Einbinden der mobilen Kunden und Schützen vertraulicher Daten

Transkript

1 WHITE PAPER Leitfaden zur Auswahl von Lösungen für mobile Sicherheit zur Weiterentwicklung von Unternehmen Juli 2012 Einbinden der mobilen Kunden und Schützen vertraulicher Daten Tyson Whitten CA Technologies, Security Management agility made possible

2 Inhaltsverzeichnis Kurzfassung 3 ABSCHNITT 1: Ausgangssituation 4 Herausforderungen beim mobilen Engagement und beim Schutz ABSCHNITT 2: Chancen 7 Leitfaden zur Auswahl einer Lösung für mobile Sicherheit ABSCHNITT 3: Nutzen 12 Vorteile von einheitlichen Lösungen für Anwendungssicherheit und datenorientierte Sicherheit ABSCHNITT 4: Schlussbemerkungen 13 ABSCHNITT 5: Informationen über den Autor 13

3 Kurzfassung Ausgangssituation Wenn Unternehmen Strategien entwickeln, um von neuen und sich entwickelnden Chancen auf dem mobilen Markt zu profitieren, verhindern Herausforderungen bei der Anwendungs- und Datensicherheit, dass Unternehmen ihr Ziel, den mobilen Kundenstamm einzubinden, erreichen. Unternehmen suchen nach Möglichkeiten, Umgebungen mit Webanwendungen nahtlos auf mobile Bereitstellungsmodelle auszuweiten und dabei vertrauliche Daten zu schützen, die zwischen Mitarbeitergeräten (im Firmenund Privatbesitz) und Kundengeräten ausgetauscht werden. Durch die Unfähigkeit, neue Märkte zu erreichen, Zugriff und sichere Daten zu ermöglichen und gleichzeitig für Benutzerfreundlichkeit und Datenschutz zu sorgen, konnten Unternehmen sich nicht weiterentwickeln. Chancen Es gibt eine Möglichkeit für Unternehmen, die Chancen des mobilen Markts zu nutzen und das Engagement zu verbessern, indem für mobile Kunden und Mitarbeiter Anwendungsverfügbarkeit, mobiler Zugriff und Datenschutz bereitgestellt werden. Aber der Versuch, diese Probleme der Mobilität pro Anwendung oder Gerät zu lösen, kann sehr aufwändig sein. Stattdessen müssen Unternehmen einen universellen Ansatz verfolgen, mit dem diese Probleme auf zwei Achsen gelöst werden: Schaffung von Kundenengagement durch Anwendungsverwaltung und datenorientierte Sicherheit. Indem sie diesen beiden Leitlinien folgen, können Unternehmen ihre Ziele der Unterstützung von Unternehmensanwendungen auf mobilen Geräten mit höherer Sicherheit erfüllen und dabei den Anforderungen mobiler Benutzer im Hinblick auf Benutzerfreundlichkeit und Datenschutz gerecht werden. Nutzen Sobald Unternehmen diese Herausforderungen überwinden können, erreichen sie ihre Mobilitätsziele und profitieren auf folgende Weise: Umsatz steigern: Unternehmen binden Kunden durch Technologien für mobile Geräte effektiver ein. Ob dadurch über neue mobile Kanäle die Regalfläche ausgedehnt wird, die Vertriebsmitarbeiter die Verkaufszeiten reduzieren können, der Kundenservice oder die Einbindung der Verbraucher verbessert wird oder ob Business Services entwickelt werden, mit denen die Kundenbindung verbessert wird: Es gibt direkte Umsatzchancen, die die Unternehmen nutzen können, sobald die komplexen Hemmnisse für die Mobilität beseitigt wurden. Risiko von Datenschutzverletzungen auf mobilen Geräten reduzieren: Wenn mobile Benutzer in das Unternehmen eingebunden und vertrauliche Informationen ausgetauscht werden, steigt das Risiko und Unternehmenswachstum wird verhindert. Organisationen, die Identitäten, Zugriff und Daten über den mobilen Kanal kontrollieren können, können das Unternehmensrisiko beträchtlich reduzieren und für die Organisation ein sicheres Wachstum der Geschäfte ermöglichen. Betriebskosten senken: Durch die Bereitstellung einheitlicher Anwendungs- und kompletter Datensicherheitslösungen können Unternehmen Infrastrukturen zentral verwalten, die große heterogene Umgebungen unterstützen. Gleichzeitig wird eine passende Benutzerfreundlichkeit erreicht, wodurch die Gesamtbetriebskosten sinken. 3

4 Abschnitt 1: Ausgangssituation Herausforderungen beim mobilen Engagement und beim Schutz Neue Geschäftschancen nehmen Form an, da Kunden weltweit neue mobile Geräte, schnellen Zugriff und innovative mobile Anwendungen nutzen. Aber diese starke Zunahme von mobilen Geräten, die Entwicklung von intelligenten Anwendungen und Verbundanwendungen, die Anzahl der Benutzer mit mehreren Geräten sowie der Trend zur Verwendung der eigenen Geräte (BYOD) hat für Unternehmen viele Probleme bei der effektiven Ausschöpfung mobiler Chancen geschaffen. In erster Linie nimmt die Innovationsrate bei mobilen Geräten schneller zu als die Fähigkeit von Unternehmen, sich darauf einzustellen. Vorhandene Webanwendungen