IT-Security: „Always run a changing system“

Früher war IT-Sicherheit kein Thema des Top-Managements. Heute, endlich, wollen alle darüber reden, vom CEO bis zum Staatschef. Doch was sollte man als Sicherheitsspezialist sagen, wenn es um die schwierigen aktuellen Herausforderungen geht? [...]

Eines war mir immer klar: IT-Sicherheit wird niemals ein Thema sein, das das Top-Management wirklich interessiert. Was ich jahrelang verbreitet habe, stellt sich nun als Irrtum heraus. Mittlerweile interessieren sich nicht nur Geschäftsführer, CEO und Vorstandsvorsitzende für IT-Sicherheit, sondern sogar Staatschefs wie Merkel und Obama. Mit gutem Grund. Sie kennen die ernstesten Anwendungsfälle: Wo Daten verloren gehen, gehen Leben verloren. Wo Systeme Schlupflöcher haben, machen sie unsere Infrastruktur porös und angreifbar. Unabhängig davon, ob sie bereits die richtigen Konsequenzen ziehen – die IT-Sicherheitsbranche ist ins Rampenlicht getreten. Das Top-Management will reden. Wir haben es uns immer gewünscht. Aber: Jetzt müssen wir damit leben.

Und das ist nicht einfach, denn die Bedrohungslage hat sich komplett gewandelt, wandelt sich stündlich weiter und wir IT-Sicherheitsspezialisten haben sie mit unseren altertümlichen Ansätzen nicht durchgängig im Griff. Die großen vier Herausforderungen sind heute:
– eine IT-Infrastruktur, die von Fachabteilungen vorangetrieben wird, nicht mehr von der IT-Abteilung
– Anwender, die sich wie Systemadministratoren verhalten, nicht mehr wie Bittsteller der Administratoren
– Daten und Applikationen, die in der Cloud liegen und arbeiten, nicht mehr im isolierten Netzwerk
– internetfähige Dinge, die sich zu Tausenden überall ausbreiten und die per se von Fremden betrieben werden, nicht mehr ein oder zwei Geräte pro User unter Kontrolle des Unternehmens.

Beispiel Business Driven Infrastructure, die erste der vier Herausforderungen: Sie stellt das frühere Bauprinzip von IT-Infrastrukturen vom Kopf auf die Füße. Früher war die Infrastruktur das Fundament, auf dem sich Applikationen und Daten befanden, die wiederum die Fachabteilungen für ihre Zwecke nutzen konnte, um Profit zu generieren. Heute bestimmt dagegen das Business die Richtung. Fachabteilungen führen eigenmächtig Mobile Services, Cloud-Dienste, soziale Netzwerke und Big-Data-Projekte ein, ohne über Applikationen und Daten, geschweige denn IT-Infrastruktur auch nur nachzudenken. Und ohne die IT-Kollegen zu fragen. Die IT-Abteilung hat „nur“ noch die Bringschuld, diese Business-Driven-Infrastruktur zu ermöglichen und stabil, zuverlässig und leistungsstark zur Verfügung zu stellen.

Die Anwender, die zweite Herausforderung, haben ein ganz anderes Rollenverständnis als vor ein paar Jahren. In den Nullerjahren fehlte ihnen zwar meist tiefes IT-Wissen. Aber das war ihnen wenigstens bewusst. Jetzt, in den Zehnerjahren, sind sie mindestens ebenso ahnungslos. Aber sie halten sich für IT-Profis, die selbstverständlich alles dürfen und alles können.

Wenn wir noch vor wenigen Jahren an den ultimativen Schutz von IT-Ressourcen gedacht haben, war von Unified Threat Management (UTM) die Rede. Gemeint war eine einzige Appliance, die gegen alles schützt, die eine Magic Box, die einem den Hintern rettet. Etwas, das zwischen uns und dem Bösen steht, egal wie das Böse aussieht. Das wird den heutigen Anforderungen nicht mehr gerecht: Das sogenannte Böse ist heute unter uns, über uns, ja, in uns als Endanwender. Wir dürfen uns selbst nicht trauen. Wer heute ein neues Geschäft über mehrere Standorte verteilen möchte, nutzt nicht mehr ein zentralisiertes WAN. Er nutzt Office 365, Filesharing, Cloud-Dienste und smarte mobile Geräte. Und damit schaut das klassische UTM-Konzept sehr schnell sehr alt aus. Das potenziell Böse kommt gar nicht mehr an der schwerbewachten Eingangstür vorbei.

