Infosec 2010: Am besten vom Schlimmsten ausgehen

Allgemein

Security-Verantwortliche und -Experten sollten gar nicht erst davon ausgehen, dass ihr Netzwerk »sauber« sei. Sie sollten lieber annehmen, dass alle Systeme stets kompromittiert sind und genau darauf ihre Security-Werkzeuge abstimmen.

Die übliche Vorgehensweise im Falle von infizierten Netzen und Rechnern: Man schafft eine sichere Blase, von der aus die Infektion dann Stück für Stück eingedämmt wird. Stephen Bonner, im Hauptberuf selbst IT-Sicherheitschef, riet gestern auf der »Infosecurity Europe 2010«, lieber generell davon auszugehen, dass die Infrastruktur verseucht sei. So könne man auch nicht auf unbekannte Schädlinge und Schwachstellen hereinfallen. Man solle sich lieber darum kümmern, dass das System trotzdem jederzeit funktioniere. Er warf seinen Kollegen vor, dass sie gerne einzelne Bereiche und Abteilungen mit ihrem Vorgehen außer Gefecht setzen. »Ich habe schon oft beobachtet, dass die IT-Sicherheitsfachleute die Mitarbeiter wie unartige Kinder behandeln und ihnen durch die Security-Tools auf die Finger schauen«, echauffierte sich Bonner. Jene fühlen sich dadurch beobachtet und bevormundet. Dabei hält er die meisten Firmennutzer gar nicht für das Sicherheitsrisiko. Wenn man sie erwachsen behandele, informiere, weiterbilde und ihnen Verantwortung übertrage, würden sie sich professioneller und vorsichtiger verhalten im Umgang mit wichtigen Daten und möglichen Risiken, argumentiert der IT-Manager.
Mit seinen progressiven Thesen erntete Stephen Bonner natürlich einiges an Gegenwind auf der Security-Konferenz, doch wer die kindischen und meist erschreckend naiven Maßnahmen in einigen deutschen Großbetrieben mal aus der Nähe gesehen hat (z.B. Hochsicherheitsschleusen zu Räumen, die von der Seite durch eine einfache Holztür zu betreten sind), erkennt den wesentlichen Punkt in Bonners Sichtweise: Verantwortung delegieren und Vertrauen schenken funktioniert erschreckend gut. Doch wer braucht dann noch die vielen Manager?
(Quelle: TheInquirer.de)