So kann die IT-Sicherheit von der Medizin lernen

Anbieter zum Thema

secunet Security Networks AG

Liferay GmbH

SysEleven GmbH

TÜV SÜD Sec-IT GmbH

Von der Gefahr trennen

Eine ebenfalls in der Medizin bereits erfolgreich eingesetzte Maßnahme ist die Isolierung, auch Quarantäne genannt: Genauso wie Menschen, die unter einer stark ansteckenden und gefährlichen Krankheit leiden, müssen auch von Viren betroffene Systeme schnellstmöglich abgeschottet werden, um den Schaden zu begrenzen.

Dazu werden etwa Zugänge und Zugriffe gesperrt und Netze getrennt. Damit dies erfolgreich ist, muss die Infektion jedoch auch frühzeitig entdeckt werden. Denn wie bei einer Wunde kann sie einen immer größeren Schaden anrichten, je länger sie ungestört ist.

In der Medizin würde man im schlimmsten Fall die Extremität, die betroffen ist, amputieren. In der IT-Sicherheit wäre dies gleichbedeutend mit einem Abschalten, Löschen und Neuaufsetzen beispielsweise der Produktionssoftware, damit die übrigen IT-Netzwerke nicht infiziert werden. Laut dem Data Breach Investigations Report 2013 der Firma Verizon dauert es bei 62 Prozent der getesteten Firmen allerdings mindestens zwei Monate, bis ein Hacker-Angriff überhaupt festgestellt wurde. Hier gibt es also deutliches Verbesserungspotenzial.

Strukturierte Rahmenbedingungen

Schließlich und endlich lässt sich als Parallele der beiden Branchen eine Orientierung an festen Strukturen wie Normen und gesetzlichen Regelungen feststellen. Auch hier empfiehlt es sich für Unternehmen, sich an Branchenstandards und die Gesetze zu halten.

Von wesentlicher Bedeutung für die IT-Sicherheit ist die Norm DIN/EN ISO 27001. Sie dient als Leitlinie für den Aufbau einer umfassenden Strategie für das Sicherheitskonzept. Als international führende Norm für Informationssicherheits-Managementsysteme bietet sie einen systematischen und strukturierten Ansatz, sensible Daten zu schützen sowie deren Integrität sicherzustellen und die Verfügbarkeit von IT-Systemen zu erhöhen.

Außerdem ermöglicht die Norm Strukturen, um schnell auf Sicherheitsvorfälle reagieren zu können, Verantwortlichkeiten klar zu definieren und das Sicherheitsmanagement zu optimieren. Denn Erfahrungen und Lehren sollten immer genutzt werden, um weitere Verbesserungen anzustoßen. Dazu kommen gesetzliche Rahmenbedingungen, beispielsweise aus dem Bundesdatenschutzgesetz, dem IT-Sicherheitsgesetz oder die EU-Richtlinie für Netz- und Informationssicherheit.

All diese Regularien wurden ebenfalls entwickelt und beschlossen, um die Sicherheit von Daten und Informationen zu stärken. Genau wie in der Medizin drohen hohe Strafen, wenn die gesetzlichen Regelungen nicht eingehalten werden. Bei der Orientierung, welche Bestimmungen für das eigene Unternehmen gelten und relevant sind, helfen ebenfalls externe Dienstleister mit ihrer Expertise.

Penetrationstest – der „Gesundheits-Check“ für Systeme

Doch auch die Weisheit „Vorsorge ist besser als Nachsorge“ gilt in der Medizin wie in der IT-Sicherheit. Um sicher zu gehen, dass Unternehmen die passenden Schutzmaßnahmen ergriffen haben, bietet sich der „Gesundheits-Check“ Penetrationstest an. Interne Sicherheitskräfte oder Experten eines externen Dienstleisters wie TÜV SÜD stellen den tatsächlichen Schutz auf die Probe, decken Schwachstellen sowie Ursachen auf und empfehlen darauf aufbauend notwendige Verbesserungen.

Prof. Dr. Peter Schaff

Da laut einer Studie von McAfee aus dem Jahr 2013 jede Minute etwa 70 neue Bedrohungsbilder entstehen und sich dadurch auch die sicherheitsrelevanten Faktoren ständig ändern, ist es wichtig, sich nicht nur auf einzelne aufgedeckte Schwachstellen zu konzentrieren. Besser ist es, die Ursachen der festgestellten Probleme in jedem Fall zu beheben, um den bestmöglichen Schutz zu gewährleisten.

* Prof. Dr. Peter Schaff, Leiter der TÜV SÜD Management Service Division.

(ID:44190778)