Information Leak Prevention (ILP) - Digitaler Werkschutz

Information Leak Prevention (ILP) - Digitaler Werkschutz
Zugangsschranken, Videokameras und gelegentliche Routine-Checks von Fahrzeugen, sind beim
Werkschutz Standard. Wo der Verlust unternehmenskritischer elektronischer Daten zu enormen
wirtschaft-lichen Schäden führen kann, sind digitale Lösungen unabdingbar, die vergleichbare
Security-Standards auch im IT-Umfeld etablieren. Für die physische Sicherheit im Unternehmen ist
der Werkschutz zuständig. Seine Aufgabe: Gefahren und Schaden abwehren. Seine Hilfsmittel sind
Alarmanlagen, Brandmelder und Bewegungssensoren. Darüber hinaus müssen sich Besucher bei
ihrer Ankunft anmelden und erhalten einen temporären Ausweis, den sie bei Verlassen des
Gebäudes wieder abgeben. Die Fahrzeuge von Fremdfirmen werden bei der Ein- und Ausfahrt
registriert und auch die Mitarbeiter müssen sich beim Betreten des Gebäudes mit einer
elektronischen Kennkarte ausweisen. Das Firmengelände ist so rein physisch sehr gut gesichert.
Früh haben Unternehmen die Vorteile des Internets erkannt und damit begonnen, diese für sich zu
nutzen. Folglich gibt es heute kaum noch sensible Firmendaten, die nicht digital abgespeichert
werden und über das Internet mit Geschäftspartnern ausgetauscht werden. Umso wichtiger
erscheint es jetzt, diese Informationen besser denn je zu schützen. Kun-dendaten, Verträge,
Angebote oder Konstruktionspläne aus der For-schung und Entwicklung finden sich zuhauf in den
Datenbanken und auf den Fileservern von Unternehmen.
Beim Datenschutz hat sich in den letzten Jahren viel getan, wenn auch noch nicht genug. Die gute
Nachricht vorweg: Fast jedes Unternehmen nutzt heute Virenschutzsoftware, Firewalls und
Zugangskontrollen in Form von Passwörtern oder Tokens. Die schlechte Nachricht: Ihre Schutzkraft
ist nicht ausreichend, wenn die auf diese Weise geschützten IT-Systeme von raffinierten Hackern
ausgehebelt werden. Phishin-gangriffe, Trojaner, Würmer und andere Formen schadhaften
Programm-codes finden immer neue Mittel und Wege zu ihrem Ziel. Dass solche Angriffe häufig
unbemerkt stattfinden, sollte Anlass genug sein, die digi-tale Integrität von Prozessen und Systemen
zu hinterfragen.
Informationslecks: eine wachsende Herausforderung
Vertrauliche Unterlagen und Dokumente, die Firmen früher im Tresor aufbewahrten, werden heute
in der Regel nur unzureichend mit Passwör-tern gesichert auf Fileservern gespeichert. Wer kennt sie
nicht, die Bei-spiele von Banken, die einer großen Zahl Ihrer Kunden neue Kreditkarten ausgestellt
hat, weil irgendwo auf der Welt ein Hacker ins Netzwerk ein-gedrungen oder ein mobiler PC
abhandengekommen ist? Neuesten Schät-zungen zufolge kostet der Missbrauch von Kreditkarten
(on- & offline) deren Anbieter um die 2 Milliarden US-Dollar pro Jahr, Tendenz weiter steigend. In
Massachusetts liegt bereits ein Gesetzentwurf vor, der den Handel stärker in die Verantwortung
nimmt, wenn es zu einem Verlust vertraulicher Daten kommt. Der Entwurf sieht vor, dass künftig
derjenige die entstandenen Kosten trägt, der den Verlust der Daten verschuldet hat.
Warum aber sollte erst ein Gesetz nötig sein, um Regelungen für das digitale Zeitalter zu finden, die
anderweitig bereits akzeptierter Standard sind? Nicht jedes Unternehmen hat weltweit gültige
Patente und schützenswerte Formeln, dennoch gibt es genügend Vorfälle, bei denen vertrauliche
Daten das Unternehmen auf elektronischem Wege unbeabsichtigt verlassen können.
