Schwerpunkte Informationssicherheit in 2013

Zwischen den Jahren habe ich am Feuer bei einer Tasse Tee das vergangene Jahr Revue passieren lassen und darüber nachgedacht, was im nächsten Jahr so alles passieren wird. In diesem Zusammenhang habe ich mal in dem RSA Fundus gewühlt und die Themen herausgesucht, die wir in 2013 als wichtig erachten.

1. Die Hacker werden wahrscheinlich noch viel raffinierter zu Werke gehen. Es gibt deutliche Hinweise, dass kriminelle Vereinigungen mit Staaten, die systematisch Computerspionage betreiben, in regem Austausch stehen. Durch Austausch von Informationen, dem regen Handel von Informationen bis hin zu „subcontracting“ ergeben sich für kriminelle Vereinigungen eine steile Lernkurve.

2. Die Angriffsfläche wird sich weiter ausdehnen und die bisher noch wahrnehmbaren „Perimeter“ (IT Grenzen) werden weiter verschwinden. In vielen IT Ausblicken für dieses Jahr wird prognostiziert, dass ein beherrschendes Thema Mobilität sein wird und damit einhergehend neue Service-Angebote für mobile Nutzer. Als Konsequenz hieraus ergeben sich neue und komplexere Angriffsflächen. In Kombination mit dem langsamen aber stetigen Anstieg von Cloud basierenden Diensten wird sich die Angriffsflächen weiter ausdehenen, zu Kosten von traditionellen Grenzen (Perimetern).

3. Diese Entwicklung wird in jedem Fall stattfinden, unabhängig davon ob die Unternehmen dafür gerüstet sind In vielen Fällen sind Unternehmen nicht auf diese Entwicklungen vorbereitet. Das wird durch die Knappheit der verfügbaren Experten für Cyber-Sicherheit noch verstärkt. Als Resultat ergibt sich, dass Unternehmen mit der Entwicklung nur sehr schwer Schritt halten können.

4. Die Gesetzgebung wird weiter deutlich hinter den aktuellen Entwicklungen hinterherhinken, sei es bei Regeln zur Offenlegung bei Cyber-Attacken oder bei der Reform der Datenschutzbestimmungen. Die längst überfällige Reform des Datenschutzes im Hinblick auf notwendige Sicherheits-Architekturen ist ganz besonders schmerzhaft für viele Unternehmen. Leider ist die Situation heute so, dass Unternehmen in jedem Fall gegen bestehendes Recht verstoßen: seien es das Datenschutzgesetz einerseits oder andererseits die Vorgaben den Fortbestand des Unternehmens sicherzustellen, sprich die werthaltigen Assets zu schützen.

5. Es ist sehr wahrscheinlich, dass ein Schurkenstaat, Hacktivisten oder sogar Terroristen den nächsten Schritt gehen, und es in der Folge zu erheblichen Störungen in dem Bereich von kritischen Infrastrukturen kommen wird.

Art Coviello, der Chairman von RSA hat den Begriff „Cyber Pearl Harbor“ geprägt. Er beschreibt damit seine Einschätzung, dass erheblicher Schaden für die Weltwirtschaft oder kritische Infrastrukturen denkbar ist und kurz bevorsteht.
Diese fünf Punkte klingen ein wenig deprimierend und es sieht zugegebenermaßen auch ein wenig nach Schwarzmalerei aus. Dieses sind jedoch plausible Projektionen aus der Analyse der gegenwärtigen Situation. Aber wir können hier aktiv entgegenwirken. Wir sehen bei vielen Unternehmen und Organisatoren den Sinneswandel von einem Perimeter-orientierten Ansatz zu einem „intelligence-based“ Sicherheits-Modell.
In einer Situation, bei der ein Eindringen in Netzwerke wahrscheinlich, wenn nicht sogar unabwendbar ist, wird deutlich, dass die herkömmlichen statischen Perimeter und Signatur- fokussierten Methoden gegen die moderne Gefährdungslandschaft nicht ausreichend sind. Nur durch moderne Security-Ansätze, die neben Agilität auch eine Analyse der gegebenen Situation erlauben, können wir es erreichen, die Auswirkungen von Cyber-Angriffen zu begrenzen oder diese gar unwirksam zu machen. Insofern sehen wir zumindest in USA drei positive Entwicklungen.

6. Die Verantwortlichen aus sämtlichen Branchen und öffentlichen Organisationen werden sich mit diesem neuen Intelligence-based Sicherheitsansatz beschäftigen und an die Politik ihre Forderung nach angemessene Gesetzesrahmen stellen.

7. Es wird erhebliche Investitionen in Cloud-basiertee Security Services geben, vor allem um den dramatischen Engpass von Skills zu begegnen.

8. Big Data Analytics wird die Grundlage für ein intelligence-based Security-Modell.

In Deutschland befinden wir uns mit der Auseinandersetzung mit diesen Themen noch in den Kinderschuhen; wir müssen uns beeilen um den Anschluss nicht zu verpassen und eine dem Wirtschaftsstsandort Deutschland angemessene Sicherheitsphilosophie entwickeln.