So sichern Sie Daten an einem hybriden Arbeitsplatz

Sofern Sie nicht gerade auf dem Mond gelebt haben, ist Ihnen sicherlich aufgefallen, dass infolge der anhaltenden Pandemie immer mehr Mitarbeiter aus der Ferne arbeiten. Und während viele dieser Mitarbeiter im Zuge der Krise wahrscheinlich ins Büro zurückkehren werden, wird ein großer Teil von ihnen wahrscheinlich so weitermachen, wie sie sind.

Laut dem Work Trend Index 2021 von Microsoft „wünschen sich über 70 Prozent der Arbeitnehmer, dass flexible Fernarbeitsoptionen bestehen bleiben“, und „66 Prozent der Unternehmensentscheider erwägen die Neugestaltung physischer Räume, um hybride Arbeitsumgebungen besser zu ermöglichen“.

Das ist alles schön und gut, allerdings bringt dieser Wandel hin zu einem hybriden Arbeitsplatz eine Vielzahl von Sicherheitsherausforderungen mit sich, auf die nur wenige Unternehmen vollständig vorbereitet sind.

Zunächst einmal sind herkömmliche Perimeter-Sicherheitslösungen wie Firewalls und Intrusion-Prevention-Systeme weitaus weniger relevant als früher. Schließlich greifen Ihre Mitarbeiter möglicherweise von einem ungesicherten Standort auf das Unternehmensnetzwerk zu - etwa über einen öffentlichen WLAN-Hotspot, der anfällig für „Abhörangriffe“ ist. Und wenn Mitarbeiter über ihre persönlichen Geräte eine Verbindung zu Ihrem Netzwerk herstellen, ist es durchaus möglich, dass ihr Gerät bereits mit irgendeiner Art von Malware infiziert ist.

Erschwerend kommt hinzu, dass es immer noch viele Unternehmen gibt, die noch keine formalisierte Richtlinie für den Fernzugriff haben. Um sicherzustellen, dass Ihr Unternehmen Ihre kritischen Systeme und Vermögenswerte in einer hybriden Arbeitsumgebung schützen kann, müssen fünf Schlüsselbereiche berücksichtigt werden.

1. Schulung zum Sicherheitsbewusstsein

Viele Mitarbeiter sind sich einfach nicht der bewährten Sicherheitspraktiken bewusst, die zur Unterstützung einer Remote-Arbeitsumgebung erforderlich sind. Daher sollte die Schulung des Sicherheitsbewusstseins oberste Priorität haben. Sie müssen damit beginnen, klare Richtlinien zu entwickeln, die ein breites Spektrum an Bereichen abdecken, darunter Passworthygiene, Social Engineering und Fernzugriffsverfahren, um nur einige zu nennen.

Alle Mitarbeiter müssen über ihre Verantwortung im Hinblick auf den Schutz der Vertraulichkeit des Kunden und die Einhaltung der einschlägigen Datenschutzgesetze informiert werden. Selbstverständlich sollte Ihr Sicherheitsbewusstseinsschulungsprogramm diese Richtlinien widerspiegeln, und die Schulung muss kontinuierlich fortgesetzt werden, um eine Sicherheitskultur zu schaffen.

2. Verschlüsselung

Der Einsatz von Verschlüsselung zur Verhinderung von Datenverlust ist ein sehr wirksamer, aber oft übersehener Bereich der Datensicherheit. Alle sensiblen Daten sollten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden. Während die meisten gängigen Cloud-Dienstanbieter ihre eigenen clientseitigen Verschlüsselungstools anbieten, wäre es eine sicherere Option, die Daten mit Ihren eigenen Schlüsseln zu verschlüsseln, bevor Sie die Daten in die Cloud hochladen.

Alternativ können Sie einen Verschlüsselungsdienst eines Drittanbieters nutzen, um die Schlüssel für Sie zu verwalten und so zu verhindern, dass die Mitarbeiter des Cloud-Anbieters Zugriff auf die Schlüssel und damit auf Ihre kritischen Vermögenswerte erhalten.

