News und Produkte

Firewalls mit totem Winkel

Eine Sophos-Studie zum Thema Netzwerk-Firewalls lässt auf ernsthafte Risiken für Unternehmen schließen: 2700 von einem unabhängigen Marktforschungsinstitut befragte IT-Entscheider mittelgroßer Unternehmen in zehn Ländern (u. a. DE, FR, UK und USA) konnten demnach 45 % ihres Netzwerk-Traffics nicht eindeutig zuordnen – fast jeder vierte Studienteilnehmer habe sogar 70 % des Netzwerk-Traffics in seiner Organisation nicht identifizieren können.

84 % der Befragten haben der Aussage zugestimmt, dass ein Mangel an Sichtbarkeit von Anwendungen ein ernsthaftes Sicherheitsrisiko darstelle. Fehlt die Möglichkeit, den Netzwerk-Traffic zu identifizieren, bleiben oft auch Ransomware, Malware, Datendiebstahl und andere hochentwickelte Bedrohungen im Verborgenen – genauso wie potenziell schädliche Apps und kriminelle Anwender, folgert Sophos. Der Mangel an Sichtbarkeit bewirke zudem einen toten Winkel für den möglichen Transfer von illegalem oder unangemessenem Content, was Unternehmen im Hinblick auf Rechtsstreitigkeiten und Compliance-Fragen verletzlich mache.

Netzwerk-Firewalls mit signaturbasierter Erkennung seien nicht in der Lage, eine adäquate Transparenz von App-Traffic herbeizuführen. Dabei sind sich IT-Manager durchaus bewusst, dass Firewalls ein Sicherheitsupgrade benötigen: 79 % wünschen sich der Umfrage zufolge einen besseren Schutz ihrer aktuellen Firewall. Fast alle (99 %) bevorzugen Firewalls, die automatisch infizierte Computer isolieren können – 97 % der Befragten favorisieren End-point- und Firewall-Schutz von einem einzigen Anbieter, um einen direkten Austausch von Sicherheitsinformationen zu gewährleisten.

Darüber hinaus sorgen sich 52 % der Studienteilnehmer um einen Verlust von Produktivität, wenn es zu einem Mangel an Netzwerk Sichtbarkeit kommt: Wirtschaftliche Produktivität könne negativ beeinflusst werden, wenn die IT nicht in der Lage ist, die Bandbreite kritischer Anwendungen zu priorisieren, betont Sophos. (www.sophos.de)

Fehlende Fachleute hemmen Threat-Intelligence

Das SANS Institute hat Anfang April die Ergebnisse seiner jährlichen SANS Cyber-Threat-Intelligence Survey vorstellt, für die über 300 Cybersicherheitsexperten aus unterschiedlichen Branchen befragt wurden. 81 % der Teilnehmer gaben dabei an, dass durch die Einführung von Cyber-Threat-Intelligence (CTI) ihre Möglichkeiten zur Prävention, Erkennung und Reaktion verbessert wurden – im Jahr zuvor waren dies 78 % und 2016 sogar nur 64 %.

CTI ist in den Unternehmen angekommen und konnte sich in den letzten Jahren deutlich etablieren, folgert SANS. 68 % der Befragten hätten heuer angegeben, dass sie CTI in ihrer Cybersicherheit implementiert haben, und weitere 22 % planen die Einführung in der Zukunft. Nur noch 11 % der Unternehmen haben keine entsprechenden Pläne, womit ihr Anteil im Vergleich zum Vorjahr deutlich sank (15 %).

Viele sahen den Fachkräftemangel als eines der größten Hindernisse dabei, CTI in ihrem Unternehmen zu implementieren: Der Anteil der Befragten, denen die Fachkräfte mit der notwendigen Erfahrung und Ausbildung fehlen, um diese Aufgabe zu übernehmen, stieg von 53 % (2017) auf nunmehr 62 %. An zweiter Stelle platzierte sich der Zeitmangel überlasteter Sicherheitsteams – mehr CTI-Einsatz verlange den Fachleuten auch mehr ab. Deshalb werde es immer schwieriger, die richtigen Mitarbeiter mit der gewünschten Erfahrung zu finden, um CTI-Programme aufzubauen und in Betrieb zu nehmen, konstatiert SANS.

Eher nachrangig zeigten sich technische Schwierigkeiten: 39 % der Befragten beklagten, dass ihnen momentan die technischen Möglichkeiten fehlen, um CTI-Tools im Unternehmen zu integrieren.

