Durch Budget-Kürzungen

Vier Stolperfallen beim Umgang mit IT-Sicherheit

Datum:02.07.2009

Auch in wirtschaftlich schwierigen Zeiten gilt es, Stolperfallen beim Umgang mit IT-Sicherheit zu vermeiden
Foto:

Die derzeitige Wirtschafts- und Finanzkrise¹ zwingt viel Unternehmen ihr Personal abzubauen und Investitionen in ihre IT zurückzufahren. Diese Kürzungen gefährden² aber die Sicherheit dieser Unternehmen - hat die aktuelle Studie von KPMG, e-crime Survey 2009, ergeben. Gespart wird vorrangig bei der Anschaffung von neuen Technologien, fand Deloitte in der Benchmark-Umfrage "Losing Ground - 2009 TMT Global Security Survey" heraus.

"Durch den Verzicht auf wichtige Sicherheitsmaßnahmen steigt das Risiko von Datenpannen und -Missbrauch erheblich. Die damit einhergehenden Kosten und Imageschäden sind ein Luxus, den sich Unternehmen gerade in Krisenzeiten nicht erlauben können", führt Ansgar Dodt, Director of Sales Embedded Systems EMEA bei SafeNet³ aus. Der Sicherheitsexperte zeigt, welche Stolperfallen es beim Thema IT-Sicherheit auch in wirtschaftlich schwierigen Zeiten zu vermeiden gilt:

1. Unvollständige Verschlüsselung

Eine Firewall schützt vor Angriffen von außen. Nicht selten kommen Eindringlinge jedoch einfach durch die Tür. Um Daten sicher vor unberechtigtem Zugriff durch Dritte zu schützen, ist es daher notwendig, eine umfassende Verschlüsselungsstrategie zu erarbeiten. Dabei sollten Unternehmen klären, welche Daten besonders sensibel sind, und wo diese abgelegt wurden.

Für eine umfassende Sicherheit⁴ müssen die Daten an allen Speicherorten geschützt werden und nicht nur dort, wo sie am einfachsten erreichbar scheinen. Klar definierte Rollen und Rechte sowie eine feinmaschige Zugangskontrolle sorgen für Sicherheit und ermöglichen gleichzeitig den Datenzugriff für autorisierte Personen.

2. Fehlendes Key-Management

Für eine lückenlose Datensicherheit ist die sorgfältige Aufbewahrung der Schlüssel essenziell: So genannte Hardware-Sicherheitsmodule (HSMs) eignen sich dazu, sichere Keys zur Verschlüsselung zu erzeugen und diese über den gesamten Lebenszyklus zu schützen.

Das garantiert, dass diese Schlüssel nicht unbemerkt missbraucht werden können.

3. Sorgloser Umgang mit Passwörtern

Im Prinzip ist weitläufig bekannt, dass Passwörter aus komplizierten Buchstaben-Zahlen-Kombinationen bestehen, regelmäßig gewechselt und keinesfalls auf dem Schreibtisch notiert oder an Kollegen weitergegeben werden sollten. Dennoch sieht die Realität oft anders aus, und Benutzer⁵ wählen entweder leicht zu merkende (schwache) Passwörter oder vertrauen immer auf das gleiche Kennwort.

Zusätzliche Sicherheitslecks können bei den mit dem Personalabbau verbundenen Restrukturierungsmaßnahmen auftreten, wenn Kennwörter ausgeschiedener Mitarbeiter nicht aufgehoben oder Zugriffsberechtigungen⁶ nicht an die neue Organisationsstruktur angepasst werden.

Alternativ könnten Unternehmen ihre Mitarbeiter mit einer Single Sign On-Lösung ausstatten. Damit lassen sich alle benötigten Passwörter sicher auf einer Smartcard⁷ speichern. Merken muss sich der Mitarbeiter nur ein einziges Kennwort für den Zugriff auf die Chipkarte. Diese Lösung stärkt Unternehmen bei der Umsetzung ihrer Richtlinien zur regelmäßigen Änderung der Passwörter und der Verwendung starker, schwer zu hackender Zahl-Buchstaben-Kombinationen.

4. Mangelnde Sicherheit beim Fernzugriff

Viele Beschäftigte greifen täglich mindestens einmal von unterwegs auf geschäftskritische Daten zu. Doch die Sicherheitsmaßnahmen hinken hier bislang oft hinterher - das ergab eine Studie von SafeNet im Februar 2009. Fast die Hälfte der Firmen, die ihren Mitarbeitern den Fernzugriff auf Unternehmensdaten ermöglichen, verfügen über keine offiziellen Richtlinien zur Regelung des Fernzugriffs.

Eine Zwei-Faktor-Authentifizierung mit Smartcards oder Token stellt sicher, dass nur autorisierte Personen Zugriff auf die Unternehmensdaten erhalten. Der Systemadministrator kann zudem Sicherheitsrichtlinien festlegen. Bevor der User dann Zugriff erhält⁸, wird - je nach Richtlinie - beispielsweise die Signatur des Antivirenschutzes abgefragt, oder ob eine persönliche Firewall vorhanden und aktiviert ist.

"Je konsequenter Unternehmen auch in Zeiten von Finanzkrise und Budgetkürzungen diese Tipps beherzigen und eine Verschlüsselung ihrer Daten strategisch umsetzen, desto geringer ist auch das Risiko⁹ und die damit einhergehenden Risiken wie Imageverlust oder Kundenverluste", fasst Dodt seine Bedenken zusammen. (rw)

Links im Artikel: