20080708x Ampeg IT-Sicherheit im Griff Security Level Management

Die Festlegung von IT Security Policies gehört für sehr viele Unternehmen zum Standard. Der Abgleich der daraus abgeleiteten Sicherheitsziele mit den tatsächlichen Leistungen der Schutzeinrichtungen findet allerdings nur in wenigen Unternehmen statt. Das zeigt eine Befragung, die unter 77 leitenden IT-Sicherheitsverantwortlichen bei 600 der größten Unternehmen im deutschsprachigen Raum durchgeführt wurde. Neben dem hohen Aufwand für die Aufbereitung der Daten aus der Mehrfachabsicherung sind fehlende messbare Zielvorgaben und Unsicherheiten bei der Definition unternehmensweiter Grenz- und Schwellenwerte ausschlaggebend für die Zurückhaltung. Neuartige Management-Software unterstützt Unternehmen bei der Festlegung angemessener Werte und der unternehmensweiten Überwachung der Security Level.

T-Sicherheit wird in deutschen Unternehmen großgeschrieben. Kaum ein Unternehmen kann es sich leisten, auf Lösungen wie Virenschutzsysteme, Firewalls, Spam- und Web-Content-Filter zu verzichten. Darüber hinaus erfordern gesetzliche Regelungen den Aufbau umfassender Sicherheitskonzepte. In diesem Zusammenhang entwickeln die Unternehmen Security Policies, mit denen die Informationssicherheit des Unternehmens gesteuert, überwacht und optimiert werden soll. Wenn es jedoch darum geht, die Wirksamkeit der Sicherheitsmaßnahmen zu überprüfen, um Schwachstellen zu identifizieren und gezielt an der Verringerung von Risiken arbeiten zu können, müssen viele Unternehmen passen. Diese Tendenz bestätigten Sicherheitsverantwortliche in großen Unternehmen in Deutschland, Österreich und der Schweiz im Rahmen der Studie »IT-Sicherheit organisieren, kontrollieren« des Bremer Sicherheitsspezialisten AMPEG: Obwohl eine überwiegende Mehrheit (88,4 Prozent) der Befragten Transparenz in Bezug auf den Status der Sicherheitssysteme als Schlüssel zu deren Verbesserung versteht, gaben nur etwas weniger als die Hälfte der befragten Sicherheitsverantwortlichen an, regelmäßig zu überprüfen, ob die Leistungen der Sicherheitssysteme im Rahmen konkreter Zielvorgaben liegen, etwa unter bestimmten Grenz- oder Schwellenwerten. Als Ursache dafür lassen sich zwei Faktoren anführen: zum einen die Schwierigkeit, angemessene Grenz- und Schwellenwerte festzulegen, und zum anderen der enorme Aufwand für die kontinuierliche unternehmensweite Überwachung der Werte.

Security Policies umfassen die Regeln, die für das Unternehmen im Hinblick auf die IT-Sicherheit relevant sind. Meist sind die Regeln abstrakt formuliert. Damit Sicherheit messbar wird, müssen sie auf eine operative Ebene heruntergebrochen werden. Welche Sicherheitslevel und welche Grenz- und Schwellenwerte den Sicherheitsanforderungen eines Unternehmens angemessen sind, lässt sich nicht pauschal sagen – sie variieren von Unternehmen zu Unternehmen. Ein bewährtes Verfahren ist das sukzessive Herantasten an Richtwerte, die beobachtet und justiert werden, bis sie aussagekräftige Ergebnisse liefern. Dabei ist zu berücksichtigen, dass die Werte auch lokalen Gegebenheiten Rechnung tragen müssen, damit sie handhabbar bleiben. So sollten beispielsweise für den deutschen Standort mit seinen schnellen Standleitungen ohne Bandbreitenbeschränkung strengere Grenzwerte angesetzt werden als für das Werk in China, wo wegen einer langsamen Modem-Verbindung zum Internet die Virenscanner immer erst nachts aktualisiert werden können. Mit einer einmaligen Festlegung der Werte ist es dabei nicht getan – Security Level Management versteht sich als kontinuierlicher Prozess von Überwachung und Abgleich der Soll- und Ist-Werte – und von Verbesserungen auf Seiten der Sicherheitsmaßnahmen.

