- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Wer muss die Sicherheitsstrategie mittragen?


Sieben Fragen für einen effizienten CISO: Die Datenschutzresolution 2019
Hat man sich für eine Multi-Cloud-Umgebung entschieden, die vielerorts schon Realität ist, gilt es für den Sicherheitsverantwortlichen den Anbieter ausfindig zu machen, dem das Unternehmen vertrauen kann

- Anzeigen -





Von Tina Stewart, VP, Global Corporate and Field Marketing bei Thales eSecurity

Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?

Wer muss Ihre Sicherheitsstrategie mit tragen? Erfolgreiche IT-Sicherheitsabteilungen berücksichtigen von Anfang an die Geschäftsziele innerhalb ihrer geplanten Sicherheitsstrategie. Nur das gewährleistet den Erfolg des Projekts. Wo sollte man anfangen? Um Unterstützung von der gesamten Firma zu bekommen, sollte man die Vorteile einer starken Sicherheitsstrategie den Entscheidungsträgern nahebringen. Letzen Endes will jeder Teil einer erfolgreichen Strategie sein.

Wo bewahren Sie die Schlüssel auf? Für Firmen mit unterschiedlich gearteten Bedürfnissen macht eine Multi-Cloud-Strategie viel Sinn. Tatsächlich ist es inzwischen üblich, dass innerhalb eines Unternehmens verschiedene Provider die SaaS-, IaaS- und PaaS-Lösungen betreiben. Das alles parallel zu bestehenden on-premises-Systemen. Für komplexe Multi-Cloud-Umgebungen braucht man allerdings einen gründlichen Sicherheitsansatz. Dazu gehören zwingend Verschlüsselung und ein ausgereiftes Schlüssel-Management.

Wie findet man den "Anbieter seines geringsten Misstrauens"? Hat man sich für eine Multi-Cloud-Umgebung entschieden, die vielerorts schon Realität ist, gilt es für den Sicherheitsverantwortlichen den Anbieter ausfindig zu machen, dem das Unternehmen vertrauen kann (um es an dieser Stelle positiv zu formulieren). Man muss also einen Anbieter finden, der nicht nur die gewünschten Technologien bereitstellt, sondern der auch die nötigen Datenschutz- und IT-Sicherheitsvorkehrungen getroffen hat. Man sollte sich nicht scheuen gründlich zu überprüfen, ob der Drittanbieter in Sachen Sicherheit wirklich die erste Wahl ist. Das gilt vom HVAC-Anbieter bis hin zum Netzwerk-Provider. Nur so lassen sich die nicht unerheblichen Risiken durch Drittanbieter minimieren.

Was schwimmt eigentlich alles im großen Big Data-Ozean? Teil der digitalen Transformation sind die riesigen Datenmengen mit denen wir es zu tun bekommen haben. Big Data, die nicht zuletzt eine Reihe von schwerwiegenden Sicherheitsbedenken mit sich bringen. Anders als bei der Datenhaltung in traditionellen Datenbanken handelt es sich bei diesen Big Data um unstrukturierte Daten. Und so ziemlich jede Art von sensiblen Daten kann als Rohdaten in diesen Datenpool Eingang finden und sich später in einem Report wiederfinden.

Wer ein weltweit tätiges Unternehmen leitet und Daten aus Ländern verarbeitet, die unter spezielle Datenschutzregelungen und Gesetze fallen (wie etwa die EU-Datenschutz-Grundverordnung), gerät leicht in Gefahr den Compliance-Anforderungen nicht zu entsprechen. Ein großes und potenziell kostspieliges Risiko. Nutzen Sie beispielsweise Tokenisierung oder Anwendungsverschlüsselung um vertrauliche Daten besonders zu schützen, bevor Sie im großen Datenozean oder auf einer Big-Data-Plattform landen.

Sind Container ein sicherer Aufbewahrungsort? In diesem Jahr werden deutlich mehr DevOps-Teams die Container-Technologie nutzen, weil sie viel Flexibilität erlaubt und die Kosten senkt. Allerdings handelt es sich nicht um eine Technologie, die aus sich selbst heraus schon sicher ist. Wenn Sie planen in Zukunft Container zu nutzen, stellen Sie sicher, dass der Schutz sensibler Daten höchste Priorität hat. Der beste Weg ist es, sensible Daten, die in Containern gespeichert werden, zu verschlüsseln. Das gilt auch für die Daten auf die über Container zugegriffen wird.

Vielleicht ist es an der Zeit über mehr Sicherheit für den Application Stack nachzudenken? Wenn man von der Laufwerksebene langsam auf die Anwendungsebene ganz nach oben wandert, stellt man fest, dass jede einzelne Ebene unterschiedliche Sicherheitsanforderungen mit sich bringt. Grundsätzlich kann man sagen, je grundlegender die Ebene ist auf der man Verschlüsselung integriert, desto einfacher ist die Implementierung und desto weniger beeinträchtigt sie die Anwendungen. So vorzugehen ist ohne Frage sinnvoll. Allerdings kann man auf der höheren Anwendungsebene einen größeren Sicherheitslevel einziehen und unterschiedliche Bedrohungsrisiken in den Griff bekommen. Tokenisierung auf Anwendungsebene ist eine solche Methode.

