IT-Outsourcing und Fernzugriff

Teil 7 IT-Outsourcing und Fernzugriff Eines der wichtigsten Merkmale beim IT-Outsourcing ist, dass der Zugriff auf Daten und Dienste als Fernzugriff, in der Regel über das Internet, stattfindet. Das schließt automatisch die Möglichkeit ein, die IT auch von Orten außerhalb des Firmenareals zu nutzen, wobei jedoch einige besondere Risiken entstehen können. Chancen und Risiken Bei der Anbindung über das Internet kann vom Prinzip her von jedem Ort mit einem Internetzugang auf die IT zugegriffen werden. Dadurch ergeben sich eine Menge Möglichkeiten zu deren flexiblen Nutzung: Außendienstmitarbeiter können beispielsweise von unterwegs zugreifen, die Einrichtung von Heimarbeitsplätzen ist einfacher und auch das Anbinden von Filialen ist mit einem herkömmlichen Internetzugang möglich. Diese flexible Zugangsmöglichkeit bedingt jedoch auch, dass im Grunde jeder, der die Zugangsdaten kennt, in die IT eindringen kann. Daher sind besondere Sicherheitsvorkehrungen nötig, welche verhindern, dass Unbefugte sich Zugriff auf die IT des Unternehmens verschaffen. Ortsfeste Endgeräte Ortsfeste Endgeräte, also PCs für den Fernzugriff auf die IT eines Unternehmens werden vor allem in Filialen und an Heimarbeitsplätzen verwendet. Wenn der Zugriff über das Internet erfolgt, genügt ein Internetzugang als Anbindung. Es empfiehlt sich jedoch, einen Netzzugang mit einer festen IP zu verwenden. So kann man den Zugriff auf autorisierte Personen beschränken. Bei Heimarbeitsplätzen besteht die Gefahr, dass unbefugte Personen Zugang zu einem Rechner erlangen, mit dem man sich in die Firmen-IT einloggen kann. Die praktisch einzig mögliche Gegenmaßnahme sind entsprechende Richtlinien, die solche Dinge festlegen, wie dass der jeweilige Computer nur vom Mitarbeiter selbst benutzt werden darf und Passwörter nicht auf dem Rechner gespeichert oder mittels Heftnotiz an den Bildschirm geklebt werden dürfen. Bei Rechnern mit Zugriff auf die Firmencloud, die in Fillialen stehen, sind die gleichen Maßnahmen zu treffen wie bei Rechnern im Hauptsitz: Gefahr geht hier vor allem vom Zugriff durch unbefugte oder gar betriebsfremde Personen aus. Grundsätzlich sollte auch dafür gesorgt sein, dass der Zugriff von außerhalb des Rechenzentrums nicht mit Administratorrechten möglich ist. Administrationsaufgaben werden von Beschäftigten des Outsourcing-Dienstleisters im Rechenzentrum erledigt; nicht zuletzt dazu hat man ja seine IT outgesourcet. Auch leitende Mitarbeiter benötigen in aller Regel keine Administratorrechte und schon gar nicht beim Zugriff vom PC im häuslichen Arbeitszimmer. Mobile Endgeräte Der mobile Zugriff auf die Firmen-IT ist wie jeder Fernzugriff mit Risiken behaftet, denen man zunächst genauso begegnet wie beim Heimarbeitsplatz: Auch bei mobilen Endgeräten sind feste IPs möglich und sinnvoll, genauso wie strikte Richtlinien für den Umgang mit den Geräten. Bei mobilen Endgeräten kommt jedoch das Risiko hinzu, dass sie durch Verlust oder Diebstahl in unbefugte Hände gelangen können. Dass daher Passwörter nicht auf dem jeweiligen Gerät gespeichert sein dürfen, versteht sich von selbst. Wenn man mit festen IP- Adressen arbeitet, kann außerdem ein verloren gegangenes Endgerät sofort für den Zugriff gesperrt werden. Sicherheitskonzept Nicht zuletzt ist IT-Sicherheit auch eine Haftungsfrage. Der jeweilige IT-Outsourcing- Provider haftet natürlich nicht für Schäden, die aufgrund mangelnder Sicherheitsvorkehrungen an den Endgeräten entstehen, sofern diese durch den Kunden zu verantworten sind, beispielsweise durch den schlampigen Umgang mit Passwörtern oder wenn Unbefugte Zugang zu Computerarbeitsplätzen haben. Es wird daher erforderlich sein, ein regelrechtes Sicherheitskonzept zu erstellen, mit dessen Hilfe die Gefahr des unbefugten Zugriffes minimiert wird. Selbstverständlich kann hier der Outsourcing-Dienstleister helfen, was wiederum ein Vorteil des IT-Outsourcing ist: Während ein einzelner, firmeneigener EDV-Beauftragter oder ein kleines Team mit guter Wahrscheinlichkeit mit so etwas überfordert sein wird, gehört die IT-Sicherheit für einen einschlägigen Dienstleiter zum Tagesgeschäft. Man darf davon ausgehen, dass er sowohl grundlegende Konzepte und Erfahrung in ihrem Einsatz hat als auch in der Lage ist, diese individuell auf den einzelnen Kunden anzupassen. Um unnötige Rechtsstreitigkeiten im Schadensfall zu vermeiden, sollte das Sicherheitskonzept Bestandteil der Verträge über das IT-Outsourcing sein. Besonders wichtig ist es auch, die Mitarbeiter rechtswirksam auf dieses Konzept zu verpflichten. Und selbstverständlich sollten die Fragen der Sicherheit und der Handlebarkeit von Sicherheitskonzepten bereits von Anfang an integraler Teil der Planungen und Überlegungen zu einem eventuellen IT-Outsourcing sein, genauso wie die Überlegung, ob und mit welchen Geräten der mobile Zugriff auf die IT möglich sein soll.