Gezieltes Risikomanagement und Analyse der Sicherheit für IT-Anwendungslandschaften

Autoren: DR. CHRISTIAN WEICHELT, Director Solution Marketing, alfabet AG – THOMAS REEG, Geschäftsführer, Reeg IT-Service Wie Sie Ihre Anwendungslandschaft aus den Schlagzeilen halten! Einer der sichersten Wege für Unternehmen, eine breite Aufmerksamkeit in den Medien zu bekommen, sind spektakuläre Sicherheitslücken in ihrer IT-Landschaft. Um genau diese Art von Schlagzeilen zu verhindern, investieren nicht nur große Unternehmen viel Geld in die Analyse der Sicherheit ihrer Anwendungslandschaft und in gezieltes Risikomanagement. Dass dennoch immer wieder der Verlust von Kundendaten oder die Überwindung bestehender Sicherheitssysteme Aufsehen erregen zeigt, wie schwierig es ist, den Überblick über bestehende und entstehende Sicherheitslücken zu behalten – vor allem vor dem Hintergrund zunehmend komplexer und sich ständig verändernder Prozesse und Anwendungen sowie gleichzeitig sinkender IT-Budgets. Eine grundlegende Schwierigkeit bei der Beurteilung und Nachverfolgung von Sicherheitsrisiken sind die unterschiedlichen Perspektiven, die hier zur Anwendung kommen: die der fachlichen Notwendigkeit und die der technischen Umsetzung. Die fachliche Notwendigkeit bezieht sich dabei auf den zugrunde liegenden Prozess, z.B. einen Online-Checkin, der bestimmt, welche Kritikalität der Vorgang hat und wie sensibel die verarbeiteten Daten sind. Dieser festgelegte Sicherheitsstandard muss über die gesamte technische Umsetzung hinweg eingehalten werden. Doch genau hierin besteht die Herausforderung, weil sich zwar der Bezug einer zugehörigen Applikation, z.B. Portal Online-Checkin, noch nachvollziehen lässt, dieser aber oft bei darunter liegenden Komponenten wie Datenbanken oder Kommunikationsverbindungen nicht mehr ersichtlich ist. Diese stellen dann häufig die schwächsten Glieder in der Sicherheitskette dar – und nicht selten auch die Bruchstelle wenn Sicherheitslücken kriminell ausgenutzt werden. Ähnlich wie bei einem Haus, das zwar durch eine Panzertür gesichert ist, in dem der Safe aber offen steht, werden zwar oft die Portale geschützt, Passworte liegen aber unverschlüsselt in Datenbanken, weil deren Bezug zum eigentlich zu schützenden Prozess nicht mehr nachvollziehbar ist – die Folgen sind aus den Medien hinreichend bekannt. Eine solche Nachvollziehbarkeit für die gesamte IT- Landschaft ist aber unabdingbar. Dieser Artikel befasst sich in diesem Zusammenhang mit dem Ansatz des Business IT Management. Dieser erlaubt, bezogen auf die Sicherheitsaspekte einer Anwendungslandschaft, sowohl umfassende sicherheitsrelevante Analysen als auch die Evaluation und Planung zukünftiger Veränderungen. Business IT Management und Sicherheit Business IT Management ist ein Ansatz, der sicherstellt, dass die IT die Verfolgung der Geschäftsziele unterstützt. Dieser Ansatz verbindet ein umfassendes Verständnis des Business und seiner Strategie mit dem notwendigen Einblick in die bestehende Anwendungslandschaft sowie deren Planung und Weiterentwicklung. Damit umfasst das Business IT Management mit der Durchgängigkeit seiner Konzepte die eingangs beschriebenen Perspektiven der fachlichen Notwendigkeit und technischen Umsetzung sowie deren Verknüpfung. Im Folgenden wird der dadurch geschaffene Nutzen für das Management der Sicherheit von Anwendungslandschaften beschrieben. Durchgängige Sicht auf sicherheitsrelevante Informationen Sicherheitslücken treten selten innerhalb einer Anwendung auf. Aber die wenigsten Anwendungen funktionieren heutzutage allein, also ohne mit anderen Anwendungen zu kommunizieren, verschiedene Services einzubinden oder auf gemeinsam genutzte Komponenten – wie etwa Datenbanken – zuzugreifen. Um diese analysieren zu können, ist zunächst eine ganzheitliche Beschreibung der Anwendungslandschaft, ihrer Schnittstellen und Beziehungen notwendig, einschließlich des Bezugs zu den unterstützten Geschäftsprozessen. In diesem Modell können sicherheitsrelevante Merkmale und Ausprägungen sowie entsprechende Indikatoren erfasst und ausgewertet werden. Daraus ergibt sich eine Sicht auf die Anwendungslandschaft, die ähnlich dem Wärmebild eines Hauses ist. Ein