Die meisten Behörden haben die anfänglichen Anforderungen im Zusammenhang mit dem plötzlichen Anstieg der Telearbeit erfolgreich erfüllt und damit die Grundlagen für die Aufrechterhaltung der wesentlichen Betriebsabläufe geschaffen. Jüngsten Untersuchungen zufolge arbeiten derzeit etwa 90 Prozent (öffnet in einem neuen Tab) der Bundesbediensteten im Homeoffice, und 76 Prozent gehen davon aus, dass sie auch in Zukunft zumindest in Teilzeit im Homeoffice arbeiten können. Nachdem die Grundlagen nun geschaffen sind, besteht die nächste Priorität für jedes IT-Team darin, die Cyberrisiken, die derzeitigen Schutzmaßnahmen sowie die erforderlichen Maßnahmen sorgfältig zu bewerten, um Systeme und Daten in einer Umgebung zu schützen, in der die Anzahl der Endgeräte an immer mehr Standorten exponentiell zunimmt.
Nicht nur die Daten auf Endgeräten, die außerhalb des Netzwerkperimeters der Behörde betrieben werden, sind gefährdet – im Falle einer Kompromittierung können diese Geräte von böswilligen Akteuren auch dazu genutzt werden, sensible Daten im Unternehmensnetzwerk der Behörde zu manipulieren oder zu stehlen. Da die Anzahl der Geräte außerhalb des geschützten Netzwerks zunimmt, vergrößert sich die Angriffsfläche und das Risiko steigt.
Tatsächlich hatten viele Unternehmen bereits vor dem sprunghaften Anstieg der Telearbeit Schwierigkeiten mit grundlegenden Maßnahmen zur Cybersicherheit – und die meisten der eingesetzten Sicherheitstools waren für lokale Unternehmen konzipiert. Angesichts einer dezentralen Belegschaft bedeutet dies ein erhöhtes Cyberrisiko, da die vorhandenen Sicherheitstools dadurch noch weniger wirksam werden.
In diesem neuen Umfeld sollten sich die IT-Teams der Bundesbehörden auf die Priorisierung und Behebung von Risiken konzentrieren – das heißt, jene Schwachstellen zu identifizieren und zu beheben, die das höchste Risiko darstellen und die größten negativen Auswirkungen auf die Behörde und deren Auftrag haben könnten.
Durchführung der Risikopriorisierung und -behebung
Fast die Hälfte (wird in einem neuen Tab geöffnet) der Bundesbehörden gibt an, dass sich die neue dezentrale Arbeitsweise auf die Durchführung von Projekten ausgewirkt hat, und mehr als ein Viertel ist der Ansicht, dass sich die Planung für das nächste Haushaltsjahr verzögert hat. Der April und der Mai waren Monate des Wandels, und für den Juni wird ein Aufholmonat prognostiziert. Die Anforderungen und Erwartungen der Kunden hinsichtlich Echtzeitinformationen und IT-Support sind gestiegen, weshalb die Behörden darauf vorbereitet sein müssen.
Die Risikopriorisierung kann IT-Teams dabei unterstützen, die Infrastruktur über reine Datenanfälligkeiten hinaus zu bewerten, um zu ermitteln, welche Schwachstellen behoben werden müssen, und das Sicherheitsniveau eines Endgeräts einzuschätzen – was das Risikoniveau erheblich verändern kann. Durch die Priorisierung von Risiken können Sicherheitsteams ihre ohnehin begrenzten Ressourcen effektiver einsetzen, um sich auf geschäftskritische Aufgaben zu konzentrieren.
IT-Teams müssen nun jedoch die Verbindungsgrade zwischen den einzelnen Endpunkten im jeweiligen Kontext berücksichtigen. Neben der Anbindung an das Unternehmensnetzwerk besteht häufig auch eine Verbindung zu anderen Endgeräten, zu den jeweiligen Anwendungen und den dort authentifizierten Benutzern sowie zu den Rechten und Berechtigungen, die über Mechanismen wie die Mitgliedschaft in AD-Gruppen gewährt werden. Selbst wenn ein Endgerät vollständig gesichert ist, könnte ein Benutzerprofil auf einem anderen, anfälligeren Endgerät einen Zugangspunkt für laterale Bewegungen im gesamten Netzwerk darstellen. Da sich diese Faktoren und Variablen in einem großen Unternehmen von Sekunde zu Sekunde ändern können, reicht eine vierteljährliche, monatliche oder gar wöchentliche Risikobewertung nicht aus.
