Die ersten 90 Tage


Was jeder IT-Sicherheitschef wissen sollte. Ein Leitfaden
IT-Sicherheit und Entwicklung gehören zusammen - Das Verhältnis zwischen Sicherheits- und Entwicklungsteams bildet das Fundament für die IT-Sicherheit



Beitrag basiert auf einem Handbuch von HackerOne

Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss.

Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

In dieser Phase ist es hilfreich sich die Gründe anzuschauen, warum die Position gerade jetzt besetzt wurde. Egal ob Startup oder Konzern, es sind drei Hauptgründe, die immer wiederkehren:

>> Das Unternehmen wächst. Und damit auch die Sicherheitsanforderungen. Gerade Startups konzentrieren sich zunächst darauf, Produkte oder Dienstleistungen möglichst schnell auf den Markt zu bringen. Mit zunehmender User-Zahl steigt der Sicherheitsbedarf, und der durch eine Sicherheitslücke potenziell entstehende Schaden ist weitreichender. Man braucht Praktiken und Verfahren für die Applikationssicherheit und Richtlinien für Infrastruktur-, Netzwerk- und Cloud-Sicherheit. Letztere verbinden die IT-Sicherheitsabteilung mit anderen wichtigen Abteilungen im Unternehmen. Dadurch sieht sich die Abteilung wahlweise in der Rolle des Kapitäns oder des Botschafters zwischen Abteilungen und Hierarchieebenen. Ein grundlegend anderes Anforderungsprofil als zu Anfang.

>> Übernahme eines Unternehmens. Wird ein Unternehmen übernommen, ist eine der wichtigsten Aufgaben, die betreffenden Systeme sicher in eigene Umgebung zu integrieren. Anwendungen weisen potenziell Schwachstellen auf oder durch die Übernahme entsteht ein neues Risikoprofil. Die sichere Integration liegt in der Verantwortung des Leiters der IT-Sicherheit.

>> Expansion in eine neue Region. Wer in neuen Regionen unternehmerisch tätig wird, sieht sich mit neuen Regularien, Gesetzen und Vorschriften konfrontiert, die es zu verstehen und anzuwenden gilt. Die EU-Datenschutzgrundverordnung (DSGVO/GDPR) ist dabei nur eines von vielen Beispielen.

Wer einen angemessenen Sicherheitsplan erstellen und mittel- bis langfristig umsetzen will, kann das in der Regel besser, wenn er die Gründe versteht, warum die Position gerade jetzt besetzt worden ist.

Der Status Quo
Im zweiten Schritt gilt es sich ein Bild von der derzeitigen Sicherheitslage zu machen und dabei die unterschiedlichen Blickwinkel in einem Unternehmen zu berücksichtigen.

Sprechen Sie mit Führungskräften und Managern aus verschiedenen Abteilungen, wie Personal, Recht, Finanzen, IT und Sicherheit. Von ihnen erfahren Sie, welche Risiken und Bedrohungen für das Unternehmen als Ganzes bestehen. Fragen Sie nach dem aktuellen Stand des Risikomanagements und wie die ermittelten Risiken konkret gehandhabt werden. In welchem Zeitfenster werden Bedrohungen erkannt und wie lange dauert es bis die Schadensbegrenzung greift? Es ist leichter, Risiken einzuschätzen und zu priorisieren, wenn man das Gesamtbild vor sich hat, also etwa geschäftliche und technologische Risiken im Allgemeinen.

Machen Sie sich ein Bild von den jüngsten Vorfällen ebenso wie von wichtigen Problemen im Unternehmen. Die weisen nicht selten auf systembedingte Mängel hin, die man sofort beheben muss. Oder sie geben Anlass für Verfahrensverbesserungen, die das Risikomanagement als Ganzes effizienter machen.

