Durch das richtige Gleichgewicht zwischen automatisierten und manuellen Prozessen kann ein Unternehmen kontinuierliche Compliance erreichen und Audit-Berichte lückenlos sowie mit wesentlich geringerem Aufwand erstellen.

Compliance-Standards gibt es weltweit in Hülle und Fülle. Manche Unternehmen legen eigene, interne Richtlinien fest; andere wiederum halten globale Regelwerke ein, wie PCI DSS zum Schutz der Kreditkartendaten von Kunden, SOX zum Schutz von Finanzinformationen oder die DSGVO zum Schutz von personenbezogenen Daten aller Art in der Europäischen Union. Gemeinsam ist allen, dass sie für jede Branche verpflichtend sind und ebenso die Dokumentation und regelmäßige Überprüfung, auch bekannt als Audit. Hier müssen Unternehmen beweisen, dass sie die Compliance-Vorgaben wirklich einhalten. Gleichzeitig sind diese ein Indikator für die Sicherheitslage der Firma.

Audits werden zur Belastung. Die Risiko- und Sicherheits-Audits über das Jahr jedoch von Hand durchzuführen, das ist eine langwierige und mühsame Angelegenheit. So ergab eine Studie von Coalfire und Omdia aus dem Jahr 2020, dass die zunehmenden Compliance-Verpflichtungen bei der Mehrzahl der Unternehmen 40 Prozent oder höher des IT-Sicherheitsbudgets verschlingen und somit zu einem untragbaren Kostenfaktor zu werden drohen [1]. Die Studie nennt zwei Gründe für diese wachsende Belastung: Zum einen verändern sich die Standards von punktuellen Prüfungen hin zu kontinuierlichen, ergebnisbasierten Forderungen und zum anderen können die Unternehmen aufgrund des anhaltenden Mangels an Fachkräften kaum mit den Änderungen der Compliance-Richtlinien Schritt halten. Als Konsequenz neigen Unternehmen dazu, diese Aufgaben bis zum letzten Moment aufzuschieben und sie in Zeitnot – und daher mit mangelnder Genauigkeit des Audits – auszuführen. Die Firmen setzen sich dabei jedoch Gefahren aus: Es drohen Geldbußen, Sicherheitslücken oder sogar ein Datenleck.

Prozesse automatisieren und einfacher gestalten. Die Lösung muss eine Vereinfachung des Vorgangs sein und hier kommt die Automatisierung der Netzwerkverwaltung ins Spiel, denn: Der Audit-Prozess selbst besteht aus einer Reihe von Vorgaben, die formuliert und erfüllt werden müssen, also an denen sich das Unternehmen messen lässt. Jede Regel wird bislang von Hand analysiert und simuliert, bevor sie implementiert und in der realen Welt angewandt werden kann. Doch als wäre das nicht schon zeitaufwändig genug, muss jede einzelne Regeländerung akribisch protokolliert werden – in großen Netzwerken von Konzernen, oder mit Cloud-Anbindung, eine Vollzeitbeschäftigung. Dieser Ablauf lässt sich nun mithilfe einer guten Konsole zur Netzwerkverwaltung automatisieren, was die ohnehin dünn gesäten Fachkräfte entlastet und die Fehleranfälligkeit in Richtung von Null tendieren lässt. Die Automatisierung kümmert sich dann selbstständig um den Abgleich der Regeln mit Änderungen im Netzwerk und macht Vorschläge, wie diese angepasst werden können. Auf Knopfdruck gibt der Administrator die Anpassung frei und die Automatisierung setzt sie auf allen Systemen und in allen Netzwerkumgebungen durch – weswegen eine Mikro-Segmentierung endlich handhabbar wird. Wenn die Verantwortlichen also das richtige Gleichgewicht zwischen automatisierten und manuellen Prozessen herstellen, kann ihr Unternehmen kontinuierliche Compliance erreichen und Audit-Berichte lückenlos und mit wesentlich geringerem Aufwand erstellen.

In sechs Schritten zur einfachen Auditierung gelangen. Die nachfolgende Sechs-Schritte-Strategie kann jeder Führungskraft eines Unternehmens helfen, erfolgreich die Auditierung auf eine nervenschonende Automatisierung umzustellen:

Schritt 1: Informationen erfassen
Dieser Schritt ist der mühsamste, doch der grundlegendste. Nach der ersten Sammlung ist das Fundament ausgehoben und es werden nachfolgende Aktualisierungen vergleichsweise einfach sein. In dieser Phase müssen die Fachkräfte alle Sicherheitsrichtlinien, Firewall-Zugriffsprotokolle, außerdem Dokumente aus früheren Audits, Anbieterinformationen und so weiter erfassen – also im Prinzip alles, was bei einem manuellen Audit-Vorgang berücksichtigt würde.

