SECURITY insight 6/11

prosecurity.de

SECURITY insight 6/11

Titelthema: IT-SicherheitTitelthema: IT-Sicherheit1 ErasureENTERPRISE STORAGE SOLUTION2 ReportingERASURE ISCOMPLETED SUCCESSFULLY3 AuditingReport includes information such aswho did the erasure, what time,erasure standard, LUN ID and more.Datenlöschung bei „LUN“-SystemenMehr und mehr hat sich daher professionelleLösch-Software etabliert, und manerkennt auch mehr und mehr an, dasshier gut gemeinte und kostenlos ausdem Internet zu ladende Open-Source-Produkte zwar ein ersten Schutz bietenkönnen, aber für das systematische Verhindernvon Datenlecks auf Dauer nichtzu gebrauchen sind.Fünf Regelnder DatenlöschungProfessionelles Datenlösch-Managementwird in den kommenden zehn Jahrenparallel zur Vervielfachung der Speichermedienzur strategisch wichtigenHerausforderung. Folgende Regeln sinddabei zu beachten:Connect Blancco LUN EraserSystem to the storage solutiondirectly or over the network.Select from listed LUNs anddrives the units to be securelyerased and the erasurestandard to be used.Detailed report generated andsaved on system in BlanccoXML format.MCMCReport can be automaticallyuploaded to MC or e-mailed as PDF.Browse and filterreportsAdministrativeerasure statisticsDistribute erasurereports easilyFollowaudit trail• Für das Verhalten in firmeninternen(und besonders in externen) Netzwerkensollte es klare Verhaltensrichtliniengeben, insbesondere was denUmgang mit personenbezogenen undvertraulichen Daten angeht. AllgemeineHinweise genügen nicht.• Dies sollte auch für alle Arten vonSpeichermeiden gelten, die auf dengenutzten Geräten in Anspruchgenommen werden: Welche Kontaktdatendürfen auf dem Handy gespeichertwerden, welche nicht?• Es sollte klar geregelt werden, mitwelchem Vertraulichkeitsgrad welcheDaten einzustufen sind und wie damitzu verfahren ist. Eine Telefonlisteist meist unkritisch, eine Adresslistekann schon kritisch sein; einePreisliste macht kein Problem, wennsie sowieso für die Öffentlichkeitbestimmt ist, aber eine Preisliste mitden entsprechenden Händler-Rabattstufenoder Einkaufspreisen kann beiVeröffentlichung existenzgefährdendsein.• Es sollte für das gezielte, regelmäßigeund geplante Vernichten von Dateneine klar verständliche Anweisunggeben, die auch nachverfolgt wird.Sofern es sich um Daten in Netzwerkenhandelt, ist bereits Punkt 1zu beachten, damit Unnötiges undpotenziell Gefährdendes erst gar nichtnach außen gelangt. Handelt es sichaber um Daten, die auf unterschiedlichenund zugänglichen Mediengespeichert sind, müssen Verfahrenund Produkte definiert werden, die fürdas tägliche, wöchentliche, monatliche,jährliche Datenlöschen verfügbarund qualifiziert sind. Gleiches giltfür Reparaturen an diesen Geräten,Umzug, Weitergabe oder die Außer-Dienst-Stellung. Alle Gerätetypen sindaufzulisten, ihre tatsächliche odermögliche Datentypen sind je nachVertraulichkeit zu kategorisieren, derLöschprozess ist mit Verantwortlichkeit,Zeitpunkt, Löschverfahren undmanipulationssicherem Löschreportzu definieren.