Sicher mit Informationsintegrität

Durch die zunehmende Digitalisierung der modernen Geschäftswelt wird von immer verteilteren Standorten aus auf wichtige Unternehmensdaten zugegriffen: Mitarbeiter in Aussenstellen oder Home-Offices, Partner, die ans System angebunden sind, und letztlich Kunden, die übers Web zu jeder Tages- und Nachtzeit über gewisse Daten verfügen wollen und oft auch müssen. Hinzu kommt die zunehmende Mobilität von Mitarbeitenden, die auch unterwegs via Laptop, Handhelds und Smartphones auf ihre geschäftlichen Informationen angewiesen sind. Eine Einschränkung des Datenzugriffs für diese Nutzergruppen – sei es durch Systemausfälle, Naturkatastrophen, Internetattacken oder auch gewolltes und ungewolltes Fehlverhalten von Mitarbeitenden – kann weitreichende finanzielle Folgen haben und mitunter auch Image-Verluste mit sich ziehen.

Hohe Compliance-Anforderungen an Firmen

Eine weitere Anforderung an die Verfügbarkeit der Daten stellt sich durch zunehmende gesetzliche Regulierungen, denen immer mehr Unternehmen Folge leisten müssen. Sarbanes-Oxley oder Basel II sind dabei die bekanntesten Beispiele von Compliance-Anforderungen, denen Unternehmen nachkommen müssen und die einen hohen Aufwand bezüglich der Datenhaltung für die IT darstellen. So sehr man Regulierungen und Compliance auch mit Finanzdienstleistern und grossen Unternehmungen im Allgemeinen assoziiert: Auch ein ganz normales KMU macht da so seine Erfahrungen, wie zum Beispiel das Schweizer Unternehmen «Victorinox». Der bekannte Schweizer Messerfabrikant musste im Jahr 2004 allein für die Bereiche Steuern, Finanzen und Versicherungen 22 Überprüfungen über sich ergehen lassen, die ausnahmslos auf IT-Basis zu bewältigen sind. Compliance-Anforderungen stellen also Unternehmen jeder Grösse vor grosse Herausforderungen hinsichtlich Datenhaltung und -verfügbarkeit.

Datenverfügbarkeit: notwendig und bezahlbar

Unternehmen bietet sich eine Reihe von Strategien und IT-Lösungen, um eine möglichst hohe Verfügbarkeit ihrer geschäftskritischen Informationen zu gewährleisten. Auf technologischer Seite muss zuerst einmal eine Speicher­umgebung geschaffen werden, die eine ständige Verfügbarkeit der Systeme und wichtiger Daten auch bei Ausfällen gewährleistet. Lösungen wie Tape Libraries, Network Attached Storage (NAS), Storage Area Networks (SAN) sind in den meisten Unternehmen im Einsatz. Darüber hinaus müssen viele Firmen sicherstellen, dass ihre Daten und Applikationen redundant an einem entfernten Standort vorhanden sind. Dass dabei die Distanz zwischen einem Hauptrechenzentrum und einem Ausfallzentrum entscheidend sein kann, bewiesen in der jüngeren Vergangenheit beispielsweise die Naturkatastrophen in Zentral- und Osteuropa.

Oft glauben IT-Verantwortliche, dass eine hochverfügbare Speicher­umgebung zwangsläufig mit zusätzlichen Hardware-Investitionen und damit hohen Kosten verbunden ist. Dies wirkt in Zeiten sinkender Budgets für viele IT-Verantwortliche abschreckend. Allerdings bieten unabhängige Softwareanbieter Speicherlösungen, welche die vorhandene Hardware in einem Unternehmen zu einer einzigen virtualisierten Umgebung zusammenfassen und damit bereits bestehende Speichersysteme optimal auslasten. Das gleiche gilt für die bestehenden Serversysteme die über intelligente Clustersysteme lastgesteuert in eine virtuelle Computing- Umgebung umgestaltet werden können. Den IT-Verantwortlichen bietet sich durch solche Lösungen ein maximaler Return ihrer Hardwareinvestitionen.

Der Chef gestaltet mit…

Ganz egal, für welche Lösung zur Datenverfügbarkeit sich ein Unternehmen entscheidet – allen gemeinsam ist, dass die richtige Strategie nicht nur Aufgabe der IT-Abteilung sein kann, sondern auch von der Chefetage mitgetragen,
-gestaltet und koordiniert werden muss. Kann ein Unternehmen beispielsweise Compliance-Anforderungen nicht nachkommen, haften in den meisten Fällen nach wie vor der CEO und der CFO. Und kommt es zu einem massiven finanziellen oder Imageverlust, wird letztlich auch der Chefsessel ins Wanken geraten.
Datenverfügbarkeit muss schliesslich auch an eine entsprechende Disaster-Recovery-Strategie angebunden sein. Dazu gehören Notfallpläne wie auch regelmässige Tests und gegebenenfalls Anpassungen, um in einem Ernstfall auch tatsächlich adäquat reagieren und die Daten innerhalb kürzester Zeit wiederherstellen zu können.