Die Zusammenarbeit mit anderen Abteilungen hat zwei Vorteile. Zunächst werden Sie besser verstehen wie das Unternehmen derzeit mit Risiken umgeht. Zweitens haben Sie dadurch die Gelegenheit sich als Partner zu positionieren und nicht als Gegner. Sie sind nicht jemand, der nur Probleme auf den Tisch bringt oder gar Schuldzuweisungen trifft. Das übergreifende Ziel ist es Risiken zu senken und die Sicherheit für Mitarbeiter und Kunden zu verbessern. Das gelingt am besten wenn man zunächst eine vergleichsweise altmodisch anmutende Tugend beherzigt. Zuhören.

Entwickler ins Boot holen
IT-Sicherheit und Entwicklung gehören zusammen. Das Verhältnis zwischen Sicherheits- und Entwicklungsteams bildet das Fundament für die IT-Sicherheit. Allerdings bedarf es vorab meistens einiger vertrauensbildender Maßnahmen. Für Entwicklungsteams ist es wichtig zu verstehen, dass Sie da sind, um Lösungen zu finden. Sie sind nicht die "Code-Polizei", die mit der Tür ins Haus fällt. Ihre Rolle ist es, Entwicklerteams zu unterstützen, Lösungen für fundamentale Sicherheitsprobleme zu finden und dabei Funktionalitäten nicht aus den Augen zu verlieren. Auf der Suche nach praktikablen Lösungen, haben beide Bereiche ein gleichberechtigtes Mitspracherecht. Schon weil jedes Unternehmen Lösungen brauchen, mit denen beide Abteilungen gut leben können.

Sicherheit aus Sicht des Benutzers
Ein wichtiges Element für den Aufbau einer tragfähigen Sicherheitsstrategie ist, wie diese aus Sicht der Mitarbeiter und Kunden wahrgenommen wird. Beide Sichtweisen sind der Schlüssel zu einer erfolgreich umgesetzten Sicherheitsstrategie. Ethical Hacker machen sich mit der oder den Sicherheitslösungen vertraut und versuchen, sich in die Rolle eines Benutzers zu versetzen. Sie versuchen das System zu knacken indem sie unerwartete Dinge tun. Die Frage ist dabei: "Was kann ein Benutzer tun, um das System dazu zu bringen, etwas zu tun, das es nicht tun sollte?" Der Sicherheitsverantwortliche eines Unternehmens sollte mit einem ganz ähnlichen Ansatz an seine Aufgabe herangehen. Beginnen Sie damit, den Onboarding-Prozess der Mitarbeiter von Anfang bis Ende durchzugehen. Achten Sie besonders auf Prozesse, die das Erstellen von Konten oder Passwörtern betreffen oder das

Bereitstellen von Hardware. Suchen Sie nicht nach Schwachstellen, sondern achten Sie auf Anzeichen von Ineffizienz und für offensichtliche Problembereiche.

Wechseln Sie anschließend die Perspektive und tauschen Sie die interne Sichtweise gegen die eines Kunden. Fangen Sie beim Marketing an, gehen Sie weiter zu den Kundenkonten und den damit verbundenen Zugriffsberechtigungen, der Eingabe von Kreditkarten-informationen oder wie auch immer der individuelle Ablauf aussieht. Wichtig ist es, sich die Wahrnehmung aus Sicht eines zahlenden Kunden zu Eigen zu machen. Wenn man die internen und externen Abläufe aus Sicht der jeweiligen Benutzer versteht, ist es leichter die zukünftige Strategie zu steuern.

Potenzielle Bedrohungen für Netzwerksysteme
Beim Threat Modeling überprüft man proaktiv wie ein System aufgebaut ist um potenzielle Bedrohungen zu erfassen. Threat Modeling hat den Vorteil, Probleme vorausschauend zu Identifizieren und Systembedrohungen in Form von möglichen Schwachstellen zu erkennen. Und zwar bevor ein Angreifer sie ausnutzt. Voraussetzung ist allerdings, dass dies früh genug im Entwicklungszyklus passiert. Die Ergebnisse des Threat Modeling haben durchaus das Potenzial Ihre bisherigen Pläne über den Haufen zu werfen. Es hat aber auch einen unschätzbaren Vorteil: Threat Modeling erlaubt es, Sicherheitsbudgets und Aktivitäten wie Penetrationstests zu fokussieren.

