Der ultimative Leitfaden zu Sicherheitsarchitekturen

„Ransomware ist zu einem großen Geschäft für Cyberkriminelle geworden, die ihre Taktiken verfeinern und die Einstiegshürden senken – der Einsatz der Verschlüsselungssoftware kostet nur wenige Euro und erfordert geringe technische Kenntnisse. Die Kommerzialisierung der Internetkriminalität macht es einfacher, Schwachstellen in großem Stil auszunutzen. Wir werden mehr Angriffe auf Lieferketten und kritische Infrastrukturen erleben“, erklärte Jens Krickhahn, Practice Leader Cyber bei der AGCS in Zentral- und Osteuropa, bereits Anfang dieses Jahres.

Sein Kommentar fiel im Zuge des von der Allianz Gruppe im Jahr 2022 veröffentlichten Allianz Risk Barometer – eine jährliche Umfrage, die die besorgniserregendsten Geschäftsrisiken für das bevorstehende Jahr und darüber hinaus zusammenfasst. Die Umfrage basiert auf den Ansichten von 2600 Risikomanagementexperten aus aller Welt. Zum zweiten Mal in der elfjährigen Geschichte der Umfrage standen Cybervorfälle mit 44% ganz oben auf der Liste, gefolgt von Geschäftsunterbrechungen auf dem zweiten und Naturkatastrophen auf dem dritten Platz.

Diese Ergebnisse untermauern das wachsende Bedürfnis für robuste Cybersicherheitsarchitekturen, mit denen die Datenbestände von Unternehmen vor Korruption und Verlust geschützt werden können. In diesem Artikel werden wir erkunden, wie eine gut ausgearbeitete Sicherheitsarchitektur dabei helfen kann, potenzielle Schwachstellen und tote Winkel im Bereich Sicherheit aufzudecken, und geben Ihnen Tipps, welche Sicherheitskontrollen Sie hinzufügen oder verbessern können, um sich bestens gegen Bedrohungen von innen und außen zu rüsten.

Was verstehen wir unter Sicherheitsarchitektur?

Laut NIST, dem Nationalen Institut für Standards und Technologie des Handelsministeriums der Vereinigten Staaten, ist eine Sicherheitsarchitektur „ein Satz physischer und logischer sicherheitsrelevanter Repräsentationen (d. h. Perspektiven) einer Systemarchitektur, der Informationen darüber gibt, wie das System in Sicherheitsdomänen unterteilt ist, und sicherheitsrelevante Elemente einsetzt, um Sicherheitsrichtlinien innerhalb von und zwischen Sicherheitsdomänen durchzusetzen – basierend darauf, auf welche Weise Daten und Informationen geschützt werden müssen.“

Cyberssicherheitsarchitekturen – inklusive Netzwerksicherheitsarchitekturen und Cloudsicherheitsarchitekturen – erstrecken sich sowohl über die Sicherheitsdomänen als auch den Einsatz von sicherheitsrelevanten Elementen innerhalb der Sicherheitsdomänen, sowie die Verbindungen und Vertrauensverhältnisse zwischen den sicherheitsrelevanten Elementen, deren Verhalten zueinander und der Interaktion zwischen ihnen.

Einfacher ausgedrückt: Die Sicherheitsarchitektur ist der Eckpfeiler der IT-Architektur von Unternehmen. Sie beschreibt die Struktur und das Verhalten der Sicherheitsprozesse, der Informationssicherheitssysteme und der Mitarbeiter eines Unternehmens in Übereinstimmung mit dessen Mission und strategischer Planung. Eine effektive Sicherheitsarchitektur übersetzt Geschäftsbedürfnisse und Prioritäten in umsetzbare Sicherheitsmaßnahmen und -kontrollen.

Wer trägt die Verantwortung für die Cybersicherheitsarchitektur?

Handelt es sich bei Cybersicherheit um etwas, das Ihrer IT-Abteilung Kopfzerbrechen bereiten sollte? Ja und nein.

