Immer mehr Anfragen erhalte ich in der letzten Zeit zum Thema „Wie kann ich meine IT absichern?“.
Gerade vor dem Hintergrund der spektakulären und offenbar erfolgreichen Angriffe auf die LMU und die TU München.
Meine erste Antwort ist:
- wir brauchen eine Bestandserhebung
Meine zweite Antwort ist:
- Sie müssen Ihre Prozesse identifizieren und die Daten nach Sicherheitsstufe ordnen. Haben Sie das schon gemacht?
Meine dritte Antwort ist:
- wir durchlaufen gerade eine Revolution. Viele, die vorher nicht programmieren konnten, nicht wissen, was malloc() zu ist oder – eine meiner Einstellungstest-Fragen „Was ist der Unterschied zwischen einem TTL und einem FlipFlop?“ nicht sauber beantworten können, sind jetzt in der Lage, ganze Programme zu schreiben.
Das kann natürlich unter „IT-Hochsicherheitsaspekten“ nicht gut gehen.
Wie ich immer zu meinem Kunden sage:
- Können Sie programmieren? Die meisten schütteln den Kopf.
- Aber der, der einen Virenscanner programmiert, kann recht gut programmieren. Das weiß ich, weil ich mir schon genügend Viren angeschaut habe, seit Amiga-Zeiten.
- Folgefrage: Glauben Sie, daß der, der einen Virenscanner programmieren kann, nicht in der Lage ist, Ihren <setzen Sie Ihr Antimalware-Produkt hier ein> nicht kurz laufen zu lassen zu testen, ob sein Virus erkannt wird?
Naja, danach war dann immer Schweigen und fast immer „wir machen trotzdem so weiter, weil alle anderen machen es ja auch so.“
Ich empfehle im Grunde:
- Unternehmenskritische Software selbst zu entwickeln, auf absolute Standards zu setzen, auf freie Software oder Open Source Software zu setzen.
Und:
- im Zweifelsfall auf abgeschotteten Systemen.
Und:
- Zugriffe sauber dokumentieren, ausgeschiedene Mitarbeiter sofort sperren, Mitarbeiter schulen, Netzwerkverkehr mitschneiden, ständig Tests laufen lassen, auch durch externe.
Das ist alles natürlich sehr teuer.
Und: Was passiert, wenn man dieses Geld nicht investiert, kann jeder bei „Heise Security“ nachlesen.
Schade, daß „fefe“ nichts mehr dazu schreibt. Ich erwarte: „Ragebait 2.0“.