Als Ergebnis der CTI-Programme berichteten die Teilnehmer von besseren Einblicken in die eigene IT-Infrastruktur und verbesserten Security-Operations: 71 % nannten einen besseren Überblick über Bedrohungen, 70 % verbesserte Security-Operations und 66 % gaben an, unbekannte Bedrohungen nun besser erkennen zu können (vgl. Abb. 2).

Wesentlich sei nicht zuletzt der Austausch von Erkenntnissen: „Glücklicherweise teilen Unternehmen Details über Attacken und Angreifer und es gibt zahlreiche Open-Source-, aber auch kommerzielle Tools, mit denen sich wertvolle Informationen sammeln und in die eigene CTI überführen lassen. All das hat zu Verbesserungen in den Unternehmen geführt, um Security-Operations zu verbessern und zuvor unbekannte Attacken zu erkennen“, kommentierte Dave Shackleford, SANS-Analyst und Senior Instructor.

Der 15-seitige Report „CTI in Security Operations: SANS 2018 Cyber Threat Intelligence Survey“ ist über www.sans.org/reading-room/whitepapers/threats/cti-security-operations-2018-cyber-threat-intelligence-survey-38285 kostenlos als englischsprachiges PDF erhältlich. (www.sans.org)

DSGVO: Probleme bis zum Schluss?

Einer Umfrage von eco und absolit zufolge war rund sechs Wochen vor Ende der Übergangsfrist nur jedes zehnte Unternehmen auf die EU-Datenschutzgrundverordnung (DSGVO) gut vorbereitet. Hierzu wurden 606 mittlere und große Unternehmen aus zwölf Branchen zum aktuellen Stand ihrer DSGVO-Konformität befragt. Im Ergebnis folgert absolit, dass die DSGVO auf die leichte Schulter genommen werde: Während 56 % der Befragten sich noch mitten in der Anpassung ihrer Prozesse befanden, hätten 27 % damit überhaupt noch nicht angefangen – in der Pharmabranche habe dieser Wert sogar bei 48 % gelegen.

Und selbst von den 71 Unternehmen, die sich rechtlich auf der „sicheren Seite“ sahen, habe nicht einmal die Hälfte auch wirklich alle Anforderungen erfüllt: „Viele Unternehmen haben die Vorgaben der DSGVO bislang offenbar nur halbherzig umgesetzt“, bemängelte Studienautor Torsten Schwarz.

Unternehmen müssten nicht zuletzt über den Umgang mit E-Mail-Adressen ohne hinreichende Werbeeinwilligung nachdenken, da diese im Schnitt 22 % eines Verteilers ausmachten. 45 % der Befragten gehen der Studie zufolge auf Nummer sicher und schreiben nur diejenigen an, die explizit ihre Einwilligung hierzu gegeben haben. Am anderen Ende der Risikobereitschaft stünden 12 %, die weiterhin Werbeinhalte auch ohne Einwilligung versenden wollten – bei Vereinen steige dieser Wert sogar auf 25 %. Dieses Vorgehen sei äußerst fragwürdig, betonte Schwarz, zumal 81 % über die Rechtsfolgen eines Verstoßes gegen die Vorschriften der DSGVO durchaus Bescheid wüssten.

Die wohl größte Herausforderung bleibe jedoch das DSGVO-konforme Profiling: Nur 42 % hätten die automatische Verarbeitung personenbezogener Daten an die neuen Richtlinien angepasst. Selbst im Handel, wo das Erstellen von Nutzerprofilen oder „Buyer Personas“ gang und gäbe ist, erfüllen laut absolit nur 55 % die Anforderungen der DSGVO.

Weniger Probleme machen offenbar die Transparenzpflichten: 73 % spielen „mit offenen Karten“ und klären den Kunden auf, welche personenbezogenen Daten für welche Zwecke gesammelt werden. Ähnlich gut sehe es bei der Datensparsamkeit aus: Im Schnitt verlangen nur 11 % zu viele Daten bei der Leadgenerierung. Einzig in der Pharmabranche halten laut Studie 52 % weiter an alten Gewohnheiten fest und spielen „Datenstaubsauger“.

Erfreulich sei, dass 92 % der Befragten in Zukunft mit einem Datenschutzbeauftragten arbeiten wollen. Dabei soll diese Aufgabe bei 57 % der Unternehmen durch einen Mitarbeiter und bei 35 % durch einen externen Dienstleister übernommen werden.

Die ausführlichen Ergebnisse mit einer branchenbezogenen Auswertung sind als 132-seitiges PDF mit 90 Abbildungen über http://dsgvo-studie.de zum Preis von 149 e erhältlich (zzgl. MwSt.) – eine 60-seitige Kurzversion kann gegen Registrierung kostenlos bezogen werden. (www.absolit.de / www.eco.de)