Der mobile Arbeitsplatz wird in den nächsten Jahren die Arbeitswelt dominieren. Damit entwickelt sich auch eine Vielzahl neuer Mobilgeräte zum integrierten Bestandteil des Unternehmensnetzes. Dies hat natürlich Konsequenzen für die IT-Sicherheit. Schutz vor Datenverlust, Definition sowie Isolation unternehmenswichtiger Informationen sind neue Elemente, die IT-Entscheider in klassische Sicherheitsregeln einbeziehen müssen

Liebhart, Daniel

ZHAW digitalcollection

22 23Business&IT 5.2014Der mobile Arbeitsplatz wird in den nächsten Jahren die Arbeitswelt dominieren. Damit entwickelt sich auch eine Vielzahl neuer Mobilgeräte zum integrierten Bestandteil des Unternehmensnetzes. Dies hat natürlich Konsequenzen für die IT-Sicherheit. Schutz vor Datenverlust, Definition sowie Isolation unternehmenswichtiger Informationen sind neue Elemente, die IT-Entscheider in klassische Sicherheitsregeln einbeziehen müssen. Daniel Liebhartereits heute arbeiten über eine Milliarde Menschen mobil. IDC-Analysten gehen davon aus, dass bereits im nächsten Jahr rund ein Drittel von uns mit Laptops, Tablets oder Smartphones und bald auch mit Uhren oder Datenbrillen von außen auf Firmennetze und Anwendungen zugrei-fen werden. Und das betrifft sämtliche Berufsgruppen – vom klassischen Au-ßendienst über Sachbearbeiter bis hin zum Fertigungspersonal. Die Arbeit der Zukunft ist also mobil und damit wird der zugehörige mobi-le Arbeitsplatz früher oder später zum wichtigsten überhaupt. Dies hat weit-gehende Konsequenzen für die unter-stützenden IT-Systeme. Sicher mobil arbeiten bedeutet im Klartext, dass bestehende Konzepte zum Schutz sen-sibler Daten deutlich erweitert werden müssen. Dies wiederum erfordert eine verbesserte Definition und Klassierung businessrelevanter Informationen und deren Verwaltung.Muster des mobilen ArbeitensMobiles Arbeiten stellt aus Unter-nehmenssicht verschiedene Sicher-heitsanforderungen, die aufgrund der Zugangsart auf das Firmennetzwerk un-terschieden werden. Je nachdem, ob der Zugang lokal statisch, lokal dynamisch, remote statisch oder remote dynamisch ist: Es sollte zwingend ein entsprechen-des Sicherheitsdispositiv vorliegen. Im einfachsten Fall, dem lokal sta-tischen Zugang durch ein Gerät, das sich im Unternehmensnetz auf dem Fir-mengelände befindet, sind bestehende  Sicherheitsregelungen auch in Zukunft vollkommen ausreichend. Anders sieht es jedoch im Fall eines lokal dynami-BSecurity to goTITELTHEMAMARKTÜBERSICHT  MOBILE SICHERHEIT22 I  Sicher mobil arbeiten26 I  Top-10 mobile Sicherheitslösungen33 I  Nachgefragt bei Steria Mummert34 I  Übersicht: Produkte im Vergleich37 I  Experten-Interview mit 1&142 I  Studien zur mobilen Sicherheit46 I  Anwenderbeispiel ProSiebenSat.1schen Zugangs aus. Diesen nutzen vor allem Personen, die sich zwar auf dem Firmengelände befinden, dort jedoch ständig unterwegs sind. Selbst wenn die Geräte niemals das Firmengelände verlassen, bestehen zusätzliche Risiken wie beispielsweise der Geräteverlust oder das externe Abhören des WLANs, die es abzudecken gilt. Dies gilt für die anderen beiden Zu-gangsarten in besonderem Maße. Re-mote statischer Zugang durch Personen, die zu Hause oder von Außenbüros zugreifen und Remote dynamischer Zugang durch diejenigen, die ständig unterwegs sind, stellen eine weitere Steigerung