Gastbeitrag

Ausnahmslos jedes Unternehmen steht mit der digitalen Transformation endgültig vor der Herausforderung seine IT und vor allem seine IT-Sicherheit effizienter zu gestalten. Trotz und wegen neuen technologischen Entwicklungen. Zum Thema „IT-Security in Deutschland 2018“ hatte IDC im Sommer letzten Jahres bereits eine Studie veröffentlicht. Daraus geht unter anderem hervor, dass die digitale Transformation ein Sicherheitsrisiko ist und woran es in deutschen Unternehmen vor allem hapert. Unter anderem mangelt es an strategischen Ansätzen: eine Vielzahl der Unternehmen geht an das Thema IT-Sicherheit noch immer rein taktisch heran. Das bestätigen auch die Ergebnisse des aktuellen 2019 Thales Data Threat Report mit weltweit erhobenen Daten.

Die digitale Transformation hat die Art und Weise verändert wie wir arbeiten. Unternehmen setzen Technologien wie Cloud, mobile Anwendungen, soziale Medien und das IoT großflächig ein. Neue und effizientere Geschäftsmodelle, verbesserte Kundenerfahrungen, Kostensenkungen, das sind nur einige der damit verbundenen Vorteile. Immer mehr Firmen setzen die digitale Transformation ganz konkret um und sind so entscheidend daran beteiligt, die eigenen Märkte umzukrempeln. Diese Entwicklung macht aber insbesondere einer Berufsgruppe das Leben schwer. Man ist geneigt zu sagen „noch“ schwerer: den IT-Sicherheitsverantwortlichen.

Digitalisierung auf Kosten der Sicherheit?

Unabhängig davon wie weit ein einzelnes Unternehmen mit der Digitalisierung fortgeschritten ist, gilt es die Budgetdecke über eine Fülle unterschiedlicher Umgebungen (und die Daten, die dort vorgehalten, transportiert, gespeichert und bearbeitet werden) zu ziehen, Ressourcen gezielter als bisher einzusetzen und Lösungen zu wählen, die zweierlei erfüllen: die Digitalisierung und somit neue Geschäftsmodelle und Prozesse zu unterstützen, wenn nicht sogar erst zu ermöglichen, und gleichzeitig den Sicherheitslevel anzupassen.

Die mit der digitalen Transformation verbundenen Bedrohungen sind nur allzu real wie es jüngste Zahlen wieder belegen: 60 % der Befragten gaben an bereits Opfer einer Datenschutzverletzung geworden zu sein, davon 30 % alleine im letzten Jahr. Die Herkunft der Bedrohungen ist vielfältig und schließt eine große Zahl externer und interner Quellen mit ein. Daten, darunter höchst vertrauliche, sind die Währung des Informationszeitalters. Kundendaten, heikle finanzielle Informationen, Geschäftsgeheimnisse und so weiter. Statt streng gesichert in einem Unternehmen zu verbleiben, werden diese Daten als Teil der digitalen Transformation, verarbeitet, transportiert, geteilt und gespeichert. Sie haben den streng gesicherten Hort der SOCs verlassen und werden in der Cloud, auf mobilen Endgeräten und im Internet der Dinge genutzt.

Das setzt Daten einem stark erhöhten Risiko aus. Selbst Unternehmen, die deutlich mehr als der Durchschnitt in Sicherheitsmaßnahmen investieren, sind vor Angriffen und Datenschutzverstößen nicht gefeit. Mehr noch, ist es gerade für die Unternehmen, die in der digitalen Transformation schon relativ weit vorangeschritten sind, noch wahrscheinlicher Opfer einer Datenschutzverletzung zu werden: 64 % der befragten Unternehmen, die über 10 % ihres IT-Budgets für die IT-Sicherheit aufwenden sind bereits mindestens ein Mal Opfer einer Datenschutzverletzung geworden, 34 % von ihnen im letzten Jahr. Vergleichen wir diese Ergebnisse mit den Unternehmen, die weniger als 10 % ihrer IT-Budgets in Sicherheitsmaßnahmen fließen lassen. Hier haben 47 % schon einen Datenschutzverstoß hinnehmen müssen, 17 % von ihnen im letzten Jahr. Das kann verschiedene Gründe haben. Firmen, welche die digitale Transformation schon weit getrieben haben, sind unter Umständen bekanntere Marken und potenziell attraktivere Ziele für Cyberkriminelle. Die höhere Rate hängt unter Umständen damit zusammen, dass solche Unternehmen mehr Datenschutzverletzungen erkennen und diese nicht über Monate oder noch länger unentdeckt bleiben. Auf der anderen Seite geht der dynamische Umbau möglicherweise mit einer Einstellung einher bei der Time-to-Market Vorrang vor allen Sicherheitserwägungen hat. Sicherlich die problematischste der Hypothesen.

