IT-Sicherheit durch stetige Veränderung
Always change a running system
Fortsetzung des Artikels von Teil 2
Sicherheit durch regelmäßiges Ausmustern
In Organisationen kommen meist unterschiedliche IT-Systeme und Komponenten zum Einsatz, für die in der Regel verschiedene Fachbereiche zuständig sind. Jede Hardwarekomponente hat einen sogenannten Lifecycle, einen Lebenszyklus. In Abhängigkeit von diesem Lifecycle findet der Herstellersupport statt – und die Bereitstellung neuer Softwareversionen, die Fehler beseitigen und möglicherweise den Funktionsumfang erweitern. Fehlende (Sicherheits-)Funktionalitäten in einer Komponente können jedoch nicht immer durch eine einfache Aktualisierung der Firmware nachgerüstet werden. Im Sicherheitsbereich lassen sich beispielsweise nur dann neue kryptografische Algorithmen per Softwareupdate aufspielen und nutzen, wenn die eingesetzte Hardware diese Algorithmen auch unterstützt. Sollen jeweils aktuelle kryptografische Algorithmen eingesetzt werden, ist meist ein bedarfsgerechter Austausch von Komponenten erforderlich. Es gilt darum, neue Beschaffungen in Abstimmung mit den fachlich verantwortlichen Bereichen frühzeitig zu planen. Im Fokus dürfen dabei nicht nur funktionale Anforderungen stehen, sondern primär auch strategische und sicherheitsrelevante Anforderungen.
Ein gutes Beispiel für das Ende eines Software-Lifecycles liefert das GSTOOL vom BSI, das seit 1998 dabei unterstützt, Sicherheitskonzepte entsprechend dem IT-Grundschutz zu erstellen, zu verwalten und fortzuschreiben. Im Oktober 2014 kündigte das BSI die Einstellung und das Supportende von GSTOOL zum Ende des Jahres 2016 an. Die Nutzer sind seitdem aufgefordert, die Außerbetriebnahme ihrer GSTOOL-Instanz vorzubereiten und auf ein anderes Information Security Management System zu migrieren. [12] Ein ISMS-Tool ist ein wesentlicher Baustein in der Sicherheitsorganisation, da mit diesem Werkzeug die Umsetzung von Sicherheitsmaßnahmen gesteuert werden kann. Die Verfahrensverantwortlichen für das ISMS-Tool sollten also umgehend mit gutem Beispiel vorangehen und den Einsatz eines Nachfolgers planen und realisieren.
Sicherheit durch stetige Veränderung
Die fortschreitende Verbreitung von IT-Systemen und deren Vernetzung haben die Herausforderungen für (IT-)Organisationen in den vergangenen Jahren deutlich gesteigert. Organisationen müssen Herausforderungen gesamtheitlich betrachten und neben technischen Fragestellungen auch ihre Prozesse aufeinander abstimmen. In diesem Kontext hat sich die Etablierung von standardisierten Prozessen bewährt.
Dabei gilt das Prinzip: Nach der Absicherung ist vor der Absicherung. Es ist erforderlich, Sicherheitsmaßnahmen kontinuierlich zu überwachen und in Frage zu stellen. Dies müssen Organisationen als betriebliche Aufgabe verstehen – und entsprechend einplanen und umsetzen. Denn bekannte Sicherheitslücken, die noch nicht geschlossen sind, stellen vermeidbare Einladungen für alle Arten von Angreifern dar, von technischen Laien bis zu Geheimdiensten.
Technische Systeme zu warten, ist kein neues Konzept. Technische Anlagen in der Industrie werden ebenso regelmäßig überprüft und bei Bedarf repariert wie PKWs in Privathaushalten – es ist unerlässlich, IT-Systeme mit derselben Sorgfalt zu warten. Nur so lässt sich ein zuverlässiger Betrieb sicherstellen. Auch das BSI hat die neuen Herausforderung erkannt und mit der Modernisierung des IT-Grundschutzes reagiert. Dadurch soll die Absicherung von Komponenten und Prozessen zielgerichteter und schneller erfolgen können. Dieses neue Werkzeug wird dem BSI zufolge ab 2017 zur Verfügung stehen.
Der alte Grundsatz „Never change a running system“ bietet eine unnötig große Angriffsfläche. Produktive Systeme müssen immer angefasst und angepasst werden. Eine Organisation, in der der Wille zur stetigen Weiterentwicklung mit ausreichenden Ressourcen untermauert wird, schafft die Voraussetzung für einen sicheren und zukunftsfähigen Betrieb. Sicherheit muss als Prozess verstanden werden und bedarf der kontinuierlichen Verbesserung. Der neue Grundsatz sollte also lauten: Always change a running system.
Zusammengefasst:
- Gefahren für Organisationen entstehen durch lange bekannte, aber nicht behobene Schwachstellen.
- Jegliche Sicherheitsmaßnahmen müssen ständig hinterfragt und überprüft werden, denn eine einmalige Absicherung ist unzureichend.
- Notwendig ist ein strukturiertes Sicherheits- und Patchmanagement unter Beteiligung aller relevanten Fachbereiche.
- Zu beachten ist der Lifecycle von IT-Komponenten, nach dessen Ablauf Systeme konsequent ausgemustert werden sollten.
Sven Malte Sopha ist Senior Consultant bei Cassini Consulting, Jan Graßhoff ist Consultant bei Cassini Consulting
- Always change a running system
- Windows XP: Ablösung trotz Vorlauf eine Herausforderung
- Sicherheit durch regelmäßiges Ausmustern
Lesen Sie mehr zum Thema
