Was ist eine Netzwerksicherheitsrichtlinie und warum ist sie wichtig?

Netzwerksicherheitsrichtlinien legen strenge Richtlinien dar, wie eine Organisation ihre netzwerkbasierten Ressourcen nutzt, verwaltet und schützt. Ohne eine gut durchdachte Richtlinie verfügt ein Unternehmen über keinen offiziellen Plan zum Schutz seines Netzwerks vor Missbrauch, unbefugtem Zugriff und Cyberangriffen.

Dieser Artikel ist eine Einführung in Netzwerksicherheitsrichtlinien, ein wichtiges Element der Cybersicherheitsstrategie eines jeden Unternehmens. Erfahren Sie, wie diese vorbeugenden Dokumente die Fähigkeit eines Teams verbessern, netzwerkbasierte Bedrohungen zu verhindern, zu erkennen und zu bekämpfen.

Was ist eine Netzwerksicherheitsrichtlinie?

Eine Netzwerksicherheitsrichtlinie ist ein formelles Dokument, das Strategien zur Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit netzwerkbasierter Daten und Ressourcen beschreibt. Hier sind die Hauptziele einer Netzwerksicherheitsrichtlinie:

• Definieren Sie die akzeptable Nutzung von Netzwerkressourcen.
• Skizzieren Sie standardisierte Sicherheitsverfahren.
• Legen Sie optimale Maßnahmen zum Schutz von Ressourcen vor Netzwerkbedrohungen fest.

Netzwerksicherheitsrichtlinien sind „lebende“ Dokumente, die kontinuierlich aktualisiert werden müssen, wenn sich die IT-Anforderungen ändern und Cyberkriminelle neue Taktiken entwickeln. Hier finden Sie eine Übersicht darüber, was eine typische Netzwerksicherheitsrichtlinie enthält:

• Ein Überblick über den Zweck und die Ziele der Richtlinie.
• Schlüsselpersonen und ihre Rollen bei der Erstellung und Durchsetzung der Richtlinie.
• Klare Identifizierung der in den Geltungsbereich fallenden Vermögenswerte und Ressourcen.
• Eine Übersicht über identifizierte Sicherheitsrisiken (in der Regel nach Schweregrad und Wahrscheinlichkeit priorisiert).
• Strategien zur Bewältigung und Minderung identifizierter Risiken.
• Informationen zu implementierten Sicherheitsmaßnahmen (Firewalls, Intrusion-Detection-Systeme (IDS), Anti-Malware-Tools, Endpunktsicherheit usw.).
• Richtlinien zur angemessenen Nutzung von Netzwerkressourcen.
• Einschränkungen für Aktivitäten, die die Sicherheit gefährden können.
• Verfahren zur Meldung von Problemen und Vorfällen.
• Gehen Sie zu den Schritten zur Reaktion auf Vorfälle.

Eine typische Netzwerksicherheitsrichtlinie ist eine Sammlung mehrerer Dokumente, die sich jeweils auf einen bestimmten Sicherheitsaspekt konzentrieren (z. B. Datenverschlüsselung, Passwortregeln, Patch-Management usw.). In der Regel gibt es einige Überschneidungen zwischen diesen Dokumenten, die jedoch keinen Anlass zur Sorge geben, wenn die Richtlinien in allen Richtlinien konsistent sind.

Warum sind Netzwerksicherheitsrichtlinien wichtig?

Netzwerksicherheitsrichtlinien spielen eine entscheidende Rolle beim Schutz netzwerkbasierter Vermögenswerte. Hier sind die Hauptgründe, warum diese Richtlinien so wichtig sind:

