Security-as-a-Service für den Mittelstand
IT-Sicherheit: Auslagern oder inhouse organisieren?
Security-as-a-Service ist vor allem für kleine und mittelständische Unternehmen mit bis zu 150 Clients eine attraktive Möglichkeit, die Verwaltung der Sicherheit - und damit auch ein wenig Verantwortung - in dritte, kompetente Hände zu geben. Wer keine eigene IT-Abteilung hat oder keinen externen Systemadministratoren einstellen will und kann, ist damit gut bedient. Zudem müssen Unternehmen ihre Sicherheitskompetenzen auch bei Diensten nicht aus der Hand geben. Ein Kunde kann sich immer noch einen Zugriff auf sein System vorbehalten oder Leserechte erhalten.
Die Erfahrung zeigt aber, dass viele Kunden gerade die vollständige Auslagerung suchen. Doch nicht nur Service Provider oder Distributoren können Sicherheit für Kunden verwalten: Auch Unternehmensadministratoren können die Lösung mit einem eigenen Profil verwenden und Filialen ihres Unternehmens zentral remote schützen.
- Mythos 6
Die IT sollte die Anwender dazu ermutigen, zufällig generierte Passwörter zu benutzen und diese alle 30 Tage zu ändern. - Mythos 12
Mit einer Firewall ist ein Netzwerk geschützt. - Mythos 11
Endpoint-Security-Software ist Commodity geworden. - Mythos 10
Der Transfer von sensiblen Daten via SSL ist sicher. - Mythos 9
Neue Software ist nicht sicherer als alte. - Mythos 8
Wir sind kein Angriffsziel. - Mythos 7
Jeder Computervirus macht sich für den Anwender irgendwie bemerkbar. - Mythos 5
Client-seitige Virtualisierung kann die Sicherheitsprobleme der IT-Consumerization lösen. - Mythos 4
Auf die Intelligenz der Masse ist Verlass. - Mythos 3
Der Passwort-Ablaufzyklus (typischerweise 90 Tage) schützt die IT-Systeme. - Mythos 2
Das DDoS-Problem ist mit Bandbreite zu lösen. - Mythos 1
Mehr Sicherheit ist immer besser.
Kunden eines SaaS-Anbieters profitieren von einer Lösung, die unabhängig von Zeit und Ort mit hinreichender Sicherheit den Abwehrstatus des Unternehmens effektiv verwalten und Gefahren abwehren kann. Eine Browser-unabhängige, Cloud-basierte Lösung ermöglicht es, alle Funktionen von einem Smartphone und einem Tablet aus zu bedienen. Im Online-Management-Portal sieht der Administrator auf einen Blick die komplette Gerätelandschaft mit dem Sicherheitsstatus des Systems und der Virendefinitionen.
Ein SaaS-Dienst weist Geräten einzelne Sicherheitsprofile zu. Vordefinierte Profile können auch individuell editiert werden. Die Profile bieten hinreichenden Schutz für verschiedene Nutzungssituationen und sehen verschieden strikte Sicherheitsregeln vor. Ein Laptop im Außeneinsatz, der eine Verbindung mit Netzwerken außerhalb der Büroräumlichkeiten aufnehmen muss, verbietet zum Beispiel dem Anwender in jedem Fall, die Sicherheitseinstellungen zu ändern. Für erfahrene User oder falls dies aus bestimmten Gründen notwendig ist, lässt sich ein anderes Profil wählen, das solche Änderungen erlaubt.
Auch mobile Geräte können verwaltet werden. Schon eine Diebstahlsicherung gibt durch Sperren als gestohlen gemeldeter Geräte einen wichtigen Schutz. Eine Überwachung der mobilen Geräte ist zwar technisch sicher möglich, aber gute Lösungen unterlassen eine solche datenschutzrechtlich nicht erlaubte Vorgehensweise.
Darüber hinaus bietet eine Software-as-a-Service-Lösung einen Überblick über die Konfigurationen eines einzelnen Systems. Zugehörigkeiten zu Gruppen, IP-Adressen oder auch WINS-Name und DNS-Name lassen sich einfach abfragen. Ein Lizenzmanagement erleichtert ebenfalls die einfache Verwaltung dieser sicherheitsrelevanten Geräteeigenschaft, denn nicht mehr lizenzierte Lösungen werden auch nicht mehr upgedatet und so zur Sicherheitslücke.
