Goliath, Siegfried... Wer ist der Nächste?

Eine Umfrage der Innofact AG, die vom Bremer Sicherheitsspezialisten AMPEG unter IT-Sicherheitsverantwortlichen in Auftrag gegeben wurde, hat sich mit dem Thema Transparenz in der IT-Sicherheit beschäftigt und Optimierungspotenziale aufgedeckt. Demnach kann ein effektives Security Level Management IT-Verantwortlichen mehr Kontrolle über ihre Systeme geben.

Zugegeben, vor allem IT-Verantwortliche in großen Unternehmen oder Behörden haben es heutzutage schwerer, sich einen Überblick über den Status ihrer Schutzsysteme zu verschaffen, als die Giganten aus der Bibel- und Sagenwelt. Die obgenannte Studie "IT-Sicherheit organisieren, kontrollieren" hat ergeben, dass fast zwei Drittel der befragten Unternehmen mit 1.000 bis 5.000 PC-Arbeitsplätzen IT-Sicherheitslösungen von mehr als drei Herstellern zum Schutz vor Viren, Spam & Co. im Einsatz haben. Je größer ein Unternehmens- oder Behördennetz, desto differenzierter ist das IT-Sicherheitskonzept.

Ziele ja, Prüfung kaum

An guten Vorsätzen mangelt es in keinem Unternehmen. Alle wollen ihre Daten schützen, definieren Security Policies und implementieren ein Spektrum verschiedenster Schutzlösungen. Lediglich knapp 4% der Befragten haben jedoch die Möglichkeit, permanent den Status der unternehmensweit installierten Sicherheitssysteme einzusehen.

Eine Echtzeit-Analyse gehört noch nicht zum Standard: Durchschnittlich etwas mehr als 19 Stunden brauchen die befragten Unternehmen, um Aussagen über das aktuelle Security Level treffen zu können, d.h. um die Informationen aus den verteilten Sicherheitslösungen zu sammeln und aussagekräftig aufzubereiten. Lücken im System, die immer wieder entstehen können - beispielsweise wenn ein Verteilserver das aktuelle Virenpattern nicht ausrollt - werden oft erst mit erheblicher Verspätung entdeckt. Der hohe Aufwand je Überprüfung kann ein Grund dafür sein, dass in etwa 40% der befragten Unternehmen kein kontinuierlicher Abgleich von Zielen und tatsächlicher Leistung der Schutzsysteme vorgesehen ist. Doch ohne regelmäßigen Zielabgleich ist es schwer, IT-Sicherheit zu steuern und kontinuierlich zu verbessern.

Security Level Management schafft Transparenz

Die Definition eines unternehmensspezifischen "Security Level" und dessen permanente Überwachung bringen wertvolle Aspekte der Messbarkeit und Transparenz in die IT-Sicherheit. Ein Security Level besteht aus einer individuellen Sammlung konkreter, messbarer Grenz- und Schwellenwerte, die aus abstrakten Security Policies abgeleitet werden.

Ein Beispiel: Übergeordnete Ziele wie "Wir wollen unterbrechungsfrei arbeiten" müssen in operative Ziele wie "Die geschäftskritischen Systeme an unseren österreichischen Standorten müssen innerhalb von vier Stunden nach Erscheinen der aktuellen Signatur auf dem neuesten Stand sein" heruntergebrochen werden, um messbar zu sein. Es muss gelingen, die Zielerreichung zeitnah zu überprüfen. Die bereits genannten 19 Stunden sind für ein effizientes Security Level Management zu lang. Gefragt sind für diese Aufgabe herstellerübergreifend arbeitende Monitoring- und Reporting-Lösungen, die permanent einen detailgenauen Überblick über den Sicherheitsstatus im Unternehmensnetzwerk, auch über viele Standorte hinweg, liefern können.

Ein Beispiel dafür ist das "AMPEG Security Lighthouse" (ASL). Hier können spezifische Grenz- und Schwellenwerte für alle laufenden Sicherheitsanwendungen definiert werden. Mit Ampelfarben zeigt die Software im laufenden Betrieb unter anderem den Sicherheitsstatus im Netzwerk bezogen auf Kontinente, Regionen oder auch heruntergebrochen auf einzelne Standorte auf. Die Software kann Security Managern und Officern als technische Grundlage für ein effizientes Security Level Management dienen.

Für Goliath oder Siegfried kommt das Security Level Management ein wenig zu spät. Wahrscheinlich würden die beiden sich heute der überwiegenden Mehrheit der Studienteilnehmer (88,4%) anschließen, die in einer erhöhten Transparenz für die IT-Sicherheit einen Schlüssel zu deren kontinuierlicher Verbesserung erkennen.

Weitere Informationen über AMPEG und ASL sind verfügbar unter: www.security-lighthouse.de.

Florian Hohenauer ist freier Autor in München