Drei Säulen der Sicherheit, die man kennen sollte Sicherheitsmodelle und -standards von Herstellern verstehen

Anbieter zum Thema

Zebra Technologies Europe Limited

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Um mobile Geräte abzusichern oder sicherzugehen, dass keine anfälligen Geräte beschafft werden, sollten Unternehmen einige wichtige Punkte über Sicherheitsmaßnahmen wissen. Diese sollen das Risiko beim Kauf eines mobilen Computers beseitigen, sodass geistiges Eigentum und Kunden-, Betriebs- und Mitarbeiterdaten so gut wie möglich geschützt sind. Und das von dem Moment an, in dem ein Mitarbeiter sein Gerät einschaltet, bis er es zum letzten Mal ausschaltet.

Es gibt viele Möglichkeiten, Daten- und Gerätesicherheit zu definieren und zu validieren, aber ISO/IEC 27001 ist die weltweit bekannteste Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie legt die Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit fest, die für ein wirklich sicheres System erforderlich sind. Das bedeutet jedoch nicht, dass die Einhaltung dieser Norm einen vollständigen Schutz von Daten oder Geräten garantiert. Es bedeutet lediglich, dass viele der wichtigen Funktionen, die ein Unternehmen für das Risikomanagement bei der Nutzung mobiler Geräte für geschäftliche Zwecke benötigt, bereits integriert sind.

Drei Säulen der Sicherheit, die man kennen sollte

Es gibt drei Säulen der Cybersicherheit: Menschen, Prozesse und Technologie. Sie dienen als Leitfaden für die Aufrechterhaltung eines angemessenen Sicherheitsniveaus. Auch helfen sie Unternehmen dabei, sich zu vergewissern, dass ihr Gerätehersteller dasselbe tut.

Dies ist wichtig, denn die Gerätehersteller und Geräteverwaltungsdienstleister, denen wir vertrauen müssen, sind Menschen, die einen Fehler machen können. Das wird vor allem dann gefährlich, wenn sie die Auswirkungen bestimmter Maßnahmen nicht vollständig bedenken oder wichtige Maßnahmen nicht ergreifen. Es ist ein Mensch, der diese mobilen Geräte im Auftrag eines Unternehmens entwickelt, einsetzt, repariert und außer Dienst stellt. Nur dass diese Menschen für jemand anderen arbeiten und von ihren Arbeitgebern möglicherweise nicht an dieselben Richtlinien und Standards gebunden werden.

Daher ist es von entscheidender Bedeutung, die Rollen zu verstehen, die verschiedene Personen bei der Geräteentwicklung und -sicherheit in der Herstellungsphase sowie in den Phasen des Lösungsdesigns, der Bereitstellung, der Verwaltung und der Stilllegung spielen. Ein mobiler Computer, ein Tablet oder ein Wearable kann jederzeit angreifbar werden, wenn die Mitarbeiter des Herstellers oder die Partner für das Lösungsmanagement einen Fehler machen.

Technologiehersteller sollten eine Produktsicherheitspolitik für einen sicheren Entwicklungslebenszyklus einführen. Dies würde bedeuten, dass Ingenieure, Produktmanager, Unternehmensleiter und andere Personen Sicherheitsbedenken schon früh im Produktentwicklungsprozess sowie während des gesamten Support- und Servicezyklus ansprechen können. Das ist der beste Weg, um die Risiken bei der Nutzung eines mobilen Geräts zu minimieren. Es ist von entscheidender Bedeutung, dass die Sicherheitsprinzipien während des gesamten Entwicklungszyklus von der Konzeption bis zur Fertigstellung berücksichtigt werden.

Hersteller und Partner sollten nicht davon ausgehen, dass Sicherheitsmechanismen, die sich bei einem Kunden bewährt haben, auch bei allen anderen Kunden funktionieren. Um Risiken zu minimieren, sollte man daher Anwendungsfälle zum Zeitpunkt der Herstellung, der Inbetriebnahme und des vollständigen Betriebs festlegen. Angesichts der langen Lebensdauer führender mobiler Unternehmensgeräte können Technologiehersteller die Entwicklung der Anwendungsfälle überwachen und die Sicherheitstools anpassen. So unterstützen sie die Anforderungen an die Geräte- und Datensicherheit im Wandel der Zeit.

