Home » Fachbeiträge » itsa 2022 » Sieben Punkte für die IT-Sicherheit 2022/23

Sieben Punkte für die IT-Sicherheit 2022/23

In sieben Punkten spannen Sicherheitsexperten den Bogen vom Sicherheitsbewusstsein der Mitarbeitenden bis zur nahen Zukunft mit künstlicher Intelligenz (KI) und Machine Learning. Vor allem aber wird deutlich: IT-Sicherheit ist ein permanenter Prozess. 

4 Min. Lesezeit
tete_escape - stock.adobe.com

Advertorial

Worauf sich Unternehmen in Sachen Authentifizierung und Passwortmanagement einstellen müssen

Was sind derzeit die interessanten Themen in der IT-Sicherheit? Mit welchen Herausforderungen in Sachen Authentifizierung und Passwortmanagement müssen Unternehmen rechnen? In sieben Punkten spannen Sicherheitsexperten den Bogen vom Sicherheitsbewusstsein der Mitarbeitenden bis zur nahen Zukunft mit künstlicher Intelligenz (KI) und Machine Learning. Vor allem aber wird deutlich: IT-Sicherheit ist ein permanenter Prozess.

 

Währende Unternehmen im Kontext von Cloud Services, Hybrid-Arbeit oder Internet of Things (IoT) immer komplexere IT-Strukturen aufbauen, wächst zugleich auch das Sicherheitsbedürfnis in diesem Zusammenhang, denn die Zahl der Cyberangriffe steigt weiterhin beträchtlich – und das wird wohl auch so bleiben. Doch worauf genau kommt es jetzt an?

1. NAHTLOSE NUTZERERLEBNISSE

Die Praxis in der IT-Sicherheit zeigt, dass eine wichtige Herausforderung für Sicherheitsexperten darin besteht, eine angenehme Nutzererfahrung für die Mitarbeitenden mit voller Kontrolle für die IT-Abteilung zu verbinden. Mit anderen Worten: Sicherheit muss gegeben sein, darf aber nicht die Produktivität der Nutzer oder ihre User Experience beeinträchtigen. Dies führt zwangsläufig dazu, dass Enterprise Passwortmanager sich mit Themen wie der passwortfreien Anmeldung beschäftigen, um genau diesen Spagat zu schaffen. Hier gibt es vielversprechende Lösungen.

2. PASSWORTLOS ARBEITEN

Die momentan gängigen Methoden der Authentifizierung mit lediglich einem Usernamen und einem Passwort führen zu Social Hacking. Aber: Fast jeder ist es auch schon gewohnt, bei der Interaktion mit seinem Unternehmen, der Bank oder der Krankenversicherung einen zweiten Faktor zu benutzen wie etwa eine zusätzliche SMS oder ein zweites Einmal-Passwort.
„Passwortlos“ ist schlicht und einfach eine Erweiterung davon, bei der man ein Smartphone und biometrische Daten (etwa Fingerabdruck oder Gesicht) nutzt. Das Standard-Protokoll dafür heißt FIDO2 – es wird in der Branche weithin unterstützt, so etwa auch von Microsoft, Apple und LastPass.
Passwortmanager können Nutzern jetzt schon das passwortfreie Anmelden beim Passwort-Vault mit einem Authenticator anbieten. Sobald man den Authenticator mit dem Passwort-Vault gekoppelt hat, kann man sich per einfachem Fingertipp anmelden.

3. DAS ZERO-TRUST-PRINZIP

Unternehmensinterne Zugänge dürfen angesichts neuer IT-Strukturen und Cyberbedrohungen nicht mehr grundsätzlich als vertrauenswürdig angesehen werden. Das Zero-Trust-Modell beantwortet wachsende Anforderungen der IT-Sicherheit mit gesundem Misstrauen. Die Idee: Mitarbeitende, Anwendungen und Geräte dürfen jeweils nur mit geringstmöglichen Privilegien auf das System zugreifen. Dieses „Least Privilege“ genannte Prinzip macht dabei keinen Unterschied zwischen internen und externen Zugriffen. Eine so verbesserte Identitätsverwaltung stärkt den Schutz der Infrastruktur von Unternehmen zusätzlich.

