Fünf Zuständige, keine Entscheidung: Warum Sicherheitslücken offen bleiben | Hussein Baydoun

00:00:01: Der zweite Hebel, das hatte ich auch vorhin kurz mal erwähnt.

00:00:04: Es sind natürlich die Verantwortlichkeiten und Zuständigkeiten.

00:00:07: also da auch konkret nicht nur die IT kümmert sich normalerweise darum sondern wer bewertet die Schwachstelle?

00:00:16: Wer entscheidet über die Priorität?

00:00:18: Wer setzt die Maßnahmen um?

00:00:21: Wer nimmt das Restrisiko ab wenn beispielsweise die Schwachtstelle nicht rechtzeitig geschlossen werden kann?

00:00:31: klare Verantwortlichkeiten kann am Ende des Tages auch geregelter Umgang mit Schwachstellen entstehen.

00:00:39: Eine Liste mit schützendwerten Informationen und offenen Schwachställen macht noch erst mal keine Sicherheit, ist aber erstmal eine supergute Grundlage um die Risiken zu verstehen, Prioritäten zu setzen und Entscheidungen zu treffen.

00:01:12: Hallo und herzlich willkommen zurück im HiWay Podcast hier bei uns bei der HiSolutions.

00:01:16: Mit mir Lena Morgenroth als Moderation, ich bin bei uns Managingkonsultant.

00:01:20: Ich beschäftige mich mit technischen Fragen von IT-Sicherheit und ich habe heute noch dabei Hussein, der mir zu nichttechnischen Fragen vom IT Sicherheit oder Informationssicherheit was erzählen wird.

00:01:30: Wir gucken heute von zwei unterschiedlichen Perspektiven auf ein Thema wo wir vielleicht weiß nicht, zumindest im ersten Anlauf unterschiedliche Sichtweisen drauf haben.

00:01:39: Hüssing ich erzähle ein bisschen was über dich bevor wir direkt einsteigen?

00:01:42: Du bist wahnsinnig lange schon da.

00:01:44: du hast als quasi als Werkstudie dich schon in diese Themen eingegraben und hast eine lange Historie wo du dich immer wieder mit diesen Prozessualen, organisatorischen Management-Systeme rund um Informationssicherheit auch Business Continuity also das was dann im Ernstfall ist beziehungsweise auch die Vorbereitung darauf beschäftigt hast.

00:02:01: Das heißt ein konkretes Information Sicherheitsmanagement System in dem du hauptsächlich unterwegs bist.

00:02:08: und wir wollen uns heute der Frage nähern warum bleiben Sicherheitslücken eigentlich auf die Jahre lang offen?

00:02:12: Zum Beispiel, obwohl eigentlich alle wissen das es ein Problem gibt.

00:02:16: Das kenne ich aus meiner Perspektive und aus der technischen.

00:02:18: Das kennst du aus der Grundschutzperspektive oder allgemein aus der Informationssicherheitsperspektiv?

00:02:24: Frage eins!

00:02:26: Sozusagen aus meiner Techie-Perspektive kann ich jetzt sagen eure Informations-Sicherheitsmanagement Systeme die wirken ja manchmal sehr aufwendig.

00:02:32: also da sind wahnsinnig viele Fragen die beantwortet werden wollen.

00:02:35: Da geht's in ganz viele Dokumentationsorganisationen Themen rein Und ich würde sagen, warum braucht man eigentlich manchmal das Ganze?

00:02:43: Wenn doch eigentlich... Also wenn ich mir zum Beispiel einen Inzident angucke wirklich ein Cyber-Sicherheitsvorfall.

00:02:48: Das Problem einfach nur war dass diese ungepatchte Firewall dort stand oder der ungeplätschte Server und einfach nur mal jemand den Patch hätte einspielen müssen dann wäre doch alles schick gewesen.

00:02:58: Ja ist tatsächlich einfach gesagt als am Ende des Tages in der Reaktion umgesetzt.

00:03:05: also vielleicht vorweg Technik spielt natürlich eine wichtige Rolle.

00:03:08: ohne saubere technische Schutzmaßnahmen, funktioniert Informationssicherheit natürlich nicht.

00:03:14: Aber man merkt halt in der Praxis meistens das der schwierigste Teil die Technik ist.

00:03:20: und was meine ich damit?

