- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Fragmentierung macht Compliance-Nachweis schwierig


Die fünf Säulen effizienter und sicherer Datenverschlüsselung
Compliance-Anforderungen sind ein entscheidender Motivationsfaktor für den Einsatz von Verschlüsselungstechnologie


- Anzeigen -





Von Garry McCracken, Vice President Technology bei WinMagic

Die Verschlüsselung von Daten ist rund um den Globus zu einem zentralen Bestandteil der IT-Sicherheitsstrategie von Unternehmen geworden. Das hat unterschiedliche Gründe. Öffentlich bekannt gewordene Fälle von Datenschutzverletzungen und Datendiebstahl haben Unternehmenslenker für die Folgewirkungen sensibilisiert. Neben rechtlichen Konsequenzen können Datenschutzverletzungen und Datenverluste auch negative Folgen für den Ruf des Unternehmens haben. Und auch Compliance-Anforderungen, wie sie etwa der PCI DSS an Unternehmen stellt, die Kreditkartentransaktionen nutzen, sind ein entscheidender Motivationsfaktor für den Einsatz von Verschlüsselungstechnologie.

Moderne Datenverschlüsselung steht auf fünf Säulen: Sie ist universell, hoch automatisiert, sie nutzt moderne Authentifizierungsmechanismen, sie setzt auf Verschlüsselungstechnologien auf Hardwareebene und sie ist transparent und zentral verwaltet. Die Säulen im Einzelnen.

Erste Säule: Geräte-, Plattform- und Ressourcen-Unabhängigkeit
Moderne IT-Umgebungen umfassen eine Vielzahl von Geräten und Betriebssystemen, die häufig MacOS, Windows und Linux als Betriebssystem verwenden. Unterschiede von Geräten und Plattformen sollten jedoch keine Hindernisse für einen universellen Sicherheitsschutz sein. Moderne Verschlüsselungslösungen decken eine größtmögliche Bandbreite an Geräten, Hardwareplattformen und Betriebssystemen ab, darunter unterschiedliche Betriebssysteme, aber auch Gerätetypen wie Desktop-PCs, Notebooks und Tablets; überdies auch tragbare Speichermedien, USB-Sticks sowie einzelne Dateien und Ordner.

Eine Datensicherheitslösung, die für eine Vielzahl von Gerätetypen und Speicherressourcen entwickelt wurde, reduziert die Komplexität der sicheren Geräteverwaltung und -verschlüsselung. Der Gerätetyp wird dann für den Administrator transparent, da alle Geräte innerhalb des sicheren Netzwerks effizient verwaltet werden können.

Unternehmen, die eine solche moderne Verschlüsselungslösung betreiben, kommen nicht in das Dilemma, mehrere Sicherheitslösungen für verschiedene Geräte und Betriebssysteme einzusetzen. Denn dieser Ansatz wäre ineffizient, fehleranfällig und mit enormen Risiken verbunden, da ihre Verwaltung komplex wäre. Insbesondere wenn es sich um viele hunderte zu sichernde Medien handelt. Solche fragmentierten Ansätze machen den Nachweis der Compliance von Datenschutzvorschriften und die Durchführung konsistenter Audits zudem schwierig.

Zweite Säule: Automatisierung wichtiger Sicherheitsprozesse
Den Zugriff auf vertrauliche Unternehmensdaten zu steuern, erfordert verschiedene Sicherheitsverfahren: die Authentifizierung berechtigter Benutzer, die Durchsetzung von Zugriffsrechten und die Verschlüsselungsverwaltung für Endgeräte.

Diese Verfahren manuell bereitzustellen und umzusetzen, bringt viel Arbeit für die IT-Abteilung mit sich – insbesondere dann, wenn Berechtigungen und Zugriffsrechte für mehrere Hundert oder gar mehrere Tausend Server und mehrere Zehntausend Benutzer zugewiesen werden. Wenn die IT-Abteilung die Aktionen bestimmter Benutzer nicht einem bestimmten Konto zuordnen kann, etwa wenn privilegierte Passwörter gemeinsam genutzt werden, ist es äußerst schwierig, während eines Compliance-Audits nachzuweisen, dass der Schutz ausreichend war.

IT-Verantwortliche sollten die Vorgänge automatisieren, die für den Schutz ihrer Assets erforderlich sind, damit Benutzer und Administratoren keine Aufgaben manuell ausführen müssen. Datensicherheitslösungen, die sowohl automatisiert sind und auch in einer heterogenen Computerumgebung eingesetzt werden können, gewährleisten den Datenschutz und bieten gleichzeitig die notwendige Überwachung zum Nachweis der Einhaltung gesetzlicher Vorschriften.

