Strategische Informationssicherheit: Vorhersage der Gegenwart

Die in Wien stattfindenden DeepINTEL-Konferenz stellt Ansätze für Next Generation Security vor. [...]

Viele Produkte und Ansätze der Informationssicherheit versuchen mit großem Aufwand, die Zukunft vorherzusagen. Es ist immer die Rede von Bedrohungen der Zukunft, Erkennung von Attacken, bevor sie entstehen oder dem Zauberwort „proaktiv“. Die Vorhersage der Zukunft nützt Ihrem Unternehmen nichts, wenn die Gegenwart unbekannt ist. Übertragen in die Welt der Informationssicherheit bedeutet dies: Wissen Sie jetzt genug über die Lage, um binnen der nächsten Stunden richtige Entscheidungen zu treffen? Die DeepINTEL Seminarkonferenz, die am 21./22. September in Wien stattfindet, widmet sich dieser strategischen Frage.
Analogien verzerren Wahrnehmung und Fakten
Man verwendet gerne Analogien, um Zusammenhänge zu verdeutlichen . Spezie ll bei Themen der IT-Sicherheit nimmt man sich Anleihe aus dem militärischen Bereich. Angriff und Verteidigung legt diese Verwandtschaft nahe, aber dieses Verhalten setzt dadurch automatisch Annahmen voraus, die nicht erfüllt sind. Fehler in Kommunikationsprotokollen, Code, Programmabstürze oder Eigenheiten von Hardware sind keine Waffen, egal wie viel Vorstellung man anwendet. Man kann Internetzugänge nicht panzern. Es gibt auch keine kugelsicheren Datenbanken oder Postfächer. Die Analogien brechen schnell zusammen und verschleiern, worum es eigentlich geht – welche Informationen über die eigene Infrastruktur und Kommunikation vorhanden ist, und was diese Daten im Hinblick der real zutreffenden Risiken bedeuten? Dieses Wissen kann man nicht vollständig von Dienstleistern einkaufen, sondern man muss es mit den Erfahrungen aus dem eigenen Geschäftsfeld zusammentragen. Unternehmen kennen ihre eigenen Prozesse sehr gut, und diese Kenntnis muss in die IT-Sicherheit fließen.
Security-Intelligence als Sammlung von Methoden
Der Begriff Security-Intelligence wird oft in einer anderen Bedeutung verwendet. Sicherheitsexperten verstehen darunter die Kenntnis der Methoden, die gegen ein Ziel eingesetzt werden, das Wissen um die Fähigkeiten der Angreifer und die Analyse von frei verfügbaren Quellen (Open Source Intelligence) im Kontext der erwarteten Risiken. Konkret bedeutet dies eine Aufklärung über die gegen eine Organisation eingesetzten Mittel, die die IT-Sicherheit neutralisieren oder entschärfen muss. Darin eingeschlossen sind auch Bedrohungen abseits der Technik, also interne Bedrohungen, Personalsuche, Kommunikationsverhalten und vieles mehr. Security-Intelligence steht damit als Prozess vor der Implementation oder gar Diskussion von Sicherheitsmassnahmen. Aus diesem Grund beschäftigen sich Unternehmen kaum damit und verlassen sich auf externe Anbieter. Die DeepINTEL möchte die Möglichkeit bieten, einen Einstieg in das Thema zu finden. Einige Firmen haben erfolgreich selbst Security-Intelligence-Teams aufgebaut oder zumindest Methoden entwickelt, um nicht blind digitale Sperren aufzubauen. Letztlich werden dadurch die Maßnahmen der IT-Sicherheit treffsicherer.
Insbesondere Bereiche wie kritische Infrastruktur (Energieversorgung, Netzwerke), Finanzwesen, Versicherungen, Transportwesen (Speditionen, Frachtflug, Flughäfen), Gesundsheitswesen oder Behörden profitieren, wenn man die digitale Verteidigung auf die Risiken abstimmt.
Interaktionen sind überall
Ein wichtiger Fokus der DeepINTEL sind Interaktionen. Sicherheitstechnisch sind Wechselwirkungen zwischen Menschen oder Maschinen (in jedweder Kombination) immer kritisch. Keine erfolgreiche Attacke kommt ohne sie aus. In Präsentationen werden die Manipulation menschlichen Handelns, die Beweggründe sowie Profile interner Angreifer, die Beeinflussung des menschlichen Gedächtnisses und die Rolle von Propaganda in geopolitischen Konflikten. Nachdem eingangs erklärt wurde wie wichtig Information ist, darf man die Rolle von Desinformation nicht unterschätzen. Sie ist ein wichtiges Werkzeug aller Gegner in der Informationssicherheit. Gerade der Faktor Mensch wird viel zu oft übergangen. Personalabteilungen lassen sich nur bedingt durch technische Mittel schützen. Wer nachhaltig eine Organisation oder ein Unternehmen angreifen möchte, der platziert Personal im Inneren. Dabei darf man nicht vergessen: Wirklich effektive Angriffe werden Monate oder Jahre vorbereitet. Darin ist die Einstellung eines Komplizen oder die Motivation einer Mitarbeiterin zur internen Bedrohung zu werden leicht möglich. Die Vorbereitungen dazu findet man nichts in den Logs der Server und Applikationen, sprich mit Technologie alleine ist man schlecht vorbereitet.
Der technische Aspekt wird in Präsentationen über das Profiling von Schadsoftware, die Schwachstellen des Stromversorgungsnetzwerks, das Versagen von industriellen Kontrollsystemen (Supervisory Control and Data Acquisition, SCADA) und menschliche Irrtümer im Zusammenhang von sicheren Kommunikationssystemen erläutert. Es gibt leider Bereiche moderner Infrastruktur, in dem man Sicherheitslücken nicht suchen muss. Die auf der Konferenz vorgestellten Ergebnisse stammen aus tatsächlich stattgefundenen Vorfällen und Sicherheitstests. Dadurch ergibt sich eine gute Gelegenheit mit Hilfe von echten Informationen über Fallstudien nachzudenken. Solche Planspiele sind von Vorteil, genau wie Brandschutzübungen, und sie helfen Szenarien aufzubauen, die Ihre digitale Verteidigung berücksichtigen muss.
DeepINTEL-Programm und Registrierung
Wer unbeschadet in die Zukunft gelangen möchte, der muss die Gegenwart „beherrschen“. Um die fehlgeleiteten Analogien ein letztes Mal zu verwenden: Man kann auch in der digitalen Welt jede Schlacht gewinnen und den Krieg trotzdem verlieren. Das aktuelle Programm der DeepINTEL-Konferenz  gibt es unter  https://deepintel.net/DeepINTEL_2017_Schedule.pdf. Interessierte können sich hier registrieren.