des Risikopotenzials dar. Sie benötigen Sicherheitsmechanismen, die einerseits der Zugangsart Rechnung trägt und andererseits ein einfaches mo-biles Arbeiten erlaubt.Risiko = Verlust von DatenDas größte Risiko des mobilen Arbei-tens ist der unbewusste oder bewuss-te Verlust von unternehmenswichtigen Informationen. Dieser Verlust hat ver-schiedene Gesichter. Geraten kritische Informationen in falsche Hände, kann dies für eine Firma fatale Auswirkun-gen haben. Gehen sensitive Daten verloren, die wichtig für das tägliche Arbeiten sind, so kann dies für den Mitarbeitenden und für die Leistungs-erbringung des Unternehmens Konse-quenzen haben. Verliert jemand Daten, die leicht wie-derzubeschaffen sind, so leidet im bes-ten Fall lediglich die Arbeitsprodukti-vität. Jede dieser Datenverlustarten ist bestenfalls unangenehm für eine Firma. Leider ist es für viele Unternehmen sehr schwierig, überhaupt zwischen kriti-DER AuTORDaniel Liebhart  ■  Dozent für Informatik  an der Züricher Hochschule für Angewandte Wissenschaften (ZHAW), Experte für Enter-prise-Architekturen und Solution Manager der Trivadis AG. Zudem ist er Autor und Co-Autor verschiedener Fachbücher.SpEcIAL Mobile SicherheitSpecial Mobile Sicherheit24 25Business&IT 5.2014schen, wichtigen und anderen Daten zu unterscheiden. Zumal gemäß einer Studie der Tower Group zentral struk-turierte Daten in größeren Unterneh-men im Schnitt elf Mal vorhanden sind. Von den unstrukturierten Daten werden wohl kaum weniger Kopien vorhanden sein, auch wenn im Schnitt lediglich ei-nes von 50 Dokumenten wirklich kriti-sche Daten enthält. Das Ponemon Institute hat genau untersucht, wie Daten verloren ge-hen. Weit über die Hälfte aller Unter-nehmen, die an der entsprechenden Studie teilnahmen, waren von einem Datenverlust betroffen. Nachlässigkeit und Geräteverlust waren die Hauptur-sachen. Fehler und kriminelle Energie waren lediglich in jeweils etwas mehr als fünf Prozent der Fälle im Spiel. Es gilt also, den bewussten oder unbe-wussten Verlust von Daten zu vermei-den. Und dies für sämtliche Zugriffsar-ten durch stationäre und insbesondere mobile Geräte.Erweiterte Sicherheits­überlegungenDatenverluste in der mobilen Arbeits-welt vermeiden, heißt in den meisten Fällen, bestehende Sicherheitsüberle-gungen im Hinblick auf den Kontext der Datennutzung, also auf den Daten-zugriff zu erweitern oder allenfalls zu überprüfen. Dabei spielt es eine Rolle, ob die Daten zentral gespeichert, inner-halb oder außerhalb des Firmennetzes transportiert oder auf einem dezentra-len Gerät gehalten werden. In jedem Szenario gilt es, mögliche Sicherheits-mechanismen möglichst genau abzu-wägen. Dazu gibt es eine Vielzahl von Techniken und Methoden, die in Kom-bination zu einem guten Gesamtergeb-nis führen können.Im Falle des Zugriffes auf zentral ge-speicherte Daten gilt es, Sichtbarkeit, Zugriff und Sicherheit zu berücksich-tigen. Die Sichtbarkeit von Unterneh-mensinformationen ist nur dann kon-trollierbar, wenn bekannt ist, welche Daten wo überall gespeichert sind. Ins-besondere muss bekannt sein, welche kritischen und sensitiven Daten sich in welchen Systemen und Infrastrukturen befinden. Die Kontrolle des Zugriffs erfolgt über eine möglichst exakte Regelung, die exakt festlegt, wer welche Daten wie manipulieren und in welchem der