Unsere neue Kultur des Arbeitens von zu Hause aus hat für die Unternehmen von heute eine enorme Komplexität mit sich gebracht.
Denken Sie an die Milliarden von Geräten – Laptops, Tablets, PCs, Drucker, Scanner –, die Mitarbeiter zu Beginn der Pandemie in aller Eile mit nach Hause nahmen, um ihre Aufgaben zu erledigen, oder die überlastete IT-Teams, die sich verzweifelt um eine Anpassung bemühten, ihnen später per Post zusandten. Die Herausforderungen bei der Verwaltung und Absicherung dieser Endgeräte sind vielfältig. Die meisten sind nicht mehr auf das Netzwerk einer Organisation beschränkt, sondern verteilen sich auf uneingeschränkte, im Handel erhältliche Breitband- und WLAN-Verbindungen.
Um sich ein Bild von diesem weitverzweigten Netzwerk zu machen, werfen Sie einen Blick auf die jährliche Studie „ : Cybersecurity Workforce Study“ von (ISC)2, einem Verband für Fachkräfte im Bereich Cybersicherheit. In einer weltweiten Umfrage unter 3 790 Sicherheitsexperten gaben 30 % der Befragten an, dass ihr Unternehmen innerhalb eines einzigen Tages auf ein Modell der Fernarbeit umgestellt habe, während weitere 47 % den relativen Luxus genossen, sich dafür eine Woche Zeit nehmen zu können. Wie in dem Bericht festgestellt wird, stellte diese plötzliche Umstellung „die Fachkräfte im Bereich der Cybersicherheit vor eine beispiellose Herausforderung, Remote-Umgebungen einzurichten und zu sichern.“
Unter CISOs wie mir herrscht allgemein die Auffassung, dass diese zunehmende Netzwerkkomplexität kostspielige und zeitaufwändige Herausforderungen für das Endpunktmanagement und die Endpunktsicherheit mit sich bringt. In meiner Funktion bei Tanium höre ich das ständig. Ich bin dafür zuständig, andere Führungskräfte aus den Bereichen Sicherheit und IT dabei zu unterstützen, Cyberrisiken zu bewältigen, den IT-Betrieb zu steuern und die Widerstandsfähigkeit des Unternehmens zu stärken. Zudem bin ich für den Schutz der Tanium-Systeme und -Daten verantwortlich.
Ich habe gelernt, dass Komplexität nicht zwangsläufig im Widerspruch zur Sicherheit einer Organisation stehen muss. Tatsächlich bin ich der Ansicht, dass der Begriff „Komplexität“ an sich falsch verwendet wird. Wenn Menschen von Komplexität sprechen, meinen sie in den meisten Fällen eigentlich die Vielfalt in geschäftlichen und technologischen Belangen. Damit ist eine Kombination aus vielfältigen geschäftlichen Anforderungen und Anwendungsfällen gemeint, ebenso wie die zur Unterstützung dieser Anforderungen erforderliche technologische Infrastruktur und die entsprechenden Anwendungen, darunter Hybrid- und Multi-Cloud-Bereitstellungen, SaaS- und maßgeschneiderte Anwendungen sowie eine stetig wachsende Vielfalt an Geräten für den Zugriff auf diese Ressourcen. Ein Unternehmen kann Vielfalt zu seinem Vorteil nutzen und so leichter mehr Anwendungen bereitstellen, um Geräte an mehr Orten zu betreiben. Geschäftsprozesse und Technologie werden erst dann wirklich komplex, wenn der IT-Bereich keinen Überblick und keine Kontrolle über sie hat.
Abgesehen von der Terminologie: Hier sind fünf Möglichkeiten, wie jedes Unternehmen Komplexität nutzen und erfolgreich meistern kann.
Das Hub-and-Spoke-Modell aufbrechen
Seit Jahrzehnten stützen sich IT-Teams beim Management der Netzwerksicherheit auf das Hub-and-Spoke-Modell. Sie haben Sicherheitsfunktionen in einem Rechenzentrum implementiert; alle Mitarbeiter in einem Büro waren damit verbunden. Dieses Modell wurde auf den Kopf gestellt. In einer Welt, in der Remote-Arbeit an der Tagesordnung ist, gibt es zu viele Engpässe beim Zugriff auf diese Umgebungen.
