(openPR) Die IT-Strategie mittelständischer Unternehmen behandelt das Thema IT-Sicherheit häufig als Beiwerk, mit hohen Kosten und unsichtbarem Nutzen. 2015 sind die IT-Investitionen laut Gartner gesunken. Dadurch steigt das Sicherheitsrisiko zusätzlich, denn das bedeutet, dass Unternehmen und Behörden mehr Infrastrukturen ohne Hersteller-Support und mit älter werdenden Software Versionsständen einsetzen. In der folgenden Fallstudie greift der IT-Security-Spezialist vimopro GmbH das Vorgehen eines mittelständischen Unternehmens auf, das seine IT-Sicherheit erhöht hat.
Kunde
Der Kunde ist ein europaweit tätiger Automobilzulieferer mit etwa 100 Mitarbeitern, bei dem sämtliche Unternehmensprozesse IT-gestützt sind. Die IT wird von zwei Systemadministratoren betreut, die ihre wesentliche Zeit für Benutzersupport und Pflege des ERP-Systems aufwenden. Da es sich in dieser Fallstudie um sicherheitsrelevante Informationen handelt, wird das Unternehmen im Folgenden anonymisiert "Auto GmbH" genannt.
Herausforderung
Aufgrund eines Datenverlusts durch eine Sicherheitslücke im IT-System der Auto GmbH, ist diese an die vimopro GmbH herangetreten um eine Sicherheitsüberprüfung, anhand eines Audits, durchzuführen.
Die Auto GmbH möchte über den momentanen Sicherheitszustand Ihrer IT-Systeme aufgeklärt werden. Ihr ist es wichtig nicht nur äußere Schwachstellen, sondern auch unternehmensinterne Probleme zu identifizieren. Außerdem sollen konkrete Handlungsvorschläge unterbreitet werden, die den Datenverlust nachhaltig eingrenzen.
Folgende Faktoren sind für die Auto GmbH von entscheidender Bedeutung:
- Identifizierung von Schwachstellen der IT-Infrastruktur
- Handlungsvorschläge zur Verbesserung der IT-Sicherheit
Lösung
Der vimopro Security Audit sieht es vor zunächst einen Überblick über die eingesetzten IT-Systeme und Sicherheitsmaßnahmen zu erstellen. Alle Systeme, Maßnahmen und Strategien, die für die IT-Sicherheit relevant sind, werden inventarisiert und dokumentiert. Im Anschluss wird jedes System nach einem Ranking auf sein Risikopotenzial bewertet und aufgelistet. Je nach Risiko werden direkte Maßnahmen abgeleitet und in einen Maßnahmenkatalog übernommen.
Da die Auto GmbH einen konkreten Sicherheitsvorfall in 2015 hat, wird diesem besondere Aufmerksamkeit geschenkt. Zur Nachvollziehbarkeit wird eine Matrix aus den betroffenen Systemen erstellt und die Auswirkung sowie Wechselwirkung zu anderen Systemen beurteilt. Als nächstes werden relevante Systemprotokolle zusammengetragen, die den besagten Zeitraum beschreiben. Daraus wird eine Vielzahl an Informationen extrahiert.
Nach einer Analyse der Systemprotokolle ist klar: Über eine Phishing Webseite wurden durch einen Trojaner wichtige Unternehmensdaten verschlüsselt und somit unbrauchbar gemacht. Die Auto GmbH entschloss sich daraufhin, die betroffenen Daten über eine vom Vortag erstellte Sicherung wiederherzustellen. Die Datensicherung wurde vor drei Jahren als automatisch ablaufender nächtlicher Prozess eingerichtet. Im Laufe der Zeit fiel es deshalb nicht weiter auf, dass der Schreibvorgang zwar erfolgreich abgeschlossen wurde, effektiv aber nur unbrauchbare Daten geschrieben wurden. Die Auto GmbH musste auf eine Datensicherung zurückgreifen, die mehrere Jahre alt war. Alle Daten der letzten Jahre waren damit verloren.
Ergebnis
Neben der Dokumentation der IT-Infrastruktur im Unternehmen, erhält die Auto GmbH einen Katalog aus Handlungsempfehlungen. Dieser umfasste Änderungen im Bereich der Benutzerrechte, eine grundlegende Sicherheitsschulung der Mitarbeiter, eine regelmäßige Wiederherstellungsüberprüfung der Datensicherung und Punkte zur sicheren Konfiguration der IT-Systeme. Es wurden ebenfalls weitere Punkte wie Systemwartung, Kennwortstärke und W-LAN Sicherheit herausgestellt.
Zusammengefasstes Ergebnis:
- Dokumentation der Anwendungen, IT-Systeme und deren Schutzbedarf
- Handlungsplan mit priorisierten Sicherheitszielen
- Empfehlung von Lösungen
Weitere Informationen zu diesem Thema: http://vimopro.de/sicherheit/
Gesamter Artikel & Quelle: http://vimopro.de/fallstudie-der-pfad-zur-it-sicherheit-in-mittelstaendischen-unternehmen/