• Verbesserte Netzwerksicherheit. Eine gut durchdachte Richtlinie stärkt die Cyber-Abwehr, verringert Schwachstellen und stellt sicher, dass Teams wissen, wie sie das Unternehmensnetzwerk sicher nutzen. Unternehmen werden widerstandsfähiger gegen externe und interne Bedrohungen.
• Vertraulichkeit, Integrität und Verfügbarkeit (CIA). Eine Netzwerksicherheitsrichtlinie verringert die Wahrscheinlichkeit, dass wertvolle Daten verloren gehen, beschädigt werden oder nicht mehr verfügbar sind.
• Konsistente Sicherheitsmaßnahmen. Richtlinien bieten einen standardisierten Rahmen für Sicherheitsmaßnahmen im gesamten Unternehmen. Das Unternehmen definiert und setzt optimale Strategien zur Aufrechterhaltung der Netzwerksicherheit um.
• Einhaltung von Gesetzen und Vorschriften. Netzwerksicherheitsrichtlinien helfen Unternehmen bei der Einhaltung relevanter rechtlicher und behördlicher Standards (z. B. CCPA oder DSGVO).
• Eine proaktive Sicherheitsmentalität. Die Festlegung von Richtlinien und Best Practices erfordert, dass ein Unternehmen die Netzwerksicherheit proaktiv angeht. Richtlinien tragen auch zur Schaffung einer sicherheitsbewussten Kultur innerhalb der Organisation bei.
• Regelmäßige Überarbeitung der Strategie. Eine Netzwerksicherheitsrichtlinie erfordert regelmäßige Aktualisierungen, um neuen Risiken zu begegnen oder sich an aktuelle IT-Änderungen anzupassen. Regelmäßige Überprüfungen und Updates helfen Unternehmen, mit den neuesten Sicherheitsbedrohungen Schritt zu halten.
• Optimale Reaktion auf Vorfälle. Zu einer umfassenden Netzwerksicherheitsrichtlinie gehört ein Plan zur Reaktion auf Vorfälle, der Teams dabei hilft, schnell und effektiv auf Vorfälle zu reagieren. Die Bereitschaft für unvorhergesehene Ereignisse verbessert auch die Notfallwiederherstellung und die Geschäftskontinuität.

14 Kritische Netzwerksicherheitsrichtlinien

Unternehmen erstellen in der Regel mehrere Richtlinien, wobei jedes Dokument Regeln für einen anderen Aspekt der Netzwerksicherheit vorgibt. Werfen wir einen Blick auf die gängigsten Richtlinien, die Unternehmen erstellen, um die Netzwerksicherheit zu verbessern.

Zugriffskontrollrichtlinie

Eine Zugriffskontrollrichtlinie definiert Verfahren zum Gewähren und Entziehen des Zugriffs auf Netzwerkressourcen. Das Hauptziel der Richtlinie besteht darin, sicherzustellen, dass nur autorisierte Personen auf bestimmte Daten, Anwendungen und Bereiche innerhalb des Netzwerks zugreifen können.

Eine typische Zugriffskontrollrichtlinie umfasst die folgenden Informationen:

• Anforderungen zur Überprüfung der Benutzeridentität vor dem Zugriff (z. B. Passwörter, Biometrie, Smartcards usw.).
• Identifizierte Risiken im Zusammenhang mit Zugangskontrollen.
• Die zur Zugangskontrolle verwendeten Technologien, wie z. B. Zwei-Faktor- (2FA) oder Multi-Faktor-Authentifizierung (MFA).
• Verschiedene Zugriffsebenen, die Benutzer anhand ihrer Rollen und Verantwortlichkeiten klassifizieren.
• Verfahren zum Widerruf von Zugriffsrechten, wenn jemand das Unternehmen verlässt oder die Rolle wechselt.
• Spezifikationen, wie das Netzwerk Geräte authentifiziert, die auf das Netzwerk zugreifen.
• Methoden zur Überwachung von Benutzeraktivitäten, um unbefugte Zugriffsversuche zu erkennen (z. B. Protokollierungsmechanismen oder SIEM-Tools (Security Information and Event Management)).
• Richtlinien für die Bereitstellung des vorübergehenden Zugangs für Bürogäste.
• Verfahren zum Umgang mit Sicherheitsvorfällen im Zusammenhang mit der Zugangskontrolle.
• Anweisungen zur Netzwerkzugriffskontrolle (NAC).

Jede Organisation, unabhängig von Größe oder Branche, benötigt eine Zugangskontrollrichtlinie. Dieses Dokument ist für die Sicherstellung der Compliance und die Erkennung von Netzwerkeindringlingen von entscheidender Bedeutung.

Kontoverwaltungsrichtlinie

Eine Kontoverwaltungsrichtlinie beschreibt die Regeln und Verfahren für die Verwaltung von Benutzerkonten innerhalb des Netzwerks. Folgendes schreibt ein Unternehmen normalerweise in dieses Dokument:

• Die Tools und Technologien, die die Organisation für die Kontoverwaltung verwendet.
• Verfahren zum Erstellen neuer Benutzerkonten.
• Richtlinien zum Zuweisen geeigneter Berechtigungen zu Benutzerkonten.
• Authentifizierungsmethoden zur Überprüfung von Benutzeridentitäten.
• Verfahren zum Ändern von Benutzerkonten (z. B. Berechtigungsaktualisierungen, Rollenänderungen, Anpassungen von Kontoeinstellungen usw.).
• Prozesse zur Deaktivierung oder Kündigung von Benutzerkonten.
• Richtlinien zur Überwachung der Benutzerkontoaktivitäten.
• Protokolle zur Wiederherstellung des Zugriffs auf Benutzerkonten.

