Cybersicherheit: Fernzugriffe im Fokus
Mit den folgenden Schritten können IT-Verantwortliche die Netzwerkverbindungen von Drittanbietern nach IT-Sicherheitskriterien ausrichten, kontrollieren und schützen.
1. Überwachung von Dienstleister-Verbindungen
Entscheidend bei der Durchsetzung der eingerichteten Vorgaben für den Systemzugriff ist, dass die Aktivitäten von Drittanbietern umfassend kontrolliert werden. Zur Erreichung dieser Zielsetzung müssen sich alle durchgeführten IT-Tätigkeiten protokollieren und auswerten lassen. Mit den vollständig aufgezeichneten Remote-Access-Sitzungen liegt ein umfassendes Daten- und Lagebild über die Sicherheitslage im Netzwerk vor. Wichtig ist, dass die relevanten Informationen intelligent und kompakt abrufbar sind, um Trends und ungewöhnliche Vorgänge auf einen Blick erkennen zu können. Bei identifizierten Verstößen gegen die IT-Policy können IT-Verantwortliche dann im nächsten Schritt eruieren, ob es sich um einfache Bedienungsfehler oder aber verdächtige Aktivitäten handelt.
Eine wirksame Kontrolle fängt mit der Bestandsaufnahme aller IT-Sitzungen von Drittanbietern an. Hierbei wird erfasst, von wo die einzelnen Verbindungen aufgebaut werden, mit welchen Rechnern externe Dienstleister verbunden sind, und welche Zugriffsrechte sie dabei haben. Auch die Firewall-Regeln müssen immer wieder nachjustiert werden, damit keine aktiven Verbindungen von unbekannten Quellen bestehen. Außerdem sind regelmäßige Schwachstellen-Scans auf den nach außen gerichteten Hosts empfehlenswert, um nach Diensten zu suchen, die auf eingehende Verbindungen warten. Ein weiterer Prüfpunkt ist die Einhaltung der Passwort-Sicherheitsrichtlinien für Konten mit eingehenden Netzwerkverbindungen.
2. Interne Sicherheitsvorkehrungen mit mehreren Schutzschichten
Der Schutz vor Sicherheitsbedrohungen durch Drittanbieter gelingt am besten, wenn Organisationen eine mehrstufige Verteidigungsstrategie fahren, die das Gesamtunternehmen einbezieht. Sie umfasst lückenlose Verschlüsselung, Multi-Faktor-Authentifizierung und strenge Datenschutzregeln, um alle Endpunkte, Mobilgeräte, Applikationen und Informationen vor Missbrauch schützen zu können. In diesem Zusammenhang ist ebenfalls wichtig, dass im gesamten Unternehmen und auch auf Seiten der Kunden und Lieferanten die Sicherheitsvorkehrungen verstanden werden. Die Botschaft für alle Beteiligten muss sein, dass die Risiken ernst zu nehmen und real sind.
In der Regel werden IT-Abteilungen schon während aktueller Supportsitzungen vor Einbruchsversuchen und Hacker-Attacken gewarnt. Je aussagekräftiger die Alerts sind, desto schneller und zielgerichteter können IT-Administratoren dabei reagieren. Mitunter werden potenzielle Gefahren aber auch erst im Nachhinein erkannt. Anhand der protokollierten Änderungen und Datenübertragungen im Netzwerk ist dann nachvollziehbar, welche internen oder gesetzlichen Sicherheitsvorgaben nicht eingehalten wurden. Abschließend können die eigenen IT-Systeme und Arbeitsabläufe entsprechend aktualisiert und gemäß den neu justierten Sicherheitsmaßnahmen überwacht werden.
3. Prüfung von Drittanbieterstandards
Bei assoziierten Dienstleistern muss unbedingt und nachprüfbar geregelt werden, wer auf welches System zu welchem Zeitpunkt zugreifen darf. Deshalb dürfen Nutzer niemals einen gemeinsamen Passwortschlüssel für den Zutritt zu sensiblen Datensystemen erhalten. Best-Practice-Empfehlungen sehen vielmehr vor, dass jeder Anwender individuelle Zugangsdaten nutzt, um alle durchgeführten Konfigurationen auch stets den jeweiligen Administratoren zuordnen zu können. Auf diese Weise erreichen Firmen eine zusätzliche Sicherheit und Transparenz.
