Management und Wissen / Faktor Mensch

Zusätzliche Bewertungen

Ein weiterer gedanklicher Aspekt in der Risikobewertung "Ausland" eröffnet sich beispielsweise bei der Lektüre des Spiegel-Artikels "Verdacht auf Geheimnisverrat – Militärpolizei durchsucht tschechischen Fernsehsender" (www.spiegel.de/politik/ausland/0,1518,750532,00.html) – dies betrifft den Zugriff auf Server, Daten, Mitarbeiter et cetera durch staatliche Interessen, unter anderem Spionagetätigkeit oder der Verpflichtung zur Installation von Backdoors.

Wo der Korruptionswahrnehmungsindex als alleiniges Maß zu einseitig erscheint, gibt es weitere, allgemein verfügbare Indikatoren, welche bei der Entscheidung pro/contra einer Auslagerung der IT in ein anderes Land Berücksichtigung finden können. Drei mögliche Beispiele wären:

• der "Democracy Index" der Economist Intelligence Unit (verfügbar für 167 Länder),
• eine Bewertung gemäß dem "Report to the Nations" der Association of Certified Fraud Examiners (siehe [5] S. 24ff.]) oder
• Erkenntnisse von Amnesty International.

In vielen Fällen liegen aus zurückliegenden Erfahrungen anderer Unternehmen, Branchenverbänden, Handelskammern oder auch öffentlichen Stellen relevante statistische Daten vor, die ebenfalls wichtige Indikatoren für eine Auslagerung enthalten können, etwa zu

• Standortverlagerungen (branchenspezifisch, firmenspezifisch) im jeweiligen Land,
• Beteiligungsstrukturen beim Dienstleister (Beteiligung/Rechte der Regierungen und/oder öffentlicher Stellen),
• Mitarbeiterfluktuation,
• Änderungen der gesetzlichen Lage et cetera.

Idealerweise wählt man mehrere Indexgrößen und überführt diese durch entsprechende Gewichtung in ein "effektives Landesrisiko". Da für eine solche Umsetzung teilweise auch subjektive Bewertungen einfließen, lässt sich keine feste Formel vorgeben. Für die praktische Anwendung im Kontext firmeneigener Risikokalkulationen eignet sich eine Tabelle, welche die denkbaren Kombinationen von CPI und anderen Indizes dokumentiert und in das individuell gewichtete Gesamtrisiko überführt.

Anwendungsbereich

Es sei nochmals betont, dass eine EPIS-Bewertung nicht auf jegliches Outsourcing angewendet werden soll. Zweifellos erfordert neben dem AGG auch die Europäische Idee ein gewisses Maß an Zurückhaltung sowie formelle und politische Korrektheit – dies alles bei gleichzeitigem Erhalt des vielzitierten "gesunden Menschenverstandes". EPIS zielt nur auf systemische Infrastrukturen, deren Verfügbarkeit und Sicherheit ein nationales Interesse repräsentieren, wo "erweitertes Hinterfragen" zulässig sein muss – so, wie wir das beispielsweise bei Kernkraft, Flugverkehr oder Militär heute schon kennen und anerkennen.

In welchen regulatorischen Bereichen besteht nun potenzieller Handlungsbedarf? Im Fall der Banken zeigt der Basel-III- [6] /MaRisk- [3] -Kontext aktuell noch eine klare Unterpriorisierung adäquater Regelungen um das gleichzeitige Outsourcing des Security-, Risiko- und Compliance-Monitoring in Form "verschärft wirksamer" Verpflichtungen und Vorkehrungen, insbesondere für den Fall systemischer Banken. Alle drei Disziplinen bilden das Rückgrat für die gesetzlich gebotene Risikofrüherkennung (AktG § 91 Abs. 2) in der IT. Eine garantiert objektive Risikobetrachtung der "gesamten Produktionsstätte" des Outsourcing-Dienstleisters – durch neutrale Dritte – ist daher unabdingbar. So empfiehlt es auch das BSI beispielsweise für die Cloud (siehe [7], S. 64ff.) – dort sogar mit einer Prüfung der Mitarbeiter als eigenständigen Prüfpunkt "Vertrauenswürdiges Personal".

Monitoring is Key

Der Dreh- und Angelpunkt dieser Maßnahmen liegt dabei im letzten Punkt, also der Implementierung eines starken, neutralen und manipulationsfreien Security- und Compliance-Monitorings. Bei diesem Thema ist ebenso eine präzise Risikoanalyse entlang der Wertschöpfungskaskade notwendig, die folgende Kernschichten umfasst:

• Entscheidung über den Katalog überwachungsrelevanter Details, etwa Konfigurationsdetails in den Systemen und relevante Ereignisse (Events).
• Beschaffung und Erzeugung der hierfür elementaren Audit- und Logdaten: Betriebs- und Security-System sind entsprechend zu konfigurieren und gegebenenfalls mit ergänzenden Agenten und Absicherungen auszustatten, damit vollständige Transparenz durch lückenlose, vollständige und unverfälschte Daten herbeigeführt wird.
• Zeitnahe Auswertung, Verdichtung und Berichterstattung auf Basis obiger Elementardaten mittels Filter, Korrelation et cetera (z. B. zwecks Angriffs- und Fraud-Erkennung im funktionalen Kontext einer SIEM-Lösung).