Jede Organisation, die sichere und konsistente Verfahren zum Erstellen, Ändern und Deaktivieren von Benutzerkonten wünscht, benötigt eine Kontoverwaltungsrichtlinie.

Passwortrichtlinie

Eine Passwortrichtlinie regelt die Erstellung, Verwaltung und Verwendung von Passwörtern innerhalb des Netzwerks. Das Hauptziel dieser Richtlinie besteht darin, sicherzustellen, dass Passwörter sicher und eindeutig sind und regelmäßig aktualisiert werden.

Folgendes enthält eine typische Passwortrichtlinie:

• Eine Übersicht über verwendete Passwortverwaltungstools.
• Anleitung zum Erstellen sicherer und komplexer Passwörter (z. B. Verwendung von Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen usw.).
• Die minimale und (falls zutreffend) maximale Länge für Passwörter.
• Regeln zur Wiederverwendung von Passwörtern.
• Die Häufigkeit, mit der Benutzer Passwörter ändern müssen.
• Regeln zum automatischen Sperren von Benutzerkonten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche (eine gängige Strategie zur Verhinderung von Brute-Force-Angriffen).
• Beschreibungen, wie das Unternehmen Passwörter speichert und schützt.
• Verfahren zur Passwortwiederherstellung.
• Richtlinien für den Umgang mit Passwörtern im Zusammenhang mit Drittanbieter-Apps oder integrierten Diensten.

Die Passwortrichtlinie ist ein Muss für jede Organisation, egal wie groß oder klein. Diese Richtlinie ist wichtig, um gestohlene Identitäten und Netzwerkverstöße zu verhindern.

Netzwerknutzungsrichtlinie

Eine Netzwerknutzungsrichtlinie definiert die akzeptable Nutzung von Netzwerkressourcen. Ein anderer gebräuchlicher Name für dieses Dokument ist „Acceptable Use Policy“ (AUP).

Der Hauptzweck der Netzwerknutzungsrichtlinie besteht darin, eine verantwortungsvolle und sichere Nutzung des Netzwerks und seiner Vermögenswerte sicherzustellen. Folgendes wird in diesem Dokument beschrieben:

• Die akzeptablen Zwecke, für die Mitarbeiter die Netzwerkressourcen der Organisation nutzen können.
• Verbotene Netzwerkaktivitäten (z. B. Glücksspiel, soziale Medien, persönliche E-Mails, inoffizielle Kommunikationstools, illegale oder unethische Aktivitäten, Schatten-IT-Tools usw.).
• Richtlinien für die angemessene Nutzung der Netzwerkbandbreite.
• Regeln für die Installation von Software auf organisationseigenen Geräten.
• Ein Überblick über obligatorische Netzwerksicherheitspraktiken und -tools.
• Die Folgen eines Verstoßes gegen Nutzungsrichtlinien.
• Einschränkungen im Zusammenhang mit der Nutzung persönlicher Geräte.

Die Netzwerknutzungsrichtlinie ist eine unverzichtbare Vorsichtsmaßnahme für jedes Unternehmen, das Netzwerkaktivitäten kontrollieren möchte.

RAS-Richtlinie

Eine Fernzugriffsrichtlinie schreibt Regeln für den sicheren Zugriff auf das interne Netzwerk und die Ressourcen einer Organisation von einem externen Standort aus vor. Folgendes können Sie in einer typischen RAS-Richtlinie erwarten:

• Eine Liste der Personen, die berechtigt sind, remote auf das Netzwerk zuzugreifen.
• Die Methoden zur Überprüfung der Identität von Remotebenutzern.
• Die Gerätetypen, die für den Fernzugriff zugelassen sind.
• Die zugelassenen Methoden zum Aufbau einer Remote-Verbindung (z. B. RDP oder VPN).
• Sicherheitsstandards, die Mitarbeiter erfüllen müssen, um Fernzugriff zu erhalten (z. B. aktualisierte Apps, Verschlüsselungsanforderungen, Firewall-Konfigurationen, aktivierte Antivirensoftware usw.).
• Sicherheitsmaßnahmen, die sensible Daten beim Fernzugriff schützen.
• Richtlinien für geeignete Remote-Aktivitäten.
• Informationen zu Protokollierungs- und Überwachungsverfahren für Fernzugriffssitzungen.

Richtlinien für den Fernzugriff sind für jedes Unternehmen, das seinen Mitarbeitern die Verbindung zum internen Netzwerk von Standorten außerhalb der Unternehmenszentrale aus ermöglicht, nicht optional.

