IT-Compliance: Auch Computer müssen sich an Gesetze halten

IT-Compliance: Auch Computer müssen sich an Gesetze halten Die Einhaltung von Regeln und gesetzlichen Vorschriften ist wichtig, aber mit viel Aufwand verbunden. Altiris hilft, den Aufwand zu minimieren, und sorgt für Transparenz, die Kosten senkt IT ist heute für jedes Unternehmen von strategischer Bedeutung. Deshalb wird bei einer Unternehmensbewertung auch die IT mit einbezogen. Unternehmen, die ihren Banken keine objektiv nachprüfbare Bewertung ihrer IT-Infrastruktur liefern können, haben bei der Zuteilung von Krediten eine schlechte Ausgangsposition. Compliance, also die Definition und Einhaltung klarer Regeln, ist heute deshalb eine wesentliche Anforderung an jede IT- Umgebung – ein Unternehmen sollte heute in der Lage sein, alle wichtigen Vorgänge lückenlos zu dokumentieren. Zu den betroffenen IT-Compliance-Bereichen zählen z.B. das Software Lizenzmanagement, geeignete Regeln für die Mitarbeiter und Mitarbeiterinnen beim Umgang mit E-Mail und allgemeine Datenschutzregeln. Auch beim Einsatz von Open Source-Software kommt es oft zur Missachtung der Nutzungsbedingungen. Ein wichtiger Aspekt im Bereich IT-Compliance spielt der Datenschutz bzw. die Informationssicherheit. Geht ein Unternehmen sehr „liberal“ mit den Regeln des Datenschutzes um, kann es zu enormen Verwaltungsstrafen, Schadenersatzforderungen, Haftungen aus dem Verbandsverantwortlichkeitsgesetz und, wie es schon des Öfteren vorgekommen ist, zum Totalstopp eines Projektes kommen. Dies führt letztlich neben negativer Publicity in den Medien, unzufriedenen Kunden und Mitarbeitern letztlich auch zu wirtschaftlichen Schäden, im Extremfall bis hin zum Konkurs. All dies kann durch projektbegleitende Compliance-Maßnahmen im Bereich Datenschutz, unter Berücksichtigung von Vorschriften wie dem Sarbanes Oxley-Act, Basel II oder auch die Grundsätze zum Datenzugriff und Prüfbarkeit digitaler Unterlagen (GDPdU) verhindert werden. Sicherheit ist relativ Zwar investieren die meisten Unternehmen in Firewalls, Antivirensoftware und Patch- Management, sicher ist die Unternehmens-IT leider dennoch meist nicht. Deutlich wird die Problematik am geänderten Zugriff auf die Unternehmensdaten: Etwa zwei Drittel aller unternehmenskritischen Daten befinden sich heute nicht mehr in den gesicherten und dokumentierten Unternehmensnetzen, sondern auf Notebooks und Desktop-PCs der Mitarbeiter. USB-Sticks und WLANs öffnen dem Datenklau Tür und Tor. Aber nicht nur Angreifer von außen stellen eine Gefahr dar: Auch missbräuchliche Benutzung durch autorisierte Anwender ist ein Risiko, das niemals gänzlich auszuschließen ist. Das größte Risiko stellen aber Anwenderfehler und Softwareprobleme dar: Fehlbedienungen und fehlerhaft implementierte Software sind inzwischen für den Löwenanteil der Sicherheitsprobleme verantwortlich. Daher müssen Organisationen ständig bestrebt sein, ihre Systemsicherheit zu steigern und Sicherheitsrisiken zu bekämpfen, bevor diese sich im Netzwerk verbreiten oder die Konformität mit behördlichen oder Branchenstandards gefährden. Gartner Inc. hat Angriffe auf IT-Umgebungen systematisch untersucht und dabei interessante Zahlen ermittelt. So ließen sich bei 65% aller Angriffe fehlerhaft konfigurierte Systeme feststellen, die dem Angriff Tür und Tor öffneten. Weitere 30% der Attacken standen mit bekannten Sicherheitsproblemen in Verbindung, für die Patches verfügbar, aber noch nicht eingestellt waren. Nur bei 5% ließ sich innerhalb der Systeme kein Fehler feststellen. Die Schlussfolgerung von John Pescatore, Vice President von Gartner Inc., gibt daher zu denken: „Adressieren Sie zunächst die 65% und stellen Sie sicher, dass alles richtig konfiguriert ist und Sie haben schon zwei Drittel Ihres Problems behoben. Konzentrieren Sie sich auf das Patch-Management und Sie haben weitere 30% gelöst. Danach können Sie sich beruhigt über die restlichen 5% Sorgen machen.