Security-Risikomanagement

Ziel eines Management-Systems ist es, die vielfältigen Risiken für ein Unternehmen transparent zu machen und ihrer Bedeutung nach zu priorisieren. Es soll aufzeigen, welche Gefahren drohen und welche Bedeutung sie für ein Unternehmen haben, so dass am Ende ein konkreter Leitfaden entsteht, wo gehandelt werden muss.

Um Risiken priorisieren zu können, sind drei Faktoren maßgeblich. An erster Stelle steht die Bedeutung eines Systems für den Geschäftsablauf. Der zweite Faktor sind die Sicherheitslücken, die auf einem System vorhanden sind. Drittens ist zu berücksichtigen, wie groß die Bedrohung durch die Ausnutzung der identifizierten Sicherheitslücken wirklich ist. Erst aus der Kombination dieser drei Faktoren ergibt sich das tatsächliche Ausmaß des Risikos.

McAfee(r) teilt Risikomanagement in vier Kernbereiche ein.

Den ersten Kernbereich bildet das Identifizieren und Priorisieren der Assets im Unternehmen. Dazu identifiziert ein sogenannter Discovery-Scan im Netzwerk die verschiedenen Systeme und katalogisiert diese nach IP-Adressen sowie Betriebssystemen. Das Ergebnis dieses Scans bildet die Grundlage für die Definition der so genannten Assets, also für die Zuordnung der Systeme zu organisatorischen Gruppen, denen sich wiederum Werte zuweisen lassen, welche die Bedeutung dieser Systeme für den Geschäftsablauf ausdrücken.

Der zweite Kernbereich des IT-Risikomanagements ist die Erfassung der Schwachstellen auf den jeweiligen Systemen. Dies passiert mit einem sogenannten Vulnerability-Scan, bei dem jedes einzelne System auf Schwachstellen geprüft wird. Aus den Ergebnissen wird dann unter Berücksichtigung der Bedeutung des Assets und der tatsächlich für jede einzelne identifizierte Schwachstelle existierenden Bedrohung(en) das jeweilige Risiko ermittelt.

Für den dritten Kernbereich, den Schutz der Systeme, legt das Risikomanagement-System eine klare Reihenfolge fest, um welche Schwachstellen auf welchen Systemen sich die Administratoren vordringlich kümmern müssen. Auf diese Weise lassen sich vorhandene Ressourcen zielgerichtet einsetzen und zuerst die für das Unternehmen wirklich relevanten Schwachstellen beheben. Ein integriertes System ermöglicht die automatische Generierung von Helpdesk-Tickets, mit denen der Verantwortliche direkt informiert wird und die Aufgabe zugeteilt bekommt, sich des identifizierten Problems anzunehmen. Hat er es behoben (zum Beispiel durch Einspielen eines Patches oder Anpassung der Konfiguration eines Intrusion Prevention-Systems) und möchte das Ticket schließen, prüft eine übergeordnete Instanz automatisch, ob die getroffene Maßnahme effektiv war. Die Tickets lassen sich auch in bereits vorhandene Helpdesk-Lösungen exportieren, so dass die bestehende Infrastruktur genutzt werden kann.

Der vierte Kernbereich umfasst die Dokumentation und Auswertung der Prüfergebnisse. So lässt sich zum Beispiel die Effektivität getroffener Maßnahmen sichtbar machen, indem deren Resultate über einen gewissen Zeitraum mit den vereinbarten Zielen verglichen werden. So können Unternehmen genau dokumentieren, wie wirksam die getroffenen Maßnahmen sind und welches Restrisiko bleibt. Wurden Templates verwendet, die die Übereinstimmung mit bestimmten Regularien überprüfen, kann man zusätzlich deren Einhaltung dokumentieren.

IT-Risikomanagement-Systeme lösen die Probleme vieler IT-Manager und Unternehmen, die ihre Geschäftsprozesse schützen wollen: Sie verschaffen ihnen den oft lange vermissten Überblick über den aktuellen Stand der Sicherheit im Firmennetz. Sie liefern konkrete Hinweise auf Risiken, die den Arbeitsablauf besonders bedrohen und große finanzielle Verluste verursachen können und bieten damit die Möglichkeit, diese Risiken zielgerichtet zu beseitigen.

Das Management bekommt eine umfassende Gesamtübersicht, die Administratoren dagegen detaillierte Problembeschreibungen und Lösungshinweise.

Für weitere Informationen besuchen Sie uns...

...im Internet unter http://www.mcafee.at oder

...auf der ITnT 2007 auf dem Stand der Infinigate in Halle B, Stand B0532.