Datenverschlüsselungsrichtlinie

Eine Datenverschlüsselungsrichtlinie regelt die Verwendung von Verschlüsselungstechniken, die sensible Netzwerkdaten schützen. Folgendes deckt eine typische Datenverschlüsselungsrichtlinie ab:

• Alle relevanten Datenschutzbestimmungen oder Compliance-Standards.
• Kategorien von Daten basierend auf Sensibilität und Wichtigkeit.
• Zugelassene Verschlüsselungsalgorithmen.
• Verfahren zum Generieren, Speichern und Verwalten von Verschlüsselungsschlüsseln.
• Anforderungen an die Verschlüsselung von Daten, die auf verschiedenen Geräten und Medien gespeichert sind (Verschlüsselung im Ruhezustand).
• Standards für die Verschlüsselung von Daten bei der Übertragung von einem Netzwerk in ein anderes (Verschlüsselung während der Übertragung).
• Anforderungen an die Verschlüsselung von Daten während der aktiven Verarbeitung (verwendete Verschlüsselung).
• Maßnahmen zur Verschlüsselung von Daten in Cloud-Umgebungen.
• Verfahren zum Entschlüsseln von Daten.

Jede Organisation, die sensible oder vertrauliche Daten verarbeitet, sollte die Erstellung einer Verschlüsselungsrichtlinie in Betracht ziehen. Diese Richtlinie ist besonders relevant für Unternehmen in Branchen mit strengen Datenschutzbestimmungen (z. B. Gesundheitswesen, Finanzen oder Regierung).

Firewall- und Netzwerksicherheitsrichtlinie

Firewall- und Netzwerksicherheitsrichtlinien definieren Regeln für die Konfiguration, Verwendung und Verwaltung von Firewalls und anderen Netzwerksicherheitsgeräten. Das Hauptziel dieser Richtlinie besteht darin, den ein- und ausgehenden Netzwerkverkehr zu überwachen.

Folgendes nehmen Unternehmen typischerweise in ihre Firewall- und Netzwerksicherheitsrichtlinien auf:

• Die Regeln und Konfigurationen für hardware- und softwarebasierte Firewalls.
• Arten des erlaubten und verbotenen Verkehrs.
• Die Regeln und Konfigurationen für Intrusion Prevention- und Detection-Systeme, die den Datenverkehr auf Anzeichen bösartiger Aktivitäten überwachen.
• Richtlinien für die Netzwerksegmentierung mit einem Überblick über die Sicherheitsanforderungen jedes Segments.
• Einstellungen zur Konfiguration von VPNs.
• Anforderungen für die Protokollierung und Überwachung des Netzwerkverkehrs.
• Verfahren zur Identifizierung und Reaktion auf Sicherheitsvorfälle, die Firewalls und Intrusion-Prevention-Systeme erkennen.
• Gibt Maßnahmen zum Schutz des Netzwerks vor Denial-of-Service-Angriffen an (z. B. Filter oder Implementierung einer Verkehrsdrosselung).
• Anleitung zur Nutzung der Network Address Translation zur Verschleierung von Netzwerkstrukturen.
• Sicherheitsmaßnahmen für bestimmte Apps, Protokolle oder Dienste (z. B. E-Mail- oder Datenbankserver).

Jede Organisation, die ein internes Netzwerk verwaltet, muss über eine Firewall- und Netzwerksicherheitsrichtlinie verfügen. Wie komplex und budgetintensiv die Politik wird, ist jedoch von Unternehmen zu Unternehmen sehr unterschiedlich.

Richtlinie zur Reaktion auf Vorfälle

Eine Richtlinie zur Reaktion auf Vorfälle stellt einen dokumentierten Satz von Verfahren bereit, die vorschreiben, wie Teams auf Sicherheitsvorfälle innerhalb des Netzwerks reagieren. Folgendes müssen Sie in diese Richtlinie aufnehmen:

• Alle relevanten gesetzlichen und behördlichen Anforderungen (z. B. dass ein System eine bestimmte RTO oder RPO erfüllen muss).
• Methoden und Verfahren zur Identifizierung potenzieller Sicherheitsvorfälle.
• Ein Rahmen zur Kategorisierung unvorhergesehener Ereignisse basierend auf ihrer Art und Auswirkung.
• Rollen und Verantwortlichkeiten der an der Reaktion beteiligten Personen.
• Ein Kommunikationsplan zur Benachrichtigung interner und externer Stakeholder über einen Vorfall.
• Maßnahmen und Verfahren zur Eindämmung des Vorfalls (z. B. Isolierung betroffener Systeme oder Sperrung des Netzwerkzugriffs).
• Prozesse zur Beseitigung der Grundursache des Problems.
• Anleitung zur Wiederherstellung des regulären Betriebs betroffener Systeme.
• Verfahren zur Durchführung forensischer Analysen zur Ermittlung der Ursache und des Ausmaßes des Vorfalls.
• Dokumentationsanforderungen für Reaktionsaktivitäten.
• Der Prozess zur Durchführung von Überprüfungen nach einem Vorfall.
• Übungsanweisungen für Incident-Response-Teams.