Priorisieren und umsetzen
Bis zu diesem Punkt haben Sie hoffentlich Antworten auf die folgenden Fragen gefunden und die entsprechenden Informationen einholen können:

>> Welche Projekte laufen aktuell?
>> Welche Projekte sind nötig um den Sicherheitsstatus zu verbessern?
>> Verbesserungen, die auf den Ergebnissen des Threat Modeling basieren
>> Sie haben sich einen Überblick über Risiken und Bedrohungen verschafft
>> Sie kennen die Systeme sowohl aus technischer als auch aus benutzerorientierter Sicht in- und auswendig
>> Sie haben entschieden, welche Projekte zunächst durchgeführt und abgeschlossen werden müssen

Soweit die Bestandsaufnahme aus verschiedenen Perspektiven. Jetzt muss man nur noch wissen, was man zuerst tun sollte. Ein Allheilmittel für eine effektive Planung gibt es nicht.

Aber es gibt Möglichkeiten, die erforderlichen Bestandteile des Plans aufzuschlüsseln und in sinnvoll anzuordnen.

Eine Checkliste wie diese hilft dabei:
>> Verstehen Sie zunächst die Gründe, die für die bereits laufenden Projekte entscheidende Auslöser waren. Basieren sie auf einem echten Bedarf? Basiert dieser Bedarf auf erhobenen Daten? Möglicherweise ist es notwendig Projekte zu beenden, die entweder nicht mehr wichtig oder nicht erfolgreich verlaufen sind.

>> Finden Sie heraus, welche Initiativen als nächste auf dem Plan stehen sollten, indem Sie versuchen zukünftige Bedarfe zu antizipieren. Das können gesetzliche Änderungen sein, neue Marketing- oder Technologieinitiativen. Setzen Sie die Prioritäten für das kommende Jahr.

>> Nach der Projektliste kommt der schwierige Teil. Sie haben nur begrenzte Ressourcen und müssen die Projekte auswählen, die im Moment absolut notwendig sind. Gehen Sie das kommende Jahr quartalsweise durch. Wählen Sie für das erste Quartal ein oder zwei Projekte aus, die erledigt werden müssen und bei denen Sie keinerlei Spielraum haben.

>> Bei jedem folgenden Quartal stellen Sie sich vor, dass Sie wieder am Anfang des ersten Quartals stehen. Die beiden ersten Projekte sind erfolgreich erledigt. Welches Projekt muss genau jetzt folgen? Dieses Projekt ist das nächste Projekt auf Ihrer Prioritätenliste. Gehen Sie das gesamte Jahr so durch und platzieren Sie jedes Projekt dort, wo es hingehört. Alle Projekte werden in diesem Jahr abgeschlossen, aber nicht alle sollten gleichzeitig in Arbeit sein. Diese Art der Planung stellt sicher, dass sich das IT-Sicherheitsteam auf den Abschluss des jeweils wichtigsten Projekts konzentrieren kann. Wenn man seine Mitarbeiter auf zu viele Projekte gleichzeitig verteilt, führt das oft dazu, dass man nur minimale Fortschritte erzielt und dabei riskiert, dass schlussendlich keines der Projekte abgeschlossen wird. Wenn man es schafft sich mit sämtlichen Ressourcen auf zwei, vielleicht drei Projekte zu konzentrieren, stellt man soweit als möglich sicher, diese abzuschließen bevor man mit dem nächsten startet.
(HackerOne: ra)

eingetragen: 11.07.19
Newsletterlauf: 14.08.19

HackerOne: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

Mehr als ein sicherer Datentresor

Die fortschreitende Digitalisierung bringt Unternehmen in puncto Produktivität und Kosteneffizienz viele Vorteile. Sie erhöht aber zugleich ihre Abhängigkeit von den eingesetzten Technologien und setzt damit ihre technologische und Informationssouveränität auf Spiel. Selbstbestimmtes und unabhängiges Agieren bildet jedoch für Unternehmen die wesentliche Basis, um innovativ und damit wettbewerbsfähig zu bleiben.