Nicht alle Hersteller mobiler Geräte verfügen über eine Unternehmensrichtlinie, die die Produktsicherheit regelt – geschweige denn eine, die die Rolle der Mitarbeiter bei der Produktsicherheit festlegt oder eine kontinuierliche Sicherheitsunterstützung zusichert. Diejenigen, die über solche Richtlinien verfügen, haben möglicherweise unterschiedliche Anleitungen und Verpflichtungen darin festgelegt. Daher ist es wichtig, sich vor einer Bestellung von mobilen Computern nach den Sicherheitsrichtlinien und -praktiken der einzelnen Gerätehersteller zu erkundigen. Es gilt herauszufinden, ob das Unternehmen ein branchenübliches Modell zur Messung seiner Softwaresicherheitsmechanismen und seines Reifegrads anwendet.

Das Open Worldwide Application Security Project (OWASP) Software Assurance Maturity Model (SAMM) ist ein nützlicher und anerkannter Standard, der fünf Funktionsbereiche abdeckt: Governance, Design, Implementierung, Überprüfung und Betrieb. Es kann zur Bewertung von Geschäftseinheiten innerhalb der Organisation eines Herstellers verwendet werden, wobei die Ergebnisse vierteljährlich dem Vorstand vorgelegt werden. Positive Ergebnisse geben den Kunden die Gewissheit, dass sich ihr Gerätehersteller für die Minimierung des Sicherheitsrisikos für den Kunden einsetzt.

Auch Partner einbeziehen

Hohe Standards zur Minderung von Sicherheitsrisiken sollten auch für die Partner und Lieferanten eines Herstellers gelten. Es gibt Vereinbarungen, in denen technologiebezogene Dienstleistungen für den Hersteller erbracht werden oder Software für die Verwendung durch den Hersteller oder seine Kunden entwickelt oder lizenziert wird. Hier müssen Anbieter garantieren, dass sie die Rechte haben, dem Hersteller die Software zur Verfügung zu stellen, dass die Software den Open-Source-Verpflichtungen und den geltenden Gesetzen entspricht und dass sie keinen illegalen Code enthält.

Dies gilt unabhängig davon, ob es sich um Software handelt, die in mobile Computergeräte integriert ist, oder um eine App, die zur Unterstützung eines bestimmten Kunden-Workflows entwickelt wurde.

Darüber hinaus sollte man von den Lieferanten Versicherungen, Geschäftskontinuitätspläne, Datenschutzprogramme und andere interne Mechanismen verlangen, um die Einhaltung der Sicherheitsrichtlinien zu unterstützen und das Risiko für die Kunden zu mindern. Ebenso wie der Kunde sollten auch der Hersteller und der Partner niemals die Verantwortung für einen Sicherheitsvorfall im Zusammenhang mit mobilen Kundengeräten übernehmen wollen.

Wer ein mobiles Gerät verwendet, vertraut dem Hersteller, dass er einen selbst und seine Daten schützt. Man muss sich jedoch vergewissern, dass man ihm vertrauen kann. Man sollte niemals davon ausgehen, dass der Hersteller die vielen verschiedenen Sicherheitsrisiken, mit denen ein Unternehmen täglich konfrontiert ist, ordnungsgemäß entschärft hat.

Bei der „mobilen Sicherheit“ geht es um viel mehr als um die Sicherheit mobiler Anwendungen oder die Multifaktor-Authentifizierung in Unternehmensumgebungen. Es gibt mehrere andere Mechanismen, die in das Gerät und die Software integriert werden müssen.

Letztendlich sollten man genau wissen, bei wem man kauft und was man kauft. Darüber hinaus gilt es sicherzustellen, dass der Hersteller oder Technologieanbieter weiß, wie man das Gerät zu nutzen gedenkt, damit er einem helfen kann, das Gerät gegen verschiedene Bedrohungen zu schützen.

Außerdem gilt es sich zu vergewissern, was die Sicherheitsversprechen der einzelnen Gerätehersteller wirklich bedeuten. Außerdem sollten man sicherstellen, dass alle Sicherheitstools genutzt werden, um Schwachstellen zu minimieren und das Risiko für Unternehmen zu verringern.

Über den Autor: Erv Comer ist Engineering Fellow bei Zebra Technologies.

(ID:49872399)