Zugriffsarten die betreffende Person das überhaupt darf. Die Sicherheit der gespeicherten Daten wird durch Ver-schlüsselung sowie eine redundante Speicherung gewährleistet.Werden Daten transportiert, so gilt es zunächst einmal, eine unkontrollierte Kommunikation über das Netz zu ver-hindern – sei es auch via WLAN, Blue-tooth oder andere Funktechnologien. Darüber hinaus müssen die Sicherheits-überlegungen in diesem Fall über die konventionelle Absicherung von Netz-werkverbindungen hinausgehen. Dabei gilt es vor allem gängige Kom-munikationskanäle wie E-Mail, Messa-ging, Filetransfer und andere konse-quent abzusichern. Wichtige Hilfsmittel sind Content Monitoring oder auch Content Scanning – also Techniken, die ähnlich wie Firewalls oder Intrusion-Detection-Systeme funktionieren. Basie-rend auf einem definierten Regelwerk überwachen und protokollieren sie die Einhaltung vorgegebener Sicherheits-richtlinien. Dabei spielt die Zugriffsart eine wich-tige Rolle. Der sicherlich am besten ab-zusichernde Fall stellt das Szenario des remote dynamischen Zugriffs dar. Ne-ben firmeninternen Richtlinien sind für den eigentlichen Datentransport auch länderspezifische Datenschutzbestim-mungen einzubeziehen.Der Verlust mobiler Geräte gilt derzeit als Hauptursache für die unbeabsichtig-te Weitergabe sensibler Informationen. Der Schutz kritischer oder sensitiver Da-ten auf mobilen Geräten muss von der einfachen Verschlüsselung des internen Speichers über Memory Sticks mit auto-matischen Löschungsmechanismen bis hin zu sich selbst zerstörenden Dateien reichen. Bereits heute existiert dazu ei-ne Vielzahl marktreifer Technologien – für die neuesten Geräte sind sie bereits in Entwicklung. Eine Frage der HaftbarkeitDer mobile Arbeitsplatz der Zukunft stellt aber auch neue Anforderung in Bezug auf die Haftungsrisiken. Viele Fragen bezüglich der Haftbarkeit sind eng mit den Besitzverhältnissen des mo-bilen Gerätes verbunden. Es geht dabei um die finanzielle und gesetzliche Haft-barkeit, die stark davon abhängt, ob das Smartphone oder Tablet von der Firma bereitgestellt wird oder ein privates Ge-rät zum Arbeiten genutzt wird. Dass die Kosten für ein privates Smart-phone, das vor allem geschäftlich ge-nutzt wird, durch das Unternehmen übernommen werden, ist nachvollzieh-bar. Es stellt sich jedoch die Frage, wer beispielsweise für anfallene Roaming-Kosten aufkommen muss, die aufgrund eines Konfigurationsfehlers durch den Angestellten entstanden sind. Doch auch ein Extremfall wäre denkbar: Ein Angestellter tätigt illegale Geschäfte mit finanziellen Konsequenzen über ein Firmenhandy – obwohl das Unter-nehmen sowohl die Verantwortung für das Smartphone als auch für die darauf gespeicherten Daten hat.Die gesetzlichen Rahmenbedingen verändern die Haftungsregeln je nach Land und Kontinent, was insbesonde-re für international tätige Unternehmen eine große Herausforderung darstellt. So ist in der Europäischen Union und Japan diejenige Person haftbar, die ent-sprechende E-Mails nebst Anhängen verfasst hat. In anderen Ländern sieht dieser Sachverhalt anders aus: In den USA beispielsweise ist die Firma für alle Unternehmensdaten verantwortlich, die durch Mitarbeiter auf dienstlichen Geräten gespeichert werden. Dies gilt auch für E-Mails – und das unabhängig davon, ob es sich um private oder um geschäftliche Korrespondenz handelt.  