Unternehmen erstellen in der Regel für jeden potenziell verheerenden Vorfall eine separate Richtlinie. Organisationen können nicht für jedes unglückliche Szenario eine Richtlinie haben, daher sind genaue Risikobewertungen und Priorisierung unerlässlich.

Patch-Verwaltungsrichtlinie

Eine Patch-Management-Richtlinie legt die Verfahren fest, die die Planung, das Testen, die Bereitstellung und die Überwachung von Software-Patches regeln. Das Hauptziel dieser Richtlinie besteht darin, sicherzustellen, dass Netzwerksysteme mit den neuesten Sicherheitspatches, Fehlerbehebungen und Softwareupdates auf dem neuesten Stand sind.

Folgendes umfasst eine typische Patch-Management-Richtlinie:

• Ein Überblick über Tools und Technologien, die zum Patchen verwendet werden (z. B. Patch-Management-Software, Tools zum Scannen von Schwachstellen, Konfigurationsmanagementsysteme usw.).
• Patching-Zeitpläne.
• Anweisungen, wie Mitarbeiter über die neuesten Patches und Updates informiert bleiben können.
• Der Prozess der Identifizierung von Schwachstellen in Software und Systemen.
• Kriterien für die Priorisierung von Patches.
• Verfahren zum Testen von Patches in einer kontrollierten Umgebung vor der Bereitstellung in der Produktion.
• Eine Anleitung zum Zurücksetzen von Patches bei unerwartetem Systemverhalten.
• Methoden zur Überwachung der Wirksamkeit von Patch-Management-Aktivitäten.
• Regeln zur Pflege relevanter Dokumentation (Aufzeichnungen von Patch-Bereitstellungen, Testergebnissen und Kommunikationsprotokollen).

Jede Organisation benötigt eine Patch-Management-Richtlinie. Ohne eine solche kann ein Unternehmen nicht sicherstellen, dass seine Mitarbeiter die neuesten Softwareversionen verwenden.

E-Mail-Sicherheitsrichtlinie

E-Mail-Sicherheitsrichtlinien schreiben die sichere Verwendung von E-Mail-Nachrichten innerhalb einer Organisation vor. Diese Richtlinien schützen Unternehmen vor E-Mail-bezogenen Bedrohungen (z. B. Phishing-Angriffe, Verbreitung von Malware, Social-Engineering-Taktiken usw.).

E-Mail-Sicherheitsrichtlinien umfassen eine Reihe von Maßnahmen und Best Practices, darunter:

• Ein Überblick über alle Technologien, die zum Schutz der E-Mail-Kommunikation eingesetzt werden.
• Richtlinien, um sicherzustellen, dass nur autorisierte Benutzer auf E-Mails zugreifen und diese senden können.
• Schritte zur Erkennung und Verhinderung von Phishing-Versuchen.
• Verfahren zum Scannen von E-Mail-Inhalten, um schädliche Anhänge und Links zu erkennen und zu blockieren.
• Anweisungen zur Verhinderung der unbefugten Übertragung sensibler oder vertraulicher Informationen per E-Mail.
• Richtlinien zum Herausfiltern von Spam und unerwünschten E-Mails.
• Verfahren zur Meldung verdächtiger E-Mails und potenzieller Sicherheitsvorfälle im Zusammenhang mit E-Mails.
• Anweisungen zur Organisation von Mitarbeiterschulungen, um das Bewusstsein und die Einhaltung der E-Mail-Sicherheitsrichtlinie sicherzustellen.

Jede Organisation, die einen internen E-Mail-Server betreibt, benötigt eine E-Mail-Sicherheitsrichtlinie.

Netzwerküberwachungs- und Protokollierungsrichtlinie

Eine Netzwerküberwachungs- und Protokollierungsrichtlinie regelt, wie die Organisation das Netzwerk überwacht und Aktivitäten protokolliert. Folgendes deckt diese Richtlinie normalerweise ab:

• Die Ziele der Netzwerküberwachung (z. B. Erkennung und Verhinderung von Sicherheitsvorfällen, Optimierung der Netzwerkleistung, Sicherstellung einer hohen Verfügbarkeit kritischer Dienste usw.).
• Überlegungen zur Privatsphäre der Benutzer und zu Datenschutzgesetzen.
• Der Umfang der Netzwerküberwachungsaktivitäten.
• Implementierung von Netzwerküberwachungstools.
• Verfahren zur Überwachung der Bandbreitennutzung, Latenz und Verfügbarkeit.
• Richtlinien zur Erkennung verdächtiger oder böswilliger Aktivitäten.
• Detaillierte Erläuterungen zu den Arten der gesammelten Protokolle.
• Die Protokollspeichermechanismen und Aufbewahrungsfristen.
• Verfahren zum Analysieren von Protokollen und Erstellen von Berichten.
• Die Kriterien zum Generieren von Benachrichtigungen und Warnungen basierend auf überwachten Ereignissen.

