Bei den technologischen Methoden und Verfahren ist es extrem wichtig, die Menge der eingesetzten Methoden so gering wie möglich zu halten. Dennoch sollen sie so umfangreich wie nötig sein. Konkurrierende Methoden führen zu Intransparenz und stark erhöhtem Aufwand.
Beispiel:
Setzt man als Autorisierungsinstanz Microsoft Active Directory und ein oder mehrere andere Directoires (IBM RACF, SAP ID oder Oracle LDAP Server) gleichermaßen ein, führt das auch bei stringentem Einsatz von Richtlinien und Prozessen auf beiden Seiten über kurz oder lang zu Abweichungen in den Berechtigungen. Auch werden die Accounts (named User) kontextbezogen nicht deckungsgleich bleiben. Strukturelle Sicherheitslücken sind eine sichere Folge. Und Software- Migrationen werden unnötig erschwert, weil Authentifizierungsverfahren nicht kompatibel sind.
Komplexität in den Griff bekommen: Keep IT simple
Erfolgreiche IT-Organisationen gestalten ihre Prozesse so einfach und transparent wie möglich. Sie benutzen wesentlich weniger Softwareplattformen und Anwendungen, darüber hinaus setzen sie auch bei der Hardware auf einfache, effiziente Lösungen.
Gesenkte Komplexität in der IT verbessert auch die Prozesse anderer Abteilungen. Dabei setzen Sie vor allem auf Standardlösungen und auf möglichst einheitliche Datenbestände On-Premise und in der Cloud. Es gibt immer nur eine wahre Daten-Quelle.
Technische Methoden für den Erfolg
Die nachfolgenden Methoden sind die das Mindestmaß an Struktur, die eine IT Organisation benötigt. Sicherlich gibt es weitere Methoden, die notwendig werden können, wenn kann im konkreten Fall erfolgreich IT betreiben will.
User Life Cycle Management / Identity Access Management
Ein Großer Teil der Angriffe erfolgen über Identitätsklau. Verschiedene Methoden zielen darauf ab, Identitäten im Unternehmen zu erspähen. Mit diesen Identitäten sollen weitere Identitäten mit höheren Rechten erlangt werden. ULC & IAM helfen hier, den validen Überblick über die Identitäten zu jedem Zeitpunkt zu halten.
Enterprise Access Management
Ein wichtiger Bestandteil des User Life Cycle Managements ist die Sorge um Identitäten. Diese Identitäten haben erhöhte Privilegien bis hin zur Enterprise Administration. Sie sind die eigentlichen Angriffsziele von Hackern. Deshalb ist die konsequente Einbeziehung von Authentifizierung & Autorisierung im Enterprise Access Management sehr wichtig. Ebenso wichtig ist der Schutz unternehmenswichtiger Daten und Informationen.
Software Life Cycle Management
Die Menge der Software bestimmt die Lizenz- und – noch wichtiger – die Prozesskosten.
Denn Software muss verteilt, in das Berechtigungskonzept eingepasst, gewartet und aktualisiert werden. Hier hilft das Software Life Cycle Management, die Angriffsflächen und Betriebsaufwände zu minimieren.
Vulnerability Management
Schwachstellen (Vulnerability-) Management ist die zentrale Methode, Schwachstellen in der IT-Infrastruktur zu erkennen, zu bewerten und zu sanieren. Das gilt nicht nur für programmatische Schwachstellen. Sie treten immer wieder in jeglicher Software auf. Es gilt auch für das Design der IT-Infrastruktur und alle damit eingesetzten Prozesse.
Certification Management
Neben User Life Cycle Management / IAM ist der gezielte Einsatz und Pflege von Zertifikaten existentiell für eine sichere IT-Infrastruktur. So sollten nicht nur alle Devices und User mit Zertifikaten abgesichert werden. auch alle Kommunikationsbeziehungen sind verschlüsselt auszuführen.
Darüber hinaus sind alle Skripte, die z.B. der Automation dienen, mit einem Zertifikat zu signieren.
