HERAUSFORDERUNGEN UND LÖSUNGSANSÄTZE FÜR DIE IT-SICHERHEIT FÜR KMU – ERKENNTNISSE DES STUTTGARTER IT-SICHERHEITSTAGS (TRUSTDAY) AM 10.02.2015

Die Bedrohungen gegen die viele Unternehmen tagtäglich kämpfen müssen, werden in Hosentaschen, Jacken oder sonstigen Taschen ins Unternehmen getragen. Smartphones sind eine der Gefährdungen, die Unternehmen vor neue Herausforderungen stellt. Bestes Beispiel sind die jüngsten Sicherheitslücken in Connected Drive von BMW, die der ADAC entdeckt hat. So konnten mit einem Smartphone in minutenschnelle verschlossene Fahrzeuge geöffnet werden. – Dass das nur die Spitze des Eisbergs ist, zeigte der Stuttgarter IT-Sicherheitstag (TrustDay) am 10.02.15. Lernen Sie die tatsächliche Bedrohungssituation, die Herausforderungen und Lösungsansätze kennen.

Bedrohungssituation

Die Bedrohungen sind real und ernst zu nehmen, wie die Referenten Torsten Dangel von der TechniData IT-Service GmbH, Andreas Schneider von der Terrabit GmbH, Alexander Gräfe und Thomas Kierstein von der magellan netzwerke GmbH zeigten. Diese verwiesen immer wieder auf die Studie Industriespionage 2014 von Corporate Trust, die das Ausmaß wie folgt beziffert:

  • Jedes 2. Unternehmen in Deutschland hatte in den vergangenen beiden Jahren einen Spionageangriff oder Verdachtsfall, 26,9 % waren von einem konkreten Vorfall betroffen.
  • Der geschätzte jährliche Schaden durch Industriespionage beträgt in Deutschland ca. 11,8 Mrd. €
  • Dabei waren 77,5 % der Unternehmen durch einen finanziellen Schaden und 40,8 % durch einen materiellen Schaden in Form von Ausfall von IT- oder .Telekommunikationsgeräten, Umsatzeinbußen und den Verlust von Wettbewerbsvorteilen betroffen.
  • Im Fokus steht der Mittelstand mit 30,8 % vor Konzernen mit 23,5 % und 17,2 % Kleinunternehmen.

Um es noch weiter zu verdeutlichen: Bereits beim Stuttgarter IT-Sicherheitskongress im Oktober 2014 unterstrich Dr. Maaßen, Präsident des Bundesamts für Verfassungsschutz, dass neben Global Playern vor allem kleine und mittlere Firmen im Fokus stehen, die innovativ und reaktionsschnell sind. Interessant sind jegliche Art von Informationen, die dazu beitragen, Entwicklungskosten einzusparen oder die produktrelevantes, technologisches Know-how beinhalten. Da der Mittelstand oder kleine Unternehmen über geringere Ressourcen verfügen und nur in seltenen Fällen über umfassende IT-Sicherheitskonzepte verfügen, sind sie attraktive Angriffsziele.

Herausforderungen

  • Schnelle technologische Entwicklung führt zu „Hinterherlaufen“ der IT-Sicherheit.
  • Maßgeschneiderte Attacken auf Mitarbeiter (sogenanntes Spear-Fishing) werden durch Verfügbarkeit von Informationen in sozialen Netzwerken erleichtert.
  • Neue Arbeitsmodelle zur Erhöhung von Flexibilität und Kreativität (Mitarbeiter dürfen in Cafés oder an anderen öffentlichen Orten arbeiten) erfordern zusätzliche Schutzmaßnahmen.
  • Der Trend zu mobilen Endgeräten, Internet der Dinge, Industrie 4.0 führt zu zusätzlichen Geräten in Unternehmen, die in Sicherheitskonzepte eingebunden werden müssen.
  • Verbreitung von Schadprogrammen, Identitätsdiebstahl, Social Engineering, Denial of Service sind nur ein paar der aktuellen Sicherheitsbedrohungen.
  • Gefährliches Ausblenden der tatsächlichen Gefahr: „So lange noch nichts passiert ist, müssen wir auch nichts machen“. Dann kann es bereits zu spät sein, da Vorfälle durchschnittlich erst 9 Monate später festgestellt werden.

Lösungsansätze für die IT-Sicherheit

  • IT-Sicherheit als strategischen Risikofaktor erkennen und zur Chefsache machen
  • IT-Sicherheit aus der normalen IT herauslösen, damit eine „externe und übergreifende“ Perspektive eingenommen werden kann. Sie sollte neben der Verwaltung und Produktion auch Zulieferer und Dienstleister berücksichtigen.
  • Sicherheitskonzepte für ausländische Töchter realisieren, insbesondere für China, z.B. durch Netzwerktrennung. So können chinesische Mitarbeiter nur mit lokalen Daten arbeiten, während deutsche Mitarbeiter auch auf das chinesische Subnetz zugreifen können.
  • Verstärkter Einsatz von Reportingtools zum Monitoring diverser Logdateien mit automatischer Information von Ansprechpartnern. Die Aufbereitung der Ergebnisse geht zur Information an die Geschäftsleitung (Chefsache!).
  • In Ergänzung der klassischen Firewall können sogenannte Next-Gen oder Web Application Firewalls mit Intrusion Detection Funktionen. Auch zusätzliche Prüfungen auf Applikationsebene (z.B. für Web-Applikationen) können die Sicherheit weiter erhöhen.
  • Mitarbeitersensibilisierung für die möglichen Gefährdungsszenarien (z.B. Social Media Guidelines, Regelungen für externes Arbeiten).
  • Mitarbeiterzufriedenheit im Auge behalten, z.B. über externe Rankings wie bei kununu, da frustrierte Mitarbeiter empfänglich für externe Ansprache werden können (Innentäter!).
  • Pragmatische Sicherheitslösungen implementieren, damit diese angenommen und nicht umgangen werden.
  • Notfallübungen durchführen und Notfallpläne anlegen, um im Ernstfall auf Angriffe reagieren zu können.

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.