Eindeutige IT-Sicherheitsmaßnahmen
Eine sichere IT… haben wir bestimmt, oder?
Fortsetzung des Artikels von Teil 1
Angriffe werden in zunehmendem Maß professioneller
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in seinem Bericht zur Lage der IT-Sicherheit in Deutschland 2015, dass die Anzahl der Schwachstellen in IT-Systemen weiterhin auf einem hohen Niveau liegt. Laut BSI war das Jahr 2015 geprägt durch zahlreiche IT-Sicherheitsvorfälle, die eine fortschreitende Professionalisierung der Angriffsmittel und -methoden aufzeigen. Vermehrt wurden Übergriffe festgestellt, die als Advanced Persistent Threat (APT) bezeichnet werden. Der Cyber-Angriff auf den Deutschen Bundestag im Mai 2015 zählte beispielsweise zu dieser Kategorie. Ebenso im Lagebericht des BSI zur Sprache gekommen ist die Kritik an den Herstellern. Laut Bundesinnenminister Thomas de Maizière tendieren einige IT-Hersteller dazu, für die weniger schwerwiegenden Lecks in ihren Produkten keine Sicherheitsupdates mehr bereitzustellen. „Das verschärft die Gefährdungslage unnötig“, so de Maizière. Doch nicht nur Hersteller haben die Pflicht, für IT-Sicherheit zu sorgen, auch Anwender müssen Verantwortung übernehmen. Denn an dem nötigen Bewusstsein für mögliche Attacken und Manipulationsversuche mangelt es häufig.
Um Übergriffe von Cyberkriminellen besser und vor allem schneller erkennen zu können, sollten Unternehmen daher zum einen bestehende digitale Prozesse korrigieren und zum anderen neue Konzepte für die gemeinsame Zusammenarbeit entwickeln, um Mitarbeiter in das IT-Sicherheitskonzept einzubeziehen. Durch unvorsichtiges Verhalten, wie etwa das Öffnen von E-Mail-Anhängen, das unbedachte Klicken auf einen Link oder das Verwenden von externen Datenträgern wie USB-Sticks, können sie leicht Opfer von Angriffen werden. Um das zu verhindern, bieten sich neben der Sensibilisierung hinsichtlich diverser Gefahrenquellen zudem kontinuierliche Schulungen zum richtigen Umgang mit Geschäftsdaten an. Des Weiteren sind Richtlinien empfehlenswert, die klar geregelte Zugriffsberechtigungen beinhalten. Darin zu definieren ist, wer wann und mit welchem Device auf welche Inhalte zugreifen kann.
Nicht zuletzt eignen sich Systeme zum Schutz der IT, die nicht nur für Administratoren, sondern auch für Endanwender transparent und leicht zu bedienen sind. Hiermit sind Authentifizierungsmethoden gemeint, die ihrer Position und ihrem Sicherheitsprofil am ehesten entsprechen. Beispiele sind etwa:
- die OTP-Technologie: Generierung von One-Time-Passwörtern
- die zertifikatbasierte Authentifizierung (CBA): Authentifizierung unter Verwendung eines öffentlichen und privaten Verschlüsselungssystems, das für das Authentifizierungsmittel und die Person, die es besitzt, eindeutig ist; Gemalto beispielsweise stellt die zertifikatbasierte Authentifizierung über USB-Token und Smartcards bereit
- die kontextbasierte Authentifizierung: mit kontextspezifischen Informationen wird ermittelt, ob die Identität eines Benutzers authentisch ist oder nicht; hierbei handelt es sich um eine Ergänzung zu anderen Technologien für eine starke Authentifizierung
„Fakt ist, dass Unternehmen all ihre Zugriffspunkte berücksichtigen müssen. Sie sollten sicherstellen, dass der Zugriff auf alle vertraulichen Informationen auch authentifiziert wird, egal ob sich die Informationen On-Premise oder in der Cloud befinden. Es empfiehlt sich, dieselben Sicherheitsmechanismen für Cloud-Ressourcen zu implementieren, die sie für den Remote-Zugriff auf das Unternehmensnetzwerk einsetzen würden. Zudem ist es möglich, diese Sicherheitsmechanismen auch für mobile Geräte zu aktivieren, um eine sichere Authentifizierung der Benutzer zu gewährleisten“, so Rüdiger Kolp.
- Eine sichere IT… haben wir bestimmt, oder?
- Angriffe werden in zunehmendem Maß professioneller
Lesen Sie mehr zum Thema
