Startseite > Markt > Mobile Sicherheit im vernetzten Unternehmen

Verschlüsselung

Mobile Sicherheit im vernetzten Unternehmen

6. September 2013, 13:45 Uhr | Wolfram Funk, Information Security Experte bei Steria Mummert Consulting

Fortsetzung des Artikels von Teil 2

Das mobile Szenario

Ein oder mehrere gebündelte Anwendungsfälle (Use-Cases) werden als mobiles Einsatzszenario bezeichnet. Der technische Betrachtungsrahmen umfasst die Gesamtheit der mobilen Geräte sowie ihre Anwendungen und Verbindungen zum Firmennetzwerk (Backend). Sicherheitslücken und Angriffsflächen entstehen vor allem an zwei Stellen: Beim Datenverkehr innerhalb des Gerätes sowie beim Datenverkehr zwischen Gerät und Backend.

Innerhalb des Gerätes können nicht vertrauenswürdige Apps auf Geschäftsanwendungen zugreifen und so zu einem ungewollten Abfluss oder einer Manipulation von Daten führen. Um diese Gefahr einzudämmen, können sogenannte Whitelists eingesetzt werden. Dabei wird der Betrieb nur bestimmter externer Applikationen auf dem Gerät erlaubt. Diese vertrauenswürdigen Anwendungen müssen im Vorfeld definiert werden. Auch eine Abschottung der Geschäftsanwendungen ist möglich. Dadurch wird der Datenaustausch mit externen Programmen weitestgehend verhindert. Doch diese Lösungen sind etwas kostenintensiver und manchmal mit Einschränkungen bei der Nutzerfreundlichkeit verbunden. Ein Sicherheitskonzept muss also für das gesamte mobile Szenario erstellt werden. Hierfür ermittelt der Anwendungsverantwortliche mit Unterstützung des Sicherheitsbeauftragten alle relevanten Bedrohungen und Risiken und muss dann die entsprechenden Maßnahmen spezifizieren. Folgende Aspekte müssen im Vorfeld analysiert werden:

Was soll geschützt werden?
Der Schutzbedarf der Daten muss ermittelt werden. Dazu muss definiert werden, wie vertraulich bestimmte Daten und wie hoch die Anforderungen an deren Integrität sind. Außerdem sollte festgelegt werden, wie verfügbar Daten sein müssen und wie verbindlich die mobilen Transaktionen sind.

Wer hat die Management-Hoheit über das Endgerät?
Davon hängt ab, welche Technologie-optionen umsetzbar sind. Liegt die Management-Hoheit etwa beim eigenen Unternehmen, kann eine sichere Konfiguration zentral erzwungen werden – bei BYOD-Szenarien ist dies nur bedingt möglich.

Welche Architektur liegt zugrunde?
Sicherheitskonzepte unterscheiden sich je nach Beschaffenheit des mobilen Szenarios und der gewünschten Geschäftsanwendung. Werden auf den Endgeräten native, hybride, Web-Apps oder HTML5-Apps genutzt? Werden Daten über Terminalserver, virtualisierte Clientanwendungen oder über temporäre Datenräume bereitgestellt?

Verschlüsselung: Der sicherste Weg
E-Mail-Kommunikation und der mobile Zugriff auf Unternehmensdaten sind zwei prominente Anwendungsfälle für den Austausch zwischen mobilem Gerät und Unternehmensnetzwerk. Hier gibt es, ergänzend zum Spezialfall der E-Mail-Verschlüsselung, zwei Arten der Absicherung der Datenübertragung: Verschlüsselung durch Transport-Layer-Security (TLS) oder durch ein Virtual-Private-Network (VPN).