“ Auch wenn einige kritische Bereiche gut geschützt sind, andere dagegen nicht, ist das Ergebnis mangelhaft — eine Kette reißt immer am schwächsten Glied. Lückenlose Inventarisierung Wichtigstes Ziel bei der Umsetzung einer Compliance-Strategie ist die Schaffung einer transparenten IT-Umgebung. Der erste Schritt zur Strukturierung der IT besteht deshalb darin, eine umfassende Inventarisierung der Hard- und Software durchzuführen. Am besten geschieht dies durch die Installation von Agenten auf den Geräten, die alle benötigten Informationen auf Knopfdruck liefern können. Diese Übersichten schaffen die Voraussetzung für eine deutlich effektivere Verwaltung: Ersatzinvestitionen lassen sich frühzeitig planen und budgetieren, Lizenzen werden nach dem tatsächlichen Bedarf gekauft und verlängert. Mit der neu gewonnenen Transparenz lassen sich dann auch Sicherheitslücken schließen. Wird zusätzlich zur Inventarisierung auch eine effektive Softwareverteilung mit integriertem Patch-Management implementiert, ist zudem sichergestellt, dass alle Anwendungen korrekt installiert und immer auf dem aktuellsten Stand sind. Damit werden bereits 95% der Sicherheitsrisiken wirkungsvoll eliminiert. Eine moderne Softwareverteilung, wie sie Altiris heute bietet, gibt der IT-Abteilung volle Kontrolle über die Konfiguration jedes Rechners und erfüllt trotzdem alle individuellen Wünsche der Anwender. Parallel zur Inventarisierung bietet sich ein integriertes Vertragsmanagement an: Wenn bekannt ist, welche Hard- und Software im Einsatz ist, liegt die effektive Verwaltung der damit verbundenen Verträge nahe – mit konkreten Zahlen als Grundlage lassen sich Verhandlungen wesentlich besser führen. Sind Hard- und Software lückenlos erfasst, ist es einfacher, unternehmensweite Sicherheitsrichtlinien zu definieren und deren Einhaltung anschließend auch zu überwachen. Dazu gehören die Definition von Rechten und Rollen der Anwender, was speziell bei Web- Anwendungen eine immer größere Rolle spielt. Dazu gehören auch klare Prozesse für die Erteilung von Zugriffsrechten, dazu kann aber auch die lückenlose Überwachung und Dokumentation aller Datenzugriffe gehören, bis hin zur Protokollierung, welche Daten über welche Schnittstelle kopiert werden. Ohne zentrale Datenbank geht es nicht Anbieter wie Altiris kennen die Herausforderungen, mit denen Unternehmen aller Größenordnungen konfrontiert sind. Wer seine bislang unstrukturierte IT-Umgebung strukturieren will oder muss, kann quasi für jeden Bereich auf Softwareunterstützung zurückgreifen – von der Inventarisierung über die Vertragsverwaltung bis zur kontrollierten Softwareverteilung mit integriertem Patch-Management. Basis, um dies zu realisieren zu können ist idealerweise eine einheitliche Konfigurationsverwaltungsdatenbank (CMDB) auf die alle Produkte zugreifen, denn so haben alle Softwarelösungen gleiche Voraussetzungen, gleichen Informationsstand und liefern alle ihre Ergebnisse an einer zentralen Stelle ab. An diese CMDB können auch andere Hersteller andocken und so die gewonnenen Daten zu Hardware, Software und Anwendern nutzen. Mit verschiedenen Software-Suiten bündelt Altiris Lösungen aus dem Sicherheits- und Konfigurationsmanagement und automatisiert damit Compliance-Anforderungen, Datenschutz und die Entschärfung von Bedrohungen. Aber auch diese Suiten sind keine all umfassende Lösung „Out-of-the-Box“, sondern bieten lediglich die geeigneten Werkzeuge, um wichtige Anforderungen umsetzen zu können: Softwareagenten für alle Betriebssysteme und alle Hardwareumgebungen, die jederzeit einen aktuellen Stand über die vorhandene Infrastruktur liefern; ein umfassendes Berichtssystem, mit dem sich alle benötigten Informationen ermitteln und bedarfsgerecht erstellen lassen; effektive Softwareverteilung, um Sicherheitslücken genauso zuverlässig zu schließen wie auch Installationsprobleme zu vermeiden; Werkzeuge zur Überwachung des kompletten Datenverkehrs bis hin zur Überwachung jeder einzelnen Schnittstelle. Unwissenheit schützt vor Strafe nicht Viele IT-Unternehmen bewegen sich in rechtlichen Grauzonen, da sich ihre IT-Systeme nicht im Einklang mit den rechtlichen Vorgaben befinden. IT-Systeme unterliegen heutzutage neben technischen auch juristischen Anforderungen. Nationale Gesetze, EU-Richtlinien und internationale Konventionen bilden ein dichtes Regelwerk, das Unternehmen im täglichen Geschäft unbedingt beachten müssen. Da ist es nur logisch, dass auch die IT-Infrastruktur von diesen Regelungen betroffen ist. Deshalb ist es unbedingt notwendig, dass ein unternehmensweiter Ansatz herangezogen wird, der eine Kombination aus Technologie, Organisation, Struktur und Prozesswechsel enthält. Compliance ist ein strategisches Thema und sollte aus diesem Grund auch organisatorisch bei der Unternehmensleitung aufgehängt sein, die dann in Zusammenarbeit mit der IT nach gemeinsamen Lösungsansätzen sucht. Denn auch hier gilt: Unwissenheit schützt vor Strafe nicht! Autor: Michael Naunheim Altiris EMEA-Alliance-Marketing-Manager