00:03:23: Vielleicht so eine provokative These, die Firewall ist nicht das Problem sondern die Organisation ist es.

00:03:32: Ich sag mal so ist natürlich bewusst zugespitzt gewählt.

00:03:35: Natürlich kann bei einem Sicherheitsvorfall die Firewall, die Web-Anwendung aber auch in ungepatchter Exchange Server die technischen Einstiegspunkte sein.

00:03:45: Das würde ich ja aus technischer Sicht nicht bestreiten wollen, aber lasst mir gerne vielleicht ein Beispiel geben.

00:03:53: Einer meiner Kunden betrieb mal aufs Internet einen eireisbaren Exchange Server der eine kritische Schwachstelle hatte.

00:04:01: Der Patch war verfügbar wurde eingespielt.

00:04:05: Einige Wochen später wurde genau diese kritische Schwachstelle ausgenutzt, die Angreifer verschaffen sich entsprechend Zugriff und aus diesem technischen Problem wurde dann halt ein unternehmensweiter Sicherheitsvorfall.

00:04:16: so jetzt auf dem ersten Blick würde man sagen der Server ist das Problem dass ja nicht gehärtete System beziehungsweise den fehlenden nicht saubere Konfigurationen der Firewall.

00:04:27: wenn man aber eine Ebene tiefer schaut wird das ganze interessant.

00:04:32: dann kann man halt fragen stellen na ja wer wusste denn eigentlich dass das das system von außen erreichbar ist aus dem internet.

00:04:40: Wer war der technische und fachliche Verantwortliche?

00:04:44: gab es einen geregelten patch prozess oder war das risiko bewusst akzeptiert oder liegen gelassen?

00:04:53: und genau eigentlich hier wird deutlich dass diese technische Schwachstelle meistens immer der sichtbare Auslöser ist.

00:05:00: Das, was man als erstes sieht die eigentliche Ursache und darum geht es, ist die Organisation.

00:05:06: Vielleicht wusste man gar nicht wem das System gehört?

00:05:11: Vielleicht gab es aber auch keine Übersicht in dem Unternehmen dahingehend welche System aus dem Internet erreichbar sind oder... Es gab keinen verbindlichen Patchprozess also kein geregeltem verbindlichem Patchprozess.

00:05:24: Oder man hat sich halt einfach bewusst, sagen wir mal dieses Risiko war bekannt.

00:05:32: Aber man hat am Ende des Tages nicht entschieden wie man mit diesem Risiko umgeht.

00:05:37: und genau darum geht es eigentlich.

00:05:39: Die Organisation beziehungsweise die Firewall ist nicht unwichtig der Software ist nicht unwichtig das Patch Management ist jetzt nicht unwichtig aber Technik wird am Ende eines Tages wirksam wenn dahinter klare Verantwortung saubere Prozesse Transparenz ganz wichtig, Transparens herzustellen und Entscheidungsfähigkeit stehen.

00:06:03: Und deswegen sage ich Informationssicherheit beginnt nicht mit der Konfiguration von Servern oder Firewalls sondern mit der Frage weiß überhaupt die Organisation welche Systeme für sie kritisch sind Welche Systeme beziehungsweise prozesse verantwortet werden also vom wem verantworten werden und wie man mit diesen Risiken umgeht.

00:06:26: Und das ist tatsächlich so der schwierigste Teil, dass in die Organisation zu geben, zu integrieren und sicherzustellen, dass das ganze Zeit vom Management auf die Belegschaft übergeht und am Ende des Tages gelebt wird.

00:06:38: Das ist ja der schwierigsten Teil.

00:06:44: Also im letzten Endes sagst du, die Technik hat zwar eine Schutzfunktion aber die muss von Menschen bedient werden, die Menschen müssen was damit machen, die Leute müssen Kenntnisse darüber haben Und das erstmal herzustellen, ist die Herausforderung.

00:06:56: Ich finde es ganz spannend.

00:06:57: also wenn wir sozusagen reingehen und Pentes zum Beispiel machen und irgendwie gucken was können wir für Schwachstellen identifizieren?

00:07:03: Wir haben ja viele Kunden bei denen wir jedes Jahr wieder da sind und dann häufig sehen wir natürlich genau das was du eigentlich beschreibst.

00:07:09: Also wir haben eine Schwachstelle identifiziert, sie hat auch eine gewisse Kritikalität, die sollte eigentlich beruben werden und ein Jahr später sind wir da und sie ist immer noch da.

