Wenn Sie Compliance als Endziel Ihrer allgemeinen Sicherheitsmaßnahmen betrachten, entgehen Ihnen wichtige Aktualisierungen. Die bevorstehende Umstellung auf die PCI-TLS-Verschlüsselung ist hierfür ein hervorragendes Beispiel.
Compliance und Sicherheitshygiene gehen Hand in Hand. Nach gängiger Auffassung gilt: Je besser Sie die Vorschriften einhalten, desto besser ist Ihr Programm zur Informationssicherheit. Dies gilt unabhängig davon, ob Ihr Unternehmen die folgenden Standards anwendet: „ “ (), „PCI-DSS“ ( ) (wird in einem neuen Tab geöffnet), „“ (), „ “ (), das „NIST Cybersecurity Framework“ ( ) (wird in einem neuen Tab geöffnet), „“ (), „ “ (), die „CIS Critical Security Controls“ ( ) (wird in einem neuen Tab geöffnet), „“ () oder sonstige branchenspezifische Vorschriften, die sich nach der Art der von Ihnen gespeicherten und weitergegebenen sensiblen Daten richten.
Zwar hilft Ihnen eine gute Sicherheitspraxis dabei, Ihre Compliance-Verpflichtungen zu erfüllen, doch gilt das Gegenteil nicht unbedingt. Compliance-Anforderungen stellen oft nur das absolute Mindestmaß an Schutz für Ihre Daten dar. Wenn Sie Compliance als Endziel Ihrer gesamten Sicherheitsmaßnahmen betrachten, werden Ihnen wichtige Aktualisierungen entgehen.
Zahlungskartenbranche
Betrachten wir als Beispiel die Zahlungskartenbranche (PCI). SSL/TLS wird im Rahmen der PCI-Standards seit langem als Verschlüsselungsprotokoll verwendet. (wird in einem neuen Tab geöffnet) Im Dokument „ April 2015“ gab der PCI Security Standards Council (SSC) bekannt, dass SSL nicht mehr als Sicherheitsmaßnahme verwendet werden dürfe und dass Unternehmen verpflichtet seien, ihre TLS-Implementierung von Version 1,0 auf Version 1,1 zu aktualisieren. Mit dieser Maßnahme sollte eine Lücke in den Compliance-Vorschriften geschlossen werden, die die Verwendung älterer Verschlüsselungsprotokolle ermöglichte. Einige dieser SSL/TLS-Versionen waren mehr als 15 Jahre alt und wiesen bekannte Sicherheitslücken auf.
Im Wesentlichen handelte es sich hierbei um eine Aktualisierung eines einzelnen Sicherheitsprotokolls von TLS Version 1,0 auf Version 1,1. Das neueste Protokoll, TLS v. 1,2 (wird in einem neuen Tab geöffnet), das in April 2014 definiert wurde, wurde vom PCI SSC empfohlen, war jedoch nicht vorgeschrieben.
Den Organisationen wurde ursprünglich eine Frist bis zum 30. Juni 2016 eingeräumt, um die Anforderungen für das Upgrade zu erfüllen. Doch je näher der Stichtag rückte, desto mehr wurde den Organisationen bewusst, wie schwierig es sein würde, diesen einfachen Schritt im Rahmen der Sicherheitshygiene umzusetzen. Einige Zeit später, mit der Veröffentlichung von PCI DSS v3,2, wurde die Frist für diese Änderungen auf den 30. Juni 2018 verschoben.
Inwiefern die Compliance-Anforderungen unzureichend sind
Das TLS-Beispiel veranschaulicht besonders gut, inwiefern Compliance-Anforderungen unzureichend sein können. Zwar sollte die Aktualisierungsanforderung des PCI SSC Sicherheitslücken beheben, doch bedeutete dies zugleich, dass Unternehmen selbst nach einem Upgrade noch immer hoffnungslos veraltet wären. TLS v. 1,1 war im Jahr „ April 2015“ bereits neun Jahre alt, als das PCI SSC den Organisationen erstmals mitteilte, dass sie auf diese Version umsteigen müssten. Das Protokoll wird im Jahr 2018, wenn die neue Frist für die Einhaltung der Vorschriften in Kraft tritt, fast schon ein Teenager sein. Although the slightly newer TLS v.1,2 had been defined in August 2008, organizations will be considered within PCI compliance without implementing it.
Dies ist ein außerordentlich langer Zeitraum für den Schutz so sensibler Daten wie Kreditkartendaten und anderer personenbezogener Informationen (PII), insbesondere wenn man bedenkt, wie häufig wir unsere Mobiltelefone oder sogar unsere Fahrzeuge erneuern. Das Ziel von PCI und anderen Compliance-Standards besteht darin, die Sicherheitslage von Organisationen zu verbessern, indem diese in regelmäßigen Abständen überprüft wird. Doch wie das Beispiel der PCI zeigt: Wenn Sie darauf warten, dass ein Branchenverband von Ihnen die Umsetzung von Upgrades verlangt, werden Sie feststellen, dass Ihre Sicherheitsumgebung gefährlich veraltet ist.
Im Rahmen eines konsequenten Sicherheitsmanagementprogramms hätten Unternehmen diese Verschlüsselungsupdates bereits im Jahr 2008 implementieren müssen. Auf diese Weise hätten die am PCI-Programm teilnehmenden Organisationen die Anforderungen des aktualisierten Standards bereits lange vor dessen verbindlicher Einführung erfüllt.
Wie Tanium Ihnen helfen kann
Für alle, die die Tanium-Plattform nutzen, würde die Verwaltung dieses Updates bedeuten, dass ein Sensor zur Erkennung von TLS-Versionen eingesetzt wird, der Ihre gesamte Infrastruktur innerhalb von Sekunden überprüft. Anhand der Liste der erkannten Systeme kann Tanium anschließend Konfigurationsinhalte auf diesen Endgeräten bereitstellen, um sie auf den neuesten Stand zu bringen – und das wiederum innerhalb von Sekunden.
Es ist entscheidend, Sicherheitshygiene als einen Prozess zu betrachten und nicht als ein Ziel. Sie werden im Laufe der Zeit dazulernen und Ihren Kurs entsprechend anpassen. Da sich Compliance-Standards und Vorschriften jährlich ändern. Tanium ermöglicht es Unternehmen, wesentlich flexibler auf Änderungen der Vorschriften zu reagieren – und zwar auf eine Weise, die mit den Tools von 2008 nicht möglich war. Da Tanium eine offene und erweiterbare Plattform ist, können neue Inhalte – wie beispielsweise der oben erwähnte PCI-TLS-Sensor und die entsprechenden Korrekturmaßnahmen – es Ihnen erleichtern, Ihre Sicherheitslage als Reaktion auf gesetzliche oder regulatorische Änderungen anzupassen.
Über den Autor: Als Leiter des Produktmanagements bei Tanium bringt Alexander Quilter seine Erfahrung in den Bereichen Unternehmenssicherheit sowie System- und Netzwerkautomatisierungssoftware in seine Position ein. Vor seiner Tätigkeit bei Tanium leitete Alexander das Produktmanagement für die Sicherheits- und Compliance-Produktlinien von Cisco, Lancope, Qualys, nCircle und Opsware. Er hat einen Master-Abschluss in Software Engineering Management von der Carnegie Mellon University und einen Bachelor-Abschluss in Informatik von der University of Utah.