Zugegebenermaßen ist es gewöhnlich die Aufgabe eines Cybersicherheitsarchitekten, die Angriffsfläche seines Unternehmens zu bewerten und diese so klein wie möglich zu halten. Dies erfolgt über die Ausführung von Penetrationstests, Schwachstellenscans, Risikoanalysen, ethischem Hacken und Programmen zur Stärkung des Sicherheitsbewusstseins. Darüber hinaus überwachen Cybersicherheitsarchitekten die Sicherheit und Effizienz lokaler Netzwerke, Weitverkehrsnetzwerke und VPNs (Virtual Private Networks) sowie die Installierung von Servern, Routern und Firewalls.

Aber die Verantwortung geht über die IT-Abteilung hinaus.

Laut Ciscos Kevin Parra eröffnet die Geschwindigkeit von Innovation immer mehr Zugriffsmöglichkeiten auf Informationen, die unbeabsichtigt Schwachstellen für den menschlichen Faktor im Netzwerk schaffen. Diese entstehen durch die Nachlässigkeit, Sorglosigkeit und Neugier von Mitarbeitern. Aus diesem Grund ist es wichtig, eine Unternehmenskultur zu schaffen, die es Mitarbeitern klarmacht, dass alle – und nicht nur eine Einzelperson oder -funktion – für den Schutz von Firmendaten verantwortlich sind.

Sicherheitsarchitektur und -design: die wichtigsten Schritte

Der Aufbau einer Sicherheitsarchitektur umfasst gewöhnlich vier Phasen.

Der erste Schritt ist die Risikobewertung, in der potenzielle Cyberbedrohungen und Sicherheitslücken in Ihren IT-Vorgängen und -Ressourcen systematisch erfasst und der Schaden, den sie für Ihre kritische Infrastruktur, Ihre Geschäftsabläufe, Ihren guten Ruf und Ihre Stakeholder verursachen könnten, abgeschätzt wird.

In der Designphase der Sicherheitsarchitektur wird ein Satz Sicherheitsmaßnahmen entwickelt, um die im vorherigen Schritt festgestellten und dokumentierten Risiken zu minimieren. Die Architektur sollte ausreichend Flexibilität bieten, um vor den sich stetig anpassenden Taktiken der Cyberkriminellen zu schützen.

Als Nächstes steht die Implementierungsphase an, in der die Ergebnisse der ersten beiden Schritte in die Tat umgesetzt werden. Das bedeutet, dass Sicherheitsmaßnahmen einschließlich Richtlinien und Verfahren sowie angemessene Arbeitsabläufe zu deren Qualitätssicherung eingerichtet, ausgeführt und kontrolliert werden.

Beim abschließenden Schritt – Arbeitsabläufe und Kontrolle – handelt es sich eher um einen fortwährenden Prozess, der sich auf die täglichen mit dem Management von Bedrohungen und Schwachstellen verbundenen Aktivitäten sowie die Performance und Effizienz der eingesetzten Sicherheitsarchitektur bezieht.

Sicherheitsarchitekturmodelle: eine kurze Einführung

Wie wir bereits ermittelt haben, sollte Ihre Sicherheitsarchitektur veranschaulichen, wie Sicherheitsprozesse, -systeme und Mitarbeiter gemeinsam an einem Strang ziehen, um die Cybersicherheitsziele Ihres Unternehmens zu erreichen. Was auch immer diese Zielsetzungen sein mögen: Es gibt mehrere Modelle für IT-Governance, um diese einzeln oder in Kombination unterzubringen. Zu den am häufigsten verwendeten Frameworks gehören SABSA, COBIT und TOGAF.

