silicon.de HP IT-Symposium 2006 Zwischen Cybercrime, Software-Bugs und schlechtem Management 1 Seit November 2000 in Deutschland

Transkript

1 silicon.de Studie IT-Sicherheit 2006 Zwischen Cybercrime, Software-Bugs und schlechtem Management Jannis Moutafis Chefredakteur silicon.de Seit November 2000 in Deutschland registrierte Nutzer Täglicher kostenloser Newsletter in einer Auflage von Andere Newsletter zu Veranstaltungen IT-Services Technik 1

2 Die HP User Society bei silicon.de silicon.de ist offizieller Medienpartner der HP User Society DECUS München e.v. DECUS-Mitglieder erhalten 10% Rabatt auf Dienstleistungen von silicon.de Online-Marketing Events Marktforschung Die HP User Society bei silicon.de Regelmäßiger DECUS Infoletter Kostenlos zu beziehen über 2

3 Über die Umfrage Dieses Jahr zum 5. Mal 915 Teilnehmer Online-Fragebogen Teilnehmer: IT-Profis und IT-affine Business-Entscheider Unternehmen aller Größen Unternehmen aller Branchen Über die Umfrage In welcher Art Position sind Sie tätig? Betriebswirtschaftliche Funktion 4% Andere 8% Geschäftsleitung 17% Abteilungsleitung (Nicht-IT) 5% IT-Personal 24% IT-Management 4 3

4 Über die Umfrage Wie viele Mitarbeiter beschäftigt Ihr Unternehmen? Mehr als % % % % % Über die Umfrage In welcher Branche ist Ihr Unternehmen tätig? IT/TK-Industrie 17% Bank/Versicherung 6% Gesundheitswesen Verarbeitende / Produzierende Industrie 2 Öffentlicher Sektor 10% Handel 10% Dienstleistung 33% 4

5 Die Gefahren Das Gefahrenpotenzial hat sich auf einem sehr hohen Niveau stabilisiert Aber: Die Gefahren werden vielfältiger und ausgeklügelter Und: Sie bekommen immer stärker einen kriminellen Charakter Die Gefahren 5

6 Mit welchen Sicherheitsproblemen wurden Sie / Ihr Unternehmen in den letzten 12 Monaten konfrontiert? (Mehrfachnennungen möglich) Spam 89% Computer-Viren 78% Phishing-Attacken Trojanische Pferde 46% 45% Datenverlust / Datenkorruption Denial of Service Attacken Verbreitung illegaler Inhalte 11% 13% 16% Unberechtigter Zugang ins Firmennetz 8% Datendiebstahl Verlust der Systemintegrität Identitäts-Diebstahl Manipulation von Anwendungen Manipulation von Systemprogrammen Externer Missbrauch der TK-Anlage Andere Keine 4% 3% 5% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Mit welchen Sicherheitsproblemen wurden Sie / Ihr Unternehmen in den letzen 12 Monaten konfrontiert? (Mehrfachnennungen möglich) 100% 90% 80% 70% 60% 50% 40% 30% 20% Spam Computer-Viren Trojanische Pferde Phishing-Attacken Datenverlust / Datenkorruption Denial of Service Attacken Verbreitung illegaler Inhalte Andere 10% 0%

7 Mit welchen Sicherheitsproblemen wurden Sie / Ihr Unternehmen in den letzen 12 Monaten konfrontiert? (Mehrfachnennungen möglich) 1 10% Verlust der Systemintegrität Datendiebstahl 8% Identitäts-Diebstahl 6% 4% Manipulation von Anwendungen Manipulation von Systemprogrammen Externer Missbrauch der TK-Anlage Keine Andere 0% Welche neuen Gefahren, glauben Sie, werden Sie in der nächsten Zeit am meisten beschäftigen? (Mehrfachnennungen möglich) Spam 68% Memory-Sticks, MP3-Player und andere USB-basierte Komponenten 53% Phishing-Attacken 48% WLAN-Zugänge 43% PDAs, Smartphones URL-Fälschung Gefahren durch Internet-Telefonie (Voice over IP) 30% 34% 38% Bluetooth Datendiebstahl 23% 21% Identitäts-Diebstahl Verbreitung illegaler Inhalte 15% 13% Andere Nichts davon 0% 10% 20% 30% 40% 50% 60% 70% 80% 7