unterstützen neue mobile Modelle nicht und verhindern den Zugang zu beträchtlichen Marktchancen. Sicherheitslösungen sind fragmentiert, und die Sicherheit von Webanwendungen wird häufig getrennt von Anwendungen für mobile Geräte oder von der Datensicherheit gehandhabt und berücksichtigt nur das mobile Gerät bzw. nur die Daten auf vielen Plattformen. Dann leiden häufig die Benutzerfreundlichkeit sowie der Datenschutz, wenn eine herkömmliche Methode für die Sicherheit des Geräts bzw. der Daten verwendet wird. Das Endergebnis: Geringere Wettbewerbsfähigkeit, entgangene Umsatzchancen und höhere Risiken. Auswirkungen des mobilen Zugriffs auf die Anwendungsentwicklung Das mobile Phänomen hat eine Vielzahl von umsatzgenerierenden Chancen eröffnet und bietet Unternehmen eine effektive Möglichkeit, ihre Wertschöpfungskette bei verschiedenen Organisationsressourcen zu optimieren. Die Mobilität bietet Unternehmen neue Wege, die Regalfläche zu erweitern und durch neue Entwicklungskanäle neue Märkte zu erschließen. Sie hat für Vertriebsmitarbeiter neue Methoden eröffnet, die Verkaufszeit zu verkürzen. Der Kundenservice kann sich intensiver mit den Kunden beschäftigen und gleichzeitig neue Programme für Jahresabonnements von Services entwickeln. Zudem erhalten die Kunden bei der Entscheidungsfindung eine neue Möglichkeit zur Interaktion mit dem Unternehmen, wie eine Zahlung an Amazon oder ihre Bank. So werden Business Services und Kundenbindung verbessert. Die starke Zunahme an Gerätetypen birgt jedoch Gefahrenpotenzial für die Standardisierung und hat zu einer umfangreichen heterogenen Anwendungsumgebung geführt, die jetzt von Unternehmen unterstützt werden muss, damit Märkte schneller erreicht werden und Kunden sowie Mitarbeiter zugreifen können. Von HTML5 über benutzerdefinierte Anwendungen und Verbundanwendungen bis zu ungewöhnlichen Funkanwendungen: Diese Vielfalt hat bestehende Anwendungsprobleme verstärkt, die Unternehmen bereits zu lösen versuchen. Die Unterstützung neuer Entwickler-Communities, vom Standard abweichender Protokolle und dezentraler mobiler Identitäten machen es unmöglich, eine ganzheitliche Anwendungslösung bereitzustellen, mit der die Markteinführung beschleunigt wird und die den Zugriff vereinfacht und optimiert. Kleine und große Browser Unternehmen, die die Leistungsfähigkeit des Browsers nutzbar machen möchten und über die Entwicklung einzelner Geräte oder Betriebssysteme hinausgehen möchten, werden häufig in HTML5, CSS3 und JavaScript entwickeln. Wenn sie Services über das Internet verwerten können und gleichzeitig bestehende Anwendungsinfrastrukturen und Lösungen für die Zugriffsverwaltung nutzen, wird üblicherweise in diesen Sprachen entwickelt. Die Benutzer erkennen den Nutzen der Anzeige und Abwicklung über einen Webbrowser und werden den Browser auch einsetzen, um über ein mobiles Gerät auf Inhalte zuzugreifen, sofern dies ausreichend benutzerfreundlich ist. Wenn also der standardmäßige große Browser für sie funktioniert, werden sie auch den kleinen Browser verwenden, falls Benutzerfreundlichkeit und Nützlichkeit dabei nicht beeinträchtigt werden. 4

5 Unternehmensanwendungen Mit reichhaltigen Anwendungen für mobile Geräte können Benutzer schnell auf Inhalte zugreifen und mit dem Unternehmen Geschäfte abwickeln. Wenn Unternehmen durch die Entwicklung mobiler Anwendungen ihre Präsenz auf mobile Benutzer ausdehnen möchten, hat es Vorteile, mit Unternehmensanwendungen zu beginnen. Dies schafft aber auch Probleme. Die Unternehmensund Entwicklungsteams verfügen über eine vollständige Kontrolle ihrer Unternehmensanwendungen. Aber vorhandene Anwendungsinfrastrukturen und Protokolle müssen in die neu entwickelten Anwendungen integriert werden. Beispielsweise wurden die meisten der mobilen Anwendungen mit RESTful-Protokollen entwickelt, vorhandene Anwendungsumgebungen basieren dagegen auf SOAP. Dieser Unterschied verhindert manchmal die Verfügbarkeit von mobilen Anwendungen auf dem Markt, ihr Einsatz kann aber mit vorhandenen Access Management-Funktionen ermöglicht werden. Intelligente Anwendungen und Verbundanwendungen Die Zunahme innovativer Anwendungen hat die Geschäftschancen erweitert und die Möglichkeiten für Organisationen, Geschäfte mit Kunden zu machen, ausgebaut. Wenn die Strategien von Organisationen für die Verteilung von Inhalten und die Aktivierung von Transaktionsanwendungen für mobile Geräte immer ausgereifter werden, untersuchen sie häufig Optionen im Zusammenhang mit intelligenten Anwendungen oder