Security by Design für
kritische Infrastrukturen

 

Security by Design ist in der IT ursprünglich als Prinzip für die Entwicklung von sicherer Software entstanden. Ziel ist es, Softwarelösungen im Kern so zu designen, dass sie im Praxiseinsatz nicht, oder nur mit hohem Aufwand angreifbar werden. In der Softwarebranche hat sich dieses Prinzip bereits vielfach durchgesetzt, denn die damit verbundenen Kosten sind deutlich geringer, als die Folgekosten durch Cyberkriminalität.

Wie sieht es aber mit der Umsetzung von Security by Design bei der Konzeption von IT-Infrastruktur aus? Ist es möglich Netzwerke so zu betreiben, dass Sicherheit, Skalierbarkeit und Nutzbarkeit im Einklang bleiben?

Wie können Anforderungen der DSGVO, oder Prinzipien wie der Zero Trust Network Access (ZTNA) so umgesetzt werden, dass Cyberangriffe bereits durch die Konzeption des Netzwerks und Auswahl der eingesetzten Komponenten unwahrscheinlicher werden?
Der Reduzierung möglicher Angriffsflächen für Cyberkriminelle kommt dabei eine immer wichtiger werdende Rolle zu. Besondere Bedeutung hat dabei, dass dem Anwender nur die zur Durchführung seiner Aufgabe notwendigen Privilegien zugewiesen werden (PoMP – pricipal of minimal privilege).

Befindet sich der Arbeitsplatz im Unternehmen, genügt ein ausreichender Perimeterschutz durch Firewalls oder ähnliche Maßnahmen um diesen abzusichern. Mobile Arbeitsplätze oder das Homeoffice haben allerdings dazu geführt, dass dieser Schutz durch die hohe Zahl der Endgeräte um ein Vielfaches komplexer geworden ist.

Die neue Arbeitswelt hat aufgezeigt, dass herkömmliche Methoden der Anbindung durch VPNs schnell an ihre Grenzen stoßen, nicht nur technisch, sondern auch finanziell. Auch lässt sich das vorher beschriebene PoMP-Prinzip beim Einsatz von VPNs in der Praxis nicht vernünftig realisieren. Denn ein VPN ermöglicht zunächst den Zugriff des Anwenders auf das gesamte Netzwerk, der anschließend mühsam wieder eingeschränkt werden muss. Ursprünglich wurden VPNs zur sicheren Standortvernetzung eingesetzt und dort haben sie nach wie vor ihre Daseinsberechtigung. Aber in einer „work from anywhere“ dominierten Arbeitswelt passt diese Technologie nicht mehr.

Gedanken zu Best of Breed

Auch wir privat neigen immer wieder dazu, Best of Breed zu verfolgen. Bei unseren Handys, bei Werkzeug oder anderen Dingen in unserem Leben. Es liegt in der Natur des Menschen den Nutzen zu Maximieren und Best of Breed bedeutet ja oftmals genau das: - am besten ausgestattet, oder am leistungsfähigsten - eben das Beste seiner Klasse.

Es gibt nur ein Problem dabei:
Wenn es um ein zusammenhängendes Konstrukt geht, welches aus vielen untergeordneten Teillösungen besteht, dann kann Best of Breed zu einem Best of Problems werden – und genau das trifft in der IT zu.

Denn das Beste seiner Klasse zu sein bedeutet ja nicht gleichzeitig, auch das beste im Adaptieren, Integrieren oder Zusammenarbeiten zu sein. Es ist wunderbar, von jeder Komponente in einem System die beste zu haben. Aber nun stellen Sie sich einmal eine Gruppe der besten Wissenschaftler der Welt vor, einer aus Indien, einer aus China, einer aus Frankreich, usw. – und jeder von diesen beherrscht lediglich seine eigene Landessprache und –schrift. Nun hat man Best of Breed in einem Raum, und das Team ist nur so gut, wie genau der eine Beste unter ihnen, denn die Teamleistung kann nicht genutzt werden – wie sollten sie auch miteinander kommunizieren?!

In der IT ist es genauso. Hat man von jedem das Beste ist das toll, aber können die Teillösungen auch nahtlos zusammenarbeiten, sodass erst die benötigte Leistung des Systems erreicht werden kann? Hoffentlich, denn Kommunikationsprobleme bei sicherheitstechnischen Einrichtungen können unter Umständen große Sorgen bereiten.

Wie wäre es deshalb einmal mit dem Ansatz: Best of seamless Integrators?

Unsere Tipps haben Ihnen weitergeholfen? Wie immer freuen wir uns auf Ihr Feedback und sind bei Fragen natürlich immer für Sie da.

Mit freundlichen Grüßen,

 

E-Mail: f.heller@beyondssl.com

Telefon: 0911 495 229 37