8 Welche neuen Gefahren, glauben Sie, werden Sie in der nächsten Zeit am meisten beschäftigen? (Mehrfachnennungen möglich) Spam Memory-Sticks, MP3-Player und andere USB-basierte Komponenten Phishing-Attacken 43% 48% 53% 55% 68% 69% WLAN-Zugänge PDAs, Smartphones 43% 38% 41% 51% URL-Fälschung Gefahren durch Internet-Telefonie (Voice over IP) Bluetooth 25% 23% 26% 30% 34% 40% Datendiebstahl Identitäts-Diebstahl Verbreitung illegaler Inhalte 21% 2 15% 17% 13% 14% % 10% 20% 30% 40% 50% 60% 70% 80% Andere: Dezentrale/virtuelle Netzwerke, DNS-Attacken, Spionage, ignorante Anwender Welche neuen Gefahren, glauben Sie, werden Sie in der nächsten Zeit am meisten beschäftigen? (Mehrfachnennungen möglich) Spam Memory-Sticks, MP3-Player und andere USB-basierte Komponenten Phishing-Attacken WLAN-Zugänge PDAs, Smartphones URL-Fälschung Gefahren durch Internet-Telefonie (Voice over IP) Bluetooth 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 8

9 Mit welchen Sicherheitsproblemen wurden Sie / Ihr Unternehmen in den letzen 12 Monaten konfrontiert? (Mehrfachnennungen möglich) Spam Computer-Viren Phishing-Attacken Trojanische Pferde Denial of Service Attacken Verbreitung illegaler Inhalte Unberechtigter Zugang ins Firmennetz Andere 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Mit welchen Sicherheitsproblemen wurden Sie / Ihr Unternehmen in den letzen 12 Monaten konfrontiert? (Mehrfachnennungen möglich) Datenverlust / Datenkorruption Datendiebstahl Verlust der Systemintegrität Identitäts-Diebstahl Manipulation von Anwendungen Manipulation von Systemprogrammen Externer Missbrauch der TK-Anlage Keine 0% 4% 6% 8% 10% 1 14% 16% 18% 20% 9

10 Die Tools Ausstattungsgrad steigt stetig und schnell Durchdringung auch im Mittelstand und bei Kleinunternehmen zunehmend besser Security-Budgets immer noch sehr hoch... aber weniger Panik bei den Anschaffungen Welche sicherheitsrelevanten Tools sind bei Ihrem Unternehmen im Einsatz? (Mehrfachnennungen möglich) Antivirus-Software Firewalls Datensicherung und Wiederherstellung Benutzer-Authentifizierung Spam-Filter VPN (Virtual Private Networks) Anti-Spyware Verschlüsselungs-Software Intrusion-Detection-Systeme Content-Filterung Digitale Zertifikate (PKI) Secure-ID / Token-Card Intrusion-Prevention-Systeme Auditing-Systeme Externe Zertifizierung, Trust-Center Biometrische Authentifizierung User Provisioning Nichts davon 3% 3% 1% 24% 23% 17% 13% 11% 34% 34% 47% 6 70% 8 80% 93% 98% 98% 0% 20% 40% 60% 80% 100% 120% 10

11 Welche sicherheitsrelevanten Tools sind bei Ihrem Unternehmen im Einsatz? (Mehrfachnennungen möglich) 40% 35% Content-Filterung 30% 25% 20% 15% Intrusion-Detection- Systeme Digitale Zertifikate (PKI) Secure-ID / Token-Card Intrusion-Prevention- Systeme Auditing-Systeme 10% 5% Externe Zertifizierung, Trust-Center Biometrische Authentifizierung 0% Wie hat sich im letzten Jahr Ihr Security-Budget verändert? Weiß nicht 20% Es wurde erhöht 35% Es ist gleich geblieben 4 Es wurde verringert 3% 11

12 Wie hat sich im letzten Jahr Ihr Security-Budget verändert? Weiß nicht 13% 17% 31% Es ist gleich geblieben 28% 47% 48% Es wurde verringert 3% 4% Es wurde erhöht 33% 37% 36% 0% 10% 20% 30% 40% 50% 60% Welcher Anteil Ihres IT-Budgets wird für Sicherheit ausgegeben? (Produkte, Dienstleistungen, Beratung, etc.) Weiß nicht 21% Weniger als 5% 20% Mehr als 20% 3% 15% bis 20% 7% 10% bis 15% 17% 5% bis 10%

13 Welcher Anteil Ihres IT-Budgets wird für Sicherheit ausgegeben? (Produkte, Dienstleistungen, Beratung, etc.) 45% 40% 35% 5% bis 10% 30% Weniger als 5% 25% 20% 10% bis 15% 15% 15% bis 20% 10% 5% Mehr als 20% 0% Wie wird Ihre Sicherheitsstrategie in Zukunft aussehen? Steht noch nicht fest 35% Einsatz von dedizierten Einzellösungen - Best of Breed 20% Verstärkter Einsatz von vollständig integrierten Lösungen, um Schlüsselbereiche abzusichern - Suitenkonzept (z.b. Antivirus/Anti- Spyware/Backup) 26% Fokus auf Einzellösungen weniger Hersteller - Mehr Lösungen aus einer Hand 19% 13