SABSA steht für „Sherwood Applied Business Security Architecture“ und ist ein wirtschaftlich orientiertes Sicherheitsframework, das aus sechs Ebenen besteht – fünf horizontalen und einer vertikalen. Dieses Modell bietet einen ganzheitlichen Ansatz in Bezug auf Enterprise-Sicherheit. Es existiert bereits seit den 1990er Jahren und ist zur bevorzugten Methode von Organisationen im Bank- und öffentlichen Sektor sowie in den Bereichen Obdachlosigkeitsmanagement, Atomenergie, Informationsdienstleistungen, Kommunikationstechnologie und Fertigung geworden.

COBIT wurde von ISACA, dem internationalen Verband der IT-Prüfer, entwickelt und legt den Schwerpunkt auf Sicherheitsprozesse. Das Modell kann in sämtlichen Branchen eingesetzt werden, um die Ziele von Business und IT auf eine gemeinsame Linie zu bringen. Darüber hinaus funktioniert es hervorragend in Kombination mit anderen Frameworks für IT-Management, wie ITIL, CMMI und TOGAF. Dies macht es zu einem großartigen umfassenden Modell für eine firmenweite Prozessoptimierung für jegliche Art von Unternehmen, wie TechTargets Katie Terrell Hanna betont. In den USA wird es oftmals eingesetzt, um Compliance mit dem Sarbanes-Oxley Act zu gewährleisten.

„The Open Group Architecture Framework“, kurz TOGAF, wurde 1995 entwickelt und im Jahr 2016 von 80% der Global-50- und 60% der Fortune-500-Unternehmen genutzt. Das Framework hilft Unternehmen, die für ihr Geschäft geeignete Architektur auszuarbeiten und zu evaluieren und gleichzeitig den überflüssigen Kosten- und Zeitaufwand sowie unnötige Fehler und Risiken zu reduzieren. Vor allem unterstützt es Organisationen jedoch dabei, Softwaretechnologie auf strukturierte Weise einzusetzen und so eine Zusammenarbeit zwischen allen am Prozess beteiligten Personen zu ermöglichen – inner- und außerhalb der IT-Abteilung.

Drei Gründe, warum Ihr Unternehmen im Jahr 2023 über eine robuste Sicherheitsarchitektur verfügen sollte

1. Sorgen Sie dafür, dass Sicherheitsverletzungen der Vergangenheit angehören

Einer der größten und offensichtlichsten Vorteile einer gut durchdachten Sicherheitsarchitektur besteht darin, dass diese das Risiko einer erfolgreichen Cyberattacke erheblich reduzieren kann. Dies ist keine Kleinigkeit, wenn man bedenkt, dass laut IBMs kürzlich veröffentlichtem „Kosten eines Datenschutzverstoßes“-Bericht die durchschnittlichen Kosten einer Datenschutzverletzung weltweit die Rekordhöhe von 4,35 Millionen US-Dollar erreicht haben. Ganz zu schweigen davon, dass Cybersicherheitsverletzungen oftmals mit Einbußen von Business und Kundenvertrauen einhergehen, was den Erholungsprozess verlangsamt und verteuert.

2. Haken Sie Datenschutzanforderungen mit Leichtigkeit ab

Eine robuste Sicherheitsarchitektur kann Sie vor einem weiteren Kostenfaktor schützen: der saftigen Gebühr für die Nichteinhaltung von Datenschutzgesetzen und -verordnungen. Und von denen gibt es – abhängig von der Region und Branche, in der Ihr Unternehmen tätig ist – nicht gerade wenige.

In den USA schreibt beispielsweise das Gesundheitsversicherungsübertragbarkeits- und Verantwortungsgesetz (Health Insurance Portability and Accountability Act, HIPAA) Gesundheitsanbietern und ihren Partnern vor, die Privatsphäre und Integrität von Patientendaten zu schützen. Und die bekanntlich strenge und komplexe Datenschutz-Grundverordnung (DSGVO) der EU legt strikte Grenzen für das Sammeln und Verarbeiten der personenbezogenen Daten von EU-Bürgern fest.

