Sicherheit
Das Ende des Burgdenkens
In Zeiten einer cloudbasierten, mobilen IT müssen Unternehmen den Spagat zwischen Sicherheit und Offenheit bewerkstelligen. In diesem Spannungsfeld ist auch der Modern Workplace zu verorten. Wie Unternehmen dabei die Kontrolle behalten.
Treiber der Digitalen Transformation und der damit einhergehenden Veränderung in den technischen Verfahren ist das Internet. Die klassischen Denkweisen der Business-IT basieren hingegen auf dem Bild der „Burg“, die synonym für das Unternehmen steht. Alles innerhalb der Burg wird als vertrauenswürdig angesehen, alles außerhalb davon als potenziell bedrohlich. Die Burgmauern und Gräben sind vergleichbar mit den Firewalls und Proxies des Unternehmensnetzwerks. Dabei sind Firmen und öffentliche Einrichtungen bereits weltweit über das Internet vernetzt und mit Milliarden von Internet-Ressourcen verbunden. Die Mitarbeiter sollen – und wollen – außerhalb der Unternehmensgrenzen von überall aus genauso arbeiten können wie innerhalb der „Burgmauern“. Ein Dilemma? Keineswegs, wenn Unternehmen eine strategische Herangehensweise bei der Einführung des digitalen Arbeitsplatzes wählen.
Praktisch alle Unternehmen wenden sich der Cloud als „Enabler“ ihrer Digitalen Transformation zu. Dieser Wandel hin zum Einsatz von mobilen Geräten, cloudbasierten Anwendungen und Diensten, großen Datenmengen und maschinellem Lernen bringt neue Geschäftsmöglichkeiten und einen modernen Arbeitsstil mit sich. Die Gründe sind triftig: Unternehmen, die den digitalen Wandel in Angriff nehmen, gewinnen Wettbewerbsvorteile und sind dem traditionell agierenden Wettbewerb häufig überlegen. Anwender und das Unternehmen als Ganzes fordern dafür Produktivität von überall und auf jedem Gerät. Das beinhaltet den Zugriff auf sensible Unternehmensdaten außerhalb des klassischen Arbeitsplatzes sowohl auf modernen Geschäftsanwendungen wie auch auf Legacy-Applikationen. Letztere wurden lange vor der Entstehung der Cloud erstellt und sind somit nicht entsprechend programmiert und gehärtet.
Kontrolle behalten – Innovation beschleunigen
Die sich verändernden Rahmenbedingungen für Unternehmen dulden immer weniger eine Verzögerung des Innovationstempos in der eigenen IT. Um ihre Relevanz zu erhalten, muss die IT-Organisation die Digitale Transformation ermöglichen, vorantreiben und sich darauf vorbereiten, das Unternehmen in dem neuen Tempo zu unterstützen. Cloud- und Unternehmensmobilität beeinflussen dabei Sicherheitsüberlegungen und -strategien in vielen Bereichen, einschließlich Identitätsmanagement, Datensicherheit sowie Anwendungs- und Gerätemanagement. Denn in gleichem Maß, wie das Unternehmen die Digitale Transformation durchlaufen muss, um ein neues Arbeitsmodell zu ermöglichen, muss auch die IT-Organisation die Art und Weise verändern, wie sie die Sicherheit rund um Geräte, Daten, Anwendungen und Identität im Kontext einer cloud-basierten, mobilen IT betrachtet. Verfahren wie die Hybrid Cloud und Virtualisierung, die Isolation von Diensten, Programmen und Ressourcen sowie Advanced Threat Protection und Software-as-a-Service sind nur einige Beispiele für die neuen und veränderten Werkzeuge.
Die IT-Organisation wird mithilfe der neuen Technologien in die Lage versetzt, Mehrwerte zu schaffen, gleichzeitig aber auch die angemessene Kontrolle über gewachsene Strukturen zu behalten. Legacy-Applikationen sind häufig unternehmensspezifisch und geschäftskritisch, weshalb sie unter Umständen noch viele Jahre betrieben werden müssen, insbesondere im Bereich der Produktion. Die geeignete strategische Marschroute hat Gartner Consulting als „Bimodal IT“ bezeichnet – mit zwei unterschiedlichen Geschwindigkeiten und Technologieansätzen, die je nach Bedarf eingesetzt werden. Da ist zum einen die Softwarebereitstellung für den modernen Arbeitsplatz mit seinen Anforderungen an das Internet und eine moderne, hochgradig mobile Arbeitsweise. Auf der anderen Seite sehen wir die Bereitstellung der Umgebung für Legacy-Applikationen im traditionellen Verfahren, allerdings so weit wie möglich isoliert über verschiedene Virtualisierungstechnologien. Die „Bimodal IT“ kann auf Basis einer hybriden Cloud mit entsprechenden Technologien realisiert werden.
