IT-Security für die digitale Transformation

Für Unternehmen ist es essenziell, mit der Konkurrenz mindestens Schritt zu halten oder besser sogar etwas schneller zu sein. So kommt es, dass die digitale Transformation für einen Boom in der Kreation von softwarebasierten Werkzeugen gesorgt hat. Techniken wie Container erlauben es zudem, die Entwicklung zu beschleunigen und damit neue Funktionen schnell bereit zu stellen. Dies sorgt aber auch dafür, dass die Entwicklung eigentlich nie abgeschlossen ist, sondern sich in einer Art Dauerschleife immer wieder erneuert. Ein Prozess, der in der Branche unter dem Namen "DevOps" (Development Operations) geführt wird. Die Automatisierung von Standardaufgaben sorgt dafür, dass dieser Prozess immer schneller voranschreitet und möglichst nicht ausgebremst wird.

An die Sicherheit denken!

Hier kommt das Thema IT-Sicherheit ins Spiel: Wenn Programme immer schneller entwickelt und verbreitet werden, kann ein Crash immense Auswirkungen haben. Schnell sind Kundendaten verloren oder Angriffsfläche für digitale Schädlinge geboten. Je später ein Fehler entdeckt wird, desto tiefer ist er im Programm eingebettet und desto schwieriger zu beheben. Ein Problem, das übrigens aus der traditionellen Fertigung nur allzu bekannt ist.

Traditionelle IT-Sicherheit wirkt allerdings allzu häufig als Bremse, wenn sie lediglich auf das fertige Produkt aufgesetzt wird und den Entwicklungsprozess "stört", indem sie hinterher ihr Veto einzureichen versucht. So passiert es leider regelmäs­sig, dass die IT-Security bei Neuentwicklungen gar nicht oder nur teilweise berücksichtigt wird. Solange nichts passiert, scheint diese Kalkulation auch aufzugehen. Wenn aber dann etwas schiefläuft, sind die Kosten entsprechend hoch. Schliesslich müssen dann unter Umständen mehrere Entwicklungszyklen überarbeitet werden.

Security nahtlos integrieren

Zeitgemässe IT-Sicherheit begleitet hingegen den Entwicklungszyklus bei jedem Schritt im Kreislauf und sichert zudem die IT-Umgebung gegen Störungen von aussen ab. Sie integriert sich nahtlos in den DevOps-Prozess, damit Probleme möglichst früh erkannt werden, und unterstützt dabei, sie zu beheben. Hier können wir von der industriellen Fertigung lernen: In den seltensten Fällen wird nur das Endprodukt einer Produktionskette durch die Qualitätssicherung abgenommen. Stattdessen wird zusätzlich jeder Schritt in der Prozesskette überwacht. Das muss auch im DevOps-Prozess geschehen.

Die grösste Herausforderung, welche die Digitalisierung für die IT-Security bereithält, ist es aber, verschiedene Sicherheitsmethoden zusammenzuführen und zu vereinen. DevOps benötigt IT-Sicherheit im Prozess und im Lebenszyklus. Die Umgebung sowie die Daten, die durch die Digitalisierung erzeugt werden, benötigen wiederum Security auch im klassischen Sinne. Oft spielt bei der Thematik auch die Cloud – ob Public, Private oder in hybrider Form – eine Rolle.

Angesichts dieser Herausforderung und der ohnehin angespannten Ressourcenlage beim IT-Sicherheitspersonal stehen gerade diese Abteilungen oft unter enormen Druck und versuchen aus schierer Überlastung leider auch, manche Neuerung zu blockieren. Das wiederum sorgt gerade in dynamischen Entwicklungsumgebungen für Frust. Erfahrungsgemäss benötigen Unternehmen deshalb sowohl Sicherheitstechnologie, die ihnen möglichst alle Optionen bietet, inklusive der Automatisierung von Sicherheit im DevOps-Prozess (DevSecOps), als auch einen Partner, der beratend zur Seite steht und bei der Implementierung hilft.

