Security Audits: Sicherheitscheck für ICT

Wer die Sicherheit von ICT-Infrastrukturen unter realistischen Bedingungen überprüfen möchte, kommt um technische Security Audits nicht herum. Dieser Artikel bietet eine Übersicht der gängigen Testtypen.

Christoph Baumgartner ist CEO der auf technische Security Audits spezialisierten OneConsult GmbH, www.oneconsult.com

Stufenplan: Die einzelnen Phasen im Ablauf eines typischen Penetration Testzyklus’ von der Planung bis zum Report

Kaum ein Unternehmen mit überregionalem Einzugsgebiet kann es sich leisten, nicht mittels Website im Internet präsent und nicht via E-Mail erreichbar zu sein. Transaktionen, welche noch vor wenigen Jahren zwingend den Besuch eines Ladens oder Bankschalters erforderten, können heute bequem online abgewickelt werden. Generell unterstützt die ICT-Infrastruktur die meisten Geschäftsprozesse und bildet somit die Achillesferse vieler Organisationen. Aus diesem Grund entspricht es den best practices, die ICT-Infrastruktur in regelmässigen Abständen einer technischen Sicherheitsüberprüfung zu unterziehen.

Rechtliche Rahmenbedingungen

Technische Security Audits sind oft nicht von echten Hackerangriffen zu unterscheiden. Hacking ohne explizite vorherige Genehmigung des Systemeigners und -betreibers ist strafbar und kann mit Busse und/oder Haft bestraft werden. In Deutschland wurde die Gesetzeslage kürzlich sogar weiter verschärft: Jetzt steht selbst die Bereitstellung von Tools im Web, welche für das Hacking verwendet werden könnten, unter Strafe. Der anfänglichen Verunsicherung der Security-Tester-Branche folgte die Erkenntnis, dass auch hier die Devise zu gelten scheint: Wo kein Kläger, da kein Richter.

Der konkrete Nutzen

Die Durchführung technischer Audits bringt vielfältigen Nutzen. Es folgt eine Auswahl:

• Aufdeckung von Sicherheitslücken (bevor dies Unberechtigte tun) und Nennung geeigneter Gegenmassnahmen

• Qualitätssicherung dank (unabhängiger) IT-Security-Analyse
  

• Compliance-Nachweis bezüglich gesetzlicher Rahmenbedingungen, Vorgaben und Normen (z.B. ISO/IEC 27001/17799, SOX, IT GSHB)

• Prävention von Störfällen und damit direkte und indirekte Kosteneinsparungen für die Zukunft
  

• Awareness Building auf allen Stufen
  

• Know-how-Transfer (vom Dienstleister in Richtung Auftraggeber)
  

• Argumentationsgrundlage für zukünftige IT-Security-Projekte und -Aktivitäten