Herausforderung für die IT-Sicherheit im 21. Jahrhundert. antispameurope Nur gute Nachrichten Oktober 14 Folie 1

Transkript

1 Herausforderung für die IT-Sicherheit im 21. Jahrhundert antispameurope Nur gute Nachrichten Oktober 14 Folie 1

2 Ziele von IT-Sicherheit Vertraulichkeit Transparenz Verfügbarkeit Integrität von IT-Systemen und darin gespeicherten Daten. antispameurope Nur gute Nachrichten Oktober 14 Folie 2

3 Klassische Bedrohungen Software-Fehler Hardware-Fehler Sicherheitslücken in der Software Sicherheitslücken beim Nutzer Malicious Insider Allgemeine Betriebsrisiken antispameurope Nur gute Nachrichten Oktober 14 Folie 3

4 Cloud Security (Un)Sicherheit in der Cloud? antispameurope Nur gute Nachrichten Oktober 14 Folie 4

5 Cloud-spezifische Herausforderungen Auflösung des Perimeter Tatsächlicher Ort der Daten nur schwer kontrollierbar Große Angriffsfläche Management Interfaces offen zum Internet Mehr-Mandanten-Systeme Datentrennung, Isolationsfehler Loss of Governance, Kontrollverlust Datenlöschung nur schwer kontrollierbar Nachvollziehbarkeit von Verarbeitungswegen Leistungsverweigerung des Anbieters Compliance-Risiken, Datenschutz Vendor Lock-In antispameurope Nur gute Nachrichten Oktober 14 Folie 5

6 Also wird IT durch Cloud Computing unsicherer? antispameurope Nur gute Nachrichten Oktober 14 Folie 6

7 Einzelaufgaben zur IT-Sicherheit Aufgaben Sicherheitskonzept, Notfallplanung Netzwerkmanagement, Firewalls Antivirus, Spamfilter, Webfilter Patch Management Monitoring Lastverteilung / Lastausgleich Benutzer-/Berechtigungsverwaltung Datensicherung, Archivierung Sichere Löschung Abwehr von Angriffen Logging / Reporting Systeme / Anwendungen ERP CRM Mailserver Fileserver Desktop Office Software antispameurope Nur gute Nachrichten Oktober 14 Folie 7

8 KMU und IT-Sicherheit Das IT-Sicherheitsniveau der KMU in Deutschland erscheint als weiterhin stark verbesserungsbedürftig. Hauptursachen für IT-Probleme und Schadensfälle: Ausfall der vorhandenen Technik (81 Prozent) Fehlverhalten der eigenen Mitarbeiter (64 Prozent) 35% der Unternehmen schätzen ihre IT-Sicherheit als verbesserungsbedürftig ein Quelle: BMWi-Studie IT-Sicherheitsniveau in KMU, Sep (Zitate verkürzt) konkrete Erfahrungen mit IT- Sicherheitsproblemen, häufigste Ursachen Gesamt Ausfall der IT-Systeme Probleme durch Virenangriffe Probleme durch Spam Unbeabsichtigte Veränderung bzw. 0% 20% 40% 60% 80% 100% 51% 47% 41% 79% 93% antispameurope Nur gute Nachrichten Oktober 14 Folie 8

9 Unternehmen und IT Sicherheit Hemmnisse bei der Verbesserung der IT-Sicherheit aus Sicht der KMU 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% Kosten- und Zeitaufwand fehlendes Personal fehlende Qualifikation der Mitarbeiter Unübersichtlichkeit der Angebote kein direkt erkennbarer Nutzen keine Notwendigkeit fehlende Akzeptanz bei Mitarbeitern keine geeigneten Lösungen verfügbar keine Angabe / weiß nicht 3% 17% 25% 28% 34% 52% 64% 63% 78% Quelle: BMWi-Studie IT-Sicherheitsniveau in KMU, Sep Cloud Computing adressiert wesentliche Hindernisse für IT-Sicherheit antispameurope Nur gute Nachrichten Oktober 14 Folie 9

10 Cloud Computing macht Sicherheit günstiger put simply, all kinds of security measures are cheaper when implemented on a larger scale. Therefore the same amount of investment in security buys better protection. Source: ENISA: Cloud Computing Security Risk Assessment; 2009 antispameurope Nur gute Nachrichten Oktober 14 Folie 10

11 Cloud Computing verbessert die Sicherheit Mehrere Rechenzentren Robuster RZ-Betrieb Redundante Stromversorgung, Notstrom (Diesel) Redundante Netzwerkanbindung und Auslegung der Netz-Infrastruktur Massiv redundante Systeme Erprobte fail-over Mechanismen Schutzmechanismen zur Erkennung von Fehlkonfigurationen, ggf. Rollback Kürzere Reaktionszeiten bei akuten Bedrohungen Physischer Zugangsschutz Wachschutz, Videoüberwachung, Ausweiskontrolle Effektives und effizientes Management von Updates und Einstellungen 24/7 Überwachung, ggf. Alarmierung, Eskalation antispameurope Nur gute Nachrichten Oktober 14 Folie 11

