Krypto-Konsolidierung Auswahl und Nutzen von Enterprise Encryption Platforms

Ordnungsmerkmale

erschienen in: <kes> 2007^#2, Seite 6

Zusammenfassung: Enterprise Encryption Platform – ein neues Buzzword macht die Runde im Global Village. Was bedeutet dieser neue Begriff, wie unterscheiden sich die Angebote und welche Vorteile ergeben sich für Unternehmen?

Autor: Von Christian Kirsch, Cambridge (US)

Die erste Verschlüsselungslösung zum Schutz sensitiver Daten überfordert wohl kaum einen IT-Administrator, doch mit der zweiten oder dritten Anwendung dieser Art wirds meist kompliziert. Um Unternehmen davor zu bewahren, ihre Ressourcen beim Management verschiedener Verschlüsselungs-"Inseln" aufzureiben, empfehlen Sicherheitsanbieter verstärkt konsolidierte Verschlüsselungsplattformen, so genannte Enterprise Encryption Platforms.

Zur Erläuterung ein kurzes Beispiel: Ein Unternehmen führt zunächst E-Mail-Verschlüsselung ein. Kurz darauf entscheidet die IT-Abteilung, die Festplatten aller Laptops zu chiffrieren. Sechs Monate später wird die Lösung erweitert, um Ende-zu-Ende-Verschlüsselung für Dateiserver zu unterstützen, damit vertrauliche Daten der Entwicklungs-, Personal- und Finanzabteilungen geschützt sind.

Statt nun unabhängige Einzelanwendungen einzusetzen, vereint eine Enterprise Encryption Platform den Schutz von Geschäftsdaten, sodass Unternehmen mehrere Sicherheitsanwendungen über eine einzige Oberfläche verwalten können. Eine Lösung auf Plattformbasis ermöglicht zudem eine raschere Bereitstellung weiterer Verschlüsselungsanwendungen; dank zentral definierter Richtlinien lässt sich die Verschlüsselung besser automatisieren, bei Bedarf können neue Benutzer leichter hinzugefügt werden.

Bei einer Verschlüsselungsplattform handelt es sich also nicht einfach um eine Suite, sprich eine Produktreihe desselben Herstellers, sondern um ein ausgefeiltes "Ökosystem" von Anwendungen mit zentraler Verwaltung. Andere Anwendungsfelder haben eine solche Entwicklung bereits durchlebt: Auch Systeme zum Customer Relationship Management (CRM) und Enterprise Resource Planning (ERP) wurden anfänglich mit verschiedenen Insellösungen abgedeckt, um schließlich von strategischen, ganzheitlichen Lösungen ersetzt zu werden. Der gleiche Trend wiederholt sich nun bei der Verschlüsselung.

Abbildung 1: Schematische Darstellung einer Enterprise Encryption Platform – Abdeckung verschiedener Anwendungen auf einem gemeinsamen Unterbau mit gemeinsamer, zentraler Verwaltung

All-in-one-Vorteile

Die Vorteile einer Verschlüsselungsplattform für Unternehmen sind vielseitig, sowohl wirtschaftlich als auch aus dem Blickwinkel der Sicherheit. Der Einsatz einer Plattform kann zunächst den Wartungsaufwand mehrerer Verschlüsselungsanwendungen stark verringern: Statt drei oder fünf Managementkonsolen benötigt ein Unternehmen nur noch eine, Administratoren müssen nur noch ein System überwachen und warten. Dies verringert sowohl den laufenden Zeitaufwand als auch Schulungsbedarf. Zudem entfallen eventuell Kosten für zusätzliche Softwarelizenzen und Hardware, Anwenderschlüssel werden über mehrere Applikationen hinweg verwendet und wichtige Aufgaben wie die Schlüsselverwaltung idealerweise stärker automatisiert.

Eine gut konzipierte Plattform sollte auch alle Endbenutzeranwendungen in einem Client-Paket vereinen; eventuell lassen sich dann bei wachsendem Bedarf zusätzliche Funktionen einfach durch einen zentralen Lizenzschlüssel freischalten. Dies verringert die Einführungskosten deutlich und ermöglicht ein Wachsen der Lösung mit den Anforderungen des Unternehmens.

Doch auch die Sicherheit im Unternehmen profitiert durch den Einsatz einer Plattform: Die vereinte Verwaltung verschiedener Verschlüsselungsanwendungen und ihres Policy-Managements garantiert, dass Sicherheitsrichtlinien im ganzen Unternehmen und über verschiedene Anwendungen hinweg einheitlich und vor allem konsequent umgesetzt werden. Bei einer Revision der Verschlüsselungslösungen ist es zudem nicht notwendig, jede Anwendung einzeln zu prüfen; ein Blick auf die zentrale Verwaltung der Verschlüsselungsplattform genügt.

Vorsicht, Tunnelblick!

Noch hat bei weitem nicht die Mehrheit aller Unternehmen erfolgreich Verschlüsselungsplattformen eingeführt. Dies liegt teilweise daran, dass umfassende, voll integrierte Lösungen noch nicht seit langer Zeit im Angebot sind. Die Plattform hat aber auch einen natürlichen Feind: den Tunnelblick. Häufig werden Projekte zur Datenverschlüsselung getrennt voneinander und nicht strategisch betrachtet. Projektleiter kümmern sich dann oft nur um ihre eigene Aufgabe, beispielsweise Laptop- oder E-Mail-Verschlüsselung. Oft sind ihnen andere Projekte unbekannt oder diese werden sogar absichtlich missachtet, um die Komplexität des Projekts gering zu halten.