Verbundanwendungen für mobile Geräte. Dies sind Anwendungen, die den Inhalt aus verschiedenen Quellen (intern und extern) nutzen. Die Protokolle, die verwendet werden müssen, um die intern entwickelten Anwendungen zu optimieren oder um Inhalte an Drittanbieter zu verteilen, können variieren. Diese Tatsache verknüpft mit der fehlenden Kontrolle über diese Protokolle aus externen Quellen kann die Unterstützung dieser Art von Anwendungen sehr schwierig machen. Die Möglichkeit, SOAP-, REST- und JSON-Umgebungen gemeinsam zu integrieren, kann sehr kompliziert sein, ist aber letztlich sehr nützlich für das Unternehmen. Ungewöhnliche Anwendungen Mobile Telefone und Tablet-PCs bieten Unternehmen nicht nur einen weiteren Kanal, eine Verbindung zu Verbrauchern aufzubauen, sondern alle Plattformen, die drahtlos verbunden sind (also drahtlose Geräte, Verkaufsautomaten, vernetzte Fahrzeuge usw.), stellen eine Chance dar, Kunden und andere wichtige Ressourcen der Wertschöpfungskette mit ausgereifteren Funktionen einzubinden. Unternehmen benötigen eine Möglichkeit, neue Anwendungen für diese entstehenden und innovativen Plattformen zu erstellen. Die meisten vorhandenen Unternehmensanwendungen für das Internet unterstützen diese neuen Anwendungen für mobile Geräte jedoch nicht. Für Unternehmen ist ein einfacherer und sicherer Weg erforderlich, diese neuen Märkte zu erreichen. Analyse der Fragmentierung Zusammengefasst kann festgehalten werden, dass mobile Benutzer auf zahllose Arten mit dem Unternehmen in Verbindung treten. Basierend auf dem Verwendungsfall im Unternehmen mit unterschiedlicher Supportkomplexität hat jede ihre Vor- und Nachteile. Das Ergebnis ist ein hohes Maß an Unsicherheit im Zusammenhang mit der Standardisierung der browserbasierten Bereitstellung oder von Anwendungen für mobile Geräte. Nach einer aktuellen Befragung von CA Technologies planen 50 bis 60 % der Befragten die Verwendung von HTML5, während 34 % reichhaltige Anwendungen für mobile Geräte verwenden möchten. Dies zeigt uns, dass es eine breite Mischung beider Umgebungen geben wird und dass Unternehmen sehr heterogene Umgebungen unterstützen müssen. Um diese Vielzahl an Verwendungsfällen für Browser und Anwendungen zu unterstützen, benötigen Unternehmen eine Lösung, die ein mobiles Engagement für eine Reihe von Anwendungszugriffspunkten ermöglichen kann. Mit diesen Lösungen sollten Unternehmen neue mobile Märkte erreichen und die Produktivität der Mitarbeiter steigern können. Dazu sollten Entwickler-Communities unterstützt werden, um den Code vorhandener Anwendungsumgebungen sicher zu erweitern, die Verteilung und die Nutzung von Inhalten zwischen verschiedenen mobilen Anwendungskanälen zu schützen und 5

6 Protokolle für die Unterstützung neuer mobiler Anwendungen zu übersetzen. Durch erweiterte Authentifizierung, Sitzungsmanagement und zentralisierte Autorisierung sollten sie zudem bequemen und effizienten Zugriff der mobilen Benutzer ermöglichen. Nicht das Gerät, die Daten stehen im Vordergrund Als Organisationen damit begonnen haben, einheitliche Lösungen für die Anwendungssicherheit zu implementieren, haben sie auch Maßnahmen ergriffen, um den Datenschutz sicherzustellen. Den Organisationen hat schon immer die Kontrolle über Kundengeräte und -daten gefehlt, jetzt verlieren Unternehmen zunehmend auch die Kontrolle über die Mitarbeitergeräte. Organisationen, die bislang Daten auf der Ebene von Geräten geschützt haben, müssen sich jetzt anpassen. Als Ergebnis der starken Zunahme von Geräten, der Benutzer mit mehreren Geräten und des Phänomens zur Verwendung eigener Geräte (BYOD) haben immer mehr Unternehmen keine Kontrolle mehr über die Mitarbeitergeräte, müssen aber weiterhin Unternehmens- und Kundendaten schützen. Zunahme von Geräten Die Menge mobiler Geräte auf dem Markt ist atemberaubend. Forrester erwartet, dass bis Millionen Smartphones von US-Verbrauchern verwendet werden. Allein die Geräteanzahl ist interessant, das größere Problem mit Einfluss auf die Datensicherung ist jedoch die Vielzahl an Betriebssystemen und Anwendungen. Das typischerweise ein Anbieter, Microsoft, den größten Marktanteil hatte, gilt heute nicht mehr. Forrester gibt an, dass weltweit ein Drittel der für die Arbeit verwendeten Geräte keine PCs oder mobilen Geräte von Microsoft sind. Die Welt wird von Apple IOS- und Google Android- Geräten überschwemmt. Diese Zunahme in der Variabilität hat die Denkweise von Organisationen bei der Planung der Sicherung vertraulicher Informationen