Selbst die vertrauenswürdigsten Geschäftspartner können IT-Bedrohungen verursachen, wenn sie nicht die erforderlichen Sicherheitsstandards einhalten. Dieser Qualitätsprozess umfasst, dass aktuelle Patches konsequent eingespielt und neu erkannte Schwachstellen geschlossen werden. Am besten regeln Organisationen per Service Level Agreement (SLA) ganz präzise, welche speziellen IT-Sicherheitsregeln die vertraglich gebundenen Drittanbieter einzuhalten haben. Die Sicherheitsstandards von Geschäftspartnern müssen immer wieder überprüft werden, um auch gestiegene IT-Sicherheitsvorgaben einzuhalten.
4. Nutzerkontrolle und Authentifikation
Häufig sind Anmeldeinformationen von Anbietern und Partnern nur schwach gesichert und können irrtümlich offengelegt werden. Mit einem proaktiven Ansatz bei der IT-Verwaltung lassen sich die Anmeldeinformationen besser steuern und damit auch schützen. Es empfiehlt sich, gemeinsam genutzte Konten zu entfernen, ein konsequentes Onboarding durchzusetzen und durch Hintergrundprüfungen eine eindeutige Identifizierung von Dienstleistern oder Partnern zu erreichen, die auf verschiedene IT-Systeme im Unternehmen zugreifen.
Die Mehrzahl der angeschlossenen Drittanbieter benötigt Zugriffsrechte nur für ganz bestimmte IT-Systeme, um ihre zugewiesenen Aufgaben erledigen zu können. Daher ist es nicht zielführend, externen Technikern zu jeder Zeit einen vollständigen Zugriff auf geschäftskritische Datensysteme zu erlauben. Es reicht stattdessen vollkommen aus, wenn dieser ausgewählte Personenkreis lediglich über individuelle und (temporär) beschränkte Zugriffsrechte auf IT-Systeme und Funktionen verfügt.
Die granulare Kontrolle von Fernzugriffen schafft ein höheres Sicherheitsniveau. In einem weiteren Schritt können Unternehmen den Zugriff per physischer oder logischer Netzwerksegmentierung auf bekannte Kommunikationskanäle beschränken. Am besten wählen sich Support-Techniker dabei per Zwei-Wege-Authentifizierung beim Remote-Access-Tool ein. Auf diese Weise wird Angreifern ein Riegel vorgeschoben und wichtige Compliance-Regularien (zum Beispiel für den PCI-DSS, Payment Card Industry Data Security Standard) eingehalten.
5. Vermeidung von nicht autorisierten Befehlen und Konfigurationsfehlern
Enterprise-Lösungen für die Zugriffsverwaltung wie BeyondTrust Privileged Access Management sperren nicht erlaubte Protokolle und leiten sämtliche Verbindungen über einen einheitlichen Zugriffspfad, um die Angriffsfläche zu minimieren. So werden nicht nur fein abgestimmte Berechtigungskontrollen durchgeführt, sondern im ganzen Rechnerverbund auch Least-Privilege-Strategien durchgesetzt. Das informationstechnische Konzept der geringsten Privilegien sieht vor, dass Zugriffsrechte von Anwendern auf das tatsächlich benötigte Maß beschränkt werden. Positive Folge: Konfigurations- und Bedienungsfehler der Benutzer werden dadurch von vorneherein unterbunden.
Aktuelle Ransomware-Kampagnen mit weitreichenden Folgen und Schäden für den gesamten Unternehmensverbund zeigen immer wieder, wie wertvoll solche Sicherheitsmaßnahmen im IT-Umfeld sind. Nicht erwünschte Befehle lassen sich bei einfachen Anwendern einschränken und IT-Systeme durch Positiv- und Negativlisten vor Bedrohungen oder unerwünschten Aktionen schützen. Für den täglichen Betrieb können Unternehmen den autorisierten Benutzern unterschiedliche Berechtigungsstufen für verschiedene Zielsysteme zuordnen. Eine situations- oder applikationsbezogene Erhöhung individueller Berechtigungen verschafft IT-Abteilungen dabei ein hohes Maß an Kontrolle und Flexibilität. Das Risiko von Sicherheits- und Datenschutzverletzungen durch Drittanbieter ist einfach viel zu groß, als dass IT-Verantwortliche es ignorieren könnten. Der oben skizzierte Maßnahmenkatalog ist dabei nur der Ausgangspunkt für eine umfassende Sicherheitsstrategie. Die Herausforderung bei der Einbindung von externen Geschäftspartnern bleibt, neue Sicherheitslücken und potenzielle Gefahren im Rahmen eines funktionierenden IT-Risikomanagements ganzheitlich zu beheben.