Dabei hätten auch Projektleiter große Vorteile von einer Plattformlösung: Denn in Zeiten strapazierter IT-Budgets und besonders durch die schwierige Berechnung eines Return of Investment (ROI) bei IT-Sicherheit bietet das Zusammenlegen verschiedener Projekte unter einer Plattform die Chance, Geld für Hardware, Lizenzen und laufende Kosten zu sparen.

Auf Managementebene sollten IT-Leiter getrennte Projekte für Verschlüsselung unter diesem Aspekt neu betrachten. Selbst wenn derzeit nur ein Verschlüsselungsprojekt aktuell ist, zeichnen sich oft bereits die Bedürfnisse zur Absicherung weiterer Kommunikationskanäle, Systeme oder Datenträger ab. Ein strategischer Ansatz zur Verschlüsselung spart kurz- und langfristig Kosten und Ressourcen.

Auf Brautschau

Da eine Verschlüsselungsplattform per Definition Teil der strategischen Infrastruktur ist, sollte der Hersteller besonders sorgfältig ausgewählt werden. Der richtige Anbieter kann für jedes Unternehmen anders aussehen, keine Verschlüsselungsplattform deckt alle erdenklichen Szenarien ab – es gibt deutliche Unterschiede in der Breite des Portfolios. Einige grundlegende Fragen stellen sich aber jedem Unternehmen.

Vor der Auswahl eines Anbieters sollte man zunächst ergründen, welche Daten in den nächsten fünf Jahren eventuell abgesichert werden müssen und wie diese gewichtet sind. Mögliche Anwendungen sind E-Mail (extern, intern, auf Smartphones), Laptops, Datenübertragungen zwischen Backend-Systemen, Instant Messaging, Dateiserver, Backup-Medien und USB-Sticks.

Wesentlich ist: Eine zukunftssichere Lösung sollte auch offen für die Integration von Produkten und in Produkte von Drittanbietern sein. Zudem müssen gegebenenfalls verschiedene Produkte des bevorzugten Herstellers auch wirklich durch eine einzige Managementoberfläche verwaltbar sein. Fehlt dieses gemeinsame, zentrale Management für alle Lösungen, verlieren sich die meisten Vorteile einer Plattform.

Auch die Integration einer Plattform in die existierende Infrastruktur des Unternehmens ist enorm wichtig: Nur wenn beide eng zusammenarbeiten, lassen sich wichtige Aufgaben optimal automatisieren. Es ergibt beispielsweise wenig Sinn, ein Microsoft Active Directory nur für eine Plattform aufzusetzen, wenn die Benutzerverwaltung ansonsten auf einem anderen System basiert. Ein neuralgischer Punkt kann auch die Absicherung von Mainframes oder von Macintosh-Systemen sein.

Wie bei jeder strategischen Entscheidung sollten überdies die Historie, die finanzielle Stabilität und Zuverlässigkeit des Herstellers eine Rolle spielen. Anwendungen nutzen nur, wenn sie lieferbar sind; Applikationen im Entwicklungsstadium sollten auch wirklich zum angekündigten Zeitpunkt verfügbar sein. Eine gute Möglichkeit, um einschätzen zu können, wie gut sich der Hersteller an seine Aussagen hält, sind die Produktankündigungen der letzten Jahre – so lassen sich solide Roadmaps von unseriöser Vaporware unterscheiden.

Deutsche Vorlieben

Dass Hersteller von Enterprise Encryption Platforms den Nerv der Zeit treffen, belegen auch die Ergebnisse einer Studie, die das Ponemon Institute im Auftrag von PGP durchgeführt hat. In der "Jahresstudie 2007: Verschlüsselungstrends in deutschen Unternehmen" (verfügbar über  www.pgp.com) stuften mindestens 63 % der 449 Befragten die bereits aufgeführten grundlegenden Merkmale einer Enterprise Encryption Platform als "wichtig" oder "sehr wichtig" ein (Details siehe Abb. 2). Zwei Merkmale wurden von 81 % hervorgehoben: die automatisierte Durchsetzung von Sicherheitsrichtlinien und die Automatisierung wichtiger administrativer Aktivitäten, etwa der Schlüsselverwaltung.

Abbildung 2: Merkmale einer Verschlüsselungsplattform, die als "wichtig" oder "sehr wichtig" eingestuft werden (Quelle: The Ponemon Institute)

Die Daten der Studie zeigen auch den beginnenden erfolgreichen Einzug von Verschlüsselung in deutsche Unternehmen (vgl. Abb. 3). Der Schutz von Backup-Bändern erfolgt am häufigsten – 37 % gaben an, dass dies "meistens" geschieht. Außerdem berichtete je rund ein Fünftel der befragten Unternehmen, dass sie E-Mails, Dateiserver und mobile Geräte "meistens" verschlüsseln.

Der wichtigste Grund für den Einsatz von Verschlüsselung war übrigens bei 24 % der Befragten die Einführung von Datenschutz- und Datensicherheitsbestimmungen.

Abbildung 3: Verschlüsselung nutzen deutsche Unternehmen "meistens" bei diesen Anwendungen (Quelle: The Ponemon Institute).

Fazit

Eine Verschlüsselungsplattform kann die Prozesse für Datenverschlüsselung im Unternehmen deutlich vereinfachen und Kosten reduzieren, was in Zeiten knapper Budgets und überlasteter IT-Ressourcen ein überzeugendes Argument sein dürfte. Auch wer heute nur eine einzige Verschlüsselungslösung einführen will, sollte die Zukunft im Auge behalten und langfristig planen, damit nachfolgende Projekte die jetzige Entscheidung nicht zur Sackgasse machen.

Christian Kirsch ist Product Marketing Manager bei der PGP Corporation.

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2007^#2, Seite 6
tag:kes.info,2007:art:2007-2-006