3. Fernlösch- und Geräteverwaltungssoftware

Software zur Fernlöschung ermöglicht es Administratoren, Daten auf einem Gerät oder System aus der Ferne zu löschen und zu zerstören. Wenn beispielsweise ein Mobilgerät mit sensiblen Daten verloren geht oder gestohlen wird, muss der Administrator sein Möglichstes tun, um sicherzustellen, dass die Daten nicht in die Hände eines Angreifers oder sonst jemandem gelangen. Natürlich müsste die Software auf einem vom Unternehmen bereitgestellten Gerät und nicht auf dem persönlichen Gerät eines Mitarbeiters installiert werden, da dies als Verletzung seiner Privatsphäre angesehen würde. Eine MDM-Lösung (Mobile Device Management) bietet Funktionen zur Fernlöschung sowie eine Reihe weiterer Funktionen, wie zum Beispiel:

Geräteinventur und -verfolgung;
Remote-Softwareinstallation und -Updates;
Whitelisting/Blacklisting von Anwendungen;
Durchsetzung von Passwörtern;
Datenverschlüsselung.

4. Daten in der Cloud sichern

Cloud-Dienstleister haben ihre Sicherheitsstandards in den letzten Jahren erheblich verbessert, weshalb sich immer mehr Unternehmen bei der Speicherung ihrer sensiblen Daten in einem Cloud-Repository wohlfühlen. Die meisten gängigen Cloud-Anbieter stellen Endbenutzern außerdem zahlreiche Funktionen zur Verfügung, die ihnen helfen, ihre sensiblen Daten zu schützen. Allerdings ist zu beachten, dass trotz dieser Verbesserungen der Schutz sensibler Daten in der Cloud letztlich immer noch in der Verantwortung des Endbenutzers liegt. Sie müssen sicherstellen, dass alle unstrukturierten Daten erfasst und auf verdächtige Aktivitäten überwacht werden. Da Cloud-basierte Konten im Wesentlichen dem öffentlichen Internet zugänglich sind, müssen Sie über eine sichere Passwortrichtlinie verfügen oder, noch besser, eine Multi-Faktor-Authentifizierung verwenden, um unbefugten Zugriff zu verhindern. Wie bereits erwähnt, sollten alle in der Cloud gespeicherten sensiblen Daten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden.

5. Zugriff mit den geringsten Privilegien und Zero-Trust

Das „Prinzip der geringsten Rechte“ (PoLP) ist eine Zugriffsmethode, bei der Benutzern das Mindestmaß an Zugriffsrechten gewährt wird, das zur Ausübung ihrer Rolle erforderlich ist. In manchen Fällen kann es sein, dass ein Mitarbeiter für einen begrenzten Zeitraum Zugriff auf sensible Daten benötigt und daher ein formelles Verfahren zur Gewährung/Entzug des vorübergehenden Zugriffs erforderlich ist. Größere Unternehmen möchten möglicherweise auch die Einführung eines Zero-Trust-Sicherheitsmodells in Betracht ziehen, das auf der Prämisse basiert, dass keinem Benutzer oder Gerät vertraut werden sollte. Das bedeutet, dass sie sich jedes Mal authentifizieren müssen, wenn sie auf kritische Systeme oder Daten zugreifen müssen - nicht nur, wenn sie sich bei ihrem Konto anmelden. PoLP und Zero-Trust gelten für alle Benutzer, Anwendungen, Dienste und Geräte, die Zugriff auf kritische Netzwerkressourcen benötigen.

Um sensible Daten an einem hybriden Arbeitsplatz zu schützen, ist ein mehrgleisiger Ansatz erforderlich. Als Faustregel gilt: Sie sollten nur vom Unternehmen bereitgestellten Geräten die Verbindung mit Ihrem Netzwerk erlauben und diese Geräte dürfen nur von den dafür vorgesehenen Mitarbeitern verwendet werden. Alle Patches/Updates sollten zeitnah installiert werden und Mitarbeiter müssen daran gehindert werden, nicht genehmigte Software auf ihren Geräten zu installieren. Das Wichtigste beim Schutz sensibler Daten ist jedoch, dass Transparenz der Schlüssel ist!

Sie müssen sicherstellen, dass Sie genau wissen, welche Daten Sie speichern, wo sie sich befinden und wer Zugriff darauf hat. Der Administrator muss Zugriff auf ein unveränderliches und leicht lesbares Protokoll der Ereignisse haben, die Ihre kritischen Vermögenswerte betreffen. Sie sollten in Echtzeit benachrichtigt werden, wenn auf zeitkritische Daten zugegriffen, diese geteilt, verschoben, geändert oder entfernt werden.