Logo <kes>/Microsoft-Sicherheitsstudie Wenn das Geld fehlt Kommentar zur <kes>/Microsoft-Sicherheitsstudie

Ordnungsmerkmale

erschienen in: <kes> 2004#6, Seite 6

Rubrik: Management und Wissen

Schlagwort: <kes>/Microsoft-Sicherheitsstudie

Zusammenfassung: Knappe Kassen sowie Irrtum und Nachlässigkeit sind die Haupthindernisse für bessere IT-Sicherheit. Was also tun, wenn kaum Geld da ist, um entweder sicherere IT-Systeme der neuen Generation anzuschaffen oder Mitarbeiter fit zu machen, die Systeme "sicher zu nutzen"? Funktionale Kompromisse schließen und gleichzeitig Chancen nutzen!

Autor: Von Dominik Langrehr, Unterschleißheim

Informations-Sicherheit ist ein Prozess, wir wissen das alle. Informations-Sicherheit ist wie ein kostbares Baby, das viel liebevolle, zarte Pflege braucht, zu hätscheln und gelegentlich abzuwischen ist – auch in Zeiten, wo das Geld knapp ist.

Als IT-Verantwortlicher oder Administrator bekommen Sie vermutlich so gut wie nie einen Anruf, um Sie wissen zu lassen, dass E-Mail funktioniert, Benutzer fehlerfrei drucken können und Anwendungen und Daten problemlos verfügbar sind. Die Telefonanrufe, die sie erhalten, finden immer entweder freitags am späten Nachmittag oder am Wochenende früh morgens um 5:00 Uhr statt: Anrufer beschweren sich, dass das Netzwerk ausgefallen ist oder der PC immer neu startet und so weiter. Sie stimmen mir zu? Dann lassen Sie uns hieraus zwei Dinge ableiten:

Ein grundsätzlicher Kompromiss

Während es keine nachhaltigen Erkenntnisse aus der ersten Beobachtung gibt, ist die zweite umso wichtiger: Benutzer sind, im Gegensatz zu vielen Administratoren, nicht an Technik um der Technik willen interessiert. In der Tat sind sie überhaupt nicht an Technik interessiert. Benutzer wollen vielmehr, dass Technik funktioniert, um ihre Arbeit optimal erledigen zu können, ohne sich Gedanken über das Wie und Warum machen zu müssen. Die ultimative Herausforderung für Informationstechnik ist es, unsichtbar zu sein – vollkommen transparent für den Benutzer. Jedes Mal, wenn Benutzer sich mit Technik beschäftigen müssen, ist dies darauf zurückzuführen, dass etwas nicht so funktioniert, wie es sollte, oder Benutzer nicht auf Ressourcen zugreifen können, die sie benötigen. Wenn Geschäftsführer über Technik nachdenken müssen, dann oftmals deshalb, weil sie mehr Geld dafür ausgeben sollen. Im Wesentlichen ist es der Auftrag des Netzwerkadministrators, sich selbst unsichtbar zu machen.

Welchen Bezug gibt es dabei zur IT-Sicherheit? Das Problem ist: Die Netzwerkverwaltung hat sicherzustellen, dass Benutzer auf alles zugreifen können, was sie benötigen, während es im Hinblick auf Sicherheit darum geht, Zugriffe zu beschränken. Ein Kollege von mir pflegte es, mit "Zugriff verweigert? Prima, dann funktioniert die Sicherheit" treffend auszudrücken. Sicherheits- und Netzwerkverwaltung sind im Wesentlichen Gegensätze – sich widersprechende Ziele. Infolgedessen haben wir einen elementaren Kompromiss zu berücksichtigen.

Das transparente Funktionieren von IT kann viele Formen aufweisen. Technik sollte leicht zu verwenden sein. Untersuchungen zur Technik-Akzeptanz zeigen jedoch, dass Technik auch nützlich sein und zumindest irgendeine Form von überzeugender Funktionalität aufweisen muss, um von Benutzern angenommen zu werden; lassen Sie uns von "Verwendbarkeit" (engl. Usability) sprechen. Im Grunde genommen handelt es sich daher um einen Kompromiss zwischen Sicherheit und Verwendbarkeit. Das sicherste System ist ein System, dass ausgeschaltet und in einen Tresor geschlossen wird. Aber unser kostbares Baby bereitet seinen Eltern und Verwandten wenig Freude, wenn es ewig im Brutkasten liegt…

Unser liebstes Kind: das Geld

Betriebssysteme und Anwendungen stellen Funktionen bereit, die möglicherweise die Sicherheit beeinträchtigen können, da sie die Angriffsoberfläche des Systems vergrößern. Jede Technik lässt sich sicherer machen, doch wird sie dadurch mit einer gewissen Wahrscheinlichkeit auch weniger verwendbar. Ein Popup-Blocker, der Benutzern möglicherweise sinnvolle Informationen vorenthält, irritiert zunächst durch die zusätzliche Warnung. Wie können wir Technik sicherer und verwendbarer machen? Hier kommt die dritte Kompromiss-Achse ins Spiel: Jeder kennt das Werbe-Credo "gut, schnell und preiswert" – wie im richtigen Leben, ist dies auch in der IT meistens ein Wunschtraum. Die drei wichtigen gegensätzlichen Aspekte und gleichzeitig Kompromiss-Achsen der IT-Sicherheitsverwaltung sind "sicher", "verwendbar" und "preiswert".