auf mobilen Endgeräten geändert. Schwierige Ressourcenentscheidungen werden darüber getroffen, ob die Gerätesicherheit bewahrt werden soll oder ob der Schwerpunkt auf der Sicherung von Daten liegen sollte. Benutzer mit mehreren Geräten Der nächste Trend, der direkten Einfluss auf die mobile Sicherheit hat, ist die Zunahme von Benutzern mit mehreren Geräten. Organisationen können sich nicht mehr darauf konzentrieren, ein vom Unternehmen ausgegebene Gerät zu kontrollieren. Die verschiedenen Verwendungsfälle, die sich über Workstations, Laptops, Smartphones und Tablet-PCs erstrecken, führen dazu, dass die Benutzer mehrere Geräte für die Arbeit verwenden. Forrester gibt an, dass 52 % aller Information Worker drei oder mehr Geräte für die Arbeit verwenden. Mitarbeiter sind anspruchsvoll und erwarten ein hohes Maß an Benutzerfreundlichkeit dieser Gerätetypen. Der Vorteil der Verwendung vieler Geräte für die Arbeit hat auch direkten Einfluss auf die Ausdehnung der geschäftlichen Nutzung auf die private Nutzung. Laut Forrester werden 60 % der von Information Workern angegebenen Geräte für geschäftliche und persönliche Zwecke verwendet. Damit verbunden ist eine Erwartung an den Schutz der persönlichen Informationen, insbesondere bei persönlichen Geräten. Organisationen müssen jetzt die Herausforderung bewältigen, Informationen auf Geräten zu sichern, die sie nicht kontrollieren, und Benutzer zu schützen, die ein gewisses Maß an Benutzerfreundlichkeit und Datenschutz erwarten. BYOD Diese hohe Rate bei der Gerätezunahme und der Nutzung mehrerer Geräte hat auch direkte Auswirkungen auf BYOD. Die Mitarbeiter haben jetzt einen direkten Einfluss auf die Geräte, die sie für die Arbeit verwenden. Forrester erklärt: Viele Information Worker in Nordamerika und Europa geben an, dass sie die Geräte selbst auswählen (und nicht IT oder aus einer IT-Liste). Dabei entscheiden sich 73 % für Smartphones, 53 % für Laptops und sogar 22 % für Desktops. Dies zeigt, dass die Mitarbeiter eine direkte Kontrolle gewinnen, die Auswirkungen darauf hat, wie IT für die Zukunft plant und mit den Folgen der Notwendigkeit zur Unterstützung von Geräten im Besitz von Kunden und Mitarbeitern umgehen wird. 6

7 Aber auch wenn Organisationen immer mehr die Kontrolle über die Geräte verlieren, sobald Geräte von Mitarbeitern im Unternehmen zulässig sind, können sie es sich nicht leisten, die Kontrolle über die Daten zu verlieren. Unternehmen müssen weiterhin Informationen kontrollieren, um das Risiko des Verlusts von geistigem Eigentum, Gefahrenpotenzial für die Marke und das Risiko der Nichteinhaltung von PCI DSS, HIPAA oder lokalen und staatlichen Datenvorschriften zu reduzieren. Dies lässt den Unternehmen nur die Möglichkeit, von der geräteorientierten zur datenorientierten Sicherheit zu wechseln. Die Daten müssen an der Quelle kontrolliert werden, statt zu versuchen, sie im Container zu kontrollieren. Gleichzeitig müssen die Funktionalität für den Benutzer und die Erwartungen an den Datenschutz berücksichtigt werden. Das Zauberwürfel-Problem der Koordination von Daten, Zugriff und Anwendungen über mehrere Kanäle wird noch komplizierter, wenn Unternehmen ein mobiles Engagement verfolgen. Quelle: Mobile is the New Face of Engagement, Forrester Research, Inc., 13. Februar 2012 Abschnitt 2: Chancen Leitfaden zur Auswahl einer Lösung für mobile Sicherheit Die Chance auf Unternehmenswachstum ist mit Problemen für die Anwendungs- und Datensicherheit verbunden, die häufig ein Hindernis darstellen. Diese Probleme sollten mit einem pragmatischen Ansatz gelöst werden, indem die Entscheidungsfindung vereinfacht und an zwei wichtigen Entscheidungskriterien ausgerichtet wird: Kundenengagement und datenorientierte Sicherheit. Welche Mobilitätslösungen sind verfügbar? Die folgende Lösungsmatrix zeigt eine Vielzahl mobiler Sicherheitslösungen, die gegenwärtig angeboten werden. Sie können basierend auf dem Kundenengagement und der datenorientierten Sicherheit Prioritäten für Leistungsmerkmale vergeben. Dieses Gerüst bietet eine allgemeine Übersicht für die Auswahl mobiler Lösungen, es sollte aber auch mit bestimmten Zielen der Organisation abgeglichen werden. Unternehmenstyp, mobile Verwendungsfälle, Anwendungsstrategien und aktuelle Lösungsinvestitionen tragen auch einen Teil zum Prozess der Entscheidung für eine Lösung bei und sollten bei der Bewertung der einzelnen Lösungen durchdacht werden. Wenn Unternehmen aber eine Mischung der Leistungsmerkmale für Kundenengagement mit datenorientierter Sicherheit erreichen möchten, sollte das Ziel sein, Lösungen oben rechts in der Matrix auszuwählen. Leistungsmerkmale, die erfolgreicher bei der Durchsetzung eines besseren Engagements sind, werden von unten nach oben aufgeführt. Leistungsmerkmale, die dagegen zuverlässiger beim Schutz von Daten sind, werden von links nach rechts aufgeführt. Im Folgenden finden Sie eine Kurzdarstellung der Leistungsmerkmale mit den jeweiligen Vor- und Nachteilen, weiteren Fragen, die Sie stellen sollten, und einer vorgegebenen Methode, die Ihnen bei der Auswahl der mobilen Lösung weitere Hilfe bietet. 7

