Bedrohungslage hat sich komplett gewandelt
Der Bodyguard darf seinen VIP nicht in den Keller sperren
Die Business Driven Infrastructure stellt das frühere Bauprinzip von IT-Infrastrukturen vom Kopf auf die Füße
Statement von Dr. Wieland Alge, Vice President und General Manager EMEA Barracuda Networks
(26.05.15) - Eines war mir immer klar: IT-Sicherheit wird niemals ein Thema sein, das das Top-Management wirklich interessiert. Falsch. Was ich jahrelang verbreitet habe, stellt sich nun als ein Irrtum heraus. Mittlerweile interessieren sich nicht nur Geschäftsführer, CEOs und Vorstandsvorsitzende für IT-Sicherheit, sondern sogar Staatschefs wie Merkel und Obama. Mit gutem Grund. Sie kennen die ernstesten Anwendungsfälle: Wo Daten verloren gehen, gehen Leben verloren. Wo Systeme Schlupflöcher haben, machen sie unsere Infrastruktur porös und angreifbar. Unabhängig davon, ob sie bereits die richtigen Konsequenzen ziehen - die IT-Sicherheitsbranche ist ins Rampenlicht getreten. Das Top-Management will reden. Wir haben es uns immer gewünscht. Aber: Jetzt müssen wir damit leben.
Und das ist nicht einfach, denn die Bedrohungslage hat sich komplett gewandelt, wandelt sich stündlich weiter, und wir IT-Sicherheitsspezialisten haben sie mit unseren altertümlichen Ansätzen nicht durchgängig im Griff. Die großen vier Herausforderungen sind heute:
>> eine IT-Infrastruktur, die von Fachabteilungen vorangetrieben wird, nicht mehr von der IT-Abteilung
>> Anwender, die sich wie Systemadministratoren verhalten, nicht mehr wie Bittsteller der Administratoren
>> Daten und Applikationen, die in der Cloud liegen und arbeiten, nicht mehr im isolierten Netzwerk
>> internetfähige Dinge, die sich zu Tausenden überall ausbreiten und die per se von Fremden betrieben werden, nicht mehr ein oder zwei Geräte pro User unter Kontrolle des Unternehmens.
Die Business Driven Infrastructure, die erste der vier Herausforderungen, stellt das frühere Bauprinzip von IT-Infrastrukturen vom Kopf auf die Füße. Früher war die Infrastruktur das Fundament, auf dem sich Applikationen und Daten befanden, die wiederum die Fachabteilungen für ihre Zwecke nutzen konnte, um Profit zu generieren. Heute bestimmt dagegen das Business die Richtung. Fachabteilungen führen eigenmächtig mobile Services, Cloud-Dienste, soziale Netzwerke und Big-Data-Projekte ein, ohne über Applikationen und Daten, geschweige denn IT-Infrastruktur auch nur nachzudenken. Und ohne die IT-Kollegen zu fragen. Die IT-Abteilung hat "nur" noch die Bringschuld, diese Business Driven-Infrastruktur zu ermöglichen und stabil, zuverlässig und leistungsstark zur Verfügung zu stellen.
Lesen Sie zum Thema "Cloud Computing" auch: SaaS-Magazin.de (www.saasmagazin.de)
Anwender, die meinen alles zu können und zu dürfen
Die Anwender, die zweite Herausforderung, haben ein ganz anderes Rollenverständnis als vor ein paar Jahren. In den Nullerjahren fehlte ihnen zwar meist tiefes IT-Wissen. Aber das war ihnen wenigstens bewusst. Jetzt, in den Zehnerjahren, sind sie mindestens ebenso ahnungslos. Aber sie halten sich für IT-Profis, die selbstverständlich alles dürfen und alles können.
Daten und Applikationen, die dritte Herausforderung, haben eine lange Reise hinter sich. Bis vor rund zehn Jahren versuchten Unternehmen, sie möglichst vollständig zu zentralisieren. In den späten Nullerjahren, sollte alles virtualisiert werden. Jetzt geht der Trend dahin, alles in die Cloud auszulagern, weil es Anschaffungs- und IT-Personalkosten enorm reduziert. Doch niemals sind diese Projekte vollständig durchgeführt worden. Jetzt betrachten wir einen Zoo aus verteilten Daten und Applikationen, die auf dedizierten und virtuellen Systemen laufen, die sich wiederum in den eigenen vier Wänden und bei verschiedensten Cloud-Anbietern befinden. Doch jemand muss den Zoo nicht nur betrachten, sondern sichern und pflegen. Eine Herkulesaufgabe, gerade richtig für die Security-Spezialisten.
Anbieter von IoT-Geräten in unseren Netzwerken unterwegs
Das Internet of Things (IoT) oder Internet der Dinge ist die vierte Herausforderung. Fast jedes elektronische Gerät, von der Glühbirne bis zum Kühlschrank, ist mittlerweile als internetfähiges Gerät erhältlich. Viele Geräte enthalten Sensoren und Module, die Daten ins Netz schicken und von dort empfangen. In Zeiten der Industrie 4.0 ist jede neue Maschine vernetzt. Autos werden immer smarter und werden wahrscheinlich bald autonom fahren. Oft werden diese IoT-Geräte nicht von demjenigen betrieben, der sie besitzt, sondern von dem, der sie verkauft. Das heißt, in unseren Netzwerken in Haushalten und Betrieben sind zahlreiche Player unterwegs, die wir nicht kennen, nicht kontrollieren und auch kaum jemals für irgendetwas haftbar machen werden können.
