Security-Teams entlasten und Tool-Einsatz optimieren

Probleme sind teilweise hausgemacht

In vielen Ländern arbeiten öffentliche und private Einrichtungen an Angeboten und Studiengängen, um mehr Nachwuchs für die Security-Branche rekrutieren zu können. Experten sehen aber auch Ansatzpunkte in den Unternehmen selbst. Beispielsweise hat ein Großunternehmen im Durchschnitt 75 Sicherheits-Tools im Einsatz. Genau wie IT-Landschaften im Zeitalter von Cloud-Services, IoT und Serverless-Infrastructure immer komplexer werden, sind auch diese Werkzeuge nicht immer leicht verständlich.

Organisationen tendieren dazu, fehlende Fachkräfte durch neue Schutzmechanismen zu ersetzen, welche die Effizienz von IT-Security-Teams erhöhen sollen. Allerdings macht dies den Einstieg für neue Mitarbeiter wiederum schwieriger, denn jedes Tool erhöht den Lernaufwand.

Digitale Technologie ist disruptiv und sollte immer flexibel sein. Das Thema Sicherheit wird in der Regel erst danach angepasst und fast kein IT-Entscheider kann das Design seiner Abwehrstrategie von Grund auf planen. Stattdessen wird häufig immer nur auf neue Entwicklungen reagiert – mit neuen Sicherheitsprogrammen.

Sicherlich ist es unrealistisch, dass ein komplett neuer Security-Plan erstellt wird, der dann auch noch künftig ohne Anpassungen Bestand haben könnte. Man wird immer wieder neue Tools implementieren müssen. Allerdings sollten sich Geschäftsführungen über die Priorisierung von Cyberbedrohungen ein Bild machen. Jedes Unternehmen ist anders und es wird zu jeder Zeit Bereiche mit unterschiedlichen Anforderungen geben. Die elementarsten Bedrohungen müssen allerdings immer abgedeckt werden und dürfen aufgrund eines stückweise zusammengewürfelten Puzzles an Tools nicht vernachlässigt werden.

Vielmehr braucht es eine Art Schweizer Taschenmesser der IT-Sicherheit, mit dem Sicherheitsfachkräfte jederzeit gegen die größten Risikoherde vorgehen können. Dabei sollten Policies zu Erkennung, Abwehr und Behebung von Attacken inkludiert sein, dürfen aber nicht ins Unendliche ausarten. Die Workforce Study verdeutlicht außerdem, dass der Faktor Mensch eine doppelte Rolle spielt:

• Sicherheitsexperten muss ein attraktiver Arbeitsplatz geboten werden, mit technischer Innovation, die sie wirklich unterstützt und ihnen hilft, das Schutzniveau in Organisationen deutlich zu heben. Ihr Fokus muss auf der Verbesserung der Resilienz liegen – nicht auf Schulungen zum Umgang einer Masse an Sicherheits-Tools.
• Innovation und Zufriedenheit der Sicherheitsverantwortlichen sind wichtig, aber es bleibt immer noch die Security-Awareness der Mitarbeiter. Egal, wie schlank Security-Technologie sein kann, Trainings und der richtige Umgang mit den Nutzerverhalten sollten immer ein grundlegender Bestandteil einer umfassenden Sicherheitsstrategie sein.

„Geschäftsführungen sollten sich über die Priorisierung von Cyberbedrohungen ein Bild machen. Jedes Unternehmen ist anders und es wird zu jeder Zeit Bereiche mit unterschiedlichen Anforderungen geben.

Michael Heuer, Mimecast

Doch nicht nur die Technologie und Infrastrukturen sind komplex. Cyberkriminelle rüsten auf und immer wieder sorgen Schwachstellen in Standardprodukten für Schlagzeilen. Kritisch wird es vor allem dann, wenn Schwachstellen nicht gepatcht werden können und das Fixen den IT-Administratoren überlassen wird. Dies ist zum Beispiel bei der Power-Query-Schwachstelle der Fall gewesen.

Außerdem können sich IT-Experten nicht immer nur auf neue Themen fokussieren. Gerade im Zuge der Datenschutz-Grundverordnung (DSGVO) werden Anpassung und Compliance von bestehenden Datensätzen zunehmend wichtiger. Daten und Inhalte von alten E-Mails oder Textnachrichten müssen so angepasst werden, dass sie den neuen Vorgaben entsprechen. Wenn es zudem um die Nutzung von Archivierungslösungen geht, sollten diese auch von anderen Fachabteilungen genutzt werden können – oftmals mit hohen Anforderungen an Performance und Nutzerfreundlichkeit.

All diese Punkte setzen einen Standard bei der IT-Sicherheit voraus, den es umzusetzen gilt. Im Idealfall ohne eine Überfrachtung mit unzähligen Sicherheits-Tools. Denn viele Teillösungen garantieren keine Erfolg, führen aber zur Frustration der Mitarbeiter und verlängern die nötige Einlerndauer. Um Fachkräftemangel und Überlastung entgegenzuwirken, ist es sinnvoll, den Security-Teams ein pragmatisches Tool an die Hand zu geben, das die potentesten Angriffsvektoren absichert und leicht bedient werden kann.

Fazit

Man stelle sich vor, ein Handwerker müsste 75 verschiedene Hämmer mit sich herumtragen, da jeder Nagel mit nur einem Hammer kompatibel wäre. Für jedes Schlagwerkzeug braucht es eine eigene Schulung und weitere Nägel können nur mit einem neuen Hammer genutzt werden. Das wäre unvorstellbar kompliziert, trifft aber bei der Beschreibung der Situation in Großunternehmen beim Thema Sicherheit den Nagel auf den Kopf.

Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder und entsprechen nicht unbedingt denen von ComputerWeekly.de.