Nehmen wir einmal an, Sie sind ein großes Finanzdienstleistungsunternehmen mit 32 000 Mitarbeitern, die versuchen, über veraltete VPN-Verbindungen auf Netzwerkanwendungen in Ihren Rechenzentren zuzugreifen. Diese Konnektivität wird auch für Sicherheitsdienste genutzt. Dies führt zu einem Engpass in Unternehmensnetzwerken. Viele Unternehmen machen letztendlich Abstriche bei der Sicherheit, da sie den Betrieb ihrer Fachanwendungen aufrechterhalten müssen.
Als Erstes müssen wir die Abhängigkeit von potenziellen Engpässen beseitigen. Wenn alle von zu Hause aus arbeiten und dabei eine Kabel- oder DSL-Verbindung nutzen, reicht es nicht aus, Ihre Sicherheit lediglich auf der Netzwerkebene zu gewährleisten. Bei einer dezentralen Belegschaft verliert diese Netzwerkebene ihre Bedeutung. Das bedeutet, dass Sie Sicherheit am Endpunkt benötigen. Und es ist wichtig, dass Sie die Sicherheit Ihrer Dienste gewährleisten, seien es SaaS- oder IaaS-Dienste, in der Cloud.
Alle Endpunkte ermitteln
Was Sie nicht sehen können, können Sie auch nicht verwalten und schützen. Ich arbeite beispielsweise mit vielen CISOs und CIOs zusammen, die eine Lösung von für das Asset-Management, eine für das Schwachstellenmanagement und eine für das Patch-Management nutzen. Der Einsatz mehrerer Systeme zur Verwaltung und Absicherung von Geräten führt zu Lücken in der Transparenz. Diese Werkzeuge funktionieren alle auf unterschiedliche Weise. Einige davon funktionieren unter Windows. Einige davon funktionieren unter Linux. Einige davon funktionieren auf dem Mac. Diese Zersplitterung der Tools macht es unglaublich schwierig, Ihr Risiko angemessen einzuschätzen.
„Man kann nicht verwalten und schützen, was man nicht sieht.“Chris Hodson
Ich kenne CISOs, die sagen: „Sehen Sie, im letzten Quartal ist es uns gelungen, eine Installationsquote von 97 % bei kritischen Patches zu erreichen.“ „Das ist ein Unternehmensrekord.“ Alle klatschen und geben sich High-Fives. Allerdings hat dieselbe CISO diesen Patching-Agenten nur auf bis zu 75 % ihrer IT-Infrastruktur installiert. Sie kann den Rest nicht sehen, daher wird dies nicht behoben. So erhält man also diese wirklich verzerrten Kennzahlen.
Der Mangel an Transparenz wird in Zeiten dezentraler Arbeitsweise noch verstärkt. Wenn Sie jedoch über eine Verwaltungsebene verfügen – also ein einziges Dashboard, über das Sie Ihre Endpunkte identifizieren und darauf zugreifen können –, gewinnen Sie Transparenz und Kontrolle.
Setzen Sie auf Zero Trust
Die Verlagerung der Sicherheit näher an den Endpunkt – und weg vom Rechenzentrum – ist der Schlüssel zum Schutz moderner, dezentraler Unternehmensstrukturen und zur Gewährleistung der Geschäftskontinuität. Die Mitarbeiter verwenden Geräte, die es dem CISO und dem Sicherheitsteam nicht ermöglichen, Berichte über deren Sicherheitshygiene zu erstellen, darunter auch Angaben zum Patch-Status. In diesem Sinne hat sich die Angriffsfläche gerade explosionsartig vergrößert.
An dieser Stelle kommt das Zero-Trust-Konzept ins Spiel. Das Konzept ist einfach. Um das Computernetzwerk einer Organisation vor unbefugtem Zugriff zu schützen, werden alle Geräte und Benutzer – selbst solche, die dem System bereits bekannt sind – als potenzielle Bedrohung betrachtet und müssen authentifiziert werden, bevor ihnen Netzwerkzugang gewährt wird. Das Zero-Trust-Modell gibt es bereits seit zwei Jahrzehnten. Die meisten Sicherheitsteams sind jedoch nie wirklich dazu gekommen, diese Vorschrift durchzusetzen. Die Pandemie und die rasante Zunahme von Remote-Endgeräten, die über ungesicherte WLAN-Netzwerke genutzt werden, machen dies nun erforderlich.