----------

Die Bedrohungslandschaft wird ­immer undurchsichtiger

Mit der fortschreitenden digitalen Transformation ändern sich auch die Anforderungen an die IT-Sicherheit. Wie Managed Security Services Abhilfe schaffen können, erklärt Michael ­Unterschweiger, Regional Director Schweiz & Österreich von Trend Micro. Interview: Colin Wallace

Trend Micro gehört zu den Anbietern von Managed Security Services. Für welche Unternehmen sind diese interessant?

Michael Unterschweiger: Das sind vor allem kleine und mittlere Unternehmen. Aber auch für den gehobenen Mittelstand werden solche Dienstleistungen zunehmend eine Alternative zum klassischen Lizenzierungsmodell.

Warum entscheiden sich diese Unternehmen für Managed Services?

Der wichtigste Grund ist wahrscheinlich der Fachkräftemangel: Immer weniger Unternehmen finden überhaupt IT-Mitarbeiter. Und die auf dem Markt verfügbaren Kräfte können inzwischen Gehälter fordern, die sich kaum ein kleineres Unternehmen mehr leisten kann. Diese Problematik wird noch durch die zunehmende Komplexität in der IT verschärft. Das betrifft erstens die In­frastrukturen: Hybride Infrastrukturen und neue Technologien wie Microservices und Serverless-Architekturen erfordern die Implementierung und den Betrieb entsprechender zusätzlicher Sicherheitsmassnahmen. Zweitens steigen auch die Compliance-Anforderungen beständig, etwa durch die EU-Datenschutzgrundverordnung, die auch viele Schweizer Unternehmen betrifft. Immer mehr Verantwortliche fühlen sich unsicher, wie sie solche Vorgaben vollständig erfüllen können. Und drittens wird auch die Bedrohungslandschaft immer undurchsichtiger und Cyberangriffe raffinierter. Security muss deshalb in Echtzeit zur Verfügung stehen und auf Angriffe reagieren, sobald sie geschehen. Im Gegensatz zu früher kommt es dabei nicht nur auf die Abwehr von Bedrohungen an: Gerade auch die Erkennung von stattgefundenen Angriffen und ihre Bewältigung – Detection & Response – spielen eine immer grössere Rolle. Managed Service Provider mit gut ausgebildetem Personal können bei allen drei Themen unterstützen und damit für Sicherheit sorgen.

Wie finden Unternehmen den richtigen Partner?

Sicherheit ist immer auch Vertrauenssache. Idealerweise haben Unternehmen bereits einen Partner, mit dem sie schon länger zusammenarbeiten und dem sie vertrauen. Dann sollten sie im ersten Schritt diesen darauf ansprechen, ob er sie nicht mit Managed Services unterstützen kann. Zudem sind natürlich die genutzten Sicherheitslösungen von grosser Bedeutung. Analysten raten dazu, eine möglichst umfassende und konsolidierte Lösung einzusetzen, die die gesamte IT-Infrastruktur schützt und die Erkenntnisse zentral bereitstellt. Um zusätzliches Vertrauen zu schaffen, sollte die Software zudem von einem etablierten und bewährten Anbieter wie Trend Micro stammen.

Welche Vorteile bietet Trend Micro seinen MSP-Partnern?

Für Partner bei Managed Services ist es oft nicht möglich, in Vorleistung zu gehen. Klassische Kauf-Wartungs-Modelle funktionieren hier nicht, da Partner gezwungen wären, ihren Bedarf weit im Voraus abzuschätzen und dementsprechend zu investieren. Wir bieten daher für viele Lösungen eine Service-Provider-Option, die es ermöglicht, die Leistung quartalsweise nach Verbrauch zu verrechnen. Zusätzlich bieten wir Tools und Reports, welche die Verwaltung mehrerer Kunden zulassen. Damit bleiben unsere Partner automatisch über auftretende Probleme ihrer Kunden auf dem Laufenden. Dazu kommt 24/7-Hersteller-Support, den Partner auch ihren Kunden zur Verfügung stellen können und diese dadurch im Ernstfall schnell und kompetent versorgen.