So wird versehentlich und meist unbemerkt das falsche Dokument per Attachment verschickt. In
anderen Fällen ergänzen Outlook oder Notes automatisch die E-Mail-Adresse und aus Unachtsamkeit
haben die ver-traulichen Geschäftsunterlagen den falschen Empfänger erreicht. Wird der Irrtum
sofort bemerkt, hält sich der Schaden in Grenzen. Landen die wichtigen Daten jedoch in den falschen
Händen, kann daraus sehr schnell ein wirtschaftlicher Vorteil gezogen werden.
An gesetzlichen Regelungen mangelt es nicht, allein sie gelten nicht in allen Branchen. Für eine Reihe
von Unternehmen beispielsweise aus dem Versicherungswesen, aber auch für Finanzdienstleister,
Ärzte, Anwälte und andere Berufsgruppen existieren recht umfangreiche Gesetze, Vor-schriften und
Regeln für die elektronische Datenkommunikation. Sie haben in der Regel bereits formelle
Maßnahmen zum Schutz geistigen Eigentums, persönlicher Daten und anderen Formen des
elektronischen Geschäftsverkehrs getroffen.
Das gilt zunächst einmal für den Datenschutz, also den Schutz persönli-cher Daten vor Missbrauch
durch Dritte. Vorsätzliche oder fahrlässige Ordnungswidrigkeiten werden im
Bundesdatenschutzgesetz1 (BDSG) mit Bußgeldern bis zu 250.000 Euro geahndet (§ 43). Stand
dahinter die Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen,
drohen neben Geldstrafen auch Freiheitsstrafen von bis zu zwei Jahren (§ 44).
Information Leak Prevention (ILP)
Bei der IT-Sicherheit im engeren Sinn geht es um die Integrität, Vertraulichkeit und Verfügbarkeit von
Daten. Analog zum physikalischen Werkschutz sind viele Unternehmen auch im digitalen Umfeld sehr
stark auf Systeme zur Zugangskontrolle fokussiert. Ist der User einmal authentifiziert, gibt es bislang
aber nur recht lose Schranken, wie mit den vorhandenen Daten umzugehen ist. Hier setzt das
Konzept für ILP-Lösungen nahtlos an.
Geprägt wurde der Begriff „Information Leak Detection and Prevention“ (ILD&P) ursprünglich einmal
durch das Marktforschungs- und IT-Beratungsunternehmen IDC. Inzwischen bürgert sich ILP als
eigen-ständige Aufgabe im Rahmen eines umfassenden IT-Risikomanagements in den Unternehmen
ein.
Ähnlich wie bei Maßnahmen zur Gefahrenabwehr von außen (Intrusion Detection and Prevention
System – IDS/IPS) unterscheidet IDC zwischen desktop- und netzbasierten Ansätzen. Technologische
Innovationen für die Kategorisierung von Informationen bedeuten, dass den anfänglich
desktoporientierten Verfahren inzwischen weitreichendere, netzbasierte Ansätze für breit
gefächerten Schutz gegenüberstehen. Wurde Unternehmen bislang die Überwachung von USB-
Schnittstellen als Einzelmaßnahme empfohlen um Informationslecks zu verhindern, eröffnen sich
durch ILP nun erstmals ganzheitliche Optionen für den Datenschutz und die Informationssicherheit.
Maßnahmen für mehr Datensicherheit
Am Beginn eines umfassenden IT-Security-Managements steht eine Risi-kobewertung. Vereinfacht
ausgedrückt untersuchen Unternehmen, wie wahrscheinlich das Eintreten eines bestimmten
Schadens ist und welche Auswirkungen der Schaden hätte. Die Risikoanalyse liefert wertvolle
Informationen, um festzustellen, wo im Unternehmen anzusetzen ist.
Unabdingbar, darin sind sich alle Experten einigt, sind Maßnahmen für einen sicheren
Internetzugang. Firewall, Virenschutz auf den Servern und den Endgeräten sowie ein möglichst
effektiver Spamfilter gehören zu den Mindestanforderungen. Dazu kommen auch Content FilterLösungen wie sie Websense bietet. Sie ermöglichen Unternehmen, sehr flexible Richtli-nien zum
Zugriff auf Webseiten zu definieren. Solche Vorgaben können sich auf Kategorien wie Rassismus,
Kinderpornografie, Waffen etc. beziehen sowie auf bestimmte Dateitypen und Protokolle, die ein
Risiko für das Netzwerk und die PCs darstellen, z. B. Trojaner, Malware und Würmer.
