E-Interview mit Stefan Strobel zum Virtual Roundtable „IT-Sicherheitsmanagement im Unternehmen“

Virtual Roundtable: „IT-Sicherheitsmanagement im Unternehmen“ Virtueller Roundtable „IT-Sicherheitsmanagement im Unternehmen“ Teilnehmer: Stefan Strobel Organisation: cirosec GmbH Kurzeinführung in das Thema: Die Umfrage des BSI (2004) 1 weist gut funktionierenden IT-Systemen eine wichtige Rolle bei fast 100 Prozent der Befragten zu. Gleichzeitig wird eine mangelnde IT-Sicherheit in den Unternehmen von 89 Prozent der Befragten als erhebliche Bedrohung für die Wirtschaft in Deutschland angesehen. Die Gefahren steigen weiter: weit vorne liegen Spam und Viren als die größte Bedrohung für die Unternehmensdaten und -informationen. Andererseits wird die Abwehr dieser Bedrohungen auch stärker. Die Unternehmen erweitern ihre IT-Security-Budgets und bauen die IT-Infrastruktur aus. Als Ergebnis wurde im Jahr 2005 bereits bei weniger Unternehmen Schäden wie z.B. Datenverlust oder Systemstörungen gemeldet (von 29 Prozent auf 14 Prozent gesunken) als im Vorjahr. Das IT Sicherheitsmanagement funktioniert also, scheinbar. Oder ist das nur eine Episode im Wettlauf mit den IT-Angriffen, die bald wieder zugunsten der Angreifer ausschlägt? Welchen Stellenwert hat das IT-Sicherheitsmanagement in den Unternehmen aus der Sicht unserer Experten heute schon oder noch nicht? Wie hoch sollte das Budget für IT- Sicherheitsmaßnahmen sein, woran soll es sich orientieren? Welche Maßnahmen sind „must have“, was ist wünschenswert und wo liegen die häufigsten und wo die gefährlichsten Schwachstellen? Diese und weitere Fragen sind Gegenstand dieser Expertenrunde. 1 Im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) wurden 500 Experten, IT- Verantwortliche aus Unternehmen und Verbänden. Virtual Roundtable: „IT-Sicherheitsmanagement im Unternehmen“ Frage 1: Stellenwert der IT-Sicherheit im Unternehmen Lange Zeit lag die Verantwortung für die IT-Sicherheit im Unternehmen in den technisch orientierten Abteilungen. Seit längerem wird gefordert, dies zur Chefsache zu machen. Ist dies schon der Fall? Wo liegt Ihrer Meinung nach, die Verantwortung für die Sicherheitsmaßnahmen in einem Unternehmen? Welche Experten sollten das Sicherheitsteam bilden? Stefan Strobel: Bei Konzernen und großen Unternehmen gibt es zum großen Teil schon seit einigen Jahren eine eigene IT-Sicherheitsorganisation, die außerhalb der technischen Fachabteilungen aufgehängt ist. Je kleiner die Unternehmen werden, umso weniger häufig ist dies der Fall. Virtual Roundtable: „IT-Sicherheitsmanagement im Unternehmen“ Frage 2: Grundlagen des IT-Sicherheitsmanagements IT-Sicherheitsmanagement ist ein weiter Begriff. Die Basics wie Antiviren-Programme, Firewall und Backup-Möglichkeiten gehören bereits zur Grundausstattung jedes Unternehmens. Was ist Ihrer Meinung nach das Kennzeichnende für IT-Sicherheitsmanagement? Was sind unverzichtbare „must have“-Elemente und Maßnahmen? Was sind die wichtigsten Guidelines und Faktoren bei der Auswahl der Sicherheitsmaßnahmen? Stefan Strobel: Zunächst einmal ist es wichtig, IT-Sicherheitsmanagement nicht primär mit konkreten technischen Umsetzungen wie Firewalls oder AntiVirus zu assoziieren, sondern die Organisation selbst, die Verantwortlichkeiten und Abläufe zu sehen. In diesem Umfeld gibt es einige Standards, an denen man sich orientieren kann und die beim Aufbau dieser Strukturen helfen können. Sowohl das Grundschutzhandbuch des BSI, als auch internationale Standards wie ISO 13335 oder 27001 sind dafür mögliche Startpunkte. Die konkreten, technisch sinnvollen Elemente ergeben sich dann aus der individuellen Bedrohungslage, dem tatsächlichen Schutzbedarf und der konkret vorhandenen IT- Infrastruktur. Virtual Roundtable: „IT-Sicherheitsmanagement im Unternehmen“ Frage 3: Compliance und IT-Sicherheitsmanagement Die Compliance-Richtlinien sollen die Unternehmensprozesse, Ressourcen und deren Nutzung und ggf. Missbrauch transparent machen und dadurch vorbeugen. Welche Bedeutung haben diese Richtlinien auf das IT-Sicherheitsmanagement im Unternehmen? Wie spiegelt sich das in der Umsetzung wider? Stefan Strobel: Der Begriff „Compliance“ bekommt erst dann eine Bedeutung, wenn man ihn zusammen mit einem konkreten Regelwerk verwendet. So muss ein US-börsennotiertes Unternehmen die Vorgaben des Sarbanes-Oxley-Act (SOX) einhalten, um „SOX-compliant“ zu sein. In diesem Fall geht es um das Finanzreporting der Unternehmen und daraus leiten sich erst indirekt Anforderungen an die IT-Sicherheit ab. Institutionen im Gesundheitswesen der USA sind dem “Health Insurance Portability and Accountability Act (HIPAA)” unterworfen, in dem es beispielsweise um die Vertraulichkeit von Patientendaten und den daraus resultierenden Anforderungen an die IT-Sicherheit geht. Compliance zu