine Lücke reicht aus, um im schlimmsten Fall das ganze System zu kompromittieren. Zum Beispiel, wenn ein Mitarbeiter in einem Moment der Unaufmerksamkeit einen Malware-Link klickt.

Verstärkt wird das alles noch durch Remote Work. Analysen des Bundesministeriums für Informationssicherheit (BSI) zeigen, dass zu wenige Maßnahmen, wie VPN-Verbindungen, Verschlüsselungen, Mobile Device Management und Multi-Faktor Authentifizierung getroffen werden, um das Unternehmen auch im Home Office gegen Angriffe zu sichern. Denn hier treffen mehrere Faktoren zusammen: die Isolation des Mitarbeiters, die höhere Chance von Ablenkung je nach Arbeitsort - etwa wenn daheim während der Pandemie alle Mitglieder des Haushalts zusammen trafen - und natürlich private Netzwerke, die nicht die Sicherheitsstandards der Firmennetzwerke haben. Im schlimmsten Fall kommt noch hinzu, das über private Geräte gearbeitet wird. Diese entsprechen häufig nicht den aktuellen Sicherheitsanforderungen, zum Beispiel durch aufgeschobene Updates.

Gleichzeitig zeigen die Zahlen des BSI, dass sich durch die Pandemie Remote Work etabliert hat. Unternehmen, die vollständig auf Remote Work setzen, dürften dabei die Ausnahme sein. Doch viele US-amerikanische Tech-Unternehmen zeigen aktuell bereits, wohin die Zukunft geht: Der Trend geht klar zu hybriden Arbeiten, eine Mischung aus Präsenz im Büro und Remote Work. Was bedeutet das für Unternehmen?

Die Antwort ist zweigliedrig und erfordert, Informationssicherheit als zentralen Aspekt der Unternehmensstrategie zu verankern. Zum einen müssen die nötigen technischen Voraussetzungen geschaffen und kontinuierlich überprüft und angepasst werden. Zum anderen darf das Management den menschlichen Aspekt nicht vernachlässigen. Es ist eine zentrale Managment-Aufgabe, dass Unternehmen ihre Mitarbeiter für die zahlreichen Angriffswege sensibilisieren. Denn die beste technische Absicherung genügt nicht, wenn der richtige Mitarbeiter an der richtigen Position zum falschen Zeitpunkt eine unbedachte Entscheidung trifft.

Informationssicherheit muss bei allen Prozessen und Systemen eine zentrale Rolle einnehmen. Oft ist das für einzelne Unternehmen schwer zu leisten. In der neuesten Umfrage von Civey im Auftrag der Bertelsmann Stiftung gaben 66 Prozent der befragten Unternehmensentscheider an, dass ihnen Fachkräfte fehlen, deutlich mehr als noch im Vorjahr angenommen. Diese nötigen, sehr begehrten Fachkräfte zu finden ist schwierig und es ist daher oft nicht möglich, intern die benötigten Ressourcen aufzubauen. Daher wenden sich viele Unternehmen zum Beispiel an IT-Dienstleister. Doch auch hier ist es wichtig, dass Informationssicherheit stets mitgedacht wird. Das Stichwort lautet Informationssicherheit-as-a-Service. Kein IT-Service oder Prozess sollte ohne den Sicherheitsaspekt konzipiert werden.

Die nötigen Prozesse sind komplex und reichen von der Bereitstellung von Firmengeräten mit den entsprechenden Sicherheitsstandards über kontinuierliche Updates unabhängig von Arbeitsort bis hin zu durchdachten Backup & Restore Konzepten. Für die Verwaltung und Aktualisierung von Unternehmensgeräten bietet sich zum Beispiel auch Mobile Device Management an. So kann das Unternehmen nicht nur Updates aufspielen, sondern bei Verlust des Gerätes auch entsprechend schnell reagieren und das Gerät sperren. Diese Prozesse müssen kontinuierlich überprüft und aktualisiert werden, um schnell auf neue Bedrohungen reagieren zu können.

Der andere entscheidende Aspekt ist die Sensibilisierung der Mitarbeiter. Denn oft sind es diese, über die Angreifer in Unternehmenssysteme gelangen. Es geht also darum, Mitarbeitern bewusst zu machen, was häufige Einfallstore sind und sie regelmäßig zu aktuellen Gefahren zu informieren. Erkennen die meisten den „nigerianischen Prinzen“ leicht als Spam, so ist das bei raffiniert gestalteten E-Mails, die aussehen wie seriöse Paketnachverfolgungen bereits anders. Hier gilt es auch die Kommunikationswege mit den Mitarbeitern offen zu halten. Während im Büro schnell nach einem kurzen Gespräch klar ist, dass niemand ein Paket bestellt hat, sieht das durch die Isolation bei der Remote Arbeit anders aus. So kann es passieren, dass der Mitarbeiter davon ausgeht, dass es sich um eine seriöse Mail handelt und jemand anderes aus dem Team eine Bestellung getätigt hat. Sind die Mitarbeiter jedoch dafür sensibilisiert und werden über aktuelle Bedrohungsszenarien informiert, sinkt das Risiko, dass Mitarbeiter in diese Fallen tappen.

Je mehr Unternehmen Informationssicherheit als Grundlage in all ihren Prozessen und Systemen etablieren und offen mit den Mitarbeitern darüber kommunizieren, desto besser sind sie vor der zunehmen Zahl an Angriffen geschützt. Informationssicherheit-as-a-Service sollte daher bei allen im Unternehmen und auch bei der Wahl der Dienstleister eine zentrale Rolle spielen.

Über den Autor: Andreas Baresel ist seit März 2022 Vorstandsvorsitzender der Datagroup SE und war davor seit 2018 Mitglied des Vorstands. Er ist für das Ressort Produktion verantwortlich. Seine Aufgabe ist die übergreifende Leitung und Koordination der einzelnen Service-Fabriken innerhalb des Konzerns.

(ID:48127387)