Mehr als nur Technologie

Zuletzt stand beim Thema Datensicherheit der Internetkonzern Yahoo! im Fokus. So soll im Auftrag des US-Geheimdienstes und mit Zustimmung der Geschäftsführer eine Software alle eingehenden E-Mails der Yahoo-Kunden gescannt haben. Mit diesem Vorfall kam erneut die Diskussion um Datensicherheit ins Rollen.

2013 entschied sich Edward Snowden, geheime Dokumente der NSA zu veröffentlichen. Er verdeutlichte damit, wie einfach Daten aus Organisationen verschwinden können. Denn wenn es schon der wohl geheimnisvollsten, sicherheitsbedachtesten Organisation der Welt passiert, wieso dann nicht auch jedem Unternehmen? Wenn es um das Thema Sicherheit geht, vertrauen einige Experten auf technologische Lösungen, die Schwachstellen in Organisationen minimieren sollen. Andere behaupten, dass Schutz per se nicht existiert. Stattdessen sei es viel wichtiger, sich gegen die Attacken zu wehren und sie zu bekämpfen.

Vor dem Hintergrund des Snowden-Vorfalls begannen viele Unternehmen weltweit mit Self-Audits und Überprüfungen ihrer Sicherheitsvorkehrungen sowie denen ihrer Partner. Händler wiederum beworben ihre Lösungen umso stärker, indem sie diese als besonders sicher und verlässlich darstellten. Am Beispiel von Yahoo! wird jedoch deutlich, dass die IT-Sicherheit eines Unternehmens nicht unbedingt nur von der Technologie abhängt. Die Schwachstellen in der Sicherheit können nicht allein auf schlechte technologische Lösungen zurückgeführt werden. Im Fall von Yahoo! waren es die Entscheidungen der Führungsebene des Unternehmens, die zu den Datenschutzverletzungen führten.

Auf was sollten Unternehmen achten?

Die Überprüfung der Sicherheitsfunktionen einer Enterprise-Software stellt im Bereich der On-Premise-Anwendungen keine allzu große Schwierigkeit dar. In der heutigen Cloud-Umgebung schaut es hingegen anders aus. Sicherheit bedeutet für einen SaaS-Anbieter viel mehr als nur die geeignete Technologie bereitzustellen. Deshalb sollte auch jedes Unternehmen, das daran denkt, eine SaaS-Lösung zu implementieren, einen genauen Blick auf das letzte “S” in dem Wort werfen: auf den Service.

Nehmen wir beispielsweise ein Unternehmen, das nach einer sicheren Cloud-File-Sharing-Lösung sucht, um unternehmensbezogenen Content von einem bestehenden ECM-System zu teilen. Es scheint hier logisch, zuerst die Sicherheitsfunktionen der File-Sharing-Dienste zu untersuchen. Das Unternehmen entscheidet sich schließlich für eine Partnerschaft mit einem SaaS-Provider, der eine Technologie zur Verfügung stellt, mit der Inhalte über die unternehmenseigene Firewall hinaus geteilt werden können. Bevor Unternehmen diese Partnerschaft eingehen, sollten sie sich jedoch fragen, ob sie wirklich einen umfangreichen Überblick über den gesamten Prozess erhalten:

• Ist es möglich, die internen Unternehmensprozesse des Anbieters zu evaluieren oder verweisen sie nur auf Standard-Zertifizierungen wie zum Beispiel ISO 27001?
• Erlaubt der Provider vom Unternehmen gesteuerte Kontrollen?
• Hat der Anbieter einen eigenen CISO sowie ein eigenes Sicherheitsteam?
• Besteht die Möglichkeit, das physische Datenzentrum zu besichtigen, um dessen Infrastruktur, Prozesse und Sicherheitspersonal zu überprüfen?

Jeder Sicherheitsverantwortliche wird zustimmen, dass es bei wahrer Unternehmenssicherheit um mehr als nur Technologien geht. Bei der Wahl eines sicheren, cloudbasierten File-Sharing-Dienstes sollte sich ein Unternehmen deshalb für den Anbieter mit genügend Transparenz über seine Dienstleistungen entscheiden. Diese sollten dann wiederum auch den eigenen internen Sicherheits- und Governance-Richtlinien entsprechen.