Jede Organisation, die ein internes Netzwerk betreibt, benötigt eine Netzwerküberwachungs- und Protokollierungsrichtlinie.

Sicherheitsrichtlinie für mobile Geräte

Eine Sicherheitsrichtlinie für mobile Geräte regelt die sichere Nutzung und Verwaltung mobiler Geräte, die mit dem Netzwerk verbunden sind. Diese Richtlinie hilft Unternehmen:

• Schützen Sie sensible Datenbanken.
• Stellen Sie die Integrität und Vertraulichkeit der Daten sicher.
• Reduzieren Sie die Sicherheitsrisiken beim Anschluss von Smart-Geräten und Laptops an das Unternehmensnetzwerk.

Folgendes finden Sie in einer Sicherheitsrichtlinie für Mobilgeräte:

• Akzeptable Nutzungsrichtlinien für mobile Geräte innerhalb der Organisation.
• Regeln zur Verwendung von BYOD-Geräten für Arbeitsaufgaben.
• Verfahren zum Konfigurieren von Geräten mit Sicherheitseinstellungen, Verschlüsselung und anderen notwendigen Kontrollen.
• Anforderungen an eine sichere Authentifizierung, Geräteregistrierung und Maßnahmen zur Verhinderung unbefugten Zugriffs.
• Maßnahmen zur Sicherung von Netzwerkverbindungen auf mobilen Geräten.
• Richtlinien für die Installation und Nutzung arbeitsbezogener Apps auf Mobilgeräten.
• Ein Prozess, mit dem Mitarbeiter verlorene oder gestohlene Geräte melden können.
• Der Prozess zum Fernlöschen von Daten von verlorenen oder gestohlenen Geräten.
• Verfahren für Backups und Wiederherstellungsprozesse bei Datenverlust oder Geräteausfall.

Jede Organisation, die die Nutzung mobiler Geräte in ihrem Netzwerk zulässt, benötigt eine Sicherheitsrichtlinie für mobile Geräte.

Serversicherheitsrichtlinie

Eine Serversicherheitsrichtlinie beschreibt Richtlinien für die sichere Konfiguration, Verwaltung und Nutzung von Servern im Netzwerk einer Organisation. In dieser Richtlinie enthalten Unternehmen normalerweise Folgendes:

• Eine Übersicht aller Server (Modell, Alter, Go-to-Administrator, Zeitpunkt der letzten Überprüfung, Rack-Informationen usw.).
• Maßnahmen zur Kontrolle des Zugriffs auf Server (z. B. Authentifizierungsmechanismen, Benutzerkontenverwaltung, rollenbasierte Zugriffskontrollen (RBAC) usw.).
• Serverkonfigurationsstandards (z. B. Richtlinien für Betriebssystemeinstellungen, Netzwerkkonfigurationen, Sicherheitssoftwarekonfigurationen usw.).
• Verfahren zum Anwenden von Sicherheitspatches und Updates auf Server.
• Richtlinien zur Gewährleistung der physischen Sicherheit des Serverraums.
• Anweisungen für die ordnungsgemäße Serververwaltung.
• Verfahren zur Reaktion auf Sicherheitsvorfälle wie Eindringlinge oder Überschwemmungen im Serverraum.
• Anleitungen zur Datenwiederherstellung bei Serverausfällen.

Serversicherheitsrichtlinien sind ein Muss für jedes Unternehmen mit einem internen Serverraum.

Richtlinie zur Schwachstellenbewertung

Eine Richtlinie zur Schwachstellenbewertung erläutert, wie Teams systematisch und proaktiv nach Sicherheitslücken in einem Netzwerk suchen sollten. Eine typische Richtlinie zur Schwachstellenbewertung liefert die folgenden Informationen:

• Der Umfang der Schwachstellenbewertungen.
• Die Häufigkeit der Bewertungen.
• Autorisierte Tools und Techniken zur Erkennung von Schwachstellen (z. B. Netzwerkscanner, App-Sicherheitsscanner, Penetrationstest-Tools usw.).
• Die Berechtigungen, die zum Durchführen von Schwachstellenbewertungen erforderlich sind.
• Verfahren zur Dokumentation und Berichterstattung von Bewertungsergebnissen.
• Kriterien zur Priorisierung identifizierter Schwachstellen basierend auf verschiedenen Faktoren (z. B. Fehlerschweregrad, potenzielle Auswirkungen auf die Organisation, realistisches Risikoniveau usw.).
• Der Prozess zur Behebung und Behebung identifizierter Schwachstellen.
• Verfahren zur Verwaltung und Behebung falsch positiver Ergebnisse.
• Richtlinien zur Neubewertung und Validierung der Wirksamkeit von Sanierungsbemühungen.