 

4. DARKWEB-ÜBERWACHUNG

Ein guter Enterprise Passwortmanager überwacht kontinu-ierlich, ob unternehmensrelevante E-Mail-Adressen in Datenbanken mit gehackten E-Mail-Adressen auftauchen. So helfen Darkweb-Scans Unternehmen, sich vor Kontodiebstahl, Netz-werkangriffen, Datenverlusten und Datenschutzverletzungen zu schützen, da sie auf kompromittierte Konten aufmerksam gemacht werden. Dank zeitnaher Warnungen können Mitarbeitende ihre Passwörter sofort ändern und verdächtigen Aktivitäten auf die Spur kommen. So steigert die Darkweb-Überwachung das Cyberbewusstsein und die Cyberresilienz der User.
Admins können sehen, welche Benutzer Darkweb-Warnmeldungen erhalten haben – das ist gut für die Nachvollziehbarkeit, sollten vertrauliche Unternehmensdaten in die Öffentlichkeit gelangen. So können gegebenenfalls seitens der IT jederzeit und rechtzeitig Gegenmaßnahmen eingeleitet werden.

5. KI UND MACHINE LEARNING

Auch in der Cybersicherheit werden maschinelles Lernen (ML) und Deep Learning (DL) immer wichtiger und technologiebasierte Cybersicherheitspraktiken entwickeln sich kontinuierlich vorwärts, denn Unternehmen und ihre Dienstleister werden in Zukunft noch sehr viel mehr in der Lage sein müssen, Vorfallsdaten, fehlerhafte oder doppelte Datensätze und eine Vielzahl von Malware-Mustern über Tausende von Protokollen zu bewältigen. Deshalb werden künstliche Intelligenz (KI) und ML eine immer bedeutendere Rolle spielen, um schneller und zuverlässiger kriminelle Muster bei großen Datenmengen aufzuspüren und entsprechend frühzeitig Warnungen zu generieren.
Aber: Cyberkriminelle wissen diese Technologien auch zu nutzen und entwickeln ihre Methoden dementsprechend weiter. Unternehmen müssen also endgültig erkennen, dass IT-Sicherheit definitiv keine einzelne punktuelle Aktion ist, sondern als ein dynamischer, permanenter Prozess begriffen werden muss.

6. SICHERHEIT IN DER CLOUD

Mehr und mehr Anwendungen werden in die Cloud ausgelagert. Deshalb müssen Unternehmen sicherstellen, dass die von ihnen genutzten Cloud Services auch was die Sicherheit angeht up to date sind. Sie müssen ihr Cloud-Management im Griff haben – derzeit leider noch keine Selbstverständlichkeit. Betroffen sind hier etwa Fragen zu Verschlüsselung, Authentifizierung oder Audit-Protokollierung. Dienstleister und Unternehmen müssen hier offen miteinander umgehen.

7. LAST BUT NOT LEAST: BEWUSSTSEIN!

Egal, ob Mitarbeitende zu Hause, unterwegs oder im Büro arbeiten, ihnen muss klar sein, welche Gefahren von Cybercrimes ausgehen, welche Rolle sie selbst dabei spielen und welche Schritte und Tools zur Bekämpfung eingesetzt werden. Dabei genügt es nicht, Mitarbeitende einmal zu schulen. Das Thema „IT-Sicherheit“ sollte fest in der Kultur des Unternehmens verankert sein. Nur so können IT-Manager sicherstellen, dass sich ihre User während der gesamten Arbeitszeit vorsichtig verhalten und keine Sicherheitspannen durch Leichtsinnsfehler entstehen.

 

Autor: Peter van Zeist, Principal Solutions Consultant, LastPass

Andere interessante Fachbeiträge

Gefahr Fehlkonstruktion

Mehr und mehr Organisationen stellen ihre IT-Architektur auf die Nutzung von Multicloud-Umgebungen um – nicht zuletzt, um einen Vendor Lock-in zu verhindern. Die Analysten von KPMG stellten diesen Trend bereits 2020 fest, denn 87 Prozent der dort befragten Großunternehmen ab 2.000 Mitarbeiter richteten ihre Strategie entsprechend aus.

Was auf die Gerätelandschaft zukommt

Viele Entwickler von Sicherheitslösungen haben es sich zum Ziel gesetzt, mit den wichtigsten Trends Schritt zu halten und verwertbare Informationen zu gewinnen. Nach aktuellen Erkenntnissen zeichnet sich eine Reihe von Trends in der Cyber-Bedrohungslandschaft ab.

Outsourcing als Strategie gegen komplexe Security

Einfach war früher. Seit Cyberangriffe mit voller Wucht und mit wechselnden Methoden auf die Unternehmen hereinbrechen, fühlen sich Security-Teams wie Hamster im Laufrad. Sie schließen Sicherheitslücken und decken sich mit immer mehr neuen Sicherheitstools ein, wie die steigenden Ausgaben für IT-Sicherheit zeigen. Und am Ende werden sie doch Opfer eines Angriffs.