Aufbau der IT-Infrastruktur nach Security Levels
Security-Levels bilden die Vertrauenswürdigkeit eines Netzwerkes ab. Je höher der Security-Level ist, desto vertrauenswürdiger ist der Level. Hohe Security-Levels haben per Default Zugriff auf niedrige Security-Level, andersrum wird der Zugriff verwehrt. Kommunikation zwischen Zonen desselben Security-Level werden per Default geblockt. Folgende Security- Level bilden aus meiner Sicht das Mindeste an Sicherheit.
- DATA (Level 5)
DATA ist mit der höchsten Vertraulichkeitsstufe belegt. Hier werden alle strukturierten und unstrukturierten Daten (Datenbanken, Dateien), das Active Directory und die Zertifikatsserver untergebracht. Darüber hinaus sind Backup- , Deployment- und Automationsumgebungen in diesem Level, aber technisch getrennt, unterzubringen. Alle Systeme in dieses Levels sind existentiell für das Unternehmen. - APPLICATION (Level 4)
Im Security Level APPLICATION sind die Applikationsserver und Web-Frontends zu finden. Interne Mitarbeiter kommunizieren mit ihnen. Die Applikationsserver kommunizieren wiederum mit den Datenbankservern in DATA (Multi-Tier-Anwendung).
Im Best Case können diesen Systeme on Demand neu deployed werden. Alternativ müssen sie aus einem aktuellen Backup jederzeit wieder hergestellt werden können, um den Betrieb zu gewährleisten. - WORKSPACE (Level 3)
Im WORKSPACE sind alle Arbeitsplätze (intern wie extern) zu finden. Sie kommunizieren in der Regel nur mit den Systemen im Security Level APPLICATION. - DMZ / PERIMETER (Level 2)
Die Kommunikation mit externen Partnern B2B oder B2C wird in der Regel über die DMZ abgehandelt. Hier stehen Frontends, wie beispielsweise Shop Systeme, die die Kommunikation mit Kunden und Partnern ermöglichen. Diese Systeme haben keinerlei Datenhaltung (Ausnahme: Konfigurationsdaten). Sie bedienen sich abgesicherter System in APPLICATION. Sie sind im Schadenfall innerhalb kürzester Zeit durch automatisch neu aufgesetzte Systeme ersetzbar. - INTERNET (Level 1)
Das Internet ist grundsätzlich Böse! -:). Natürlich ist das Internet nicht grundsätzlich böse, hat es doch in den letzten Jahrzehnten zu Prosperität und Wohlstand signifikant beigetragen. Es ist jedoch wichtig, sich umfassend und permanent vor den Gefahren zu schützen. Diese Gefahren können durch das Internet bis in das Unternehmen getragen werden.
Staging
In den Anfängen der IT hieß es „Never touch a runnnig system!“ Das gilt in abgewandelter Form auch heute noch:
„Never touch a prodution system without a Change“
Das bedeutet, dass Entwicklung und Test aus dem Produktionsnetzwerk verbannt werden müssen. Dies geschieht, um die höchst mögliche Stabilität der Produktionsumgebung zu erreichen. Erst die fertig ausentwickelte Lösung darf in das Produktionsnetz eingebracht werden. Und das nach festen Regeln, meist im Rahmen eines Change Request und nach Freigabe und der Umsetzung, dem Change.
Um Entwicklung und Test zu unterstützen sind eigene, vollständig unabhängige Umgebungen, die nach an der Produktions- Realität sind, notwendig. Dort können dann neue Methoden und technologieren bis zur Produktionsreife entwickelt, konfiguriert und getestet werden.
Fazit
die beschriebenen Maßnahmen stellen wie auch in Teil 1 beschrieben, das absolute Minimum dar. Mehr geht immer.
Technische Methoden schaffen Klarheit im Umgang mit Technik. Sie bilden das Rückgrat für alle Entscheidungen innerhalb der IT. Was noch wichtiger ist: Endlich muss nicht jede Entscheidung lang und breit besprochen werden. Alle Mitarbeiter orientieren sich an den gewählten Methoden.
.
Pingback: Unternehmens-Identitäten: Leitlinien für die Sicherheit