Über den Autor

Kai Zobel hat über 30 Jahre IT-Erfahrung mit einem besonderen Fokus auf IT-Security in den letzten 20 Jahren. Er bietet umfassende Kenntnisse in den Bereichen Verschlüsselung, Authentifizierung, Zertifikatsverwaltung, Perimeter Security sowie Risiko- und Compliance-Management. Kai Zobel war er in unterschiedlichen Positionen für verschiedene Marktführer wie Utimaco, Safenet, Verizon Business, CA, Skybox Security und Fortinet tätig. In seiner derzeitigen Rolle bei Thales verantwortet er die Länderorganisationen in D-A-CH, Skandinavien, Benelux und Osteuropa.

Multi-Layer-Sicherheit wird zur neuen Normalität

Netzwerke, Anwendungen und Daten stehen gleichermaßen im Fokus von Sicherheitsmaßnahmen. Ein Multi-Layer-Sicherheitsansatz hat allerdings seinen Preis. IT-Sicherheitsabteilungen kämpfen mit langen „To-Do“-Listen, wenn sie die nötigen Technologien tatsächlich innerhalb der kommenden 12 Monate einziehen wollen. Mit dieser Entwicklung haben die Budgets nicht Schritt gehalten. Und im Zuge strenger Compliance-Anforderungen nicht zuletzt durch die DSGVO sehen sich viele veranlasst aus weniger mehr zu machen. Das zwingt Unternehmen in einen Spagat. Auf der einen Seite eine konsistente Sicherheitsarchitektur einziehen, die aber auf der andere Seite auf völlig veränderte Geschäftsprozesse trifft. Vielerorts stößt man deswegen noch auf veraltete Sicherheitsinfrastrukturen während zeitgleich neue, Cloud-basierte Technologien ausgerollt werden.

In diesem Jahr sind es laut dem kürzlich veröffentlichten 2019 Thales Data Threat Report auf Basis einer Umfrage und Analyse von IDC nur noch 50 % der Befragten, die mit einem Anstieg ihrer Sicherheitsbudgets rechnen; letztes Jahr waren es demgegenüber 79 %. Haben wir in Sachen Sicherheitsaufwendungen eine Obergrenze bei den zu erwartenden Investitionen erreicht? Sollte das der Fall sein, sind Firmen gezwungen die dünne Budgetdecke über eine Vielzahl von Umgebungen und Anwendungen zu strecken. Es gilt also Lösungen zu finden, die solchen Ansprüchen eher gerecht werden als andere wie etwa Plattform-basierte Lösungen mit Optionen zum Schutz on-premises, in der Cloud und in hybriden Umgebungen.

97 % der Befragten nutzen vertrauliche Daten innerhalb von Technologien zur digitalen Transformation. Entsprechend hoch sollte der Prozentsatz derer sein, die ihre Daten mit geeigneten Maßnahmen schützen. Das ist aber längst nicht überall der Fall. Lediglich 30 % der Befragten verschlüsseln ihre Daten in diesen Umgebungen. Eine erschreckend niedrige Rate. Eine mögliche Erklärung: Unternehmen konzentrieren sich zunächst auf geschäftliche Weiterentwicklungen und denken erst in zweiter Linie an die Folgen für die IT-Sicherheit. Komplexe Umgebungen tun ein Übriges. Diese vergleichsweise niedrige Priorität mutet einigermaßen paradox an. Denn neben diesen Ergebnissen, bewerten 66 % der Befragten ihre Sicherheitsmaßnahmen für neue Technologiebereitstellungen als „sehr“ oder sogar als „extrem“ sicher. Verglichen mit nur 12 %, die glaubten noch keine wirklich adäquaten Sicherheitsmaßnahmen eingezogen zu haben.

