"Security-Gaps"

Durch gefälschte Aufforderungen werden Bankkunden verleitet, heikle Daten preiszugeben. Vor wenigen Wochen wurden in ähnlicher Form die Zugangsdaten eines e-Bay-Kunden ausspioniert und in dessen Namen sieben Luxusautos ersteigert.

Angriffe aus dem Internet werden mit allen Mittel geführt und nehmen erschreckend zu, auch die erfolgreichen Angriffe. Warum ist das so? Diese Frage lässt sich leicht beantworten: Der Sicherheitsbedarf im Netzwerkbereich steigt, das Sicherheitsbedürfnis aber nicht. Viele Risiken sind bekannt - aber kaum jemand glaubt, dass er selbst betroffen sein wird.

Der Ansatz der Wirtschaft, Security über ROI (Return on Investment) zu verkaufen, ist völlig falsch: Securityinvestitionen müssen wie Versicherungsprämien gesehen werden. Es gibt keine Garantie, dass niemals "Nichts" passiert. Der 100%igen-Sicherheit kann man sich nur asymptotisch nähern, erreichen wird man sie nie.

Außerdem wird sehr oft zu unkoordiniert und zu zaghaft investiert oder Investitionen in sicherheitsrelevante Bereiche gehen in die falschen Kanäle: es ist sehr leicht technisches Equipment zu kaufen und installieren zu lassen. Damit wird aber oft nur eine scheinbare Sicherheit erzielt, da in Wahrheit der Mensch die wirkliche Schwachstelle bildet.

Um es auf den Punkt zu bringen:

• Einfache Maßnahmen, speziell im organisatorischen Umfeld, erhöhen deutlich die Security und kosten vergleichsweise wenig.
• Komplexe Securitysysteme - schlecht gewartet - öffnen Sicherheitslücken, mit denen niemand rechnet.

Dazu ein Beispiel: Durch Einsatz hochverfügbarer und kaskadierter Firewallsysteme verschiedener Hersteller mit Antiviren-und AntiSPAM-Relay-Systemen und entsprechender DMZ-Planung kann in einem Betrieb technisch gesehen eine sehr hohe Sicherheitsstufe erreicht werden. Wenn aber gleichzeitig die Zutrittskontrolle schlecht organisiert ist, werden Angriffe sehr einfach.

Kleine Schritte, großeWirkung

Auch in Sachen Sicherheit können Sie mit richtigen ersten Schritten bereits sehr hohe Effekte erzielen! Mit einem passenden Qualitätsmanagement im IT-Umfeld und dem Erstellen von unternehmensweiten Security-Policies kann schon viel erreicht werden. Dafür gibt es Richtlinien und Normen (wie BS7799/ISO17799), an die man sich grundsätzlich anlehnen kann, ohne gleich hohe Zertifizierungskosten in Kauf nehmen zu müssen.

Zu diesem und anderen Themen veranstaltet die ADV (Arbeitsgemeinschaft für Datenverarbeitung) in Zusammenarbeit mit der Firma R.I.C.S. EDV-GmbH eine Reihe von Seminaren (www.adv.at/veranstaltungen).

In der nächsten Ausgabe werde ich das heikle Thema: "Der Notebook - das Sicherheitsrisiko Nr.1" näher behandeln.

Sie haben Security-Probleme? - Fragen Sie Dr.Wöhrl

Sollten Sie Fragen zu den geschilderten Themen oder anderen Security-Problemen haben, senden Sie eine kurze E- Mail an die MONITOR-Redaktion, troger@monitor.co.at , wir leiten Ihre E-Mail gerne an Hr. Dr. Wöhrl weiter.

Dr. Manfred Wöhrl, ist seit mehr als 25 Jahren im Bereich der EDV mit den Spezialgebieten Computervernetzung und Security (CCSE - Checkpoint Certified Security Engineer) tätig. Er ist Lehrbeauftragter an der Wirtschaftsuniversität Wien, Vortragender der Donau-Universität in Krems und Geschäftsführer der R.I.C.S. EDV-GmbH (Research Institute for Computer Science, http://www.rics.at), spezialisiert auf Securitychecks und Security-Consulting.