Verfügbarkeit vs Sicherheit: Informationsintegrität

Maximale Datenverfügbarkeit darf letztlich aber nicht heissen, dass alle digitalen Informationen jeder an ein Unternehmens-System angebundenen Person uneingeschränkt zugänglich sind. Schliesslich müssen geschäftskritische Daten auch sicher und vor unbefugtem Zugriff geschützt sein. Doch je höher die Sicherheit der IT-Infrastruktur und je restriktiver der Zugriff auf die Daten geregelt ist, desto niedriger ist deren Verfügbarkeit, da nicht jeder Anwender von jedem Ort und zu jedem Zeitpunkt darauf zugreifen kann.
Auf der anderen Seite hebelt eine maximale Datenverfügbarkeit auch die letzten Sicherheitsvorkehrungen aus. CIOs stehen hier also vor einem (scheinbaren) Dilemma, werden doch Verfügbarkeit und Sicherheit oft noch als zwei getrennte Einheiten gesehen. In Tat und Wahrheit sind sie aber zwei Seiten ein und derselben Medaille: Informationsintegrität.
Informationsintegrität, also die Balance zwischen optimaler Verfügbarkeit und höchstmöglicher Sicherheit der Daten, basiert dabei auf den drei Säulen «Verstehen», «Handeln» und «Kontrollieren».

• Verstehen: Am Anfang steht die Analyse der möglichen Risiken für einen Datenverlust auf der einen Seite und der potentiellen Schwachstellen auf der anderen Seite. Zu einer aussagefähigen Risikobewertung gehört neben einer genauen Bestandesaufnahme der IT-Umgebung mit allen Geräten und Applikationen auch die Identifikation der Risiken für einen Datenverlust. Neben Systemausfällen durch Faktoren wie Katastrophen sind dies vor allem gewollte und ungewollte Manipulationen oder Angriffe von aussen wie auch von den eigenen Mitarbeitenden. Erst eine klare Bewertung der Risiken macht das Handeln, sprich: den Aufbau einer robusten IT-Infrastruktur, möglich.

• Handeln: Erst nach einer eingehenden Analyse der IT-Umgebung und der Identifikation potentieller Risiken können die entsprechenden Massnahmen ergriffen werden. In einem ersten Schritt müssen Bewertungen und Prioritäten für die identifizierten Risiken vergeben werden. Durch System-, Unternehmens- und Sicherheitsrichtlinien werden geschäftskritische Daten vor externen wie auch internen Bedrohungen geschützt. Dazu gehören die Zuordnung der Systeme in bestimmte Geschäftsbereiche, die Zugriffsregelung auf interne Systeme oder Daten sowie auch auf Online-Dienste oder die Festlegung eines jeweils zulässigen Systemstatus. Informationen sind so für jeden verfügbar, der eine entsprechende Zugangsberechtigung besitzt, und zugleich vor dem Zugriff aller nicht berechtigten Personen geschützt. Zu den Massnahmen gehört auch die Erstellung eines entsprechenden Notfallplanes, damit Daten bei einem Ausfall möglichst schnell wiederhergestellt werden können und verfügbar sind. Im Hinblick auf Compliance-Anforderungen muss auch festgelegt werden, welche Daten wie gesichert und archiviert werden müssen und
im Bedarfsfall schnell und leicht zugänglich gemacht werden können.
Bestehende Massnahmen und Lösungen für die Datenverfügbarkeit und -sicherheit müssen schliesslich ständig überprüft und im Hinblick auf das sich weiterentwickelnde Unternehmensnetzwerk und immer wieder auftretende Sicherheitslücken und Bedrohungen optimiert und angepasst werden. Eine Möglichkeit hierfür bieten Echtzeit-Frühwarnsysteme.

• Kontrollieren: Die so geschaffene robuste IT-Infrastruktur muss schliesslich dauerhaft erhalten und ständig kontrolliert werden. Durch eine permanente Überprüfung des erreichten Status und der sich verändernden IT-Landschaft wird für jedes System die höchste Betriebsbereitschaft sichergestellt, vom Server über Workstations bis zum Laptop. Jede neue Hardware oder Software, die in die Unternehmensumgebung eingebunden wird, beeinflusst die Verfügbarkeit der Clients. Die IT-Administratoren müssen in der Lage sein, die IT-Infrastruktur laufend zu kontrollieren, damit die Clients immer sicher, verfügbar und mit den eingeführten Firmenstandards kompatibel sind. So lassen sich Ressourcen kontrollieren, Ausfälle und Betriebsunterbrechungen vermeiden sowie Kapazitäten ausweiten.
Die Verfügbarkeit geschäftskritischer Daten und deren Sicherheit sind also keinesfalls zwei unvereinbare Einheiten. Im Gegenteil: Im Sinne der Integrität von digitalen Informationen kommen Unternehmen letztlich gar nicht darum herum, die Zuständigkeitsbereiche für Verfügbarkeit, Sicherheit und letztlich Systemmanagement eng miteinander zu verknüpfen. Nur so kann sichergestellt werden, dass Daten in höchstem Masse verfügbar und gleichzeitig auch sicher – und damit integer – sind. Durch die Kombination von Datenverfügbarkeit und Datensicherheit zum neuen Ansatz der Informationsintegrität entstehen den Unternehmen wichtige Vorteile: Die Anzahl der Administratoren sowie auch die Komplexität der IT-Infrastruktur werden reduziert. Darüber hinaus sinken auch die IT-Risiken für das Unternehmen. Dies alles wirkt sich letztlich positiv auf die Kosten aus.

Der Autor

Hermann Wedlich ist Senior Manager Solutions Marketing EMEA bei Symantec.