Wie kann man sich denn dann heute schützen? Was muss man tun? Jedes Unternehmen hat heute vollkommen unterschiedliche Installationen und Sicherheitsanforderungen. Und mit jedem Tag wird die IT-Welt unübersichtlicher und diversifizierter. Wie kann man eine solch individualisierte, dynamische und oft komplex verästelte Infrastruktur schützen? Aus Herstellersicht: Welcher Produktmanager kann sich hier etwas ausdenken?

Die Antwort lautet leider: Keiner. Der vollständige Schutz vor Gefahren (Total Threat Protection, TTP) und die vollständige Datensicherheit (Data Protection Plus, DDP) sind heute zwangsläufig Kundenkonzepte, keine Herstellerkonzepte. Es geht darum, jeden Angriffsvektor zu unterbinden, alle Daten, egal wo sie liegen, per Backup zu sichern und jede Kommunikation, egal wo sie stattfindet, zu archivieren.

ZENTRALES MANAGEMENT
Der Erfolgsfaktor ist heutzutage – und da sind durchaus wieder die Hersteller in der Pflicht –, dass Unternehmen die zahlreichen Punkte, die zu schützen sind, einschließlich all der ständigen Änderungen, zentral managen. Es geht also nicht mehr um einen konvergenten Schutzmechanismus wie bei UTM, sondern um die gemeinsame Verwaltung sehr unterschiedlicher Sicherheitsmechanismen, von denen das klassische UTM nur noch ein Baustein ist. Hersteller, die ihren Kunden einen Überblick über die gesamte Sicherheitslandschaft und den Schutz vor allen gängigen Gefahren bieten können, haben hier die besten Karten.

Früher hieß es „Never change a running system“. Auch falsch. Heute muss es heißen: „Always run a changing system“. Wir müssen es begreifen: Die Art, wie Fachabteilungen und Endanwender die IT nutzen, ändert sich. Sie ändert sich schneller, als wir Sicherheitsexperten das je geglaubt hätten. Das Gehabe, mit dem noch heute manchmal Firewall-Regeln erstellt, genehmigt und verfeinert werden, ist viel zu langsam und antiquiert. In der Zeit, in der manche Rechenzentren eine Regeländerung implementieren, werden in Handelsunternehmen 25 Firewalls neu in Betrieb genommen. Die IT-Sicherheit muss sich ständig neuen Gegebenheiten anpassen. Total Threat Protection erfordert ständige Aktualisierungen.

Die größte Herausforderung für uns IT-Sicherheitsspezialisten ist gar nicht mehr, vorauszuahnen, wie ein Angreifer sich verhält. Heute müssen wir verstehen, wie das Angriffsziel sich verhält: die Cloud-Applikation, das IoT-Device und, immer wieder, der Anwender. Wir fühlen uns als IT-Sicherheitsspezialisten ja wie die Bodyguards der Anwender. Und das sind wir auch. Aber wenn der Bodyguard seinen VIP in den Keller sperrt, um ihn zu schützen, läuft etwas falsch. Wir müssen ihn dahin begleiten, wo er hin will.

Die IT-Abteilung und wir als IT-Sicherheitsbranche wurden aus dem Paradies vertrieben, in dem wir weitestgehend Kontrolle über Infrastruktur, Systeme, Applikationen, Daten und letztlich auch über den Anwender hatten. Heute müssen wir uns mit dem Business auseinandersetzen. Wir müssen uns mit denen verbünden, die dafür verantwortlich sind, dass ein Unternehmen am Ende Erfolg hat und profitabel ist. Wie gesagt, das hatten wir uns ja immer gewünscht, dass die einmal mit uns reden. Jetzt ist die Zeit.

* Wieland Alge, Vice President und General Manager EMEA Barracuda Networks, hielt diese Rede zur Eröffnung der Barracuda Networks EMEA Conference für IT-Sicherheit und Storage in Alpbach. Die ungekürzte Keynote finden Sie unter www.itwelt.at.