• Dies gilt für jedes von Mitarbeiterngenutzte IT-Gerät, insbesondereLaptops, Tablets und Smartphones,aber auch für Server-Netzwerke physischenoder virtuellen Charakters(„LUNs“). Nicht zu vergessen sindvorhandene Datensicherungen undalle Arten von Backup-Systemen.Man sollte meinen, dass so viel Aufwandfür vermeintlich „uninteressante“Daten doch eher etwas für Experten inSpezialgebieten ist. Weit gefehlt! Geradedie sich abzeichnende Explosion anSpeichermedien und Speicherplätzen,verbunden mit ständig nachwachsendenGenerationen von Nutzern, die bereitsheute stundenlang sorglos im Internetumherspazieren, macht es notwendig,die Thematik sehr, sehr ernstzunehmen.Information ist Geld – und das sollten wirnicht jenen überlassen, die damit nichtsGutes im Sinn haben.Lieber Treiber als GetriebenerDie Bekämpfung von Cybercrime und Cyberwar liegt nicht nur im Interesseder Großkonzerne, sondern auch und gerade der Mittelständler und KMUsVon Arne SchönbohmWie angreifbar wir inzwischen sind, zeigt der Angriff auf das iranische Atomprogrammin Bushara mit Hilfe des „Stuxnet“-Wurms 2010. Dort wurde das sogenannte SCADA-Programm angegriffen. SCADA-Steuerungsprogramme steuernund visualisieren automatisierte Prozesse und Betriebsabläufe in Raffinerien,Kraftwerken und Fabriken. Ein Unfall mit dramatischen Folgen könnte die Folgesein. Die EU sieht auf Grund der rasanten Entwicklung verschärften Handlungsbedarf.Neben den zahlreich schon bestehenden Sicherheitsorganisationen wieder ENISA (European Network and Information Security Agency) wird daher biszum Jahr 2013 ein Kompetenzzentrum für Cyberkriminalität errichtet.GefahrenszenarienDie Grenzen zwischen Cybercrime(Zuständigkeit der Polizei) und Cyberwar(kriegerischer Angriff eines Staates) sindfließend, da die Herkunft der Angriffe inder Regel nicht nachvollzogen werdenkann, ähnliche/gleiche Schadprogrammewie Viren und Trojaner bei Angriffenverwendet werden und Staaten sichzunehmend privater Akteure bedienen.Wie beispielsweise verschiedenen Presseberichtenüber den Krieg zwischenGeorgien und Russland zu entnehmenwar, wurde das „Russian Business Network“als Gruppierung der OrganisiertenKriminalität in quasi staatlichem Auftrageingesetzt, um Georgien zu attackieren.Die OK ist ein Fall für die Polizei und nichtfür das Militär; trotzdem ist es vergleichbarmit einem kriegerischen Akt.Laut dem letzten „Symantec InternetThreat Report“ (April 2011) wurden imvergangenen Jahr 286 Millionen neueBedrohungsformen entdeckt. Deutschlandist im europäischen Vergleich dasbeliebteste Land der Cyberkriminellen.Dieser Negativtrend lässt sich ebenfallsanhand der begangenen Straftatenerkennen. Erstmals wurden im vergangenenJahr bundesweit über 246.000 viaInternet ausgeführte Straftaten regis-triert, fast 20 Prozent mehr als 2009. LautInterpol wurden auf Verkaufsplattformenim Internet im Jahr 2009 etwa 162Millionen Datensätze von Kreditkartenangeboten oder gehandelt. Auch andereDaten wie Rentenversicherungs- undTelefonnummern oder Geburtsdaten sindein lukratives Geschäft.Weiteres Beispiel: Online-Banking. Dasbis dato sicher gehandelte mTAN-Verfahren,bei dem Kunden per SMS ihre TANSMit Cybercrime ist eine Menge Geld zu verdienen, mit Cyberwar jede Menge Macht.erhalten, wird nun zunehmend ausgespäht.Kriminelle nutzen dabei das Smartphone.Durch die Kombination von speziellerSchadsoftware, die auf den PCs der Opferabläuft und mit Trojanern für die mobilePlattform hinterlegt ist, wird die Schadsoftwarebeim nächsten Update aufs Smartphoneübertragen. Die TANs können dannmitgelesen werden. Es gibt Analystenschätzungenwonach die OK 2009 erstmalsmehr Geld mit Cyberkriminalität als mitDrogen umgesetzt haben soll.BekämpfungsmaßnahmenKlare Definition von ZuständigkeitenPrivate Internetnutzer, Unternehmen,nationale Regierungen und die EU müssenihre Sicherheitsvorkehrungen gegenCyberangriffe optimieren. Es ist diePflicht des Staates, seine Wirtschafts-18Security insight 6/2011 19

Weitere Magazine dieses Users
Ähnliche Magazine