DSGVO/GDPR, der Gold-Standard für Compliance? Und schlussendlich sollte man die DSGVO/GDPR nicht aus den Augen verlieren. Dazu kommen inzwischen weitere Regularien wie der California Consumer Privacy Act, die für deutliche Verbesserungen beim Datenschutz schon jetzt sorgen. Diese Entwicklung trägt dazu beide, dass das Thema Compliance auf der Agenda der Sicherheitsverantwortlichen ganz nach oben rückt.

2018 war ein Jahr in dem die digitale Transformation ein großes Stück vorangekommen ist und sich etliche neue Technologien etabliert haben. Beide Entwicklungen haben im Gegenzug dafür gesorgt, dass wir es inzwischen mit mehr potentiellen Sicherheitsrisiken zu tun haben als jemals zuvor.
(Thales eSecurity: ra)

eingetragen: 30.01.19
Newsletterlauf: 28.02.19

One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • IAM eine der grundlegenden Sicherheitsmaßnahme

    Wenn man die Analogie zum Fußball bemühen will, dann hat der Erfolg einer IT-Sicherheitsabteilung maßgeblich mit einer guten Verteidigung zu tun. Es kommt darauf an, dass die Abwehr geschlossen steht und der Gegner am besten gar nicht erst zum Schuss oder auch nur in eine dafür geeignete Position gelangt. Die beste Voraussetzung für einen Sieg. Ein Bild, dass sich durchaus auf den Datenschutz und das Zusammenwirken unterschiedlicher Sicherheitsebenen übertragen lässt. Im Idealfall hält ein mehrschichtiger Sicherheitsansatz Cyberkriminelle davon ab "ein Tor zu machen" - sprich in ein Netzwerk vorzudringen, an Unternehmensdaten zu gelangen, diese zu entwenden und zu missbrauchen.

  • Angriffe, die keinem bekannten Muster folgen

    Technologien, die auf künstlicher Intelligenz basieren, sind inzwischen weit verbreitet und für hunderttausende IT-Sicherheitsexperten auf der ganzen Welt zugänglich. Forscher müssen dank künstlicher Intelligenz nicht mehr am Computer Unmengen von Zahlen und Daten analysieren. Der Siegeszug der KI hat einige Gründe. Einer davon ist die zur Verfügung stehende Rechenleistung. Wirtschaftliche Cloud-Lösungen und bedienerfreundliche Tools haben ebenfalls dazu beigetragen ausgereiftes maschinelles Lernen und Algorithmen, die auf künstlicher Intelligenz beruhen, einem breiten Kreis von Anwendern zugänglich zu machen und mithilfe dieser Tools Probleme zu lösen.

  • Angreifer werden zunehmend hartnäckiger

    Unternehmen, die im Umbruch sind, scheinen besonders gefährdet zu sein, Opfer von Hacking-Angriffen zu werden. Laut des gerade erst veröffentlichten M-Trends Reports von FireEye, scheint sich ein Trend abzuzeichnen, dass Unternehmen oder Organisationen, die einen Merger & Acquisition-Prozess durchlaufen, gezielt ins Visier von Cyber-Bedroher geraten. Schwächstes Glied in der Kette ist demnach der Mitarbeiter: Phishing-E-Mails sind die wichtigsten Einfallstore für Hacker, um via einem gefälschten Link oder verseuchten Anhängen Zugriffe auf ein Netzwerk zu erlangen.

  • Hype um die Sicherheit

    Von Automobilherstellern über Chemie- und Industrieunternehmen bis zum verarbeitenden Gewerbe - Robotic Process Automation (RPA) findet in verschiedenen Branchen Anwendung und führt dort zu wirtschaftlichen Vorteilen. Besonders etabliert hat sich der Einsatz von Software-Robotern in den Bereichen Finanzen und Buchhaltung sowie IT, Personalwesen und Einkauf, wo sensible Informationen im Umlauf sind. "Durch den Einsatz von RPA lassen sich administrative Aufwände rund um den Datenschutz erheblich vereinfachen", erklärt Alexander Steiner, Chief Solution Architect der meta:proc GmbH. "Gleichzeitig gilt es einige Dinge zu beachten, wenn der Bot vollen Zugriff auf sensible Kundendaten erhält."

  • Algorithmen in einer Post-Quantum-Welt

    Die National Academies of Sciences, Engineering and Medicine veröffentlichte einen neuen Bericht, in dem sie Fortschritte und Perspektiven - oder deren Fehlen - rund um das Thema Quantencomputer - untersucht hat. Der Report skizziert verschiedene technische und finanzielle Probleme, die es zu überwinden gilt, bevor man einen funktionsfähigen Quantencomputer bauen kann. Selbst für Prognosen für die zeitliche Entwicklung der Technologie ist es nach Ansicht der Wissenschaftler noch zu früh. Auch wenn das für einige überraschend klingen mag: die Art der Fortschritte auf diesem Gebiet und das technologische Wachstum haben sich im Laufe der Jahre so dramatisch verändert, dass einige Experten davon ausgehen, dass wir möglicherweise nie eine groß angelegte Implementierung sehen werden.