In vielen Unternehmen dauert es schlicht zu lange, bis der aktuelle Sicherheitslevel festgestellt ist. Vor allem Firmen mit zahlreichen Standorten und Mehrfachabsicherung durch den Einsatz gleichartiger Produkte unterschiedlicher Hersteller tun sich schwer mit dem Überblick. Je größer ein Unternehmen ist, desto mehr Sicherheitslösungen werden genutzt. Fast zwei Drittel aller befragten Unternehmen mit 1.000 bis 5.000 PC-Arbeitsplätzen haben IT-Sicherheitslösungen von mehr als drei Herstellern zum Schutz vor Viren, Spam & Co. im Einsatz. Die Hersteller der eingesetzten Produkte bieten meist Überwachungs- und Reporting-Funktionen für ihre eigenen Lösungen an, doch die Konkurrenzprodukte lassen sich damit nicht abbilden. Um herauszufinden, ob die Updates und Patches unternehmensweit auf dem aktuellen Stand sind, wie viele Virenangriffe momentan auftreten oder welcher Standort besonders von Malware-Attacken betroffen ist, muss man eine Vielzahl unterschiedlicher Daten aus den verschiedenen Systemen zusammentragen und in einem einheitlichen Format aufbereiten – mit durchschnittlich mehr als 19 Stunden bezifferten die befragten IT-Profis den Aufwand. Das macht nur derjenige, der unbedingt muss – jeder einfache Report bindet wertvolle Ressourcen und ist im Zweifelsfall noch nicht einmal aktuell. Eine engmaschige, zeitnahe Überwachung der Sicherheitslevels ist damit überaus mühsam.

Mit herstellerübergreifend arbeitenden Monitoring- und Reporting-Lösungen wie dem »Security Lighthouse« des Anbieters AMPEG lassen sich Grenz- und Schwellenwerte relativ rasch testen und überwachen. Diese Security Level-Management-Lösungen aggregieren, normalisieren und visualisieren die Daten zu Virenschutz, Anti-Spam, Patch-Management und Web-Filter über alle Standorte und Sicherheitsprodukte hinweg aus den verschiedenen Konsolen und liefern in Sekundenschnelle eine detailgenaue Gesamtansicht über den aktuellen Sicherheitsstatus des Unternehmensnetzwerks. Grundlage sind in der Regel die in der Lösung in Form von Schwellen- und Grenzwerten abgebildeten Leistungsvorgaben für die im Unternehmen installierten IT-Sicherheitssysteme. Je nach Funktionsvielfalt der Management-Lösungen können für einzelne Regionen unterschiedliche Toleranzgrenzen gesetzt und unterschiedliche Sicherheitslevel definiert werden. Geographische Ansichten geben einen regionalen Überblick über die aktuellen Level im Netzwerk. Über Kontinente, Länder und Standorte kann bis hinunter auf einzelne Server oder Rechner gezoomt werden. Bei Grenzwertüberschreitungen werden automatische Alarmierungen aktiv. Detailansichten zeigen die Auslöser für die Warnungen. Monitoring- und Reporting-Funktionen liefern Diagramme und Listen beispielsweise über den Deployment-Status aktueller Patches und Updates; vergleichende Statistiken zeigen Veränderungen im Sicherheitslevel über definierbare Zeiträume hinweg. Die Auswertungen machen die Effizienz von Sicherheitsmaßnahmen transparent und bilden die Basis für einen kontinuierlichen Optimierungsprozess. Denn erst wenn Sicherheit messbar ist, kann Sicherheit messbar besser werden.

»Nahezu alle Unternehmen engagieren sich für mehr IT-Sicherheit, doch weniger als die Hälfte gleicht regelmäßig die tatsächliche Leistung der Schutzsysteme mit den eigenen Zielen ab.«

»Intelligente Security Level-Management-Systeme ermöglichen Sicherheitsverantwortlichen, bis auf den einzelnen Standort zu zoomen.«

Über AMPEG

AMPEG wurde 1994 in Bremen als Microsoft-Reseller gegründet. 2001 wählte das Unternehmen den Fokus »IT-Sicherheit« und etablierte sich schnell als hochqualifizierter Value-Added-Reseller für IT-Sicherheitslösungen, u. a. für Trend Micro, Websense, SonicWall, CenterTools, ARP-Guard und Microdasys. AMPEG nimmt ausschließlich Lösungen ins Portfolio, die sich in strengen internen Test qualifiziert haben, begleitet Kunden durch die Implementierungsphase und stellt kompetenten Support bereit. Als Reseller hat AMPEG erfolgreiche Projekte u. a. für Airbus, den Bundesverband der Betriebskrankenkassen, die BSH Bosch und Siemens Hausgeräte GmbH, oder das Informatikzentrum Niedersachsen durchgeführt.

Im Jahr 2006 hat AMPEG seine weitreichenden Erfahrungen mit Sicherheitslösungen gebündelt und in einem eigenen Produkt, dem »AMPEG Security Lighthouse« (ASL), umgesetzt. ASL ist ein Monitoring- und Reporting-Tool, das Sicherheitsverantwortliche Echtzeitinformationen über ihre weltweit installierten Sicherheitssysteme liefert und sie so in die Lage versetzt, die Einhaltung interner Sicherheitsvorgaben zu überprüfen. Weitere Informationen über AMPEG und ASL sind verfügbar unter: www.security-lighthouse.de.

Copyright © 2003-2010 ap Verlag GmbH