Dritte Säule: Moderne Authentifizierungsmechanismen
Eine positive Authentifizierung ist ein wichtiger Faktor für den Schutz sensibler Daten. Authentifizierungsmechanismen kommen im Hinblick auf die Datenverschlüsselung beim Schutz von Verschlüsselungs-Keys, die Daten entsperren, als auch bei der Kontrolle des Zugriffs auf Netzwerkressourcen zum Einsatz. Je nachdem, welche Authentifizierungsverfahren verwendet werden, kann der Prozess zeitaufwändig, unproduktiv und störend für tägliche Arbeitsabläufe sein.

Eine Möglichkeit, Authentifizierungsmechanismen bequemer zu gestalten, ist Automatisierung. IT-Verantwortliche können dazu bestehende Systeme nutzen, etwa Verzeichnisdienste. Benutzer, die auf Cloud-basierte Unternehmensressourcen zugreifen, können sich über einen in den Verzeichnisserver integrierten Authentifizierungsprozess ausweisen. Die Verknüpfung der Authentifizierung mit Verzeichnisdiensten ermöglicht es, den Echtzeit-Validierungsprozess durch Benutzerinformationen zu steuern, die in den Listen der Verzeichnisserver gespeichert (und geändert) werden.

Die Pre-Boot-Authentifizierung ist eine weitere sichere und gleichzeitig bequeme Authentifizierungsmethode. Wenn die Authentifizierung vor dem Laden des Betriebssystems stattfindet, kann sie unabhängig von Gerätetyp und Betriebssystem einheitlich und konsistent gehandhabt werden. Die Pre-Boot-Netzwerk-Authentifizierung kann auch die Datensicherheit weiter erhöhen, indem sie Authentifizierungsfehlanpassungen zwischen Unternehmensverzeichnisdiensten erkennt.

Wenn Benutzer den Sicherheitsschutz nicht deaktivieren können und wichtige Prozesse automatisiert werden, können manuelle Eingriffe auf ein Minimum zurückgefahren werden. Dadurch lassen sich Compliance-Risiken reduzieren und die Gesamtbetriebskosten einer Datensicherheitslösung senken.

Vierte Säule: Hardwarebasierte Verschlüsselung
Einer der bedeutendsten Fortschritte in der Sicherheitstechnologie in den letzten Jahren war die Einführung von SEDs, die auf dem OPAL-Standard basieren. Die in die Laufwerkshardware eingebettete Verschlüsselung führt die Ver- und Entschlüsselung transparent außerhalb des Betriebssystems durch, wenn das Laufwerk in Betrieb ist. Wenn die Stromversorgung unterbrochen wird, werden die verschlüsselten Daten gesperrt und gesichert, sodass ein Laufwerksdiebstahl nicht zu einem Datenverlustrisiko führt.

Fünfte Säule: Zentrale Verwaltung
Moderne Verschlüsselungsanwendungen erlauben eine transparente, zentrale Kontrolle und Steuerung aller Assets und Geräte im Netzwerk über ein zentrales Monitoring ("Single Pane of Glass"). Auf diese Weise kann die Verschlüsselung von der obersten bis zur untersten Ebene angewendet und verifiziert werden.

Im Einzelnen stellen IT-Verantwortliche mit einem zentralen Monitoring sicher, dass…
>> Richtlinien, Passwortanforderungen und die Verschlüsselung von einem einzigen Kontrollpunkt aus über die gesamte IT-Infrastruktur verwaltbar sind;
>> sie den Benutzerzugriff auf Ressourcen auf konsistente, überprüfbare Weise kontrollieren können, um die gesetzlichen Anforderungen und Compliance-Vorgaben zu erfüllen;
>> Daten und Ressourcen, auf die Benutzergeräte mit Netzwerkzugriff zugreifen können (z. B. VDI-Instanzen), durch die gleichen Sicherheitsrichtlinien geschützt sind, die im gesamten Unternehmen gelten.

Die Verschlüsselung von Daten sollte heutzutage Teil einer Standard-Sicherheitsrichtlinie im gesamten Unternehmen für alle Kommunikationskanäle und Speicherungsarten sein. Um diese Anforderungen durchzusetzen, gleichzeitig aber Aufwände und Kosten im Rahmen zu halten, sollten IT-Verantwortliche nach modernen Datenschutzlösungen Ausschau halten, die im Hintergrund arbeiten und transparent bleiben. Diese Verschlüsselungslösungen schützen Daten automatisch, ohne den laufenden Betrieb zu stören. Sie ermöglichen die nahtlose Anwenderauthentifizierung im Netzwerk. Die administrativen Werkzeuge unterstützen Datensicherheitsrichtlinien zentral und im gesamten Unternehmen, zu jedem Zeitpunkt. Sie verringern den Aufwand manueller, zeitintensiver Tätigkeiten auf ein Minimum.
(WinMagic: ra)

eingetragen: 04.01.19
Newsletterlauf: 24.01.19

Digital Guardian: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Cyberangriffe auf medizintechnische Geräte