Häufig werden die Sicherheitsprobleme, mit denen Behörden konfrontiert sind, zu stark vereinfacht dargestellt, und Anbieter können nur Teillösungen zur Unterstützung anbieten; sie führen eine Schwachstellenanalyse durch und erhalten eine Risikobewertung von Systemen wie dem branchenüblichen Common Vulnerability Scoring System (CVSS), was ihnen dabei hilft, ihre Schwachstellenmanagementprozesse zu bewerten und einzustufen. Zwar kombinieren solche Risikobewertungssysteme verschiedene Arten von Daten, um den Schwachstellen-Risikowert zu ermitteln, doch basieren sie nicht immer auf Echtzeitdaten, und die Ergebnisse sind nur so gut wie die eingegebenen Daten.
Die Anbieter haben durch die Erkennung von Schwachstellen und die Identifizierung von Bedrohungen einen Teil des Puzzles vervollständigt, müssen nun jedoch die Millionen von Risikobewertungen für Millionen von Endpunkten – von denen einige unbekannt sind – berücksichtigen, die versuchen, auf das Netzwerk zuzugreifen, sowie den Kontext der Beziehungen zwischen diesen Endpunkten im Zeitverlauf.
Da kein vollständiger Überblick über das Netzwerk besteht, bleiben viele Schwachstellen unentdeckt, und Risikobewertungen werden für IT-Teams zu kaum mehr als Spekulationen – was die Wahrscheinlichkeit eines Sicherheitsvorfalls erhöht. Risikobewertungen sind dynamische Größen und müssen – insbesondere im neuen Umfeld der Telearbeit – auf Echtzeitdaten basieren, um die Umgebung der Behörde und deren übergeordneten Auftrag zu schützen.
Hindernisse bei der Konnektivität
Nachdem die Behörden nun eine grundlegende Anbindung geschaffen haben, liegt der Schwerpunkt nun auf der Optimierung der Verbindungen und der Verbesserung der Sicherheit. Es gibt eine Vielzahl von Ansätzen – einige Behörden halten virtuelle private Netzwerke (VPNs) mit Split-Tunnel-Funktion für zu riskant und entscheiden sich stattdessen für Full-Tunnel-VPNs, bei denen sowohl der Benutzer- als auch der Verwaltungsdatenverkehr über denselben Kanal geleitet wird. Dieser Ansatz ermöglicht zwar die Erreichung des kurzfristigen Ziels, eine sichere Verbindung herzustellen und aufrechtzuerhalten, hat jedoch auch unbeabsichtigte Folgen.
Die Nutzung von Full-Tunnel-VPNs kann zu langen Reaktionszeiten führen, was dazu führen kann, dass Mitarbeiter die Verbindung zum VPN ganz trennen. In diesem Fall haben die IT-Teams keinen Überblick über diese Geräte, und sie erhalten keine regelmäßigen Sicherheitspatches, wodurch sie zunehmend anfällig für Cyberangriffe werden. Während diese Endpunkte früher den zusätzlichen Schutz genossen, den ihnen die Lage hinter der Schutzgrenze des Unternehmensnetzwerkperimeters bot, befinden sie sich nun isoliert in einer unkontrollierten Umgebung, in der sie lediglich durch ihre einzelnen Sicherheitsprogramme geschützt sind und aktive Verwaltung sowie Transparenz nur dann gewährleistet sind, wenn eine Verbindung zum VPN besteht.
BYOD hat zu zusätzlichen Risiken und einer höheren Komplexität geführt, da viele Mitarbeiter auf ihre privaten Geräte zurückgreifen, um ihre Arbeit fortzusetzen. Häufig besteht jedoch nicht nur eine Diskrepanz zwischen den vorinstallierten Tools auf dem privaten Endgerät einer Person und ihrem Arbeitscomputer, sondern auch hinsichtlich der Sicherheitstools, die auf den jeweiligen Geräten installiert und verwaltet werden. Und wenn diese BYOD-Geräte nur zeitweise eine Verbindung zum Netzwerk der Behörde herstellen, müssen Cyberkriminelle nicht mehr eine mehrschichtige Sicherheitsbarriere überwinden, um Zugang zum Hauptserver zu erlangen. Sie können das ungeschützte Gerät als Einstiegspunkt in das Netzwerk nutzen.