00:07:17: Wie kommt es denn dazu?

00:07:20: Da ist doch das Problem schon bekannt.

00:07:22: Wie kommt das denn dazu?

00:07:24: Es ist tatsächlich kein übliches Muster, wenn man Schwachstellen identiziert hat.

00:07:31: Die auch sauber aufdokumentiert und mit Maßnahmen deklariert und übergeben hat.

00:07:35: Dann stellt man fest, ein oder zwei Jahre später ist immer noch diese Schwachstelle da.

00:07:40: Das ist aber meistens nie eine böse Absicht, sondern tatsächlich so ein organisatorisches Problem.

00:07:46: Eine organisatorische Unklarheit!

00:07:48: Was meine ich damit?

00:07:49: Auch gerne da.

00:07:50: ein Beispiel was ich geben will ist im Rahmen eines Workshops habe ich mal erlebt Da haben wir über einen kritischen Prozess gesprochen.

00:07:58: Thema war Identitäts- und Berechtigungsmanagement Der Technik halt von verschiedenen Systemen abhängig war Von einem Fachbereich und einem Dienstleister Und alle Beteiligten sind eigentlich davon ausgegangen wir über den selben Prozess sprechen.

00:08:16: Bis man halt bei Nachfragen festgestellt hat, ja, wir reden zwar alle über diesen Prozess der angeblich geregelt ist war er aber nicht wirklich weil jeder hat ein anderes Verständnis gehabt einen unterschiedlichen Perspektive.

00:08:30: Der Fachbereich hat gesagt die Vergabe der Berechtigung und da kümmert sich die IT drum denn sie müssten wissen welche Zugriffe benötigt werden.

00:08:39: Die IT meinte, okay wir können das Technik umsetzen.

00:08:41: Aber die fachliche Entscheidung muss uns der Fachbereich sagen.

00:08:46: Am Durchsatz auch noch Compliance und das Management und der Dienstleister.

00:08:51: Compliance schaut halt auf die regulatorischen Anforderungen, ob sie eingehalten werden.

00:08:56: Das Management wollte wissen welche Risiken bei falscher beziehungsweise weitreichenden Zugriffen entstehen.

00:09:01: Und der Dienstleist war für einen abgegrenzten Teil verantwortlich.

00:09:04: Und die Herausforderung ist tatsächlich hier.

00:09:06: Du hast in dem Fall unterschiedliche Perspektiven Und diese unterschiedlichsten Perspektiven können halt, es können halt Blücken entstehen.

00:09:13: Nicht weil niemand weiß was zu tun ist sondern weil Verantwortung, Priorität und Entscheidungen nicht sauber zusammengeführt werden.

00:09:22: Auf der anderen Seite funktionieren Unternehmen am Alltag sehr gut durch Erfahrung und Zuchruf.

00:09:31: Jemand weiß wie das System funktioniert.

00:09:33: jemand kennt vielleicht jemanden den man anrufen kann der immer schon dieses Thema bedient hat beeindruckend.

00:09:40: Das ist auch super, aber es hat im Rahmen der Informationssicherheit für uns nicht belastbar und ich glaube auf solche Sätze hat so wahrscheinlich auch bei dir in deinen Workshops gehört wie naja darum kümmert sich normalerweise die IT.

00:09:57: da ist höchstwahrscheinlich der Fachbereich für verantwortlich oder es ist historisch gewachsen wenn man solche Sätzen hört.

00:10:04: Also die sind natürlich für uns sehr, sehr wertvoll.

00:10:06: Weil es verdeutlicht das Thema letztendlich... also dass da Wissen existiert aber ist halt nicht organisatorisch fest verankert.

00:10:16: Die Folge zeigt sich am Ende des Tages tatsächlich in der Praxis wenn eine Berechtigung jemand erhält, die eigentlich gar nicht erhalten soll oder nicht rechtzeitig entfernt wurde.

00:10:27: und auch hier ist es so nicht weil niemand weiß was zu tun ist sondern war einfach kein geregelten Berechtigungsprozess existiert und die Verantwortlichkeiten nicht klar geregelt sind.

00:10:38: Genau, deshalb schauen wir sozusagen im Rahmen des Workshops nicht nur auf einzelne Komponenten sondern auch den gesamten Prozess dahinter.