Jede Organisation, die Netzwerksicherheitsrisiken proaktiv mindern möchte, benötigt eine Richtlinie zur Schwachstellenbewertung.

So implementieren Sie eine Netzwerksicherheitsrichtlinie

Einige Richtlinien sind schwieriger zu erstellen als andere, aber alle erfordern ein ähnliches Verfahren. Nachfolgend finden Sie eine Schritt-für-Schritt-Anleitung zum Erstellen und Implementieren einer Netzwerksicherheitsrichtlinie.

1. Definieren Sie politische Ziele und Geltungsbereich

Legen Sie zunächst fest, wer die Richtlinie erstellt, überprüft und durchsetzt. Die meisten Unternehmen entscheiden sich für eine Kombination aus:

• Vertreter des IT-Teams.
• Sicherheitsspezialisten (intern oder ausgelagert).
• Das Rechtsteam.
• Exekutive Führung.

Sobald ein Team zusammengestellt ist, definieren Sie klar die übergeordneten Ziele Ihrer Netzwerksicherheitsrichtlinie. Hier sind einige gängige Beispiele:

• Verbesserung des Datenschutzes.
• Unbefugten Zugriff verhindern.
• Steigerung der Netzwerkverfügbarkeit.
• Eindringlinge isolieren, die in das Netzwerk eingedrungen sind.
• Verhinderung von Ransomware-Injektionen.
• Verbesserung der Verkehrsüberwachung.

Als nächstes definieren Sie den Geltungsbereich der Richtlinie. Identifizieren und katalogisieren Sie alle Ressourcen im Netzwerk (z. B. Server, Datenbanken, Apps, Geräte usw.). Berücksichtigen Sie außerdem, wer das Netzwerk auf welche Weise nutzt.

Berücksichtigen Sie die für das Netzwerk geltenden gesetzlichen und behördlichen Anforderungen. Viele Organisationen müssen branchenspezifische Standards wie PCI oder HIPAA einhalten. Stellen Sie sicher, dass die Netzwerksicherheitsrichtlinie diesen Anforderungen entspricht.

Dokumentieren Sie abschließend die identifizierten Ziele, Vermögenswerte und den definierten Umfang. Diese Informationen dienen als Grundlage für die Entwicklung der Netzwerksicherheitsrichtlinie.

2. Netzwerkrisikobewertung

Identifizieren Sie potenzielle Bedrohungen, die die Sicherheit des Netzwerks beeinträchtigen könnten. Zu den üblichen Risiken gehören:

• Malware-Injektionen.
• Datenexfiltration.
• Drive-by-Downloads.
• Unbefugter Zugriff.
• Backdoor-Setup.
• Menschliches Versagen (z. B. wenn Mitarbeiter Passwörter weitergeben oder vergessen, sich von ihren Konten abzumelden).
• Falscher Datenverkehr, der Ressourcen verbraucht.
• Der Mann in der Mitte greift an.
• Verkehrsentführungen.

Bewerten Sie die Wahrscheinlichkeit jedes identifizierten Risikos. Die meisten Unternehmen verlassen sich bei diesem Prozess auf eine Kombination aus historischen Daten, Branchentrends und Expertenmeinungen.

Sie sollten auch die potenziellen Auswirkungen jedes identifizierten Risikos bewerten (z. B. Ausfallzeiten, Datenschutzverletzungen, fehlgeleiteter Datenverkehr usw.). Die Wirkungsanalyse hilft dabei, die Folgen im Hinblick auf Folgendes zu quantifizieren:

• Finanzielle Verluste.
• Reputationsschaden.
• Betriebsstörung.

Priorisieren Sie Risiken basierend auf einer Kombination aus Wahrscheinlichkeit und Auswirkung. Risiken mit hoher Priorität sind solche, die sowohl eine hohe Eintrittswahrscheinlichkeit als auch erhebliche potenzielle Folgen haben. Dokumentieren Sie die Ergebnisse der Risikobewertung, indem Sie alle identifizierten Risiken zusammen mit ihrer Wahrscheinlichkeit und Auswirkung auflisten.

3. Politikentwicklung

Nutzen Sie die bisher gesammelten Informationen, um eine Sicherheitsstrategie zu erstellen, die:

• Hilft, die in Schritt 1 definierten Ziele zu erreichen.
• Mindert die in Schritt zwei identifizierten Risiken mit hoher Priorität.