12 Cloud Computing verbessert Sicherheit the ability of the cloud provider to dynamically alocate resources for filtering, traffic shaping, authentication, encryption, etc, to defensive measures (e.g. against DDoS attacks) has obvious advantages for resilience. Quelle: enisa Cloud Computing Security Risk Assessment antispameurope Nur gute Nachrichten Oktober 14 Folie 12

13 Bedenken und Erfahrungen (1) Wahrnehmung in Unternehmen: Zuverlässigkeit von Public Cloud Computing Wahrnehmung in Unternehmen: Sicherheit von Public Cloud Computing Okt. 11 Dez. 11 Feb. 12 Apr. 12 Juni 12 Aug. 12 Okt. 12 Dez. 12 Feb. 13 Apr. 13 Juni 13 Aug. 13 Okt. 13 Okt. 11 Dez. 11 Feb. 12 Apr. 12 Juni 12 Aug. 12 Okt. 12 Dez. 12 Feb. 13 Apr. 13 Juni 13 Aug. 13 Okt. 13 Cloud-Nutzer Nichtnutzer Cloud-Nutzer Nichtnutzer Quelle: Change Wave Research, Oktober 2013 Konkrete Erfahrungen von Cloudnutzern widerlegen viele Bedenken antispameurope Nur gute Nachrichten Oktober 14 Folie 13

14 Bedenken und Erfahrungen (2) Bedenken von Nichtnutzern Bedenken hinsichtlich des Speicherortes Befürchtungen hinsichtlich Kontrolverlust Mangelnde Zuverlässigkeit Bedenken hinsichtlich der Datensicherheit 0% 20% 40% 60% 80% 100% 58% 57% 55% 55% Erfahrungen von Cloudnutzern mehr Sicherheit als mit zuvor genutzter On- Premise-Technologie mehr Geld und Zeit für wichtigen Unternehmensbereiche besser verfügbare Services neue Chancen im Sicherheitsmanagement durch Zeiteinsparungen 0% 20% 40% 60% 80% 100% 69% 84% 82% 96% Quelle: Microsoft - Small and midsize businesses cloud trust study: Germany study results, Juni 2013 Konkrete Erfahrungen von Cloudnutzern widerlegen viele Bedenken antispameurope Nur gute Nachrichten Oktober 14 Folie 14

15 Faktische Marktbedeutung Both governments and SMEs face the reality that many of their employees will be using cloud-based services whether or not this is part of their official policy. (Quelle: enisa: Cloud Computing - Benefits, risks and recommendations for information security; Nov. 2009) antispameurope Nur gute Nachrichten Oktober 14 Folie 15

16 Cloud Speicher in Unternehmen Faktische Marktbedeutung 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Dropbox Apple icloud Google Docs Google Drive Microsoft SkyDrive Nutzung mit Genehmigung der IT Nutzung ohne Genehmigung der IT Keine Nutzung antispameurope Nur gute Nachrichten Oktober 14 Folie 16

17 Schlussfolgerungen Die Cloud ist schon da Ein Konzept zum Umgang mit Cloud Computing ist dringend angeraten Cloud Computing birgt neue Risiken Eigene Kenntnisse erwerben und Erfahrungen sammeln Cloud Computing kann IT-Sicherheit verbessern Commodity Services in die Cloud auslagern um Kapazitäten freizumachen z.b. für umfassende Sicherheitskonzepte antispameurope Nur gute Nachrichten Oktober 14 Folie 17

18 Grundsätze bei der Einführung Daten nach Schutzbedarf klassifizieren: Marketingmaterialien haben einen anderen Schutzbedarf als etwa Konstruktionszeichnungen des neuesten Prototyps. Unterschiedliche Schutzbedarfe erfordern unterschiedliche Level von Datensicherheit. Anbieter sorgfältig auswählen: Sitz des Unternehmens, Zertifizierungen, Referenzen Beachtung der rechtlichen Anforderungen: Speicherung und Verarbeitung personenbezogener Daten außerhalb der EU oder des EWR ist häufig problematisch. Standard Vertragsbedingungen (AGB) sind im Cloud Computing normal sie sollten aber sorgfältig geprüft werden. Wesentliche Punkte: Festlegung von Service-Leveln, Haftungsklauseln, Mitwirkungspflichten und Rückbau. Schriftliche Vereinbarung über die Auftragsdatenverarbeitung ( 11 BDSG) schließen! Wo immer möglich Daten verschlüsselt in der Cloud ablegen so, dass auch der Anbieter keinen Zugriff auf die Daten hat. Verschlüsselte Daten sind bei richtiger Anwendung auch vor Geheimdiensten geschützt. antispameurope Nur gute Nachrichten Oktober 14 Folie 18

19 Kontakt Daniel Blank antispameurope GmbH Am Listholze Hannover Tel: blank@antispameurope.com antispameurope Nur gute Nachrichten Oktober 14 Folie 19