Die Welt steht still, doch der Schein trügt. Wie für so viele IT-Themen gehören auch Managed Security Services (MSS) zu den derzeit verstärkt angefragten Dienstleistungen. Der schnelle Umstieg auf Home Office und Teleworking hinterlässt seine Spuren. Nicht zuletzt durch die vielen, vielen Cyber-Angriffe, die parallel zur Verbreitung des Virus stattfinden.
Gatsbeitrag von Dr. Matthias Rosche, Geschäftsführer bei Orange Cyberdefense GmbH:
Für uns selbst als Consulting und Professional Services Haus ist die Herausforderung gering, weil wir grundsätzlich ein Remote Access Set Up haben. Bis auf das Services Team in unserem Cyber Defense Center in Augsburg war das sowie schon vor der Krise so und auch für das Team in Augsburg gab es einen Notfallplan, der dann umgesetzt worden ist.
Die reine Erbringung der Managed Security Services für die bisherigen als auch für die zukünftigen Kunden stellt daher gar kein Problem dar. Was allerdings durchaus eingeschränkt ist, ist das Thema Weiterbildung, sowie der Austausch unter den Kollegen zur Entwicklung von neuen Services und Innovationen.
MSS löst Fachkräftemangel
Bei unseren Kunden sehen wir, dass die alten Zöpfe abgeschnitten wurden. Sie digitalisieren sich nun in Rekordzeit, eben weil eine große Anzahl der Mitarbeiter nun aus der Ferne über die Cloud auf Anwendungen und Daten zugreift. Beim Thema MSS fragen sich viele Unternehmen, warum sie das nicht schon früher gemacht haben.
Trotz Fachkräftemangel in der Branche hatten viele versucht eigene Ressourcen aufzubauen, was den Konzernen teilweise, dem gehobenen Mittelstand mehr schlecht als recht gelungen ist.Mittlerweile reift bei vielen die Erkenntnis, dass die Entscheidung für eigene Security Service Center nicht sinnvoll war und mehr und mehr Firmen lagern ihre Security an Dienstleister aus.
Ich gehe deshalb davon aus, dass es eine Entspannung beim Fachkräftemangel im Bereich IT-Security nach der Krise geben wird. IT-Sicherheitsspezialisten brauchen den Austausch über Unternehmensgrenzen hinaus. Es kommt darauf an von den Erfahrungen bei anderen Kunden zu lernen und Skalierbarkeit ist bei einem exklusiven Service für ein Unternehmen allein auch kaum möglich.
Cloud Security auf dem Sprung
Große Konzerne überdenken jetzt ihre Cloud- und damit vor allem ihre Cloud Security-Strategie. Es wird immer mehr Cloud- und immer weniger On-Premise-Lösungen geben. Technologien wie SD-WAN und Konzepte wie Zero Trust erzielen in den Diskussionen jetzt den Durchbruch und werden spätestens nach der Krise umgesetzt werden.
Container in der Cloud, Docker und Kubernetes werden auf einmal zu wichtigen Themen. Es wird weniger klassische Gateways geben und dafür mehr Sicherheit aus den Anwendungen heraus. Die Herausforderung für viele Unternehmen besteht darin, dass sie Cloud-Konzepte verstehen müssen, denn das klassische Set-Up funktioniert nicht mehr.
Diese Entwicklungen werden nun massiv beschleunigt und das ist durchaus auch gefährlich, weil natürlich zunächst Security-Konzepte über Bord geworfen werden, die aber durchaus ihre Berechtigung hatten und noch immer haben. Letztlich wird COVID-19 den endgültigen Durchbruch für die Digitalisierung bringen.
Gefahren aus dem Home Office kommen erst noch
Wie eingangs erwähnt werden Mitarbeiter und Firmen derzeit sehr stark angegriffen, die Weltwirtschaft wird gerade heruntergefahren, die Cyberkriminellen aber verstärken eher ihre Aktivitäten. Eine Infizierung im Home Office ist wahrscheinlicher als im Firmennetzwerk.
Der Firmenrechner wird trotz anders lautender Policies gern auch privat eingesetzt und die Anbindung meist über WLAN und unsichere Netze bietet weitere Angriffsflächen.Fatal wird es, wenn solche infizierten Rechner dann im direkten Firmennetzwerk betrieben werden und ein Virus sich dort lateral ausbreitet. Deshalb erwarten wir die Infektionswellen von Computerviren verstärkt, wenn die Leute wieder ins Büro zurückkehren.
Die Herausforderung im Home Office Betrieb in Richtung Datenschutz besteht darin, dass vertrauliche Informationen vertraulich bleiben müssen. Ein Beispiel dafür ist der private Drucker. Sinnvoll ist, dass Mitarbeiter ihren Firmendrucker mitnehmen und lokal verbinden, insbesondere dann, wenn eine Treiberinstallation für private Drucker nicht möglich ist. Ein Datentransfer über USB auf private Rechner, um ein Drucken zu ermöglichen ist zu vermeiden.
Der Umgang mit sensiblen ausgedruckten Daten sollte ebenfalls geregelt sein. Firmengeräte wie Smartphones und Laptops sollten wirklich nur für Arbeitszwecke genutzt werden. Jeder Arbeitgeber sollte seine Mitarbeiter zunächst danach befragen, wie weit das bisherige Arbeiten zu Hause möglich ist, sowohl technisch als auch organisatorisch.
Einschränkungen in der Arbeitsfähigkeit müssen von Arbeitnehmern kommuniziert und von Arbeitgebern behoben werden und dies natürlich auch DSGVO-konform. Krücken, die eventuell entstehen, müssen gelöst werden. Ein Beispiel dafür sind nicht autorisierte Cloud Services oder File Sharing-Dienste, die dann in Eigenregie verwendet werden und damit die Vertraulichkeit der Daten gefährden.
Security Awareness ist hier das A und O. Der Arbeitgeber muss klar kommunizieren und der Arbeitnehmer dazu verpflichtet werden, dass er zum Surfen oder Spielen nur private Geräte nutzt. Letztlich müssen auch diese Geräte abgesichert werden, um eine Infektion von Gerät zu Gerät zu verhindern, auch hier ist der Arbeitgeber aufgefordert einen Weg zu finden, die Daten ausreichend zu schützen, ohne, dass jeder Mitarbeiter eines Unternehmens sein Heimnetzwerk segmentieren muss.
Fazit
Schlussendlich muss klar sein, dass alle Unternehmen branchenübergreifend mehr und stärker denn je Investitionen in die IT und damit in die IT-Sicherheit vornehmen müssen, um nicht den Anschluss zu verlieren. Letztlich ist gerade jetzt die beste Zeit dafür die Digitalisierung voranzutreiben, neue Geschäftsmodell zu testen und zu implementieren.
Oftmals sind es die Mitarbeiter, die diese Entwicklungen vorantreiben und flexibel genug sind, um die sich bietenden Chancen auch zu nutzen. Dabei sollte Security eine große Rolle spielen, vor allem, wenn sie wie so oft nicht von Anfang an geplant, sondern im Nachhinein nachgerüstet werden muss. Hier empfiehlt es sich das Rad nicht neu zu erfinden, sondern auf bestehende Konzepte zu setzen, die von erfahrenen Dienstleistern umgesetzt werden.