Statement zu den Cyberattacken über IoT-Botnetze
Security by Design als Grundvoraussetzung der digitalen Transformation
Statement von Sebastian Almer, Executive Enterprise Architect Data Center Architecture bei Fritz & Macziol, künftig Axians IT Solutions
Die massive Distributed-Denial-of-Service-Attacke (DDoS-Attacke) vom Freitag, den 21.Oktober 2016 zeigt, dass sich Unternehmen gezielt Gedanken über ihren Schutzbedarf machen müssen. Obwohl es für Unternehmen bewährte Schutzmechanismen wie mehrstufige Firewalls, demilitarisierte Zonen (DMZs) und Security Operations Center (SOCs) gibt, ändert sich die Bedrohungslage rasend schnell – vor einem DDoS-Angriff diesen Ausmaßes wären die wenigsten Systeme geschützt. Trotzdem ist es im Zuge der Digitalisierung keine Option, die Zugbrücke einfach hochzuziehen. Denn um neue Geschäftsmodelle und Services zu entwickeln, ist es unabdingbar, dass Systeme und Maschinen, wenn auch über mehrere Zonen, Zugriff auf das Internet haben.
Unternehmen müssen jetzt in allem was sie tun den „Security by Design“-Gedanken umsetzen, damit die neuen Möglichkeiten der IT durch mangelndes Security-Know-how nicht zur Gefahr werden. Denn vom Babyphone bis zur CNC-Maschine ist spätestens seit letzter Woche jedes internetfähige Gerät ein potenzieller Bot, der für Attacken bisher nicht bekannten Ausmaßes verwendet werden kann – mehr als eine Million waren es zuletzt.
Sicherheits-Experten mit an den Tisch
Die Unternehmen selbst sind da gefordert, wo die Fachbereiche ohne Wissen der IT-Abteilung eigene IoT-Projekte umsetzen. Denn um heute einen Sensor mit dem Internet zu verbinden, muss man kein IT-Experte sein. Es braucht ein ganzheitliches Sicherheitsmanagement, das alle Ebenen von IT-Security einbezieht: Technologie, Organisation und den menschlichen Aspekt. Sicherheits-Experten müssen bei jeder Neuerung im Unternehmen von Anfang an mit am Tisch sitzen.
Selbiges gilt für die Hersteller, die heute versuchen, beinahe jedes Gerät internetfähig zu machen. Die Gefahr steigt, wenn Devices mit Standardpasswörtern ausgeliefert werden und die Software nicht gehärtet ist. Weil das bei vielen alltäglichen Geräten der Fall ist, bestanden die Sicherheitslücken für die Cyberattacke bereits seit Längerem und wurden trotzdem nicht geschlossen. Wer kommt schon auf die Idee, ein Sicherheitsupdate für seinen Kühlschrank herunterzuladen? Bei diesen Geräten ist ein automatisches Patch-Management die erste umzusetzende Funktion, sobald eine Verbindung zum Netz besteht.