Sicherheit weitergedacht
Neben neuen Werkzeugen erfordern die neuen technologischen Ansätze organisatorische wie auch prozessuale Veränderungen. Bisher führten Unternehmen im Turnus einiger Jahre neue Versionen von Windows und Office ein. Es wurde gepatcht, wenn Sicherheitsprobleme auftraten oder ein „Patchday“ stattfand. Aber es wurden bis zur nächsten Version keine neuen Sicherheitsfunktionen hinzugefügt. Das gab Hackern die Möglichkeit, Sicherheitslücken zwischen den Releases auszunutzen und auch Schwachstellen im Design zu finden. Solche Sicherheitslücken sind besonders problematisch im Zeitalter von Advanced Persistent Threats, die von sehr großen Hacker-Organisationen über lange Zeiträume und mit hohem Aufwand verübt werden – es sind bei Weiten nicht nur „Script-Kiddies“, die darauf aus sind, Chaos zu verursachen. Hierbei handelt es sich um kriminelle Strukturen, die sich darum bemühen, Systeme zu manipulieren, Informationen zu stehlen und Unternehmen zu erpressen. Das Internet bildet eines der Einfallstore, um beispielsweise Botnetze aus Millionen von Rechnern gegen Infrastrukturen einzusetzen. Fremde, kriminelle Strukturen entscheiden dann über die Zuverlässigkeit eines Unternehmens.
Die traditionelle IT verwendet häufig taktische Sicherheitslösungen, die wiederum auf mehreren Teillösungen basieren. Das Problem mit dieser Vielfalt besteht darin, dass Sicherheitslücken im gesamten Ökosystem durch die Lösungen untereinander, aber vor allem auch durch Veränderungen am Betriebssystem entstehen. Erschwerend hinzu kommt eine übermäßig komplexe Sicherheitsinfrastruktur, die operativ intensiv und schwierig zu verwalten ist – von Performance-Einschränkungen durch vielfältige Latenzen ganz zu schweigen. Um eine „Modern IT“ mit Cloud, Mobilität und den neuen Anforderungen wirklich abzusichern, muss ein angepasstes technologisches Sicherheitsmodell entwickelt und eine entsprechende Sicherheitsstrategie umgesetzt werden. Die Strategie sollte darüber hinaus unter dem Aspekt eines effektiven Betriebs betrachtet werden, da vor allem in mittelständischen Unternehmen oft nur begrenzte personelle und finanzielle Ressourcen dafür bereitstehen.
End-to-End: Der Microsoft-Weg
Einer von wenigen Herstellern, die einen Quasi-Standard im Betriebssystem darstellen und mit einer übergreifenden Security-Strategie das Sicherheitsniveau in Unternehmen erhöhen können, ist Microsoft. Redmond stehen mehr Telemetriedaten von Geräten zur Verfügung als jedem anderen Hersteller. Diese Daten ermöglichen Microsoft Einblicke in die Aktionen und Vorgehensweisen von Angreifern in der digitalen Welt. Die Architektur von Windows 10 setzt zusätzlich auf Härtung, einen Security Development Lifecycle sowie Typ-1-Virtualisierung mit Containern und Sensorik. Da es für den Menschen allein unmöglich ist, die weltweit ständig erfassten Daten auszuwerten, verwendet Microsoft Verfahren der Künstlichen Intelligenz. Dank der Leistungsfähigkeit und Wirtschaftlichkeit der Cloud ist der Anbieter damit in der Lage, die sprichwörtliche Nadel im Heuhaufen zu erkennen: Algorithmen suchen nach anomalem Verhalten und korrelieren verschiedene Informationen, die ansonsten unentdeckt bleiben würden. Wenn die Algorithmen Bedrohungen erkennen, greifen die Reaktionsmechanismen ein und sind in der Lage, eine Kompromittierung des Kunden zu verhindern. Und das mit skalierendem Nutzen: Die gleiche Bedrohung oder das gleiche Angriffsmuster ist automatisch auch für andere Nutzer der Technologie beseitigt. Darüber hinaus baut Microsoft auf ein eigenes Cyber Defense Operations Center, das direkten Zugang zu Tausenden von Sicherheitsexperten, Datenanalysten, Ingenieuren, Entwicklern, Programm-Managern und Betriebsspezialisten hat, um eine schnelle Reaktion sowie Lösungen bei Sicherheitsbedrohungen zu gewährleisten. Microsoft verfügt somit über einen Ende-zu-Ende-Lösungsansatz, der sowohl in klassischen Infrastrukturen als auch in hybriden und reinen Cloud-Architekturen zum Tragen kommt.
Das Betriebssystem Windows 10 ist dabei ein entscheidender Schritt hin zu einem ganzheitlichen Modell. Für die Bereitstellung früherer Windows-Versionen waren in der Regel große, aufwendige Bereitstellungsprojekte durchzuführen. Windows 10 vereinfacht den Prozess erheblich, da zu einer weitestgehenden Automatisierung übergegangen wird. Fast überall auf der Welt kann Windows 10, automatisiert über Intunes per Autopilot, bereitgestellt werden. Standardisierung und Applikationsisolierung ermöglichen gleichzeitig ein hohes Maß an Anwendungskompatibilität. Damit reduziert sich die Anzahl der durchzuführenden Anwendungstests sowie von Support Cases deutlich. Auch die Aufwände für Folgeupdates sind nachhaltig gering.
Thorsten Krüger ist Business Manager Consulting Service bei der Bechtle Systemhaus Holding AG
Lesen Sie mehr zum Thema