Wenn wir noch vor wenigen Jahren an den ultimativen Schutz von IT-Ressourcen gedacht haben, war von Unified Threat Management (UTM) die Rede. Gemeint war eine einzige Appliance, die gegen alles schützt, die eine Magic Box, die einem den Hintern rettet. Etwas, das zwischen uns und dem Bösen steht, egal wie das Böse aussieht. Das wird den heutigen Anforderungen nicht mehr gerecht: Das so genannte Böse ist heute unter uns, über uns, ja, in uns als Endanwender. Wir dürfen uns selbst nicht trauen. Wer heute ein neues Geschäft über mehrere Standorte verteilen möchte, nutzt nicht mehr ein zentralisiertes WAN. Er nutzt Office 365, Filesharing, Cloud-Dienste und smarte mobile Geräte. Und damit schaut das klassische UTM Konzept sehr schnell sehr alt aus. Das potenziell Böse kommt gar nicht mehr an der schwer bewachten Eingangstür vorbei.
Kundenkonzepte statt Herstellerkonzepte
Wie kann man sich denn dann heute schützen? Was muss man tun? Jedes Unternehmen hat heute vollkommen unterschiedliche Installationen und Sicherheitsanforderungen. Und mit jedem Tag wird die IT-Welt unübersichtlicher und diversifizierter. Wie kann man eine solch individualisierte, dynamische und oft komplex verästelte Infrastruktur schützen? Aus Herstellersicht: Welcher Produktmanager kann sich hier etwas ausdenken?
Die Antwort lautet, leider: Keiner. Der vollständige Schutz vor Gefahren (Total Threat Protection, TTP) und die vollständige Datensicherheit (Data Protection Plus, DDP) sind heute zwangsläufig Kundenkonzepte, keine Herstellerkonzepte. Es geht darum, jeden Angriffsvektor zu unterbinden, alle Daten, egal wo sie liegen, per Backup zu sichern und alle Kommunikation, egal wo sie stattfindet, zu archivieren.
Total Threat Protection: Gemeinsames Management aller Schutzmechanismen
Der Erfolgsfaktor ist heutzutage – und da sind durchaus wieder die Hersteller in der Pflicht –, dass Unternehmen die zahlreichen Punkte, die zu schützen sind, einschließlich all der ständigen Änderungen, zentral managen. Es geht also nicht mehr um einen konvergenten Schutzmechanismus wie bei UTM, sondern um die gemeinsame Verwaltung sehr unterschiedlicher Sicherheitsmechanismen, von denen das klassische UTM nur noch ein Baustein ist. Hersteller, die ihren Kunden einen Überblick über die gesamte Sicherheitslandschaft und den Schutz vor allen gängigen Gefahren bieten können, haben hier die besten Karten.
Früher hieß es "Never change a running system". Auch falsch. Heute muss es heißen: "Always run a changing system". Wir müssen es begreifen: Die Art, wie Fachabteilungen und Endanwender die IT nutzen, ändert sich. Sie ändert sich schneller, als wir Sicherheitsexperten das je geglaubt hätten. Das Gehabe, mit dem noch heute manchmal Firewall-Regeln erstellt, genehmigt und verfeinert werden, ist viel zu langsam und antiquiert. In der Zeit, in der manche Rechenzentren eine Regeländerung implementieren, werden in Handelsunternehmen 25 Firewalls neu in Betrieb genommen. Die IT-Sicherheit muss sich ständig neuen Gegebenheiten anpassen. Total Threat Protection erfordert ständige Aktualisierungen.
Der Bodyguard, der seinen VIP in den Keller sperrt
Die größte Herausforderung für uns IT-Sicherheitsspezialisten ist gar nicht mehr, vorauszuahnen, wie ein Angreifer sich verhält. Heute müssen wir verstehen, wie das Angriffsziel sich verhält: die Cloud-Applikation, das IoT-Device und, immer wieder, der Anwender. Wir fühlen uns als IT-Sicherheitsspezialisten ja wie der Bodyguard der Anwender. Und das sind wir auch. Aber wenn der Bodyguard seinen VIP in den Keller sperrt, um ihn zu schützen, läuft etwas falsch. Wir müssen ihn dahin begleiten, wo er hin will.
Die IT-Abteilung und wir als IT-Sicherheitsbranche wurden aus dem Paradies vertrieben, in dem wir weitestgehend Kontrolle über Infrastruktur, Systeme, Applikationen, Daten und letztlich auch über den Anwender hatten. Heute müssen wir uns mit dem Business auseinandersetzen. Wir müssen uns mit denen verbünden, die verantwortlich dafür sind, dass ein Unternehmen am Ende Erfolg hat und profitabel ist. Wie gesagt, das hatten wir uns ja immer gewünscht, dass die einmal mit uns reden. Jetzt ist die Zeit. (Barracuda Networks: ra)
Barracuda Networks: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.