Schritt 2: Einen Management-Prozess definieren
Ein guter Change-Management-Prozess ist unerlässlich, um bei Firewall-Änderungen eine Nachvollziehbarkeit und festgelegte Verantwortlichkeit zu gewährleisten. Das Verfahren sollte dafür sorgen, dass jede Änderung vor der Durchführung ordnungsgemäß autorisiert wurde und protokolliert ist. So gewinnen die Administratoren eine ungekannte Übersicht aller vorgenommenen Änderungen und Genehmigungen.

Schritt 3: Die Sicherheit der Hardware und Betriebssysteme prüfen
Wegen der Corona-Pandemie und der Maßnahmen ist die Zahl der Fernarbeiter und tragbaren Geräte sprunghaft angestiegen. Jetzt müssen Unternehmen besonders sorgfältig darauf achten, dass jeder Endpunkt gesichert ist und die relevanten Patches umgehend erhält. Firewall- und Management-Dienste müssen bezüglich ihrer Hardware außerdem physisch geschützt werden, und nur ausgewiesenes Personal darf Zugriff und Zugang auf sie und zu ihnen haben. Eine Prüfung der Sicherheitslage ist unumgänglich, um rechtzeitig klar Schiff zu machen.

Schritt 4: Regeln bereinigen und strukturieren
Wie für jeden Prozess gilt besonders für diesen: Je sorgfältiger er durchgeführt wird, desto effizienter ist er und umso weniger Arbeit oder Fehler fallen künftig an. Regeln für Dokumente und Namenskonventionen sollten auf ihre Aktualität und Notwendigkeit geprüft und dann durchgesetzt werden, damit das Regelwerk von Beginn an möglichst gut organisiert ist. Identische Regeln sollten konsolidiert werden, und überflüssige schlicht gelöscht.

Schritt 5: Risiko bewerten und senken
Im fünften Schritt ist es an der Zeit, jede Regel nach ihrer Schutzwirkung zu bewerten, dabei die besonders riskanten Regeln zu ermitteln und die Bedrohungen nach Schwere zu priorisieren. Möglicherweise gibt es sogar Regeln, die gegen die Sicherheitsrichtlinien des Unternehmens verstoßen. Es kommen gerne auch solche vor, die jedem Nutzer oder Gerät den Zugriff und gewisse Aktionen uneingeschränkt erlauben. Es lohnt sich daher sehr, eine Liste dieser Regeln zu erstellen und sie dann genauestens zu analysieren, um Maßnahmen planen und ergreifen zu können.

Schritt 6: Optimieren und für Kontinuität sorgen
Von nun an werden die ersten fünf Schritte ständig verfeinert, um dafür zu sorgen, dass diese Prozesse so langlebig, unterbrechungsfrei und schlank wie möglich gestaltet sind.

Compliance auf hohem Niveau erreichen. Am Ende dieser koordinierten Umstrukturierung steht ein selbst aufgebautes Verfahren für die Auditierung, dass mithilfe einer guten Automatisierungslösung beinahe selbstständig arbeitet. Es erleichtert fortan das Leben aller beteiligten Mitarbeiter und lässt die Führungskräfte ruhiger schlafen, weil routinemäßige Compliance- und Audit-Maßnahmen nun wesentlich vereinfacht wurden. Künftig wird das Unternehmen somit nicht nur im Hinblick auf die Compliance besser abschneiden, sondern in der Lage sein, das hohe Compliance-Niveau langfristig aufrechtzuerhalten – ohne die Störungen oder Mühen, die mit schwerfälligen, aufwändigen und teuren manuellen Prozessen einhergehen.

Tal Dayan,
Sicherheitsexpertin
bei AlgoSec

www.algosec.com

[1] https://experience.coalfire.com/securealitiescompliancereport2020/p/1

Illustration: © cosmaa /shutterstock.com

1883 Artikel zu „Compliance“

NEWS | IT-SECURITY

Datenschätze regelkonform schützen: Management von Datenbank-Sicherheit und Compliance

15. März 2021

Die nahezu flächendeckende Digitalisierung von Wirtschaft und Gesellschaft und nicht zuletzt die Covid-19-Krise haben die Anforderungen an die Datenbank-Sicherheit und Compliance erheblich verschärft. Compliance und Sicherheit sind zwei eng miteinander verbundene Konzepte, die sich auf alle Datenbanken auswirken, die personenbezogene und andere sensible Daten speichern. Heutzutage umfasst die Datenbank-Sicherheit Vorkehrungen für den Schutz personenbezogener Daten;…

Durch das richtige Gleichgewicht zwischen automatisierten und manuellen Prozessen kann ein Unternehmen kontinuierliche Compliance erreichen und Audit-Berichte lückenlos sowie mit wesentlich geringerem Aufwand erstellen.

Tal Dayan, Sicherheitsexpertin bei AlgoSec

[1] https://experience.coalfire.com/securealitiescompliancereport2020/p/1

1883 Artikel zu „Compliance“

Tal Dayan,
Sicherheitsexpertin
bei AlgoSec