8 Abbildung A. Übersichtsmatrix der Mobilitätslösungen. Kundenengagement Die Achse mit dem Kundenengagement ist durch eine Vielzahl von Leistungsmerkmalen definiert, die mobilen Kunden ein besseres Engagement im Unternehmen ermöglichen. Zu diesen Leistungsmerkmalen gehören Authentifizierung, Autorisierung, Single Sign-On, Session Management, Protokollübersetzung und sichere API-Verwaltung. Datenschutzlösungen wurden ebenfalls aufgenommen, da damit ebenfalls Hemmnisse der Datensicherheit beseitigt werden, um Kundenengagement zu ermöglichen. Alle Leistungsmerkmale erstrecken sich über Technologien und sollten basierend auf bestimmten Projektkriterien ausgewählt werden. Mit Identity and Access Management-Leistungsmerkmalen erhalten die richtigen Benutzer Zugriff auf die richtigen Anwendungen und Daten. Diese Lösung wäre optimal für Organisationen, die die vorhandenen Leistungsmerkmale für Zugriffsmanagement und Autorisierung für mobile Kunden und Mitarbeiter auf Unternehmensanwendungen ausweiten möchten. API-Managementlösungen unterstützen Organisationen bei der Optimierung ihrer Methode für die Anwendungsentwicklung. Unternehmen, die Verbundanwendungen erstellen, für die Inhalte aus Quellen, die sie nicht kontrollieren, genutzt und verteilt werden müssen, müssen verschiedene Protokolle unterstützen. Dies ist eine gute Lösung, um es Entwickler-Communities zu ermöglichen, sicher APIs zu schreiben und gleichzeitig Protokolle für neue komplexe Anwendungen zu übersetzen. Mobile Application Management bietet die Möglichkeit, einzelne Anwendungen zu kapseln und so Authentifizierungsfunktionen und lokalen Datenschutz bereitzustellen. Diese Option wird interessant, wenn eingebettete Anwendungen und solche von Drittanbietern in eine übergreifende Authentifizierungsstrategie integriert und gleichzeitig die lokalen Daten auf dem Gerät geschützt werden. 8

9 Datenorientierte Sicherheit Die Achse für die datenorientierte Sicherheit deckt Mobilitätslösungen ab. Dabei werden auf der linken Seite Sicherheitslösungen aufgeführt, mit denen Daten über verschiedene Hilfsmittel indirekt geschützt werden. Weiter nach rechts werden dann Lösungen angegeben, deren Schwerpunkt mehr darauf liegt, die Daten selbst zu schützen. Malcode- und Virenschutz sind erforderlich, um das Unternehmen zu schützen, wenn Verbindungen mit gefährdeten Anwendungen hergestellt werden. Dies ist jedoch ein indirekter Schutz von Unternehmensanwendungen und -daten. Der Schutz bleibt nicht bei den Daten. Mobile Device Management-Leistungsmerkmale (MDM) bieten eine Kombination aus Verwaltung und Sicherheit. Der Fokus liegt jedoch auf dem Gerät und ausschließlich auf dem mobilen Kanal. Wenn das Ziel die Verwaltung von Geräten mit einem Kanal und Sicherheit auf Geräteebene ist, kann diese Lösung die Anforderungen erfüllen. Aber für Organisationen, die einen komplett datenorientierten Sicherheitsansatz verfolgen und gleichzeitig Benutzerfreundlichkeit und Datenschutz wahren möchten, können andere ergänzende datenorientierte Sicherheitslösungen, die in der Matrix weiter rechts aufgeführt sind, erforderlich sein. Mit der Technologie Virtual Desktop Infrastructure (VDI) bleiben Daten sicher, da sie nicht lokal auf dem Gerät gespeichert werden. Die Nachteile sind jedoch Netzwerklatenz und fehlender Offlinezugriff. Wenn Sie versuchen, den Außendienst, Ihre Vertriebsteams, andere mobile Mitarbeiter sowie Ihre Kunden zu berücksichtigen und Zugriff in Echtzeit erforderlich ist, bietet eine VDI-Lösung möglicherweise nicht die gewünschte Verfügbarkeit. Virtualisierung und Sandboxing stellen eine Segmentierungsmethode zur Trennung der Unternehmensanwendungen von den persönlichen Anwendungen auf dem Gerät dar. Die getrennten Informationen bieten zwar Anwendungs- und Datenkontrolle für die Unternehmensdaten, aus der Sicht der Benutzerfreundlichkeit gibt es jedoch Nachteile. Die Replikation systemeigener