Fazit: Was zu tun istUm die Vorteile mobiler Arbeitsplätze sicher nutzen zu können, sollten Unter-nehmen die Integration sämt-licher Mobilgeräte technisch und organisatorisch gut vor-bereiten. Dabei ist es ratsam, bestehende Sicherheitsdispositive zu überdenken und auf zu verwendende Handys, Smartphones und Tablets aus-zudehnen. Die Sicherheit der Firmen daten sollte oberste Priorität genießen – vom eigent-lichen Zugriff über den Tansport bis hin zu Vorkehrungen für einen möglichen Geräteverlust. Schutzbedürfnisse und Haftungsbedingungen sind für alle vier Zugangsarten auf das Unternehmens-netz zu prüfen und gegebenenfalls mit geeigneten Richtlinien, Methoden und Techniken abzusichern. In der Praxis hat sich dazu ein schritt-weises Vorgehen bewährt: Ausgehend vom lokal statischen Zugang durch sta-tionäre Geräte, der als Nächstes den re-mote statischen Zugang absichert, um schließlich den lokal dynamischen und einen sicheren remote dynamischen Zugang zu gewährleisten. Da rüber hi naus sollten die Mitarbeiter über Vorteile und Konsequenzen mobilen Arbeitens informiert und in enger Ab-stimmung mit dem Management mög-lichst exakte Regelungen geschaffen werden.   [ rm ]Das mobile Business bringt eine Reihe von Sicherheitsrisiken mit sich, die beherrscht werden müssen.STATEMENTFrank Melber  ■ Head of Business Development Security  Solutions, TÜV Rheinland i-secUnternehmen brauchen Unterstützung„Der Trend zur Mobilität von Kommunikation und Business und der Internationalisierung von Unternehmen wird weiter zunehmen. Unternehmen und zunehmend auch Behör­den müssen sich im Klaren darüber sein, dass ihre Mitarbeiter immer häufiger vor und nicht hinter der Firewall der Organisation sit­zen. Die traditionelle Trennung zwischen In­nen = Unternehmensnetzwerk und außen = Internet wird immer mehr aufweichen. Um­so wichtiger wird es sein, den Zugang zu in­ternen Services und Web­Applikationen von außen so sicher wie möglich zu gestalten. Unternehmen, die verstärkt oder überwie­gend mit mobilen Geräten arbeiten, emp­fehlen wir stets vor allem drei Dinge:   1. Definieren Sie Ihren Anspruch an die Si­cherheit der Unternehmensdaten auf mobi­len Geräten und setzen Sie ihn auch konse­quent durch.  2. Kontrollieren und umsetzen lässt sich dies am besten mit einem entsprechenden Mobile­Device­Management­, Mobile­Appli­cation­Management­ oder Mobile­Content­Management­System.  3. Klären Sie Ihre Benutzer bezüglich Ver­wendung und Sicherheit von Apps und (Cloud­) Services auf oder schränken sie die Möglichkeiten stark ein.In vielen Fällen ist es sinnvoll, hier Unter­stützung durch auf mobile Sicherheit spe­zialisierte neutrale Beratungshäuser bezie­hungsweise Integratoren zu Rate zu ziehen. TÜV Rheinland begleitet Unternehmen von der Konzeption der Mobile Security bis zur Implementierung von MDM­Systemen so­wie sicheren Mobile­Filesharing­Lösungen. Bei Bedarf leistet TÜV Rheinland auch Un­terstützung mit Managed Security Services.“

Security To Go

ZHAW Zürcher Hochschule für Angewandte Wissenschaften

https://digitalcollection.zhaw.ch/bitstream/11475/5717/1/SecurityToGo.pdf

Security To Go

Abstract

Similar works

Full text

Available Versions

ZHAW digitalcollection

ZHAW Zürcher Hochschule für Angewandte Wissenschaften