diesen beiden Regelwerken ist für deutsche Unternehmen in den allermeisten Fällen kein Thema. Daher kann man nicht von „Den Compliance-Richtlinien“ im Allgemeinen sprechen, sondern muss genau hinterfragen, welche Regelwerke im Einzelfall überhaupt gelten oder vorgeschrieben sind. Oft wird „Compliance“ von Produktherstellern als oberflächliches Schlagwort verwendet, um die Notwendigkeit einer bestimmten Sicherheitstechnologie zu begründen. Wenn man diese Aussagen kritisch hinterfragt, wird man in vielen Fällen feststellen, dass der in Frage kommende Standard oder das entsprechende Gesetz gar keine so konkreten Anforderungen stellt. Ein gutes IT-Sicherheitsmanagement lässt sich nicht von den erhobenen Zeigefingern der Produkthersteller leiten, die mit Verweis auf eine abstrakte „Compliance“ ihr eigenes Produkt verkaufen wollen. Stattdessen sollte man kritisch hinterfragen, ob und welche Regelwerke nötig sind. In den meisten Fällen sollte man im Rahmen des Sicherheitsmanagements seine eigenen Sicherheitspolicies erstellen, seinen eigenen Schutzbedarf ermitteln, seine eigenen Bedrohungs- und Risikoanalysen durchführen und basierend darauf die sinnvollen und notwendigen Maßnahmen treffen. Virtual Roundtable: „IT-Sicherheitsmanagement im Unternehmen“ Frage 4: ROI der IT-Sicherheit Die Sicherheitsmaßnahmen erzeugen im Unternehmen zusätzliche Kosten. Andererseits, können die professionell eingesetzten Sicherheitsinstrumente große Risiken und Schaden für Unternehmen vermeiden. Welche Controlling-Mechanismen, Benchmarks oder etablierte Ursache-Wirkungs-Ketten haben die IT-Verantwortlichen zur Verfügung? Stefan Strobel: Bei der Auswahl von Sicherheitsmaßnahmen muss selbstverständlich bedacht werden, vor welchem Schaden man sich eigentlich schützen möchte und wie hoch das ursprüngliche Risiko ist. Unbedachte Investitionen führen sonst leicht dazu, dass man viel Geld in den Schutz vor eher nebensächlichen Bedrohungen investiert und gleichzeitig viel größere Risiken übersieht. Eine fundierte Bedrohungs- und Risikoanalyse sowie eine genaue Berücksichtigung der tatsächlichen Wirkung einer Maßnahme ist deshalb die Grundlage für sinnvolle Investitionen. Ob man in diesem Zusammenhang unbedingt von einem „Return on Investment“ im Zusammenhang mit Sicherheit sprechen möchte ist eher Geschmackssache. Vernünftige Benchmarks oder Kennzahlen für das Controlling sind in der IT-Sicherheit kein einfaches Unterfangen. Beispielsweise kann man durch Zählen der erkannten Viren auf einem Virenschutz-Gateway zwar den Bedarf an Virenschutz begründen, aber ein längerfristiges Controlling ist eher fragwürdig, da sowohl die aktiven Viren und Würmer im Internet als auch die Erkennungsfunktionen in den Sicherheitsprodukten sich ständig ändern. Es mangelt in vielen Bereichen an sinnvollen Basisdaten, um daraus mit vertretbarem Aufwand aussagekräftige Kennzahlen für die IT-Sicherheit ableiten zu können. Virtual Roundtable: „IT-Sicherheitsmanagement im Unternehmen“ Frage 5: IT-Risiken in einem Unternehmen Datenbanken, Web-Applikationen, Betriebssystem und vieles mehr sollen geschützt werden. Wo liegen Ihrer Meinung nach die größten Schwachstellen in der IT-Infrastruktur in den Unternehmen? Sind das typische Schwachstellen, die von der Unternehmensgröße oder Branche abhängen oder gibt es globale Fehlerquellen? Stefan Strobel: Wenn man wirklich nur die technische IT-Infrastruktur betrachtet und damit organisatorische Themen, die Sensibilisierung der Mitarbeiter und ähnliches außer Acht lässt, dann liegen die größten Schwachstellen derzeit auf der Applikationsebene. Die bisher üblichen Sicherheits- techniken wie Firewalls, VPNs oder Virenschutz sind nicht in der Lage eine Web-Applikation oder eine Datenbank vor Angriffen innerhalb der Applikation zu schützen, auch wenn die Hersteller dieser IT-Sicherheitsprodukte gerne das Gegenteil behaupten. Wer heute ein Web-Portal ohne spezialisierte Applikations-Sicherheits-Komponente für seine Kunden anbietet, der muss davon ausgehen, dass er vor Angriffen wie SQL Injection, Cross Site Scripting oder Parameter Manipulation nicht geschützt ist. Dabei ist es egal, ob das Portal auf Basis von BEA-Weblogic, IBM-Websphere oder SAP aufgebaut wurde. Leider wird auch bei den meisten Sicherheitsüberprüfungen oder Penetrationstests dieser Aspekt vernachlässigt oder ganz übersehen und so wiegen sich viele Unternehmen heute in einem falschen Gefühl von Sicherheit. Die Ursache von solchen Verwundbarkeiten auf Applikationsebene sind meist unzureichende Prüfungen von Eingabewerten oder von URL-Parametern. Da die nötigen Prüfungen sich von Seite zu Seite oder teilweise sogar von Eingabefeld zu Eingabefeld unterscheiden, benötigt man intelligente Applikations-Filterprodukte, die ohne großen administrativen Aufwand selbständig Policies lernen können.