[
            sicher
verwendbar          preiswert
]
Die Betonung auf zwei der Adjektive "sicher", "verwendbar" und "preiswert" beschränkt regelmäßig das dritte.

Suchen Sie sich zwei vorrangige Faktoren aus, alle drei kann man unter Praxisbedingungen nicht gleichzeitig auf optimalem Niveau halten. Es ist ziemlich wichtig, diesen Grundkompromiss zwischen Sicherheit, Verwendbarkeit und Kosten zu erkennen oder sich immer mal wieder zu vergegenwärtigen. Wenn es auch möglich ist, sowohl Sicherheit als auch Verwendbarkeit zu erreichen, sind damit entsprechende Kosten in finanzieller, zeitlicher und personeller Hinsicht verbunden. Die IT kosteneffizient und verwendbar zu machen ist genauso möglich wie ihre sichere und kosteneffiziente Gestaltung. Etwas sowohl sicher als auch verwendbar zu machen bedeutet jedoch viel Aufwand und Nachdenken.

Womit wir bei den Ergebnissen der <kes>/Microsoft-Sicherheitsstudie sind – und folgern: Wer knapp bei Kasse ist und Sicherheit verbessern möchte, muss Einschnitte in der Verwendbarkeit machen. So ergibt sich folgender "Dreisprung":

Ein positiver Nebeneffekt von "Was nicht erlaubt ist, ...", ist übrigens auch, dass Mitarbeiter nicht nachlässig damit umgehen können: "Was nicht da ist, kann nicht missbraucht werden."

Einzelkinder

Die IT-Sicherheit von System- oder Netzwerkadministratoren verwalten zu lassen ist kontraproduktiv, da diese Aufgabenbereiche miteinander in Konflikt stehen. System- oder Netzwerkadministratoren haben zum Auftrag, dass das System arbeitet und die Technik transparent funktioniert, ohne dass sich Benutzer damit beschäftigen müssen. Als Sicherheits-Beauftragter ist das Gegenteil Ihr Auftrag – Gleiches gilt für den Sicherheits-Administrator. Nur jemand mit einer gespaltenen Persönlichkeit könnte beides erfolgreich in sich vereinen. Zu versuchen, beide Bereiche zu meistern, ist ein bisschen wie Dr. Jekyll und Mr. Hyde zu spielen. Was zu einer guten Leistungsbeurteilung im einen Bereich führt, ist genau das, was Punkte im anderen Bereich kostet.

Heutzutage kann dies ein Problem sein, da viele Netzwerk- oder Systemadministratoren gleichzeitig auch zum Teil Sicherheits-Administrator sind. Idealerweise sollte es sich bei einem Sicherheits-Administrator um jemanden handeln, der die System- und Netzwerkverwaltung zwar versteht, sich in erster Linie aber nur mit Sicherheit beschäftigt und erst zweitrangig Gedanken um die Verwendbarkeit macht. Diese Person würde zwar eng mit dem Netzwerk-/System-Administrator zusammenarbeiten. Aber: Konflikte sind notwendig, wann immer sich Sicherheit und Verwendbarkeit überschneiden. Nur, indem Sie über zwei Personen mit unterschiedlichen Zielsetzungen verfügen, können Sie die optimale Balance zwischen Sicherheit und Verwendbarkeit für Ihre Umgebung erreichen.

Ein Ergebnis der Studie ist übrigens auch, dass es zwar in vielen Unternehmen und Behörden Sicherheitsrichtlinien zur Verwendung der IT gibt, ihre Einhaltung aber nicht in gleichem Maße überprüft wird. Ich glaube, das ist eine Ausprägung des Zielkonfliktes der Netzwerkadministratoren, die gleichzeitig auch für die IT-Sicherheit sorgen sollen. Geben Sie die Aufgabenfelder in unterschiedliche Hände oder arbeiten Sie mit zwei unterschiedlichen externen Dienstleistern zusammen. Nur so wird es im Sinne der IT-Sicherheit tragbare Kompromisse geben und die Zielsetzungen bleiben überprüfbar.

Fazit

In der IT-Sicherheit wird man es mit einigen interessanten Kompromissen konfrontiert. Prinzipiell ist eine Wahl zu treffen zwischen einem System, das entweder sicher und verwendbar oder sicher und preiswert ist. In Anbetracht knapper Mittel ist die bedeutsamste Kompromissachse "sicher und preiswert" – zu Lasten der Verwendbarkeit. Das muss kein Nachteil sein: Was unser Baby nicht weiß, macht es nicht heiß.

Darüber hinaus besteht die beste Praktik darin, die Verantwortlichkeit für die Sicherheits- und Systemverwaltung nicht ein und derselben Person zu übertragen – denn die Ziele dieser beiden Aufgaben stehen viel zu oft in Konflikt zueinander, als dass jemand diesen Auftrag erfolgreich durchführen könnte. Nutzen Sie die Mittel, die Ihnen für IT-Sicherheit zur Verfügung stehen gegebenenfalls auch, um neutrale IT-Sicherheitsberater Ihre Umgebung beurteilen lassen.

Dominik Langrehr ist Security Marketing Manager bei Microsoft Deutschland.