Sicherheit vs. Vertrauen - Auf das Verhalten kommt es an

Ich habe neulich die Definition von sicher durchgesehen und den folgenden Eintrag gefunden:

v. (etwas) fest befestigen oder befestigen, sodass es nicht bewegt werden kann oder verloren geht

Und dann habe ich es auf Sicherheitsinitiativen innerhalb der IT angewendet. Das Ziel stimmt gut überein; Sie möchten Ihr Netzwerk so reparieren (sprich: konfigurieren), dass die von Ihnen eingerichteten Sicherheitskontrollen nicht „verschoben werden oder verloren gehen“ - das heißt in unserem Fall, dass jemand diese Kontrollen umgehen kann.

Doch in den meisten Organisationen wird der Idee, jemandem erhöhte Privilegien zu gewähren, kaum Aufmerksamkeit geschenkt, außer der Überlegung, ob die betreffende Person diese Berechtigungen benötigt. Im Grunde entscheiden Sie sich also einfach dafür, der Person zu vertrauen und denken wahrscheinlich nie darüber nach, wie sie ihre Berechtigungen nutzt.

Schauen Sie sich nun die Definition von Vertrauen an:

n. fester Glaube an die Zuverlässigkeit, Wahrheit, Fähigkeit oder Stärke von jemandem oder etwas

Wenn wir uns (aus Gründen des Sicherheitskontexts hier) auf den Zuverlässigkeitsteil der Definition konzentrieren: Wenn wir über Ihre Firewall-Einstellungen sprechen würden, würden Sie wahrscheinlich prüfen, ob die Einstellungen vorhanden sind (die festlegen, wie sich die Firewall verhält). Wenn Sie darüber nachdenken, ist das, was Sie an der Firewall wirklich überprüfen, nicht, ob ein bestimmter Port offen oder geschlossen ist; Sie überprüfen tatsächlich, ob sich die Firewall so verhält, wie Sie es erwarten.

Wie wäre es also, wenn diesem Benutzer erhöhte Berechtigungen gewährt würden? Wenden Sie das gleiche Maß an Kontrolle an? Nein, ich spreche nicht von den Berechtigungen, die Sie zugewiesen haben; Ich spreche davon, ob Sie prüfen, ob sie sich so verhalten, wie Sie es von ihnen erwarten!

Menschen werden wie die Firewall „konfiguriert“, um sich auf eine bestimmte Art und Weise zu verhalten - Berechtigungen werden erteilt, Erwartungen werden festgelegt und dann, im Falle eines Vertrauensakts gegenüber dem Benutzer, … nichts. Sie werden nie wieder überprüft. Es ist wichtig, dass Sie das Verhalten einer Person genauso genau untersuchen wie Ihre Firewall.

Selbst die vertrauenswürdigste Person in Ihrem Unternehmen (vielleicht sogar Sie) kann ein Lebensereignis durchmachen, das Datendiebstahl, Betrug usw. plötzlich nicht mehr so unrealistisch macht. Sie können einen Benutzer zwar nicht einfach fragen: „Veruntreuen Sie uns?“ “ oder „Haben Sie in letzter Zeit Daten gestohlen“ (Sie werden keine ehrliche Antwort bekommen, oder?), müssen Sie dennoch den gleichen Aufwand betreiben, um festzustellen, was ein Benutzer mit den gewährten Privilegien gemacht hat (d. h. ihr Verhalten).

Um mehr zu erfahren, laden Sie das Whitepaper „Insider-Bedrohungen: Vertrauen ist keine Sicherheitsstrategie“ herunter.