14 Wie wird Ihre Sicherheitsstrategie in Zukunft aussehen? Steht noch nicht fest Verstärkter Einsatz von vollständig integrierten Lösungen, um Schlüsselbereiche abzusichern - Suitenkonzept ( z.b. Antivirus/Anti- Spyware/Backup) Fokus auf Einzellösungen weniger Hersteller - Mehr Lösungen aus einer Hand Einsatz von dedizierten Einzellösungen - Best of Breed 0% 5% 10% 15% 20% 25% 30% 35% 40% Konzepte, Ansätze & Strategien IT-Sicherheit ist: Eine technische Disziplin mit einer ausgeprägten Management-Komponente? Eine Management-Disziplin, die über die Technik implementiert wird? Eine interdisziplinäre Aufgabe, die von allen Abteilungen eines Unternehmens wahrgenommen werden muss? 14

15 Welche Komponenten der IT-Sicherheit sind in Ihrem Unternehmen implementiert? (Mehrfachnennungen möglich) Zugangs-/Zugriffsüberwachung 77% Datenschutzbeauftragter 66% Browser-Konfigurierung 59% Sicherheitsbeauftragter Umfassendes Security-Konzept 51% 50% Richtlinien fürs Client Management Überwachung der Einhaltung der Richtlinien 44% 43% Verschlüsselungsstrategie Security Audits in regelmäßigen Abständen Sanktionen bei Nichteinhaltung 34% 33% 3 Richtlinien für Geschäftspartner und Zulieferer 27% Zuordnung von Sicherheitsstufen bei Dokumenten 19% Nichts davon 6% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% Welche Komponenten der IT-Sicherheit sind in Ihrem Unternehmen implementiert? (Mehrfachnennungen möglich) Datenschutzbeauftragter 56% 66% Sicherheitsbeauftragter 51% 48% Richtlinien fürs Client Management 44% 4 Überwachung der Einhaltung der Richtlinien 43% 43% Security Audits in regelmäßigen Abständen 33% 31% Sanktionen bei Nichteinhaltung 28% 3 Richtlinien für Geschäftspartner und Zulieferer 23% 27% % 10% 20% 30% 40% 50% 60% 70% 15

16 Welche Komponenten der IT-Sicherheit sind in Ihrem Unternehmen implementiert? (Mehrfachnennungen möglich) Datenschutzbeauftragter Sicherheitsbeauftragter Umfassendes Security-Konzept Richtlinien fürs Client Management Überwachung der Einhaltung der Richtlinien Verschlüsselungsstrategie Security Audits in regelmäßigen Abständen Richtlinien für Geschäftspartner und Zulieferer Zuordnung von Sicherheitsstufen bei Dokumenten 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Security Management & Kommunikation 16

17 Wie wird das Thema IT-Sicherheit in Ihrem Unternehmen kommuniziert? (Mehrfachnennungen möglich) Durch eine Reihe von schriftlich festgehaltenen Regeln / Verboten Durch mündlich kommunizierte Regeln Durch einen Sicherheitsbeauftragten Durch eine umfassende schriftlich festgehaltene Richtlinie / Strategie Es wurden keine Regeln kommuniziert 0% 10% 20% 30% 40% 50% 60% 70% 80% Welche Maßnahmen führen Sie durch, um die Mitarbeiter Ihres Unternehmens für das Thema IT-Sicherheit zu sensibilisieren bzw. trainieren? (Mehrfachnennungen möglich) Schriftliche Richtlinie, die einmalig verteilt wurde bzw. neuen Mitarbeitern ausgehändigt wird Informationsveranstaltungen und Trainings auf freiwilliger Basis Pflichtveranstaltungen (Information, Kommunikation, Training) Andere Nichts davon 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 17

18 Ist Ihre Unternehmensleitung in der Kommunikation mit den Mitarbeitern Ihres Unternehmens in Sachen IT-Sicherheit eingebunden? (allgemeine Informationen, Richtlinien, etc.) (Mehrfachnennungen möglich) Ja, in schriftlicher Form Nicht unmittelbar eingebunden, aber über die Bereichsleitung Ja, sie leitet bzw. nimmt an Veranstaltungen Teil Nein, sie ist nicht eingebunden Weiß nicht 0% 10% 20% 30% 40% 50% 60% Ihre persönliche Beschäftigung mit dem Thema IT-Sicherheit umfasst: (Mehrfachnennungen möglich) Kommunikation mit den Mitarbeitern Sicherheitsspezifische Hard- und Software (Firewalls, VPNs, Antivirus, etc.) Maßnahmen an den Clients (Patches, Einstellungen, etc.) Maßnahmen an den Servern (Updates, Patches, etc.) Datensicherung Überwachung des Netzwerks Modifikation / Anpassung der Strategie und Richtlinien 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 18

19 Ressourcen Die neue Rolle des Verantwortlichen für IT-Sicherheit: Abwehr-Chef Abwehr externer Böswilligkeit Abwehr interner Böswilligkeit Abwehr des Leichtsinns eigener Mitarbeiter Abwehr der Ignoranz der Unternehmensführung Abwehr von technischen Unzulänglichkeiten Abwehr fehlerhafter Software Danke für die Aufmerksamkeit! 19