Neue Gefahren, neue Absicherungen

Einzelpersonen und Organisationen stehen immer mehr EDV-Geräte sowie immer ausgefeiltere Tools für Content-Erzeugung und Zusammenarbeit zur Verfügung. Gleichzeitig sieht sich die IT-Sicherheit mit erheblichen Risiken und regulatorischem Druck konfrontiert, was Organisationen dazu zwingt, Konnektivität, Nutzerfunktionalitäten und Kontrollmöglichkeiten einzuschränken.

Zentrale Firewalls ohne Effektivität Eine weitere Schwierigkeit im Bereich der IT-Sicherheit stellt die Deperimeterisierung des Netzwerks dar. Die Deperimeterisierung – ein vom Jericho Forum, der Burton Group und anderen beschriebenes Phänomen, bei dem zentralisierte Firewalls ihre Effektivität einbüßen – holt uns ein. An End- und internen Zugangspunkten des Netzwerks werden zusätzliche Firewall-Funktionalitäten hinzugefügt. Die EDV-Geräte werden kleiner und zahlreicher; die Geräte-Endpunkte zersplittern in virtuelle Endpoints und Anwendungen lösen sich in Dienste auf. Wirtschaftstrends wie Outsourcing, Partnerschaften und mobiler Mitarbeitereinsatz führen zu einem nicht nachlassenden Druck auf die Organisationen, Informationen elektronisch über verteilte IT-Umgebungen zugänglich zu machen. Das schafft neue Risiken und Verwundbarkeiten und erfordert neue Sicherheitsstrategien. Auch wenn die grobmaschige Kontrolle der Netzwerkperimeter nach wie vor einen klaren Beitrag zur Aufrechterhaltung von umfassendem Schutz und ständiger Verfügbarkeit der Unternehmensnetzwerke leistet, ist die IT-Sicherheit zu sehr von Netzwerkkontrollen abhängig. Engmaschigere und den Informationsressourcen nähere Kontrollen sind notwendig. Sie werden zunehmend integriert, in neuen Systemen bereits enthalten sein und in alten nachgerüstet werden. Diese feinmaschigen Kontrollen werden in ein umfassendes Sicherheitskonzept eingebunden, das im Zusammenspiel mit den bestehenden physischen Mechanismen im Netzwerk eine vollständige Sicherheitslösung schafft. Kann die Industrie eine regulatorische Infrastruktur aufbauen, die die umfassende, feinmaschigere Kontrolle von Endpunkten, Anwendungen und Daten abdeckt? Diese Aufgabe sollte nicht unterschätzt werden. Eine exponenziell steigende Zahl von Kontrollpunkten wird in einer kontextuell dynamischen Umgebung arbeiten müssen, welche die Interessenlagen einer Vielzahl von Parteien widerspiegelt, zu denen Einzelpersonen, Unternehmen in einer Wertschöpfungskette, Vermittler oder Service Provider und oftmals auch Auditoren zählen. Bezieht man alle Faktoren ein, so nimmt die Komplexität von Policy Management, Monitoring und Feedback deutlich zu. Industrietrends werden Organisationen mehr und mehr dazu veranlassen, ihre Verteidigungsstrategien weg von der Netzwerkkontrolle und hin zu Kontrollen auf Endpunkt-, Identitäts-, Anwendungs- und Datenebene zu verlagern. Technologien wie Trusted Virtualization und sichere Betriebssysteminstanzen auf Basis virtueller Maschinen, eine bessere Identitätssicherung (einschließlich Datenschutz) und künftige Dienste zur Sicherheitsbewertung von Applikationen könnten die Messlatte in diesem Bereich höher legen. Letztlich wird ein informationszentrierter Ansatz auf der Basis von XML-orientierten Datenbanksystemen und unternehmensweitem Content-Management sowie mit Datendiensten im Rahmen einer service­orientierten Architektur (SOA) langfristig strategische Vorteile bieten. Als ebenso wichtig werden sich das Management von Informationsrisiken und die Klassifizierung von Informationen erweisen.

Dan Blum ist Senior Vice President and Principal ­Analyst bei dem Marktforschungs- und Beratungsunternehmen Burton Group aus dem US-Bundesstaat Utah.