In den meisten Fällen sollte ein Sicherheitsexperte den ersten Entwurf verfassen und darlegen, welche Maßnahmen die betroffenen Vermögenswerte am besten vor erkannten Risiken schützen. Sie können sich entweder auf interne Spezialisten verlassen oder ein Drittteam damit beauftragen, die Grundlagen Ihrer Police zu definieren.

Die typischen Maßnahmen, auf die Sicherheitsteams bei der Erstellung einer Richtlinie zurückgreifen, sind:

• Implementieren Sie neue Sicherheitskontrollen.
• Setzen Sie bessere Zugangskontrollen ein.
• Richten Sie neue Firewalls und IDSes ein oder optimieren Sie sie.
• Verbessern Sie die Überwachungsmöglichkeiten.
• Daten verschlüsseln.
• Setzen Sie Tools zur DDoS-Prävention ein.
• Richten Sie Verfahren zur Reaktion auf Vorfälle ein oder verbessern Sie sie.
• Erstellen Sie neue Backup-Strategien.
• Richten Sie Honeypot-Server ein.
• Segmentieren Sie das Netzwerk in mehrere Zonen.
• Implementieren Sie Zero-Trust-Sicherheitsmaßnahmen.

Ermutigen Sie Sicherheitsexperten, die Gründe für jede in der Richtlinie enthaltene Maßnahme zu dokumentieren. Das Verständnis dieser Argumentation hilft bei der Annahme von Richtlinien und künftigen Überarbeitungen.

Sobald das Sicherheitsteam die Richtlinie erstellt hat, verteilen Sie das Dokument zur Überprüfung und Genehmigung durch alle wichtigen Beteiligten. Wenn alle Entscheidungsträger der Strategie zustimmen, besteht der nächste Schritt darin, ein ausführliches Dokument zu verfassen, in dem die neuen Sicherheitsmaßnahmen erläutert werden.

Neben der Beschreibung der Sicherheitsänderungen, die mit der Richtlinie einhergehen, sollten Autoren an dieser Stelle auch Folgendes definieren:

• Ansprechpartner für die Durchsetzung der Richtlinie.
• Klare Erwartungen darüber, was Mitarbeiter tun müssen, um die neue Richtlinie einzuhalten.
• Einschränkungen für Aktivitäten, die die Netzwerksicherheit gefährden.
• Verfahren zur Meldung von Sicherheitsvorfällen.
• Zeitpläne für die Überprüfung der Netzwerksicherheitsrichtlinie.

4. Richtlinienumsetzung

Erstellen Sie einen detaillierten Zeitplan, der die Phasen und Meilensteine der Umsetzung der neuen Richtlinie beschreibt. Legen Sie für jede Phase spezifische Zeitrahmen fest, um einen strukturierten und organisierten Ansatz zu gewährleisten.

Weisen Sie den an der Umsetzung beteiligten Personen oder Teams Aufgaben und Verantwortlichkeiten zu. Definieren Sie klar, wer für welchen Aspekt des Plans verantwortlich ist, um die Verantwortlichkeit sicherzustellen.

Implementieren Sie kleine Bereitstellungen vor der vollständigen Implementierung. Diese Pilotprogramme ermöglichen einer Organisation Folgendes:

• Vermeiden Sie es, bestehende Arbeitsabläufe und Prozesse übermäßig zu stören.
• Identifizieren und bewältigen Sie unvorhergesehene Herausforderungen.
• Stellen Sie sicher, dass jede neue Funktion und jedes neue Tool wie erwartet funktioniert.
• Sammeln Sie Feedback vor einer breiteren Einführung.

Passen Sie die Richtlinie bei Bedarf basierend auf dem Feedback während der Pilotbereitstellungen an. Organisieren Sie außerdem Schulungen zum Sicherheitsbewusstsein für die Mitarbeiter, um sicherzustellen, dass jeder weiß, wie die neue Richtlinie eingehalten werden muss.

Werden Sie proaktiv bei Ihrer Netzwerksicherheitsstrategie

Das Fehlen einer Netzwerksicherheitsrichtlinie führt dazu, dass Unternehmen bei ihren Cyberabwehrmaßnahmen übermäßig reaktiv reagieren. Organisationen erwägen Sicherheitsverbesserungen erst nach Vorfällen, die Teams normalerweise am Ende der Cyber-Kill-Chain stoppen. Vermeiden Sie diese riskante Denkweise und beginnen Sie mit der Erstellung von Richtlinien, die sicherstellen, dass Ihr Unternehmen auf netzwerkbasierte Bedrohungen vorbereitet ist.