Ambitionierte Ziele versus unternehmerischer Realität

Diese Ergebnisse korrelieren zur den durchaus ambitionierten Planungen der Sicherheitsexperten. Da ist die Rede von Verschlüsselung, Datenbankverschlüsselung, Identity und Access Management, Multi-Faktor-Authentifizierung und Hardware Security Modulen. Wer von den Befragten solche Technologien noch nicht nutzt, plant deren Einsatz in den kommenden 12 Monaten. Wie passt das zusammen? Was die zitierten Studienergebnisse anbelangt mahnt IDC zur Vorsicht. So sei man von einer Durchdringung noch ein gutes Stück entfernt. Technologien wie DRM, vollständige Festplattenverschlüsselung und Tokenisierung haben derzeit noch eine TAM (Total Adressable Market)-Durchdringung von unter 50 %. Zudem stellt sich die Realität durchaus verschieden dar, wenn man zunächst das DevOps-Team nach seiner Einschätzung fragt und anschließend die Geschäftsführung.

Obwohl die Verschlüsselungsraten mit knapp einem der Drittel der Befragten, die sie einsetzen, kaum den gestiegenen Sicherheitsansprüchen Rechnung tragen, gibt es demgegenüber eine Reihe von Schlüsselbereichen in denen der Einsatz von Verschlüsselung über dem Durchschnitt liegt: IoT (42 %), Container (47 %) und Big Data (45 %).

Die größten Bedenken hinsichtlich der IoT-Sicherheit betreffen vor allem potenzielle Angriffe auf IoT-Geräte, nicht ausreichende Rahmenwerke und Kontrollen. Beim Schutz der gefährdeten Daten kommt Verschlüsselung und Tokenisierung eine wichtige Rolle zu. Das sehen 42 % der Befragten so, dicht gefolgt von Authentifizierung und digitaler Identifizierung der digitalen Geräte mit 41 % und Anti-Malware-Maßnahmen mit 40 %. Wobei letzteres wohl eher eine Wunschvorstellung der Befragten ist, denn eine Realität. Denn laut Angaben von IDC sind derzeit nur sehr wenige Anti-Malware-Tools für IoT-Geräte auf dem Markt. Um Sicherheitsbedenken in Big-Data-Umgebungen entgegenzuwirken votieren 48 % dafür, starke Authentifizierung einzusetzen, 45 % bevorzugen Verschlüsselung auf Systemebene und Zugriffskontrollen und ebenfalls 45 % setzen auf Data Discovery/Klassifizierung von Daten. Bei Container/Docker-Technologien richten sich die größten Bedenken der Befragten auf die gemeinsame Nutzung von Daten und die potenzielle Verbreitung von Malware. Verschlüsselung ist hier für 47 % das Mittel der Wahl noch vor Anti-Malware-Tools und Schwachstellen-Scans.

Fazit

In veränderten Umgebungen und mit knapperen Budgets wird es nicht unbedingt einfacher IT-Sicherheit zu gewährleisten. Die Analysten von IDC empfehlen sich auf die folgenden fünf Punkte zu konzentrieren:

  • Behalten Sie sämtliche Bedrohungsvektoren auf dem Schirm und ruhen Sie sich nicht auf bestehenden Sicherheitsvorkehrungen aus
  • Investieren Sie in moderne, hybride und Multi-Cloud-basierte Datensicherheits-Tools, die sich auf die Anforderungen transformativer, digitaler Technologien skalieren lassen
  • Konzentrieren Sie sich auf Lösungen, die „mehr mit weniger“ erlauben
  • Priorisieren Sie Compliance-Anforderungen und Datensouveränität
  • Verschlüsselung ist nachweislich eine der wirksamsten Methoden zum Schutz sensibler Daten

Weiterführende Informationen:
Thales

Aufmacherbild / Quelle / Lizenz
Bild von Pete Linforth auf Pixabay

Lizenz:

Copyright für Bild und Text liegt bei Thales