- Bitkom, Branchenverband der ITK-Branche
Cloud-Security-Aktivitäten: Cloud-Computing-Leitfaden; IT-Sicherheit und Datenschutz / Relevanz: 3 von 5 Punkten - BSI
Cloud-Security-Aktivitäten: BSI-ESCC (Eckpunktepapier Sicherheitsempfehlungen für Cloud-Computing-Anbieter); IT-Grundschutz-Katalog / Relevanz: 4 von 5 Punkten - CSA, Organisation für Sicherheit im Cloud Computing
Cloud-Security-Aktivitäten: Katalog zu den Sicherheitsbedrohungen im Cloud Computing; Sicherheitsleitfaden für kritische Handlungsfelder in der Cloud; CTP (Cloud Trust Protocol); CSA Security, Trust & Assurance Registry (STAR); Certificate of Cloud Security Knowledge (CCSK); Cloud Trust Protocol (CTP) / Relevanz: 5 von 5 Punkten - ENISA (Europäische Agentur für Netz- und Informationssicherheit)
Cloud-Security-Aktivitäten: Leitfaden zur Informationssicherheit im Cloud Computing; Sicherheit und Zuverlässigkeit in öffentlichen Clouds / Relevanz: 4 von 5 Punkten - EuroCloud Deutschland_eco, europäisches Cloud-Computing- Business-Netzwerk
Cloud-Security-Aktivitäten: Leitfaden Recht, Datenschutz und Compliance; EuroCloud-SA (EuroCloud Star Audit): Zertifikat für Anbieter von Cloud-Diensten / Relevanz: 4 von 5 Punkten - Fraunhofer SIT (Fraunhofer-Institut für Sichere Informationstechnologie)
Cloud-Security-Aktivitäten: Studie zur Cloud-Computing-Sicherheit / Relevanz: 4 von 5 Punkten - NIST (National Institute of Standards and Technology), US-Behörde
Cloud-Security-Aktivitäten: NIST-UC (Cloud Computing Use Cases); SCAP (Security Content Automation Protocol) / Relevanz: 2 von 5 Punkten - Cloud Software Program, Initiative des finnischen Strategie-Centers für Wissenschaft, Technologie und Innovation (20 Unternehmen und acht Forschungsinstitute)
Cloud-Security-Aktivitäten: Schutzmaßnahmen und Sicherheitskonzepte für die finnische Softwareindustrie; Best Practices im Cloud Computing / Relevanz: 3 von 5 Punkten - Secure by Design, Initiative der IBM
Cloud-Security-Aktivitäten: Secure Engineering Framework, eine Anleitung und Checklisten für Softwareentwickler, das Management und die Sicherheitsverantwortlichen / Relevanz: 2 von 5 Punkten - Security Working Group (USA), Federal Cloud Computing Initiative (FCCI)
Cloud-Security-Aktivitäten: Prozesse und Handlungsempfehlungen für den öffentlichen Sektor / Relevanz: 2 von 5 Punkten - ISACA, Berufsverband mit mehr als 95.000 praxisorientierten Information-Systems-(IS-)Fachleuten aus mehr als 160 Ländern
Cloud-Security-Aktivitäten: Praxis-Leitfaden zur Informationssicherheit; Vorträge zu Cloud-Sicherheit / Relevanz: 4 von 5 Punkten - AICPA (American Institute of Certified Public Accountants) mit über 350.000 Mitgliedern in 128 Ländern
Cloud-Security-Aktivitäten: SSAE 16 (Statement on Standards for Attes-tation Engagements No. 16): Zertifikat für Anbieter von Cloud-Diensten / Relevanz: 4 von 5 Punkten - NIFIS (Nationale Initiative für Informations- und Internet-Sicherheit e.V.)
Cloud-Security-Aktivitäten: Konzepte für den Schutz vor Angriffen aus dem Datennetz / Relevanz: 3 von 5 Punkten - Trusted Cloud, Initiative des Bundesministeriums für Wirtschaft und Technologie (BMWi)
Cloud-Security-Aktivitäten: Cloud-Sicherheit und Interoperabilität; Förderprojekte / Relevanz: 5 von 5 Punkten
Nach einer einmaligen Einrichtung des Dienstes ist die Verwaltung mit diesen Mitteln denkbar einfach und kostet wenig Zeit. Durch die verschiedenen Ansichten lässt sich schnell erkennen, wo Handlungsbedarf etwa in Sachen Virusdefinition besteht. Die Performance des Netzes wird durch die kleinen Eingriffe im Alltag kaum geschmälert. Sogenannte Neighbourcast-Technologien erlauben die Verteilung eines Updates durch einen Client auf benachbarte Clients und sparen weiter Bandbreite. Verschlüsselte Kommunikation zwischen geschützten Geräten, Servern und dem Portal sorgen für Sicherheit.