Anzeige

Anzeige

VERANSTALTUNGEN

IT-SOURCING 2019 – Einkauf meets IT
09.09.19 - 10.09.19
In Düsseldorf

IT-Sourcing 2019 - Einkauf meets IT
09.09.19 - 10.09.19
In Düsseldorf

ACMP Competence Days Berlin
11.09.19 - 11.09.19
In Stiftung Deutsches Technikmuseum Berlin, Berlin

MCC CyberRisks - for Critical Infrastructures
12.09.19 - 13.09.19
In Hotel Maritim, Bonn

Rethink! IT 2019
16.09.19 - 17.09.19
In Berlin

Anzeige

Anzeige

Programmieren Code Shutterstock 172683092 700

Die Aktivitäten der IT-Sicherheit erzielen häufig nicht die erwünschten Resultate. Dass in solchen Fällen guter Rat teuer ist, ist eine Binsenweisheit. Denn oftmals sind es relativ simple Dinge, die die effiziente Umsetzung einer Sicherheitsstrategie behindern. Julian Totzek-Hallhuber, Solution Architect bei CA Veracode, nennt fünf vermeidbare Fehler in der Anwendungssicherheit.

Keine Risikobewertung von Anwendungen

Kunden sollten eine Aufstellung ihrer geschäftskritischen Anwendungen anfertigen und diese in Risikogruppen einteilen. Das ist deshalb wichtig, da für die Anwendungssicherheit keine unbegrenzten Mittel zur Verfügung stehen. Wenn ein Unternehmen zu Beginn seiner Sicherheitsoffensive beispielsweise 20 Anwendungen schützen will, müssen diejenigen Vorrang haben, die am gefährdetsten sind. Das können Apps sein, die personenbezogene Informationen oder Kreditkartendaten verarbeiten. Die Bedeutung einer bestimmten Anwendung für den eigenen Geschäftserfolg zu kennen stellt sicher, dass dieser Anwendung die nötige Aufmerksamkeit in puncto Sicherheit, aber auch Performance zu Teil wird. Ein solches Risiko-Ranking von Apps ist ein guter Anfang für ein umfassendes Sicherheitskonzept.

Sicherheitsrichtlinien werden nicht effizient eingesetzt

Sicherheitsrichtlinien werden normalerweise von IT-Sicherheitsexperten definiert und schreiben vor, welche Sicherheitslücken in einer Anwendung nicht vorkommen dürfen. Unternehmen erlassen diese Richtlinien jedoch oft überstürzt und planlos – und schaffen auf diese Weise eher mehr Chaos als Ordnung. Wenn in einem Sicherheitsprogramm, das 20 Anwendungen umfasst, zehn verschiedene Richtlinien zur Anwendung kommen, stiftet das nur Verwirrung. Ein weiterer Fehler ist, die Regeln zu eng zu stecken, speziell für neue Apps. Dadurch wird nicht nur die Compliance negativ beeinflusst, es birgt auch einiges Frustrationspotential für das Entwickler-Team. Außerdem werden teilweise Richtlinien verwendet, die einfach nicht relevant sind. Eine Legacy-Anwendung, die nicht mehr weiterentwickelt wird, braucht zum Beispiel keine vierteljährlichen Scans.

Die Führungsebene verfügt nicht über die richtigen Zahlen

Zahlen und Metriken gibt es in der IT-Sicherheit zuhauf. Doch welche davon sind für einen CIO tatsächlich von Interesse? Welche lassen sich in harte Business-KPIs übersetzen? Dafür bietet sich die konkrete Anzahl der Anwendungen an, die ein Sicherheitsprogramm umfasst. Außerdem lässt sich der Erfolg des Programms sehr gut beurteilen, wenn man die Compliance-Rate über längere Zeit misst. Danach kann der Sicherheitschef eines Unternehmens sehr gut beurteilen, ob sein Sicherheitsprogramm gut performt, oder ob noch Nachbesserungsbedarf besteht.

Entwickler sind nicht in den Planungsprozess involviert

Wenn die Entwickler nicht wissen, was von ihnen genau erwartet wird, um eine Anwendung sicher zu machen, kann man von ihnen auch keinen Erfolg erwarten. Doch es geht nicht darum, dem Entwicklungs-Team einfach nur zu sagen, was es tun soll. Stattdessen sollten Entwickler von Anfang an in den Strategiefindungsprozess einbezogen werden. Dadurch ergeben sich Synergien und neue kreative Ideen können entstehen. Ganz konkret können Unternehmen eine interne IT-Sicherheitsseite einrichten, auf der alle Beteiligten Informationen teilen können. Der Schlüssel zum Erfolg eines Sicherheitsprogramms ist effektive und transparente Kommunikation.

Unternehmen holen sich keine Hilfe

Ein erfolgreiches Anwendungssicherheitsprogramm ist eine Partnerschaft zwischen einem Unternehmen und seinem IT-Sicherheitsdienstleister. Jeder Partner bringt in diese Kooperation seine eigenen Kenntnisse ein. Die Kompetenzen und Erfahrungen eines externen Partners ermöglichen eine andere, differenzierte Perspektive auf die Sicherheitsproblematik. Mit ihrem Wissen aus früheren Projekten können die IT-Sicherheitsexperten von außen die Formulierung und Umsetzung einer Strategie von Anfang an begleiten und so dabei helfen, unnötige Fehler zu vermeiden.

veracode.com

GRID LIST
Notfall Knopf

Die Zeit läuft: Worauf es bei der Notfallreaktion ankommt

Wie bei jedem Notfall – Feuer, Herzinfarkt oder Verkehrsunfall – spielt auch bei…
Torhüter FCA

Torhüter der IT – der FC Augsburg setzt auf „Made in Augsburg"

Der 1907 gegründete Traditionsverein FC Augsburg (FCA) nutzt zur Verwaltung seiner…
Tb W190 H80 Crop Int A03eb03b6c06e9e89dbea9d04fe772e2

IT Sicherheit - vom Spielverderber zum Beschleuniger der Digitalisierung

Moderne IT-Security muss einerseits die Herausforderungen der digitalen Transformation…
Hand hält Wolke mit Schloss

Forcepoint Next Generation Firewall

Evasion-Techniken bilden eine besondere Gefahr für die IT-Sicherheit in Unternehmen.…
Tb W190 H80 Crop Int C196c32d831cae80f568a6bbc332af89

VPN-Verschlüsselung ist nicht für alle Szenarien sinnvoll

Datenschutzskandale, Sicherheitslücken, Hacking und diverse Szenarien der…
Tb W190 H80 Crop Int B43bafc6bf035187fc81a02a47f08a7e

QUICK Technology: Alternative zu Public-Key-Infrastrukturen

Rund ein Jahr, nachdem die Europäische Datenschutz-Grundverordnung endgültig in Kraft…