00:10:45: also sprich durch gezierte Fragestellungen finden wir eigentlich ganz gut heraus ob Verantwortlichkeit und Zuständigkeiten geregkelt sind wer Änderung umsetzt wer Risiken bewertet Um am Ende des Tages festzustellen wird der Informationssicherheit gesteuert oder ist das Themen, die man aufdokumentiert.

00:11:04: Aber keiner verbindlich entscheidet und deswegen bleibt eigentlich eine Schwachstelle meistens nie ein bis zwei Jahre einfach so offen weil keiner sie technisch verstanden hat sondern bei keiner in Verbindung entschieden hat wer sie mit welcher Priorität schließt.

00:11:20: das ist halt ja so.

00:11:22: die Herausforderung.

00:11:24: Frage drei Genau, und wie geht ihr die an?

00:11:27: Also das ist jetzt die spannende Frage vielleicht sozusagen natürlich nicht im Großen.

00:11:31: Das sind viele Schritte notwendig aber was sind erste pragmatische Schritte um dahin zu kommen dass das nächste Mal der Patch für dieses System tatsächlich eingespielt wird?

00:11:41: Also wichtig ist, wenn wir solche Situationen vorfinden nicht gleich irgendwie so ein Aktionismus zu verfallen.

00:11:47: So sagen ja wir brauchen hier jetzt ein neues Tool für den Kunden oder wir brauchen noch mal eine neue Richtlinie oder einen zweiten technischen Maßnahmenkatalog sondern glaube wichtig es daringehend erstmal pragmatisch zu starten, Pragmatischzustarten Transparenz herzustellen Und das nicht abstrakt, sondern konkret.

00:12:05: Ja auch hier würde ich gerne ein Beispiel geben.

00:12:08: wenn man eine Schwachstelle auf dem System identieren hilft es einfach enorm dass man klärt naja welcher Geschäftsprozess hängt denn an dem System und wer verantwortet den Prozess?

00:12:22: Das hört sich erstmal simpel an verändert aber halt in der Praxis viel ja Denn plötzlich ist die schwach Stelle nicht mehr einen technischer Befund aus einem Bericht, sondern sie bekommt halt eine geschäftliche Bedeutung.

00:12:34: Wir reden dann nicht mehr der Server an einer Schwachstelle, sondern darüber über die Frage was passieren kann wenn dieser Server dieses System auswählt?

00:12:43: Also welcher Prozess steht still, welche Daten sind betroffen, welche Auswirkungen hat das auf das Unternehmen?

00:12:53: und genau dadurch wird eigentlich das ganze Thema entscheidbar weil man weiß Geschäftsprozess oder welche Geschäfts-Prozesse hängen von dem System ab und dadurch wird auch die Dringlichkeit der Behebung der Schwörstelle besser einschätzt.

00:13:08: bauen, man kann adäquate Maßnahmen ableiten.

00:13:11: Genau das hatte ich also vorhin erwähnt.

00:13:15: wir haben natürlich da unterschiedliche Perspektiven.

00:13:17: Die IT schaut auf die technische Umsetzbarkeit Der Fachbereich schaut auf den Auswirkungen des Geschäfts Prozesses Und das Management hat ja am Ende des Tages die Kosten, Prioritäten und Risiken abwägen.

00:13:34: Bis am Ende des Tages natürlich problematisch wenn man diese unterschiedlichen Perspektiven nicht zusammenführt.

00:13:39: Und hier unterstützen wir oder unterstützt die Informationssicherheit diese unterschiedlichsten Perspektive zusammenzuführen und einen Zusammenhang zwischen Technik, Risiken und geschäftliche Auswirkungen herzustellen.

00:13:54: Denn der Schwachstelle ist nicht automatisch kritisch, weil ein technischer Scanner sie als kritisch bewertet hat.

00:14:00: Sondern entscheidend ist die Frage was hängt wovon ab?

00:14:03: Also was hingt wovorn ab wenn das betroffene System letztendlich beispielsweise Kunddaten verarbeitet oder sensible Daten speichert und welche Auswirkungen hat es auf dem Prozess?

00:14:14: wahrscheinlich eine geringere Auswirkung, wenn das auf einen isolierten Testsystem mit weniger sensibleren Daten.

00:14:23: Der zweite Hebel, das hatte ich auch schon kurz mal erwähnt.