Um einen globalen Sicherheitsstandard anzubringen: Beim Payment Card Industry Data Security Standard (PCI-DSS) handelt es sich um ein Regelwerk, das alle Unternehmen, die Kreditkarteninformationen speichern, verarbeiten oder übertragen, befolgen müssen – selbst wenn es sich dabei um nur eine Kreditkartenzahlung pro Jahr handelt. Um die Sicherheit der Karteninhaberdaten und die globale Anwendung einheitlicher Datenschutzmaßnahmen zu fördern, legt der PCI-DSS 12 sowohl technische als auch operative Sicherheitskontrollen fest, die Karteninformationen vor Diebstahl, Verlust und Missbrauch schützen sollen.

Ein wichtiger Zweck einer Cybersicherheitsarchitektur besteht darin, Ihnen einen umfassenden Überblick über den Compliance-Status Ihres Unternehmens zu gewähren und es Ihnen zu erleichtern, potenzielle Sicherheitslücken aufzudecken und neuen Anforderungen nachzukommen.

3. Durchdringen Sie die Komplexität

„Es kommt nicht selten vor, dass Abteilungen – die jeweils unterschiedliche Funktionen und Prioritäten innerhalb eines Unternehmens haben – die ‚Technologie des Monats‘ einsetzen. Dies erschwert es den Sicherheitsteams, ihnen den angemessenen Support zukommen zu lassen“, schreibt ThreatModelers CEO Archie Agarwa in Forbes. Das ist deshalb ein Problem, weil bereits individuelle Produkt-Updates die Unterstützbarkeit des Produkts zu einer bodenlosen Ressourcen- und Kostenfalle – ganz zu schweigen von einem erheblichen Risiko – machen können. Ein Framework, das hingegen eine optimierte und effiziente Auswahl von Tools ermöglicht, kann den Sicherheitsstatus und die Widerstandsfähigkeit eines Unternehmens drastisch verbessern sowie die Zusammenarbeit zwischen Entwicklungsteams fördern.

Das Zero-Trust-Sicherheitsmodell: eine Architektur für alle?

Zero Trust ist ein Cybersicherheitsprinzip, das sich in vier Worten zusammenfassen lässt: „Niemals vertrauen, immer verifizieren.“ Aber was genau bedeutet das?

Als Framework geht Zero Trust davon aus, dass Netzwerksicherheit stets Bedrohungen durch externe und interne Akteure ausgesetzt ist. Das Modell richtet den Fokus darauf, wie Unternehmen diese Bedrohungen abwenden können. Genauer gesagt: Es eliminiert bedingungsloses Vertrauen und verlangt stattdessen strenge Nutzer- und Geräteauthentifizierung auf jeder Ebene von digitalen Interaktionen, anstatt nur in Bezug auf die Netzwerkumgebung.

Dieser Ansatz grenzt sich bewusst von Strategien der alten Schule wie VPNs und Firewalls ab, die Nutzern, Geräten oder Anwendungen automatisch vertrauen, nur weil sich diese in einer bestimmten Netzwerkumgebung befinden. Und aus gutem Grund: Mit der stark zunehmenden Zahl von ortsunabhängig arbeitenden Mitarbeitern und in Cloudumgebungen gespeicherten Datenbeständen wird das Netzwerkumgebungsmodell nicht nur immer ineffizienter, sondern auch immer riskanter.

Mit einer Zero-Trust-Architektur können Unternehmen ihre geschäftskritischen und sensiblen Datenbestände vor Angriffen schützen, die sich gefälschte Identitäten oder gestohlene Anmeldedaten zunutze machen – zwei der heutzutage gängigsten Arten von Cyberattacken. Darüber hinaus kann dies laut TechTarget Auditbemühungen für Compliance effizienter machen, die Risiken einer Datenverletzung minimieren, die Aufdeckung von Vorfällen beschleunigen sowie die Transparenz des Netzwerkverkehrs und die Kontrolle über Clouddaten erhöhen.