und eingebetteter Anwendungen in der vom Lieferanten ausgewählten Form kann häufig von der systemeigenen Anwendung auf dem Gerät abweichen und so die von den Benutzern erwartete Benutzerfreundlichkeit beeinträchtigen. Eine Klassifizierung ist entscheidend, um zu verstehen, wo Daten sich befinden und wie vertraulich sie für das Unternehmen und den Verbraucher sind. Allein durch die Klassifizierung werden die Daten zwar nicht geschützt, sie ist aber sehr wichtig für IAM und andere datenorientierte Sicherheitskontrollen wie die Verschlüsselung, um vertrauliche Informationen unabhängig von ihrem Speicherort selektiv zu kontrollieren. Data Loss Prevention (DLP) setzt Datenrichtlinien über die Kombination von Klassifizierung und Kontrollen wie Sperren und Quarantäne durch, während Daten abgerufen, verwendet, verschoben und nicht genutzt werden. DLP kann auch in andere Durchsetzungstechnologien wie Verschlüsselung und Information Rights Management integriert werden. Die Verschlüsselung ist echter datenorientierter Schutz. Es ist kein Schutz des Containers, der Probleme hinsichtlich Benutzerfreundlichkeit und Unterstützung darstellt, sondern ein Schutz der Daten wo sie sich auch befinden mögen. Während einige PKI-basierte Verschlüsselungsmodelle Probleme aufwerfen, bietet Identity Based Encryption (IBE) Vorteile bei der Einrichtung, Bereitstellung und Verwaltung für die Verschlüsselung von Daten, die PKI nicht bietet. Es ist zudem eine gute Ergänzung zu Klassifizierungstechnologien. Information Rights Management (IRM) ist auch ein echter datenorientierter Schutz und eine Variante der Verschlüsselung. Es gehören aber auch genau abgestimmte richtlinienbasierte Kontrollen dazu, die mehr Verschlüsselungsoptionen für Zugriff und Handhabung während der Lebensdauer der Daten bieten als die reine Verschlüsselung. 9

10 Geschäftliche Fragen Sobald Sie ihre Lösungsoptionen kennen und wissen, wie sie zu Ihren Zielen für Kundenengagement und datenorientierte Sicherheit passen, sollten sie mit den speziellen Kriterien für Ihr Unternehmen abgestimmt werden. Im Folgenden sind einige Fragen aufgeführt, mit deren Hilfe Sie die nächsten Schritte bei der Auswahl einer mobilen Lösung bestimmen können. Geschäftsziele im Hinblick auf Mobilität Ist Mobilität Bestandteil der Transformation und Strategie bei der Weiterentwicklung des Unternehmens? Ist ein jederzeit mögliches besseres Kundenengagement Ihr primäres Ziel? Führt Mobilität dazu, dass die Mitarbeiter produktiver sind? Welche Arten von Mitarbeitern werden entsprechend ausgestattet, und wie häufig benötigen sie Zugriff über mobile Geräte? Strategische Anwendungsziele Welche Arten von Anwendungen planen Sie, für mobile Kunden und Mitarbeiter bereitzustellen? Möchten Sie mit aktuellen Unternehmensanwendungen oder mit ausgereifteren Anwendungen wie Verbundanwendungen oder ungewöhnlichen Anwendungen beginnen? Ist die Unterstützung eingebetteter Anwendungen oder solcher von Drittanbietern wichtig für die Anwendungsziele? Ziele für die Datensicherheit Welchen Einfluss haben die Verwendung mehrerer Geräte und BYOD auf die Bereitstellung von Richtlinien und Kontrollen im Hinblick auf Sicherheit? Müssen Sie nur Daten kontrollieren, die sich auf Geräten des Unternehmens befinden? Müssen Sie Daten auf Geräten von Mitarbeitern und anderen Geräten außerhalb Ihrer Kontrolle kontrollieren? Aktuelle Investitionen in Mobilität Welche Lösungen für Anwendungs- oder Datensicherheit haben Sie bisher bereitgestellt? Können Sie vorhandene Lösungen nutzen, um eine Fragmentierung zu verhindern? Ist eine einheitliche mobile Sicherheitslösung für Ihre Organisation wichtig? Mit Hilfe der Antworten auf die oben angeführten Fragen können Sie die Auswahl basierend auf bestimmten Verwendungsfällen treffen, die für Ihr Unternehmen relevant sind. Nicht alle Technologien und Leistungsmerkmale sind für alle Verwendungsfälle geeignet, und sie sollten basierend auf Ihren speziellen Herausforderungen bezüglich Kundenengagement und Datenschutz abgestimmt werden. Eine Kombination von wenigen kann das Endergebnis sein. Eine vorgegebene Methode Wo sollten Sie anfangen? Es gibt einige gängige Methoden, mit denen Sie Ihre Mobilitätsziele erreichen können. Organisationen, die den gegenwärtigen Zugriff auf Unternehmensanwendungen auf Benutzer mobiler Geräte ausweiten möchten, können mit vorhandenen Investitionen in das Zugriffsmanagement einen Anfang machen. IAM-Technologien können schnell die Möglichkeit bieten, neue mobile Benutzer in vorhandene Managementlösungen für Anwendungszugriff einzubinden, und sie bieten eine ansprechende Funktionalität für den Benutzer sowie zentrales Anwendungsmanagement. Zudem kann eine anpassungsfähige Authentifizierung angewendet werden, um basierend auf Kontextattributen des 10