Ein ganzheitlicher Ansatz trägt dazu bei, eine bessere Übersicht und Kontrolle über das Netzwerk zu ermöglichen, unabhängig davon, wo sich eine Anlage befindet. Die Herausforderung besteht darin, dass Entscheidungen hinsichtlich Konnektivität, Endgerätesicherheit und Perimetersicherheit häufig isoliert von den jeweils dafür zuständigen, voneinander unabhängigen Teams getroffen werden, anstatt eine ganzheitliche Lösung zu verfolgen. Mit einem ganzheitlichen Ansatz können die Teams erkennen, welche Faktoren das Risiko der Behörde beeinflussen, jedes Risiko vorerst mindern und langfristig Abhilfemaßnahmen ergreifen.
Durch die Zusammenführung der Teams auf einer einzigen Plattform, die „ “-Tools zur Endpunktverwaltung sowie Sicherheitslösungen integriert, können Behörden Datensilos aufbrechen und die Lücken in Bezug auf Verantwortlichkeit, Transparenz und Ausfallsicherheit schließen, die häufig zwischen dem IT-Betrieb und den Sicherheitsteams bestehen. Dies ermöglicht es Behörden, einen modernen Ansatz für durchgängige Transparenz über Endnutzer, Server und Cloud-Endpunkte hinweg zu nutzen sowie Ressourcen zu identifizieren, Systeme zu schützen, Bedrohungen zu erkennen, auf Angriffe zu reagieren und eine Wiederherstellung in großem Maßstab durchzuführen.
Dadurch können Teams Risiken und Schwachstellen identifizieren und diese Risiken in der gesamten Umgebung nach Priorität ordnen. Vor allem können sie Maßnahmen ergreifen, um in Echtzeit zu reagieren und Endgeräte an jedem Ort der Welt zu sanieren.
Die nächste Phase
Zukunftssichere Lösungen
Wenn die Behörden den Blick in die Zukunft richten, wird der Betrieb nicht wie in früheren Zeiten wieder aufgenommen werden, und dies wird sich auf die Haushalte auswirken. Behörden müssen die Nachhaltigkeit von Lösungen auf lange Sicht berücksichtigen, insbesondere im Hinblick auf die Minderung des mit einer dezentralen Belegschaft verbundenen Risikos. Sie sollten bei ihren Zukunftsplänen pragmatisch vorgehen und ideologische Diskussionen führen, bei denen es um die Bewertung und Messung von Risiken, den Umgang mit Maßnahmen zur Risikominderung sowie die Suche nach kosteneffizienten Wegen zur Risikobewältigung und zur Sicherung des Netzwerks geht. IT-Teams müssen datengestützt arbeiten und die Validität der Daten prüfen, mit denen die Behörden arbeiten.
Echtzeitdaten
Behörden müssen eine Grundlage für die Bewertung und Bewältigung von Risiken auf der Basis von Echtzeitdaten schaffen, um die Kontinuität ihrer Geschäftstätigkeit und ihres Auftrags in einem Risikoumfeld zu gewährleisten, das sich dramatisch und unwiderruflich verändert hat.
Bewertung von Werkzeugen
Es mag unmöglich erscheinen, die für fundierte Risikentscheidungen erforderlichen Datenmengen schnell genug zu beschaffen. Aber es ist nicht unmöglich – es wird bereits heute umgesetzt. Angesichts der neuen Risiken und Risikotypen, die sich aus dieser Remote-Arbeitsumgebung ergeben, ist es von entscheidender Bedeutung, traditionelle Risikobewertungen und Schutzmaßnahmen beiseite zu lassen und Risiken pragmatisch zu betrachten. Behörden müssen die vorhandenen Tools genau unter die Lupe nehmen und prüfen, inwiefern diese beim Umgang mit entfernten Endpunkten an ihre Grenzen stoßen – und erwägen, jene veralteten Tools bzw. Plattformen zu ersetzen, die den Anforderungen nicht gerecht werden.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine Einzelvorführung oder sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen unter .
