COVID-19 Lessons learned: Connectivity schlägt Security

Infrastrukturen müssen durch die aktuelle Situation neu evaluiert werden

Von unserem Gastautor Nathan Howe, Director Transformation Strategy bei Zscaler

[datensicherheit.de, 24.07.2020] Als im März die globale Pandemie ausgerufen wurde, mussten viele Unternehmen auf die Schnelle handeln, um der Belegschaft die Arbeit aus dem Home-Office zu ermöglichen. Die damit einhergehende Verlagerung der Datenströme brachte die vorhandene IT-Infrastruktur schnell an ihre Grenzen, wenn Unternehmen noch nicht digitalisiert waren. Denn der Fernzugriff vervielfachte das Datenaufkommen zwischen dem Rechenzentrum und jedem einzelnen Mitarbeiter, der plötzlich zu seiner persönlichen Zweigstelle avancierte. Für die notwendige Anbindung der Mitarbeiter an Daten und Anwendungen als Grundlage für ihre Arbeitsfähigkeit wurde nicht selten die Sicherheit geopfert.

Nathan Howe, Director Transformation Strategy bei Zscaler

Sicherheitsinfrastruktur herausgefordert

Mit der Lockerung der Kontaktbeschränkungen und der Rückkehr der Mitarbeiter ins Büro muss nun das große Aufräumen beginnen. Sonst droht den Unternehmen Gefahr, die ihre Sicherheitsinfrastruktur wegen Überlastung kurzerhand außer Kraft gesetzt haben. Es war kein Einzelfall, dass bei Unternehmen mit Hub-&-Spoke basierten Netzwerkarchitekturen, bei denen jeglicher Datenverkehr durch die zentrale Sicherheitsinstanz am Perimeter geroutet werden musste, den Stecker der Firewall zogen. Denn die Sicherheits-Appliances waren nicht in der Lage, dem plötzlichen Anstieg des Datenaufkommens Stand zu halten und bildeten den Flaschenhals für die Datenströme.

Nicht nur die Firewall, auch der rasche Einsatz von VDI-Systemen lies oftmals die Sicherheit außer Acht. Denn für den direkten Zugriff auf virtuelle Desktops wurde der Traffic an den Sicherheitskontrollmechanismen vorbeigeleitet. Manche Unternehmen sattelten auf schnell verfügbare, neue Hardware um, wodurch in der Folge mehr Komplexität Einzug hielt. Die Entscheidung für das performante Arbeiten fiel in solchen Infrastrukturen zu Gunsten der Connectivity aus, um die Produktivität der Mitarbeiter nicht zu gefährden.

Gefahrenpotenzial durch neue Mobilgeräte

Gefahrenpotenzial für Unternehmen ergibt sich auch dadurch, dass Mitarbeiter zur Anschaffung neuer Mobilgeräte aufgefordert wurden oder private Geräte für den Fernzugriff zum Einsatz kamen. Gegebenenfalls wurde auf beide Arten von Geräten in aller Hektik ein VPN-Client installiert, der den Zugriff auf das gesamte Firmennetzwerk ermöglicht – was wiederum nicht ohne Risiko einhergeht, wie die jüngsten Schwachstellen in VPN-Gateways belegen, die ein rasches Patch-Management erforderlich machen, um Einfallstore für Angreifer zu schließen. Darüber hinaus war es für Unternehmen schwierig, während der Krise den Überblick über alle User-Identitäten auf den verschiedenen für die Telearbeit eingesetzten Geräte zu bewahren. Da an die Identitäten die Zugriffrechte für Daten und Anwendungen gebunden sind, könnten als Folge fehlerhafte Berechtigungen auf sensible Daten entstehen.

Die Wahl, die Sicherheit hintenanzustellen, fiel den Verantwortlichen sicher nicht leicht. Doch oftmals hatten sie keine andere Möglichkeit. Bevor die Mitarbeiter im Home Office also frustriert aufgaben bei dem Versuch auf Daten und Anwendungen aus der Ferne zuzugreifen, wurde die Sicherheitsinfrastruktur zugunsten von Performanz und Produktivität unterlaufen. Gefährlich wird es, wenn diese Situation im Nachgang nicht wieder behoben wird. Jetzt, wo sich die ersten Wogen der Pandemie glätten, müssen Unternehmen die Sicherheit wieder in den Fokus rücken. Sonst laufen Unternehmen die Gefahr, den schnell geschaffenen Zustand beizubehalten, ohne den Sicherheitskontrollmechanismen wieder die notwendige Aufmerksamkeit zukommen zu lassen.

Jetzt ist es höchste Zeit, Bilanz zu ziehen und die Infrastruktur neu zu evaluieren. Der durch die Pandemie in aller Eile geschaffene Status quo, muss nun in einen geregelten Prozess überführt werden. Unternehmen sollten anhand einem einfachen Drei-Punkte-Plan die Ist-Situation erfassen:

1. Assessment durch Bestandserhebung der neu geschaffenen Infrastruktur
2. Identifizieren eventueller Schwachstellen in der jetzigen Situation und Erfassen von neu angeschafften Assets, die die unternehmensweite Netzwerkinfrastruktur für Außenstehende offenlegen könnten
3. Isolation kritischer Infrastrukturen in einem ersten Schritt und Installation von neuen Kontrollmechanismen für alle Datenströme

Zu guter Letzt sollten sich Unternehmen die Frage stellen, ob sie mit der auf die Schnelle geschaffenen Infrastruktur für die Zukunft gut gerüstet sind. Eine Evaluierung der Produktivität und Mitarbeiterzufriedenheit durch die Arbeit aus dem Home Office setzt unter Umständen die nächste Veränderungswelle in Gang. Werden hybride Modelle des flexiblen Arbeitens zur neuen Normalität, sollte demensprechend eine langfristig tragfähige Infrastruktur und keine kurzfristig entwickelte Notlösung zum Tragen kommen. Dann lohnt sich der Blick auf neue Rahmenwerke, wie das Secure Access Service Edge-Modell von Gartner, dass die Anforderungen von Connectivity, Netzwerk und Sicherheit miteinander vereint.

Weitere Informationen zum Thema:

datensicherheit.de, 25.11.2019
Zero Trust: Warum die Zeit gerade jetzt dafür reif ist

datensicherheit.de, 15.08.2019
Firmennetzwerke bedroht: Nathan Howe empfiehlt Zero Trust Network Access