Interne Sicherheitsrisiken werden unterschätzt

Gemäss einer IDC-Studie stellen unbeabsichtigte Security-Verstösse eine grössere Bedrohung als gezielte Insider-Attacken dar.

2. September 2009

Versehentliche Verstösse gegen geltende Security-Richtlinien kommen häufiger vor und verursachen grössere Schäden als vorsätzliches missbräuchliches Handeln eigener Mitarbeiter. Zu diesem Ergebnis kam eine, von EMCs Security-Abteilung RSA gespornserte, Studie von IDC.

Im Mittelpunkt der Studie "Insider Risk Management: A Framework Approach to Internal Security" stehen Gefahren, die von internen Anwendern mit Zugang zu kritischen IT-Systemen und vertraulichen Informationen ausgehen. Zwar seien sich viele Unternehmen der Gefahr durch interne Nutzer bewusst, trotzdem legen die meisten befragten Sicherheitsbeauftragten mehr Wert auf die Abwehr bewusster Insider-Angriffe als Vorkehrungen gegen unbeabsichtigte Sicherheitsvorfälle zu treffen.

So stünden sorgloses Zugriffsverhalten oder regelwidriger Umgang mit sensiblen Daten oft im Hintergrund, da sie von äusseren Bedrohungen überschattet würden. Die meisten befragten Entscheidungsträger sind sich über tatsächliche interne Gefahrenquellen nicht im Klaren. Sie können Ursachen von Workflow-Beeinträchtigungen nicht eindeutig zuordnen und finanzielle Schäden nicht quantifizieren. 52 Prozent der Befragten CIOs und CEOs stufen Sicherheitsverstösse der eigenen Mitarbeiter als vorwiegend unbeabsichtigt ein. Gerade 19 Prozent vermuten, dass die Mehrzahl der Fälle auf Vorsatz beruht. 26 Prozent meinen, Absicht und Fahrlässigkeit hielten sich die Waage.

Zusammengenommen gab es bei den 400 befragten Unternehmen im letzten Jahr 6244 Fälle von unbeabsichtigtem Datenverlust. Zudem wurden 5830 Malware- und Spyware-Attacken festgestellt, die aus dem Inneren des eigenen Unternehmens heraus geführt wurden. Dabei waren zu weit gefasste Zugriffsprivilegien in 5794 Fällen Schuld am Sicherheits-Zwischenfall. Insgesamt belief sich die Zahl intern verursachter Security-Vorkommnisse in den letzten zwölf Monaten auf 57‘485. Allein in der Outsourcing-Branche verursachten interne Security-Schwachstellen im letzten Jahr einen Schaden von durchschnittlich 800'000 Dollar.