Mit klar strukturierten Zugriffsrechten sollten im nächsten Schritt die Geschäfts-Prozesse und
Richtlinien analysiert werden. So kann unter-sucht werden, ob Instant Messaging (IM), Web-Mail
oder Drucker zu kostspieligen Informationslecks für vertrauliche Dokumente und Daten werden
können. Ein vorbeugender Schutz vor Informationsverlusten und Datensabotage bedarf mehr als nur
verschiedener, unzusammenhängen-der Einzelaktionen.
Unternehmenskritische und vertrauliche Datenbestände müssen vor ex-ternen wie internen
Sicherheitsrisiken gleichermaßen geschützt werden. Dazu ist ein vorbeugender Schutz notwendig,
der Risiken erkennen kann, bevor ein Verlust eingetreten ist. Eine Lösung wie die Websense Content
Protection Suite hilft Unternehmen, sich vor Informationsverlusten zu schützen: sowohl im
innerbetrieblichen Datenverkehr beispielsweise zwischen Filialen als auch an den Schnittstellen nach
außen.
Content Awareness: Genauigkeit ist Trumpf
Wer sich an die ersten Gehversuche bei der Implementierung von Spam- oder URL-Filtern oder
komplexeren Lösungen wie IPS erinnert, kennt die Gefahr des „Over-blocking“ und die damit
einhergehenden Störungen wichtiger Geschäftsprozesse. Hier weist die Lösung von Websense einen
wesentlichen Unterschied auf, denn sie bietet einen sehr zuverlässigen Schutz. Die PreciseIDTechnologie, die anhand dreier Schritte auf unter-nehmensspezifische Regeln abgestimmt wird
(Content Awareness):
Erstens: Zunächst werden alle als relevanten Daten im Unternehmen identifiziert, wobei die derart
lokalisierten Informationen bei der Erfassung mit einem „digitalen Fingerabdruck“ kategorisiert
werden. Die PreciseID-Technologie bietet dazu eine Kombination mehrerer patentierter
Erkennungsmöglichkeiten, die weit über traditionelle Schlüsselwort-Vergleiche hinausgehen.
Zweitens: Mit Hilfe des Content Auditor-Moduls werden die ausgehenden und internen Bewegungen
der kategorisierten Daten erfasst. Hierbei wird nach gespeicherten Daten („Data at Rest“),
bearbeiteten Daten („Data in Use“) und in der Übertragung befindlichen Daten („Data in Motion“)
unterschieden. Im Rahmen des Monitorings werden Reports über die Datenbewegungen erstellt. Es
wird aufgezeichnet, wer die Daten in welchem Kontext verwendet.
Drittens: Mit dem Content Enforcer-Modul der Websense Content Protection Suite wird für die
Einhaltung der definierten Sicherheitsrichtlinien gesorgt. Wichtig ist dabei eine effiziente
Überwachung aller Kommunikationskanäle, der per digitalem Fingerabdruck gesicherten
Datenquellen und der Verarbeitungs- und Verteilungsrichtlinien.
Policy Engine als Herzstück
Ein „digitaler Werkschutz“ (Information Leak Prevention) ermöglicht Unternehmen festzulegen, wie
und unter welchen Umständen vertrauli-che Daten das Unternehmen verlassen dürfen. Die Basis
dafür liefern „digitale Fingerabdrücke“ sensibler Informationen. Das betrifft alle Daten in
ausgehenden, internen und webbasierten E-Mails, Web-Postings, Instant-Messaging-Nachrichten
und anderen Datentransfers, inklusive USB-Medien und Druckern.
Das Herzstück einer solchen Lösung bildet ein Policy Engine: Sie erlaubt Unternehmen, Richtlinien zu
definieren und Daten zu schützen. Eine Lösung für Information Leak Prevention wird damit zu einer
wichtigen Säule eines umfassenden IT-Security-Konzepts. ILP ermöglicht Unter-nehmen rechtliche
Bestimmungen und Vorgaben einzuhalten und Vor-kehrungen zu treffen, damit interne und
vertrauliche Informationen auch innerhalb der Unternehmensgrenzen verbleiben und nicht nach
draußen gelangen. Der Datenfluss sensibler Informationen bleibt somit wirksam geschützt.
11/2007, Michael Neumayr
Michael Neumayr ist Regional Manager Central Europe bei Websense in Köln.