IT-Sicherheits-Konzepte in Unternehmen

#1 Hallo. Ich schreibe zurzeit meine Diplomarbeit. In diesem Zusammenhang habe ich unter http://www.siemens.de/index.jsp?sdc_p=ft4ml0s3u0o1368423i1137554pc61z3 einen interessanten Fachartikel entdeckt, der sich mit der wachsenden Bedeutung der IT-Sicherheit in Unternehmen und der Notwendigkeit von ganzheitlichen Konzepten befasst. Die Meinung anderer Leser dazu würde mich sehr interessieren!

Viele Grüße

#2 Hab es mal gelesen und finde es inhaltlich gut und richtig, aber insgesamt ist das keine große Offenbarung. Das es ohne ganzheitliche Konzepte nicht funktioniert liegt denk ich auf der Hand. Eine Kette ist bekanntlich nur so stark wie ihr schwächstes Glied und jeder stimmt mir wohl zu das ein Auto mit Airbags aber ohne Sicherheitsgurte ziemlich unsinnig ist. Das gilt für Sicherheitslösungen natürlich genauso. Ein starkes Passwort ist nutzlos wenn der Mitarbeiter es jemandem am Telefon durchgibt der sich als "Service-Techniker" o. ä. ausgibt. Solche Beispiele fehlen da irgendwie.

Was mir auch fehlt ist die nähere Ausführung vom Risiko Industriespionage. Wenn ein Produkt auf dem Markt ist egal ob Soft- oder Hardware muss man immer mit Imitaten rechnen, egal ob die bösen Buben aus Fernost Insider-Infos haben oder nicht. Viel schlimmer ist es aber wenn einem die Idee schon lange vor der Fertigstellung eines Produktes gestohlen werden kann. Da stecken dann oft Jahre der Entwicklung dahinter und wenn dann eine andere Firme auf sowas ein Patent anmeldet kann man einpacken.
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#3 Da ich gerade den Satz "Eine Kette ist bekanntlich nur so stark wie ihr schwächstes Glied..." lese, muss ich auch etwas dazu sagen:

Mir fällt seit Jahren auf, dass im Bereich von Verschlüsselungslösungen immer die Verfahren im Vordergrund stehen bzw. gestellt werden. Ich denke, dass Brute-Force-Verfahren nicht weiter im Mittelpunkt stehen sollten. Die Untersuchungen an den Verfahren erfolgen auch nicht durch die breite Öffentlichkeit (wie das immer gerne suggeriert wird) sondern von einer Hand voll Experten. Den Experten müssen wir letztendlich vertrauen. Aber dies soll ein drittes Thema sein und hier keine weitere Rolle spielen.

Ich habe den o.g. Artikel gelesen und finde ihn soweit in Ordnung, obwohl die Mitarbeiter der hostenden Firma bekannt dafür sind, was Eingangs mit Diebstahl von geistigem Eigentum angedeutet wurde.

Was mich nachdenklich macht ist: "Doch nur, wenn auch Verstöße geahndet und der Stand aller Security-Maßnahmen regelmäßig überprüft werden, bleibt das Unternehmen von Attacken auf das IT-Netz tatsächlich verschont.".

Wenn es soweit kommt, dass Mitarbeiter verantwortlich gemacht werden können, werden diese in Ihrer kreativen Arbeit gehemmt. Die Mitarbeiter werden Angst bekommen etwas falsch zu machen. Wenn beispielsweise Keylogger zum Aufzeichnen von Tastatureingaben oder zum "Abhören" einer Smartcard-Kommunikation verwendet werden und ein Spion sensible Kennwörter ausspioniert, dann darf der beroffene Mitarbeiter noch nicht einmal verdächtigt werden. Dies sollte auch gelten, falls kein Spion ausfindig gemacht werden kann. Denn ein guter Spion zeichnet sich durch eine sehr gute Tarnung aus.

Jetzt komme ich doch noch einmal auf das Thema Verschlüsselung zurück. "Jeder" weis, dass aus den USA nur Soft- und Hardware mit so genannten Hintertüren ausgeliefert wird. Es ist auch bekannt, dass jede auf Verschlüsselung basierende Sicherheitslösung früher oder später von einer amerikanischen Firma weggekauft wird. Natürlich nur, wenn das Gesamtkonzept erfolgversprechend ist. Alle anderen reinen Softwarelösungen können leicht durch das Betriebssystem ausgehebelt werden. Wenn ein Mitarbeiter etwas verschlüsselt, darf dann dieser verantwortlich gemacht werden, falls etwas in falsche Hände gerät?

Generell würde ich sagen, wenn es -auch nur theoretisch- technische oder organisatorische Ursachen geben könnte, dass die IT-Sicherheit angreifbar wäre, darf in keiner Weise ein Mitarbeiter verantwortlich gemacht werden. Auch wenn heute gesagt wird, dass diese Absicht nicht besteht. Die Realität sieht heute schon ganz anderes aus!