IT-Security – wieso denn immer alles selbst machen?

Ich glaube wir sind uns alle einig, dass wir uns derzeit in einer extremen Bedrohungslage innerhalb der IT-Security befinden. Nicht nur werden Angreifer immer raffinierter, auch wanderten in den letzten 10 Jahren beinahe alle geschäftskritischen Daten in die IT. Doch wie können wir uns gegen all dies noch schützen? Kann ich als IT-Abteilung überhaupt die notwendigen finanziellen und personellen Ressourcen aufbringen um mich gegen die Bedrohungen zu wehren?

Mittlerweile gibt es gefühlt mehr „as a Service“ Angebote als Sandkörner am Meer, doch einige Bereiche der IT bleiben bis heute beinahe unangetastet von diesem Trend. Einer dieser Bereiche ist die IT-Security. Wieso das so ist, wieso sich das in vielen Fällen ändern sollte und was es bereits heute an Angeboten gibt, beantworte ich in meinem heutigen Blogpost. Ich betone gleich zu Beginn, dass es neben harten Fakten auch immer wieder Punkte geben wird, bei denen ich meine rein subjektive Meinung mitteilen werde. Wie immer gilt: alles kann, nichts muss. Legen wir los!

IT-Security – jeder will, niemand kann!

Sicherlich ist die Überschrift etwas überspitzt dargestellt, aber ich glaube wir alle kennen es: uns ist klar, wie wichtig IT-Security ist und dass eigentlich immer mehr Security möglich ist. Wir wissen auch, dass mittlerweile jedes Unternehmen ins Trudeln kommt, wenn es getroffen wird. Doch wieso können wir oftmals nicht mehr machen als Status Quo?

1. IT-Security ist komplex, denn IT-Security ist vermutlich das weitreichendste Feld innerhalb der IT. Der beste Forensiker der Welt bringt wenig, wenn sich niemand mit der Lotus Notes oder XenServer Infrastruktur im Hintergrund auskennt
2. IT-Security ist teuer. Egal ob Security Produkte oder IT- Security Fachkräfte – Sicherheit kostet Geld und das nicht gerade wenig
3. IT-Security kennt keine Pausen, Ferien oder Feiertage. Angreifern ist es egal, ob Feiertag oder tiefe Nacht ist – oder ist gerade das die beste Zeit für den Angriff? Ein sauberen internen 24/7 Support zu bieten ist für viele Unternehmen schlicht und einfach nicht abbildbar
4. IT-Security Produkte sind komplex. Zwar schon unter Punkt 1.) erwähnt, aber auch wichtig: speziell Security Produkte bedürfen oftmals extrem viel Fachwissen, das angelernt und geschult werden möchte. Und was ist denn eigentlich, wenn wir das Produkt mal austauschen oder gar der Hersteller dieses abkündigt?

Aus der eigenen Erfahrung bei unzähligen Kunden innerhalb der letzten 5 Jahre kann ich sehr guten Gewissens sagen: für die meisten Unternehmen und den dazugehörigen IT-Abteilungen ist es beinahe unmöglich ein gutes IT-Security Konzept zu implementieren. Die Abteilungen können noch so gut organisiert und die Mitarbeiter noch so gut ausgebildet sein: Sicherheit ist zu spezifisch und so schnelllebig als dass man diese Verantwortung komplett den eigenen Mitarbeitern aufbürden sollte.

Security as a Service – wieso ist das Angebot so gering?

Die Tatsache, dass es derzeit einen recht überschaubaren Markt an Security as a Service oder Security aus der Cloud (Vorsicht, nicht das Gleiche!) gibt, ist sicherlich auf ein paar Grundsätze zurückzuführen:

1. Für viele Unternehmen ist IT-Security sicherlich einer der, wenn nicht sogar der sensibelste Baustein der IT-Infrastruktur. Alles was hier geschieht schützt die Daten und damit das Heiligtum einer Firma. Vielen Firmen fehlt hier schlicht und einfach das notwendige Vertrauen in einen Dienstleister
2. IT-Security ist seit eh und je eher schwierig an den Mann zu bringen. Die Gründe hierfür liegen sicherlich oftmals in der hohen Komplexität der Technologien und den oftmals langwierigen Integrationen
3. Auch viele der herkömmlichen Security Hersteller setzen bis heute lieber auf On-Premises Lösungen anstatt auf Services

Security as a Service – viele Vorteile bei berechtigten Bedenken

Bevor ich auf die mutmaßlichen Vorteile von Security Services eingehe, möchte ich etwas klarstellen: IT-Security und so ziemlich alle anderen Cloud Dienste sollten niemals „einfach“ ausgelagert werden. Jeder dieser Entscheidungen kann extreme Folgen für den Betrieb der IT und des kompletten Unternehmens haben. Diese Entscheidungen wollen also gut überlegt sein, hier sollte also weder der reine Preis, noch ein gutes Marketing der entscheidende Grund für den Abschluss von Services sein!

Um die Vorteile von Security Services besser darstellen zu können, bedienen wir uns eines Beispiels: SIEM-as-a-Service. Hierbei handelt es sich, im Falle des Proact Services, um das SIEM System von LogRythm, das durch Proact gemanaged wird.

1. Stressfreie Implementierung – die komplette Implementierung wird durch Proact durchgeführt, das Produkt ist getestet und verifiziert
2. 24/7 Überwachung der Ergebnisse – Proact Analysten überwachen 24/7 die Ergebnisse und informieren Euch zu jeder Tag- und Nachtzeit über Vorkommnisse
3. Expertentum – Security Spezialisten werden die Ergebnisse und Ereignisse aus, sodass Ihr euch wieder auf eure Fachthemen konzentrieren könnt

Ich glaube viele der Gründe sprechen für sich und wie bereits gesagt: man sollte derartige Entscheidungen genau überdenken. Doch zum Ende dieses Artikels möchte ich noch eine Frage stellen über die jeder Leser nachdenken sollte. Die daraus hoffentlich entstehende Diskussion können wir dann gerne persönlich auf der diesjährigen itsa führen – inklusive einer Live Vorführung unserer Security Services!

Ich darf meine Daten nicht auslagern, da sind sie nicht sicher! – wie sicher sind die Daten denn eigentlich bei Euch?

Besucht Proact auf Stand 9-548 auf der IT-Security Messe it-sa 2017 in Nürnberg. Auf unserer Website gibt es noch kostenlose Messetickets.

Robert Wortmann

Robert ist seit 2014 bei der Proact Deutschland beschäftigt, wo er sich zunächst als Senior Consultant um Kundenlösungen im Bereich Security und Virtualisierung gekümmert hat. Seit 2016 ist er hauptverantwortlich für den Bereich Security zuständig.