Das Risikomanagement war schon immer ein wichtiger Prozess für Unternehmen. Im digitalen Zeitalter gewinnt diese kontinuierliche Arbeit sogar noch mehr an Bedeutung. Ohne eine regelmäßige Bewertung ihrer IT-Sicherheitsrichtlinien und der entsprechenden Durchsetzungsprogramme können Unternehmen heute kein effektives Risikomanagement betreiben. Diejenigen, die nicht bereit oder in der Lage sind, die Verwaltung ihrer Sicherheitsrichtlinien zu überprüfen, können nicht erkennen, wann etwas funktioniert. Schlimmer noch, sie können nicht erkennen, wenn ihr Programm in einem Trott feststeckt oder wenn sie Möglichkeiten zur Risikominderung ignorieren.
Hier sind fünf häufige Fehler, die Unternehmen bei der Verwaltung ihrer Sicherheitsrichtlinien machen.
-
Über das Netzwerk und nicht über Geschäftsanwendungen nachdenken
Unternehmen sehen manchmal den Wald vor lauter Bäumen nicht. Sie erstellen eine Richtlinie, die ihre Netzwerkkonfiguration rechtfertigt, z. B. welche Ports oder VPN-Tunnel verwendet werden sollen. Aber sie denken nicht darüber nach, warum der Netzwerkzugang überhaupt benötigt wird und welche Geschäftsanwendung die Regel oder Richtlinie unterstützt. Umgekehrt verhält es sich genauso. Unternehmen entfernen in der Regel nicht den Netzwerkzugriff aus einer stillgelegten Anwendung und überarbeiten eine ihrer Richtlinien, weil sie befürchten, dass dies die Funktionalität einer Anlage beeinträchtigen könnte. Realistischerweise sollten sie sich mehr Sorgen darüber machen, wie ein Angreifer den offenen Zugang ausnutzen könnte, um ihre Systeme anzugreifen.
- Mangel an effektiver Kommunikation zwischen verschiedenen Teams
Die Verwaltung der Sicherheitsrichtlinien eines Unternehmens erfordert eine Menge Teamarbeit. Es gibt diejenigen, die die Richtlinien erstellen und durchsetzen, diejenigen, die dafür sorgen, dass diese Richtlinien eine optimale Systemfunktionalität gewährleisten, und diejenigen, die die Richtlinien mit den Geschäftsanwendungen verknüpfen. Diese Gruppen von Personen interagieren nicht immer miteinander. Aber ihre Aufgaben sind im Grunde genommen gemeinschaftlich und voneinander abhängig. Ohne zu wissen, welche Geschäftsanwendungen unterstützt werden müssen, können die Mitarbeiter keine effektiven Sicherheitsrichtlinien erstellen. Außerdem müssen die Teams mit diesen Richtlinien vertraut sein, um zu verstehen, wie sie sich auf das Netzwerk des Unternehmens auswirken können oder nicht.
- Undokumentierte Änderungen im laufenden Betrieb zulassen
Ein wesentlicher Bestandteil der Verwaltung von Sicherheitsrichtlinien ist die Dokumentation aller Richtlinien. Wenn Unternehmen die Dokumentation nicht fördern, laufen sie Gefahr, dass Mitarbeiter Richtlinien erstellen, für die es keine Erklärung gibt, wenn ein Prüfer kommt. Außerdem besteht die Gefahr, dass Mitarbeiter mehrere Richtlinien erstellen, die dasselbe Sicherheitsrisiko abdecken, was zu einem unnötigen Durcheinander führt. Die Dokumentation ist insofern wichtig, als sie eine Richtlinie festhält und ihre Anwendung für alle Mitarbeiter standardisiert. Daher sollten Unternehmen die Dokumentation nicht nur fördern, sondern auch mit einem formalen Verfahren für die Erstellung neuer Richtlinien verbinden. Auf diese Weise wird verhindert, dass Mitarbeiter impulsiv Sicherheitsrichtlinien erstellen, die vielleicht eine Überlegung und Überprüfung verdienen.
- Menschliches Versagen nicht einkalkulieren
Wir sind alle Menschen. Das bedeutet, dass wir manchmal Fehler machen. Nimrod Reichenberg, Leiter der globalen Strategie von AlgoSec, erklärt in einem auf Dark Reading veröffentlichten Artikel ein solches Szenario, dem er bei seiner Arbeit begegnet ist:
"Ein Administrator in einem Unternehmen, mit dem wir zusammengearbeitet haben, hat bei der Änderung einer Firewall-Regel versehentlich Port 433 statt Port 443 eingegeben. Sagen wir einfach, es war kein guter Tag für ihn."
Fehler bei der Eingabe sind mehr als nur Zeitverschwendung. Sie stiften Verwirrung, die möglicherweise die Sicherheit eines Unternehmens schwächen kann. Unternehmen müssen daher menschliche Fehler in ihrem Programm zur Verwaltung von Sicherheitsrichtlinien berücksichtigen. Eine Möglichkeit, dies zu tun, ist die Verwendung eines Zusatztools oder Skripts, das in der Lage ist, Tippfehler und andere Fehler zu erkennen.
- Eingebautes Risiko unberücksichtigt lassen
Schlecht konzipierte Sicherheitsrichtlinien sind nicht im Interesse des Unternehmens. Manchmal erhöhen sie das Risiko, verstoßen gegen Compliance-Anforderungen oder stehen im Widerspruch zu anderen Teilen der IT-Strategie eines Unternehmens. In Anbetracht der potenziellen Risiken, die durch Sicherheitsrichtlinien entstehen, sollten sich Unternehmen mehr Gedanken darüber machen, wie sie ihre Programme zur Verwaltung von Sicherheitsrichtlinien gestalten. Insbesondere sollten sie herausfinden, welche Risiken bei der Erstellung einer neuen Sicherheitsrichtlinie auftreten könnten.
Um das eingebaute Risiko weiter zu verringern, sollten Unternehmen eine Automatisierung in Betracht ziehen. IT Business Edge ist ein entschiedener Befürworter dieser Entscheidung:
"Die Automatisierung rationalisiert Ihre Prozesse, ermöglicht es Ihnen, Entwürfe schnell zu ändern, Regeln zu identifizieren, die wiederverwendet werden können, Richtlinien nahtlos zu verbreiten, Risikoanalysen und Audits schnell durchzuführen, Dokumentationen sofort zu erstellen und zu validieren und abzustimmen - alles in Echtzeit. Es wird immer einige Aufgaben geben, die ein menschliches Eingreifen erfordern, aber Sie werden ein sichereres System haben, wenn Sie die Menschen in Ihrem Team auf die Aufgaben konzentrieren, die eine Analyse und Untersuchung erfordern, und nicht auf banale Aufgaben, die automatisiert werden können."
Schlussfolgerung
Die Verwaltung von Sicherheitsrichtlinien ist ein wichtiger Aspekt des Risikomanagements. Sie ist jedoch nicht für alle Unternehmen selbstverständlich. Aus diesem Grund hat Metacompliance eine Reihe von Produkten für die Verwaltung von Sicherheitsrichtlinien entwickelt, die Unternehmen bei der Entwicklung von Sicherheitsrichtlinien und der Sensibilisierung ihrer Mitarbeiter helfen.
Um mehr darüber zu erfahren, wie die Lösungen von Metacompliance Ihrem Unternehmen helfen können, klicken Sie hier.