Blockchain-Ansatz der falsche Weg?

Blockchain ist eine faszinierende Innovationstechnologie. Doch nicht überall, wo ihr Einsatz möglich ist, ist er auch sinnvoll – das zeigt die kürzlich entbrannte Debatte rund um digitale Zeugnisse. Peter Amrhyn, CTO von Swisscom Trust Services, nimmt Möglichkeiten und Grenzen sowie Alternativen von Blockchain-Infrastrukturen unter die Lupe.

Cyber-Angriffe per Update breit gestreut

Angriffe auf die Lieferkette – die Supply Chain – für Software (und für Hardware) von IT bedrohen auch kleine und mittlere Unternehmen. Updates für Dienste und Software stellen eine immer gefährlichere Schwachstelle dar, zumal Cyber-Kriminelle sich vom Kapern eines Updates ein Streuen der Angriffe auf zahlreiche Opfer versprechen. Kleine und mittlere Unternehmen sollten nicht nur ihre Cyber-Abwehr aktualisieren, sondern ebenso ihre Lieferketten für den Bezug von Software, Hardware und Updates überprüfen.

Wie man Schatten-Administratoren aufspüren kann

Schatten-Administrator-Konten sind Benutzerkonten mit zu hohen Berechtigungen, die versehentlich zugewiesen wurden. Kompromittiert ein Hacker ein Schatten-Admin-Konto, stellt dies ein hohes Risiko für die Unternehmenssicherheit dar, da der Angreifer damit weitere privilegierte Konten kapern kann, um auf deren Zielsysteme zuzugreifen und diese zu gefährden. Die Identifizierung von Schatten-Admins und die Einschränkung ihrer Berechtigungen ist jedoch keine einfache Aufgabe.

Identitätsrisiken verstehen und beherrschen

Identitäten und die mit ihnen verbundenen Berechtigungen sind die neuen Perimeter. Dafür haben hybride Arbeitsmodelle und die flächendeckende Migration in die Cloud inzwischen gesorgt. Sicherheitsansätze, die Identität/en in den Fokus stellen, sind nicht grundsätzlich neu. Aber dank dieser veränderten Bedingungen, nehmen Angreifer sie mehr denn je und sehr gezielt ins Visier, um sich dauerhaft unerkannt in einer Netzwerkumgebung einzunisten. Der Missbrauch von Anmeldeinformationen ist eine der vorrangigen Ursachen für Datenschutzverletzungen.

Besuchen Sie SaaS-Magazin.de

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>


Kostenloser Newsletter

Werktäglich informiert mit IT SecCity.de, Compliance-Magazin.de und SaaS-Magazin.de. Mit einem Newsletter Zugriff auf drei Online-Magazine. Bestellen Sie hier

Fachartikel

Grundlagen

Big Data bringt neue Herausforderungen mit sich

Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.

Bösartige E-Mail- und Social-Engineering-Angriffe

Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.

Zertifikat ist allerdings nicht gleich Zertifikat

Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

Datensicherheit und -kontrolle mit CASBs

Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

KI: Neue Spielregeln für IT-Sicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

Fluch und Segen des Darkwebs

Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

Diese Webseite verwendet Cookies - Wir verwenden Cookies, um Inhalte und Anzeigen zu personalisieren, Funktionen für soziale Medien anbieten zu können und die Zugriffe auf unsere Website zu analysieren. Außerdem geben wir Informationen zu Ihrer Verwendung unserer Website an unsere Partner für soziale Medien, Werbung und Analysen weiter. Unsere Partner führen diese Informationen möglicherweise mit weiteren Daten zusammen, die Sie ihnen bereitgestellt haben oder die sie im Rahmen Ihrer Nutzung der Dienste gesammelt haben. Mit dem Klick auf „Erlauben“erklären Sie sich damit einverstanden. Weiterführende Informationen erhalten Sie in unserer Datenschutzerklärung.