11 Mobiltelefons, wie dem Standort, sicherzustellen, dass der richtige Benutzer auf mobile Ressourcen zugreift. Zwar wird dadurch Zugang zu neuen mobilen Märkten ermöglicht und die Produktivität der Mitarbeiter gesteigert, es entstehen aber auch Risiken für die Daten, die abgemildert werden müssen. Da die Nutzung der Mobilität bei der Arbeit sehr unterschiedlich ist, sollte das Ziel eine Lösung sein, die Echtzeitzugriff auf Daten ermöglicht und Informationen auch außerhalb des mobilen Kanals schützt. Einige Organisationen haben versucht, Informationen durch Technologien wie MDM auf Geräteebene zu kontrollieren. Dieser Ansatz ist jedoch nicht umfassend und schützt Informationen nicht mehr, sobald sie das Gerät verlassen. VDI ist eine weitere Lösung, mit der Daten geschützt werden. Sie unterstützt jedoch die Echtzeit-Verwendungsfälle nicht, auf die insbesondere mobile Mitarbeiter stoßen, die außerhalb unterwegs sind und häufig auch mit Flugzeugen reisen. Zudem können damit keine Geschäftsprozesse fortgesetzt werden, da VDI wahrscheinlich nicht auf Kundengeräten bereitgestellt wird. Um diese Probleme zu vermeiden, sollten Kunden idealerweise eine datenorientierte Sicherheitslösung implementieren, mit der Informationen während ihrer Lebensdauer geschützt werden. Und oft werden sie nach einer selektiven Umsetzung streben. Mit einer Kombination aus Klassifizierung und Verschlüsselung könnten Organisationen diese Anforderung erfüllen. Wie in der folgenden Abbildung veranschaulicht, ist eine Kombination aus Leistungsmerkmalen, die sich rechts oben in der Matrix befinden, ein guter Hinweis für die Auswahl der Lösung. Abbildung B. Übersichtsmatrix der Mobilitätslösungen. Die Einführung von Unternehmensnetzwerken und der einfache Zugriff auf Unternehmensinformationen jederzeit, überall und mit einem beliebigen Gerät sorgt für neuen Druck bei den Sicherheitsteams zur Verschlüsselung von Daten. Mobile Geräte können leicht verloren gehen oder gestohlen werden. Die Verschlüsselung auf Unternehmensebene ist die größte Hoffnung für die Sicherheit von Daten auf diesen Geräten. Quelle: Killing Data, John Kindervag, Forrester Research, Inc., 30.Januar

12 Abschnitt 3: Nutzen Vorteile von einheitlichen Lösungen für Anwendungssicherheit und datenorientierte Sicherheit Durch die Vorteile der Auswahl einer einheitlichen Lösung, die Ihre Anwendungs- und Datenanforderungen erfüllt, können Sie die Chancen des mobilen Markts ausschöpfen, das Risiko von Datenschutzverletzungen und einer Nichteinhaltung von Vorschriften mindern und die Gesamtbetriebskosten senken. Umsatz steigern Dank der Vorteile einer Mobilitätslösung, mit der mobile Benutzer und Mitarbeiter über neue Browser und Technologien für rich mobile applications für mobile Geräte besser auf Produkte, Services und Unternehmensressourcen zugreifen können, sind Unternehmen in der Lage, die Chancen der neuen mobilen Märkte besser auszuschöpfen. Ob neue mobile Märkte über neue Entwicklernetzwerke erreicht werden, Vertriebsteams Unternehmensanwendungen nutzen können, servicebasierte Programme für Jahresabonnements verbessert oder die Innovationen bei Business Services optimiert werden: Organisationen können durch Mobilität ihren Umsatz steigern. Risiko von Datenschutzverletzungen auf mobilen Geräten reduzieren Die Fragmentierung von Geräten, Betriebssystemen und Anwendungen, Benutzer mit mehreren Geräten und BYOD haben Einfluss auf die Fähigkeit einer Organisation, Daten wie bisher, also im Container, zu kontrollieren. Durch das Fehlen einer Gerätekontrolle und die Erwartungen der Benutzer an Datenschutz und Benutzerfreundlichkeit müssen Unternehmen Datenschutzlösungen bereitstellen, mit denen die Daten selbst geschützt werden. Mit datenorientierten Lösungen kann jedoch mehr als nur der mobile Kanal kontrolliert werden. Durch die Fähigkeit, Informationen komplett zu kontrollieren, ergibt sich eine ganzheitliche Lösung, mit der das Risiko von Datenschutzverletzungen während der Lebensdauer der Daten reduziert wird, während gleichzeitig die mit der geräteorientierten Sicherheit verbundenen Probleme im Hinblick auf Geräte, Benutzerfreundlichkeit und Datenschutz vermieden werden. Gesamtbetriebskosten senken Durch den mobilen