In einer EPIS-relevanten Umgebung sind besonders auf den ersten beiden Ebenen strenge Anforderungen zu stellen: Auf der ersten Ebene besteht die Gefahr, dass der Dienstleister dank seines "exklusiven" Know-hows den Kunden dominiert. Für die zweite Ebene impliziert EPIS gerade das Vorhandensein besonders hoher Autorisierungen und entsprechender fachlicher Kompetenz, die ein zeitweises oder gezieltes Abschalten und Umgehen des Audit-Trails oder von Sicherheitsprüfungen alles andere als unmöglich erscheinen lassen. "Tricks" auf entsprechend tiefer Ebene versprechen im Fall professionellen Vorgehens den größten Gewinn, denn für SIEM-Lösungen gilt ein elementares Theorem der Physik: "von nichts kommt nichts" – erreichen Logdaten dank "Verzicht" auf der ersten Ebene oder einer Manipulation auf der zweiten Ebene das SIEM nicht, so muss ein Erkennen auf der dritten Ebene automatisch scheitern. Selbst wo ein Unternehmen die letzte Ebene selbst betreibt und nur die ersten Schichten in den Händen des Outsourcing-Dienstleisters liegen, ist daher weiterhin für die ersten beiden Ebenen auf EPIS-Tauglichkeit zu achten.

Als logische Folge ergibt sich, dass im Fall eines EPIS-Umfelds auf eine nachhaltige, neutrale Hinterfragung des Dienstleisters nicht verzichtet werden darf. Insgesamt muss ein permanent wirksamer technischer wie auch "intellektueller Wettkampf" in das Kunde-Dienstleister-Verhältnis implementiert sein, wie er beispielsweise in vorbildlicher Weise unter den Herstellern von Viren- oder Vulnerability-Scannern und mit den Plattformherstellern besteht. Zu schnell etablieren sich im Fall eines "Full Service"-Outsourcings sonst "kuschelwarme" Verhältnisse – juristisch zwar vollkommen korrekt, faktisch aber nicht optimal wirksam und eben primär "Zufriedenheit spendend": die eine Seite "ist alles los", die andere muss niemanden fachlich wirklich "fürchten".

Der Worst-Case stellt sich dann ein, wenn der Outsourcing-Dienstleister selbst auch noch die Überwachung betreibt, möglichst mit den eigenen Tools und Produkten, mit dem eigenen Team, mit seinem eigenen exklusiven Know-how, im eigen-entschiedenen Reporting-Umfang et cetera. In einer solchen "eigenmächtigen" Konstellation, also ohne jedes wirkliche Gefühl des Hinterfragens und somit der Möglichkeit "irgendetwas" abliefern zu können, um seine Pflichterfüllung zu belegen, sind Fehlentwicklungen und damit Risikoschieflagen nahezu vorprogrammiert – im Fall von systemischen Infrastrukturen eine für die Allgemeinheit ungenügende, wenn nicht sogar inakzeptable Gesamtsituation.

Fazit

Für volkswirtschaftlich und gesellschaftlich kritische, "systemrelevante" Unternehmen und Institutionen ist das Thema der extrem-autorisierten Mitarbeiter aufgrund meist fehlender persönlicher Sicherheitsüberprüfungen weiterhin ein rechtlich unzureichend eingegrenztes Risiko. Dies gilt in gesteigerter Form im Fall des Outsourcings einer systemischen IT an Dienstleister mit international verteilt angesiedelten "Produktionsstätten" in Form systemnaher Mitarbeiter, Rechenzentren et cetera. Gerade in diesem Fall besteht gegenüber der Allgemeinheit eine besonders hohe Verpflichtung zur nachhaltigen Risikoanalyse durch die Aufsichtsorgane.

Die Risikoanalyse einer systemischen IT muss den Faktor "IT im Ausland" künftig in den Überlegungen intensiver einbinden – bei vollem Erhalt der politischen Korrektheit und Einhaltung des Allgemeinen Gleichbehandlungsgesetzes (AGG). Der Korruptionswahrnehmungsindex von Transparency International bietet eine solide Grundorientierung für eine ländervergleichende Bewertung der Eintrittswahrscheinlichkeit von Szenarien, die allesamt auf dem Missbrauch einer kraft Amtes verliehenen potenziell extrem hohen Machtumsetzungsgeschwindigkeit basieren. Die Hinzunahme weiterer Indizes erhöht nachhaltig das Niveau einer objektiven Bewertung.

Insbesondere im Fall des systemischen Finanzsektors hat die Gesellschaft Anspruch auf eine solche nachhaltige Risikokompensation im Umfeld des wichtigen öffentlichen Gutes Sicherheit und Stabilität. Dies ruft alle Beteiligten und Verantwortlichen zum proaktiven Handeln zwecks Einleiten entsprechender Maßnahmen auf – zum Beispiel in Form der vorgeschlagenen EPIS-"Zertifizierung".

Dr. Stephen Fedtke ist Spezialist für die Risiko-Analyse und Absicherung kritischer und systemischer IT-Infrastrukturen. Für Ihren Diskussionsbeitrag zum Thema steht die E-Mail-Adresse epis@enterprise-it-security.com zur Verfügung.