Nach links verschieben
Als CISO ist es nicht meine Aufgabe, den Mitarbeitern zu sagen, was sie nicht tun dürfen. Dies wurde jedoch traditionell als Aufgabe der Sicherheitsabteilung angesehen, was den heutigen agilen Softwareentwicklungspraktiken – bei denen es auf schnelles Scheitern und schnelle Iterationen ankommt – völlig zuwiderläuft.
Eine Möglichkeit, dies zu beheben, besteht darin, das sogenannte „Shift-Left“-Softwaretesten einzuführen. Das bedeutet, dass Sie bereits viel früher (im frühen Stadium) im Entwicklungszyklus Tests durchführen und Sicherheitskorrekturen bereits dann einbinden, wenn die Entwickler den Code schreiben und veröffentlichen. Indem Sie Sicherheitsmaßnahmen frühzeitig festlegen, verringern Sie die Komplexität bei der Inbetriebnahme. Dadurch wird sichergestellt, dass das Sicherheitsteam flexibel genug ist, um die Sicherheitsanforderungen an sich ändernde geschäftliche Anforderungen anzupassen – eine unvermeidliche Folge jedes auf agilen Methoden basierenden Entwicklungsprojekts. Die Sicherheitsfunktion sollte unaufdringlich sein und fast augenblicklich wichtige beratende Hinweise geben.
Konzentrieren Sie sich auf das Geschäft, nicht nur auf die Technik
Komplexität ist nicht nur technischer Natur. Eine der größten Herausforderungen, mit denen Unternehmen derzeit in Zeiten der Pandemie zu kämpfen haben, besteht darin, ihre eigene Geschäftskontinuität zu verstehen. Wie funktionieren Ihre Dienstleistungen, Ihre branchenspezifischen Dienstleistungen, Ihre Sicherheitsdienstleistungen, Ihre IT-Dienstleistungen und Ihre Lieferkette? Die Feststellung dieser Frage fällt in den Zuständigkeitsbereich des CISO und des CIO sowie in den Bereich des Endpunktmanagements.
Im März, als alle begannen, im Homeoffice zu arbeiten, erhielt ich eine wahre Flut von Anfragen von Kunden, die sich nach der Geschäftskontinuität von Tanium erkundigten. Sie wollten wissen: Wie würden wir unseren Kundenstamm und unsere Partner weiterhin unterstützen, wenn alle von zu Hause aus arbeiten? Einige Kunden haben uns Fragebögen mit 150 Fragen zu unseren Methoden zugesandt. In anderen Fällen habe ich einfach mit einem Verantwortlichen aus dem Governance-Bereich telefoniert und ihm unsere Vorgehensweise erläutert. Dabei habe ich ihm eine Kopie unserer Bescheinigungen zu verschiedenen Compliance-Rahmenwerken vorgelegt, um ihm zu belegen, dass unsere Anwendungssoftware einwandfrei und vertrauenswürdig war.
Daraus lässt sich ableiten, dass die Planung der Geschäftskontinuität auf die Prozesse und Mitarbeiter einer Organisation abgestimmt sein muss. Dies lässt sich mit dem Ansatz eines Unternehmens im Bereich der Cybersicherheit vergleichen. Letztendlich müssen Sie Ihrer Lieferkette vertrauen, doch wie Sie dieses Vertrauen untermauern, ist subjektiv und muss sowohl zur Unternehmenskultur als auch zu den Ressourcen Ihres Unternehmens passen.
Deshalb ist der Umgang mit Komplexität also nicht nur eine technische Angelegenheit. Komplexität entsteht durch Lieferketten. Es geht darum, Risiken in den vor- und nachgelagerten Bereichen zu identifizieren. Es geht darum, zu wissen, welche Abhängigkeiten bestehen – nicht nur in technologischer Hinsicht, sondern auch in Bezug auf die Mitarbeiter und die Art und Weise, wie diese ihre Aufgaben erfüllen.
Komplexität ist ein wesentlicher Bestandteil der heutigen Unternehmensführung. Wenn Sie sich darauf einlassen, sind Sie bestens gerüstet, um Ihre Mitarbeiter zu unterstützen, ganz gleich, was als Nächstes geschieht. Die Führung eines dezentralen Unternehmens ist komplex, bietet aber auch die Chance auf Erfolg. Und wie Mike Tyson einmal sagte: „Jeder hat einen Plan, bis er einen Schlag ins Gesicht bekommt.“
Chris Hodson ist CISO bei Tanium.