solches Bild zeigt, wo gehandelt werden muss, zum Beispiel durch Dämmung, weil zu viel Wärme abfließt. Ebenso wie bei einer Anwendung mag der Dämmwert eines Ziegels ideal sein, durch schlechte Verfugung mag die Dämmung der Wand aber dennoch durchlässig sein. Mittels einer durchgängigen Gesamtsicht können diese kritischen Bereiche rechtzeitig erkannt und entschärft werden. Integrierte Planung und Kontrolle von Maßnahmen Um nach erfolgter Analyse die notwendigen Gegenmaßnahmen gezielt umsetzen und nachverfolgen zu können, müssen sie zur bestehenden Anwendungslandschaft in Bezug gesetzt werden. Dadurch wird ein einheitlicher Blick auf die Sicherheitssituation der gegenwärtigen und der zukünftigen Anwendungslandschaft ermöglicht, vor allem unter Berücksichtigung weiterer geplanter Projekte und Maßnahmen. Die geplante Ausbesserung einer Wand mag hinfällig sein, wenn vom Architekten bereits der Einsatz eines Fensters an genau dieser Stelle geplant ist. Bei IT-Projekten fällt dies aber häufig erst dann auf, wenn beide Handwerker anrücken, um im Bild zu bleiben. Durch eine integrierte Planung werden Sicherheitsaspekte in Projekte nicht als nachgelagerte Ausbesserung behandelt, sondern sind ebenso Bestandteil der Anforderungen wie die Abbildung des zu unterstützenden Geschäftsprozesses. Umgang mit Veränderung Der Schutzbedarf bestimmter Prozesse und Anwendungen verändert sich ständig, sei es durch Richtungswechsel in der Geschäftsstrategie oder durch externe Regulierungen. Ebenso werden permanent Anwendungen erweitert, angepasst oder ersetzt, wodurch sich die Statik der Anwendungslandschaft verändert und damit die Einhaltung des vorgegebenen Schutzbedarfs. Dies zeigt, wie wichtig aktuelle und zeitnahe Information ist, um jederzeit die Sicherheitssituation richtig einschätzen zu können. Sobald sich also die Richtwerte ändern, z.B. durch neue oder angepasste externe Regulierungen, müssen diese auf die existierende und geplante Anwendungslandschaft angewandt werden können, um gegebenenfalls frühzeitig reagieren zu können. Wie ein erneutes Wärmebild mit angepassten Parametern. Dank der ganzheitlichen Sicht des Business IT Management werden die Effekte einer Änderung – beispielsweise auf Komponentenebene – auf Sicherheitsstandards – beispielsweise auf Anwendungs- oder Prozessebene – unmittelbar aufgezeigt. Schlussfolgerung Die beschriebenen Szenarien sind im Falle eines Wärmebildes recht einfach abzubilden, schließlich muss man nur das Haus erneut ablichten – eventuell mit neuen Parametern. Doch in vielen Unternehmen fehlt dieses ganzheitliche, aktuelle Referenzsystem, auf das die Anforderungen angewandt werden können. Entsprechend ist in diesem Zusammenhang die Einführung einer silo- übergreifenden Sicht der Risiken auf die Geschäftsrisiken eine der größten Herausforderungen für den CIO und den CISO1. Der Ansatz des Business IT Management bietet eine solche übergreifende Sicht und verknüpft sie zusätzlich mit Planungsaktivitäten. In vielen Unternehmen ist dies aber noch nicht gängige Praxis. Dort führen isolierte Datenerhebungen, z.B. in Microsoft Excel oder Visio, zu einer geringen Qualität der Datenbasis hinsichtlich Vollständigkeit, Konsistenz und Aktualität, wie ein aktueller Bericht von Nucleus Research2 zeigt: Demzufolge müssen viele Unternehmen bezüglich ihrer Anwendungslandschaft auf Informationen zurückgreifen, die durchschnittlich 14 Monate alt und obendrein nur zu etwa der Hälfte korrekt sind. Angesichts der Komplexität der zu verwaltenden Anwendungslandschaften und der Dynamik ihrer Entwicklung werden CIOs und Sicherheitsverantwortliche also vermehrt integrierte Software- Lösungen einsetzen, die alle Beteiligten bei der Durchführung der notwendigen Analyse- und Planungsprozesse unterstützen. Ausgehend von einer konsistenten Datenbasis, die die IT-, Business- sowie Sicherheits-Perspektive umfasst, kann damit ein kollaborativer Ansatz des Risikomanagements geschaffen werden, der Sicherheitsmaßnahmen mit Geschäftszielen verknüpft. Und das wäre mal eine positive Schlagzeile! 1 Brian Barnier auf CIOSearch.com http://bit.ly/o3KFOR 2 http://www.cio.com/white-paper/682649/The_Risks_of_Inaccurate_Data_on_IT_Applications