Kanal sind in Unternehmen beträchtliche Anwendungs- und Datenprobleme entstanden. Die Kombination von browserbasierten und Client/Server-Zugriffsmodellen für mobile Geräte hat ein Maß an Fragmentierung erzeugt, das nur mit Mühe bewältigt werden kann. Mit einheitlichen Sicherheitslösungen kann das Security Management zentralisiert und die Benutzerfreundlichkeit auf das mobile Gerät erweitert werden und das mit geringeren Kosten für Administration und Verwaltung. Das Gleiche gilt für den Datenschutz. Durch die Zunahme von Geräten und die Nutzung privater Geräte wurden Organisationen gezwungen, nicht länger zu versuchen, eine große Bandbreite von Geräten zu kontrollieren. Stattdessen konnte durch die Kontrolle von Daten, statt des kompletten Geräts, nicht nur das Risiko von Datenschutzverletzungen reduziert werden, sondern durch zentrale und skalierbare Infrastrukturen wurden auch die Kosten für Administration und Verwaltung gesenkt. 12

13 Abschnitt 4: Schlussbemerkungen Chancen auf dem mobilen Markt sind vorhanden, Sie müssen nur die Hemmnisse überwinden, damit Sie mit hoher Wahrscheinlichkeit Erfolge verbuchen können. Neue Bereitstellungsmodelle für mobile Anwendungen und das Fehlen einer Gerätekontrolle haben die Richtung beeinflusst, die Unternehmen zur Erreichung ihrer Ziele gehen. Es gibt viele Lösungsoptionen, aus denen Unternehmen wählen können, um ihre Ziele zu erreichen. Und viele Faktoren spielen bei der Entscheidungsfindung eine Rolle. Es liegt im besten Interesse des Unternehmens, eine einheitliche Lösung auszuwählen, die Kundenengagement ermöglicht, und gleichzeitig einen datenorientierten Ansatz für den Datenschutz aufzugreifen. CA Technologies bietet zwei Achsen, um bei der Auswahl der Mobilitätslösung zu helfen, die das Unternehmen voranbringt: Kundenengagement und datenorientierte Sicherheit. Anhand unterschiedlicher Mobilitätsziele, Verwendungsmodelle und Unternehmensprofile wird letztlich die Lösung der Wahl bestimmt. CA Technologies empfiehlt jedoch bestimmte Leistungsmerkmale, damit Organisationen mit größerer Wahrscheinlichkeit von den Chancen des neuen mobilen Markts schnell profitieren können und gleichzeitig das Risiko von Datenschutzverletzungen zu geringeren Gesamtbetriebskosten reduzieren. Abschnitt 5: Informationen über den Autor Tyson Whitten ist ein CISSP mit mehr als zehn Jahren Erfahrung im Bereich Informationssicherheit bei der Verwaltung von Anwendungen, Netzwerken und risikobasierten Produkten und Services. In seiner derzeitigen Funktion ist er in der CA Technologies Security Customer Solutions Unit für Mobilitätsund Datenschutzlösungen zuständig. Vor CA Technologies war Tyson Whitten bei Genuity, Guardent, VeriSign und SecureWorks tätig. Er hat einen BS in Informationssystemen und einen MBA in Produktmanagement und BWL vom Boston College. CA Technologies ist ein Anbieter für IT-Management-Software und -Lösungen mit Erfahrung in allen IT-Umgebungen, von Mainframes und verteilten Systemen bis hin zu virtuellen Systemen und Cloud Computing. CA Technologies verwaltet und schützt IT-Umgebungen und ermöglicht Kunden die Bereitstellung flexiblerer IT-Services. Die innovativen Produkte und Services von CA Technologies bieten den Überblick und die Kontrolle, die IT-Organisationen zur Unterstützung geschäftlicher Flexibilität benötigen. Die meisten Fortune Global 500-Unternehmen nutzen Lösungen von CA Technologies für ihre wachsenden IT-Ökosysteme. Weitere Informationen finden Sie auf der Website von CA Technologies unter ca.com/de, ca.com/at und ca.com/ch/de. Copyright 2012 CA. Alle Rechte vorbehalten. Alle Markenzeichen, Markennamen, Dienstleistungsmarken und Logos, auf die hier verwiesen wird, sind Eigentum der jeweiligen Unternehmen. Dieses Dokument dient ausschließlich zu Informationszwecken. CA übernimmt für die Genauigkeit oder Vollständigkeit der Informationen keine Haftung. Soweit nach anwendbarem Recht erlaubt, stellt CA dieses Dokument im vorliegenden Zustand ohne jegliche Gewährleistung zur Verfügung; dazu gehören insbesondere stillschweigende Gewährleistungen der Markttauglichkeit, der Eignung für einen bestimmten Zweck und der Nichtverletzung von Rechten Dritter. In keinem Fall haftet CA für Verluste oder unmittelbare oder mittelbare Schäden, die aus der Verwendung dieses Dokumentes entstehen; dazu gehören insbesondere entgangene Gewinne, Betriebsunterbrechung, Verlust von Goodwill oder Datenverlust, selbst wenn CA über die Möglichkeit solcher Schäden informiert wurde. CS2558_0712