    Cyberangriffe treten in vielen unterschiedlichen Formen in Erscheinung. Wenn sie sich allerdings gegen medizinische Einrichtungen, Dienste oder Geräte richten, sind die möglichen Folgen besonders schwerwiegend - für die Patienten sowie Einrichtungen und Behörden im Gesundheitswesen. Wo es Sicherheitslücken gibt, wird es auch jemanden geben, der sie ausnutzt. Wenn man überprüfen will wie hoch das Cybersicherheitsrisiko für Patienten ist muss man drei Komponenten berücksichtigen: medizinische Einrichtungen, Dienste und die Geräte selbst, denn sie sind der Verbindungspunkt zum Patienten. Alle drei sind unter dem Dach des Internet of Medical Things (IoMT) vereint. Versagt eine der Komponenten, ist der Patient einer Gefahr ausgesetzt, die erhebliche Auswirkungen haben kann. Den Verlust personenbezogener Daten, körperliche Schäden oder sogar den Tod.

  • Kontrolle über die Daten gewinnen

    Für Cyberkriminelle sind sensible Unternehmensdaten Gold wert: Gestohlene Kundeninformationen und Account-Logins von Mitarbeitern ermöglichen Betrug und Identitätsdiebstahl; geistiges Eigentum und Geschäftsgeheimnisse lassen sich lukrativ an die Konkurrenz verkaufen. Kontrolle über ihre Daten zu gewinnen, ist in Zeiten massiv wachsender Datenmengen für Unternehmen jeder Größe eine Herausforderung. E-Mails, Kollaborations-Tools und mobile Geräte verbinden Mitarbeiter, Dienstleister und Geschäftspartner, gewähren zugleich aber Zugang zu Unternehmensnetzwerken, die oft vertrauliche Informationen enthalten. Zudem haben Nutzer häufig höhere Zugriffsrechte, als für ihre Aufgaben erforderlich wäre. Das verschärft das Risiko von Datendiebstahl weiter, sowohl durch externe Angreifer als auch durch Insider-Bedrohungen.

  • Sicherheit & Schutz der Privatsphäre

    Patientendaten sind extrem vertrauliche Informationen. Sie besonders zu schützen ist nur konsequent, und die Institutionen im Gesundheitswesen sind sich der Tragweite bewusst. Die hier anfallenden Daten, die sogenannten PHI-Daten, Personal Health Information, sind so sensibel wie begehrt. Das führt schon seit einigen Jahren dazu, dass Institutionen im Gesundheitswesen kontinuierlich mit Angriffen von Innentätern als auch von externen Cyberkriminellen zu kämpfen haben. Die Beispiele erfolgreicher Attacken sind Legion. Auch hierzulande hat es bereits spektakuläre Vorfälle mit schwerwiegenden Folgen gegeben. PII-Daten gehören zu den Daten, die sich besonders gut verkaufen lassen, und die finanzielle Motivation spielt bei externen Angreifern eine entscheidende Rolle. Es verwundert also nicht, dass die Zahl der Angriffe steigt und die verwendeten Vektoren zunehmend ausgefeilter werden. Ziel ist es, illegitim auf alle Arten von medizinischen Daten und Patienteninformationen zuzugreifen und dabei möglichst lange unentdeckt zu Werke zu gehen. Gleichzeitig gehört die Gesundheitsbranche zu den besonders stark regulierten Industriezweigen. Regulatorischer Druck und mögliche Strafen, stellen die Verantwortlichen vor nicht zu unterschätzende Herausforderungen.

  • Die ersten 90 Tage

    Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest. Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss. Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

  • Wird Bluekeep zu WannaCry 2.0?

    Vor kurzem entdeckte Microsoft die Sicherheitslücke Bluekeep, die die schlimmsten Cyberangriffe seit der berüchtigten Ransomware-Attacke WannaCry aus 2017 ermöglichen könnte. WannaCry konnte sich nur deshalb so weit ausbreiten und solch immense Schäden verursachen, weil Tausende von Systemen nicht gepatcht waren. Microsoft hatte zwar einen Patch bereitgestellt, der vor WannaCry geschützt hätte, aber dieser Patch war bei vielen Systemen nicht aufgespielt worden. So blieben diese Systeme verwundbar. Mit Bluekeep droht sich die Geschichte zu wiederholen: Einige Wochen nach der Entdeckung von Bluekeep und Bereitstellung des Patches durch Microsoft sind immer noch fast eine Millionen Systeme mit extern exponiertem RDP ungepatcht.