Management mobiler Endgeräte als zentrale Aufgabe für die IT-Sicherheit

SOPHOS gibt Tipps zur Absicherung mobiler Mitarbeiter

[datensicherheit.de, 06.09.2011] Laut dem Bundesministerium für Wirtschaft und Technologie liegt die Zahl der Mitarbeiter, die ihre Tätigkeit außerhalb des Unternehmens erledigen, bei über acht Millionen. Unternehmen stünden vor der „Herkules-Aufgabe“, ihren Mitarbeitern möglichst große Mobilität zu gewähren und gleichzeitig unternehmenskritische Daten vor Verlust und Missbrauch zu schützen. Das Management mobiler Endgeräte wird somit eine Aufgabe für die IT-Sicherheit. Die Ergebnisse einer gemeinsamen Studie des Analystenhauses IDC und von SOPHOS unterstrichen dies:
Die Sicherheit mobiler Endgeräte werde von 39 Prozent der Unternehmen als dringend empfunden, direkt hinter den IT-Sicherheits-Themen „Abwehr neuer Angriffszenarien“ (42 Prozent) und „Cloud Computing“ (42 Prozent). Der massive Einsatz privater mobiler Endgeräte auch in Unternehmen bedeute eine enorme Herausforderung für die Sicherung sensibler und vertraulicher Unternehmensdaten, so Sascha Pfeiffer, „Principal Security Consultant“ bei SOPHOS. Auch die Mitarbeiter müssten ein Sicherheitsbewusstsein entwickeln und selbst ihren Teil dazu beitragen, ihre Geräte vor Zugriffen Fremder, vor Verlust und Diebstahl zu schützen. Das sei noch ein weiter Weg, denn laut einer Studie des Ponemon Instituts landeten allein auf dem Flughafen Frankfurt rund 300 – meistens einfach vergessene – Laptops pro Woche im Fundbüro.

SOPHOS gibt fünf Tipps zur Absicherung mobiler Arbeitnehmer:

1. Zugriffe Fremder durch Kennwörter verhindern
   Der Basis-Schutz für mobile Geräte beginne bei sicheren Zugriffspasswörtern. Was selbstverständlich klinge, werde nach wie vor stark vernachlässigt. Anwendungen auf dem Smartphone, sei es der E-Mail-Client oder der VPN-Client, seien oft ohne weitere Passworteingaben zugänglich. Dies spare Zeit und sei bequem. So hätten aber auch Fremde Zugriff auf private und Unternehmensdaten. Im Verlustfall könnte bereits großer Schaden entstehen, noch bevor dieser Verlust bemerkt wird. Ist das Gerät jedoch abgesichert, werde wertvolle Zeit gewonnen, um alle Verbindungen zur Unternehmens-IT zu kappen, bevor ein Unbefugter Zugriffsversuche startet.
2. „Schatten-IT“ mit mobilem Gerätemanagement vermeiden
   Private Laptops, Smartphones, Tablets und sonstige mobile Endgeräte würden zunehmend für Arbeitszwecke eingesetzt, ohne die IT-Abteilung zu informieren. Die IDC-Analysten beobachteten diesen als „Schatten-IT“ bezeichneten Trend seit einiger Zeit. Die zentrale IT-Organisation habe keinen Überblick über die eingesetzten Geräte und den Datenfluss. Um diesen Wildwuchs zu minimieren, müssten IT-Administratoren über ein effektives Gerätemanagement verfügen. Dabei ließen sich die Geräte über zentrale Sicherheitseinstellungen sichern, um unerwünschte Features zu sperren und Daten bei Verlust oder Diebstahl zu löschen oder zu sperren. Auch der Zugang zu geschäftlichen E-Mails lasse sich insoweit kontrollieren, dass nur diejenigen Geräte Nachrichten empfangen können, die richtig gesichert und registriert sind. Ein Self-Service-Portal, in dem Mitarbeiter ihre neuen Geräte selbst registrieren oder diese bei Verlust sperren können, erleichtere die Arbeit für die IT-Administratoren.
3. Verschlüsselung und Compliance
   Laut einer Studie des Ponemon Instituts verursache ein gestohlener Laptop durchschnittlichen von ca. 34.750 Euro. Durch Verschlüsselung könnten die mit dem Verlust eines Laptops einhergehenden Kosten um mehr als 14.000 Euro reduziert werden. Viele Smartphones verfügten zudem über eine Funktion zur Remote-Zurücksetzung. Diese sollte in jedem Fall aktiviert werden, damit Nutzer Daten auf einem verloren gegangenen Gerät im Zweifelsfall komplett löschen könnten. Um der Anzeigepflicht im Falle eines verloren gegangenen Gerätes zu entgehen, sollte ein zentrales Reporting-System verfügbar sein, mit dem belegt werden könne, dass das Gerät entweder verschlüsselt oder remote zurückgesetzt wurde.
4. „Application Control“, „Patching“ und weitere Kontrollen
   Um Hackerangriffe und betrügerische Malware-Infektionen abzuwehren, reiche eine „Blacklisting“-Methode nicht aus, die festlege, welche Anwendungen auf Mobilgeräte heruntergeladen werden dürften. Da einfach zu viele Angriffe gezielt Schwachstellen ausnutzten, müssten Betriebssysteme und Anwendungen auf Mobilgeräten wie Browser, PDF-Reader und Flash-Player regelmäßig gepatcht werden, um sie auf dem neuesten Stand zu halten. Eine Anwendungskontrolle könne sicherstellen, dass nur gepatchte, sichere Anwendungen verwendet werden. Auf unternehmenseigenen Smartphones sollten Einstellungen vorgenommen werden, die produktivitätsmindernde oder riskante Anwendungen sperrten. Zusätzlich sollten auch die Nutzung der E-Mail-Synchronisation auf benutzereigene Geräte eingeschränkt werden. Auch der Datenfluss vom Gerät ins Unternehmens-Netzwerk müsse stets kontrolliert und überwacht werden.
5. Unternehmensweite Strategie für mobile Sicherheit
   Die Sicherheitsanforderungen für Mobilgeräte könnten nur mit einem ganzheitlichen, strategischen Konzept gemeistert werden, das Risiken, Bedrohungen und Schwachstellen in Schach halte, ohne die Produktivität oder den Benutzerkomfort zu beeinträchtigen. Zu den Maßnahmen gehörten zweifellos Regeln und Richtlinien, die den Nutzern klare Handlungsspielräume aufzeigten.

Weitere Informationen zum Thema:

facebook
SOPHOS

SOPHOS
IDC Executive Brief IT Security in Deutschland 2011