00:14:25: Es sind natürlich die Verantwortlichkeiten und Zuständigkeiten.

00:14:28: also da auch konkret nicht nur die IT kümmert sich normalerweise darum sondern wer bewertet die Schwachstelle?

00:14:37: Wer entscheidet über die Priorität?

00:14:40: Wer setzt die Maßnahmen um?

00:14:42: Wer nimmt das Restrisiko ab wenn beispielsweise die Schwachtstelle nicht rechtzeitig geschlossen werden kann.

00:14:53: klare Verantwortlichkeiten kann am Ende des Tages auch geregelter Umgang mit Schwachstellen entstehen.

00:15:01: Eine Liste mit schützendwerten Informationen und offenen Schwachställen macht noch erstmal keine Sicherheit, ist aber erst mal eine super gute Grundlage um die Risiken zu verstehen, Prioritäten zu setzen und Entscheidungen zu treffen.

00:15:16: Und vielleicht so abschließend das muss auch nicht alles perfekt sein.

00:15:21: Perfektionismus kann leben.

00:15:23: Wichtig ist, pragmatisch zu starten, Transparenz herzustellen, Verantwortlichkeiten zu klären und die wichtigsten Risiken vielleicht entscheidbar zu machen.

00:15:35: Und so kann dann Informationssicherheit nicht nur auf Papier entstehen sondern als Schritt für Schritt in der Organisation.

00:15:43: Vielen Dank.

00:15:45: Das war ein guter Bogen, also sozusagen von aufhorchen wenn ich irgendwie höre normalerweise höchstwahrscheinlich das sind so Punkte wo ich jetzt mitgenommen habe.

00:15:53: da laufen vielleicht Sachen am Alter gut aber sie sind vielleicht nicht ausreichend solide genug.

00:15:58: und was wirklich hilft ist dann sozusagen zu schauen wer es die Person die das wirklich einschätzen kann ist diese Person verantwortlich und diese Sache einmal klarzusehen.

00:16:07: da scheint ja einfach schon relativ viel zu machen zu sein weil ja grundsätzlich die Leute auch positiven Absichten und mit dem Wunsch, die Dinge abzusichern rangehen.

00:16:15: Aber eben häufig auch einfach Dinge runterfallen weil nicht ganz klar ist wer zuständig ist oder weil jemand zuständig isst der es gar nicht so richtig genau beurteilen kann in der Auswirkung Dankeschön.

00:16:25: das klingt wie irgendwie relativ einfache Schritte natürlich auch viele von denen wenn die Organisation groß ist.

00:16:30: aber es ist was was handhabbar ist was nicht unendliche Fachexpertise erfordert also sozusagen nur technisch tiefe sondern ein Schritt den eine Organisation ja auch für sich selbst Angehen kann, natürlich auch mit Unterstützung.

00:16:41: Aber von der Frage her, wer ist zuständig?

00:16:44: Da kann man sich einfach mal auf den Weg machen!

00:16:46: Ja liebe Wörterinnen und Hörer, liebe Zuschauerinnen und Zuschauer vielleicht habt ihr haben Sie das auch schon gehört in Ihrer Organisation Das Wahrscheinlich irgendwas ganz gut geregelt ist oder das normalerweise diese und jene Partei sich um irgendetwas kümmert.

00:16:58: Jetzt wissen Sie, da lohnt es sich einmal hinzuhören – und sie müssen ja nicht gleich den ganzen Laden aufräumen!

00:17:02: Es kann ja auch schon mal helfen an dieser konkreten Stelle ein Mal zu schauen….

00:17:07: Ist eigentlich klar wir wirklich zuständig sind, einmal zu fragen ob die Person weiß dass sie zuständig ist?

00:17:11: Und dann an dieser Stelle einmal eine Festlegung zu treffen so dass Entscheidungen so getroffen werden können, dass jemand mit Blick auf die Gesamtkonsequenz tatsächlich auch Ja- oder Nein sagen kann.

00:17:21: Das ist ein pragmatischer Schritt.

00:17:23: Wir hoffen, auch in Zukunft im HiWay viele kleine pragmatische Schritte anbieten zu können – manchmal vielleicht auch größere konzeptionelle Schritte!

00:17:29: Auf jeden Fall wird es spannend sein weiterhin und wir hoffen dass Sie wieder dabei sind wenn es das nächste Mal den HiWay Podcast gibt.