Angriffe auf die Integrität und Souveränität betrieblicher Informationssysteme und deren Abwehr

Abstract

Wie können durch betriebliche Informationssysteme repräsentierte Unternehmenswerte in einer sich rasch verändernden Systemlandschaft geschützt werden? Wie gross sind die Handlungsmöglichkeiten für den einzelnen in der industriellen Praxis tatsächlich und unterstützen aktuelle am Markt angebotene Technologien und deren Entwicklungsprozesse überhaupt die Gestaltung sicherer Informationssysteme? IT-Sicherheit gewann in den letzten Jahren zunehmend an Bedeutung und beginnt sich für die Informatikbranche als wirtschaftlich einträgliches Geschäftsfeld zu evoluieren. Zunehmend kürzere Abstände zwischen dem ersten Bekanntwerden von Sicherheitslücken und deren breiter Nutzung erhöhen auch stetig den Druck, Gegenmassnahmen zu setzen. Aber sowohl spezifische Gegenmassnahmen wie das Sperren von Zugriffsmöglichkeiten oder das Deaktivieren von Diensten als auch generelle Massnahmen wie das Applizieren von Patches verursachen Kosten und bieten selbst wiederum ein Potential für neue Sicherheitslücken. In der Vergangenheit haben wirtschaftliche Interessen vor allem einen produktorientierten Ansatz zur Lösung von Sicherheitsproblemen forciert, aber weder Firewalls noch Intrusion Detection Systeme konnten die geweckten Erwartungen nachhaltig erfüllen. Basierend auf diesen Erfahrungen werden aktuell prozess-orientierte Ansätze wie die Entwicklung von Sicherheitsstrategien verstärkt gefordert. Diese sollten auf einer Risikoanalyse basieren, die der Sicht Betrieblicher Informationssysteme als Unternehmenswerte gerecht wird. Obwohl dieser Ansatz unbestreitbar zweckdienlich ist, stellt er oftmals das zum produktorientierten Ansatz komplementäre Extrem dar, und auf eine teure und umfangreiche Risikoanalyse folgen nur halbherzig oder gar nicht umgesetzte Massnahmen. Auch sind für die Kleinen und Mittleren Un-ternehmen, die 60% des Bruttoinlandsprodukts der Europäischen Union erwirtschaften, Investitionen in Sicherheitsstrategien und Risikoanalysen oftmals schwer leistbar. Darüber hinaus kann die aktuelle Situation in der industriellen Praxis derart umschrieben werden, dass mittlerweile zwar ausreichend Angst vor Sicherheitsproblemen besteht, aber kaum konkrete Budgets bei der Planung von Projekten vorgesehen werden.<br />In dieser Dissertation wird anhand eines konkreten Fallbeispiels, dem Aufbau einer ISP-Infrastruktur für eine grosse österreichische Interessensvertretung, eine praktikab-le Methodik (Opportunistic Security Establishment - opSEES) für den Umgang mit die-ser Problematik aus dem Bereich der Netzwerktechnik vorgeschlagen. Aufbauend auf einer detaillierten Beschreibung aktueller technologischer und struktureller Rahmenbe-dingungen werden die Begriffe Integrität und Souveränität von bzw. über Betriebliche Informationssysteme definiert. Abschliessend wird anhand von acht Thesen die Ansicht diskutiert, dass eine nachhaltige Lösung der vielschichtigen Sicherheitsproblematik nur durch einen ausgewogenen Einsatz sowohl genereller als auch projekt- bzw.<br />unter-nehmensspezifischer Lösungen erreichbar sein wird, wobei davon ausgegangen wird, dass generelle Lösungen ein für Wirtschaft und Gesellschaft günstigeres Kosten-Nutzen-Verhältnis aufweisen.<br />

How can IT assets in a rapidly changing technical environment be protected? How many options for protecting its assets does the individual actually have and do avail-able products sufficiently support the design of secure information systems? During recent years IT-Securiy increasingly gained in importance and currently the IT-industry considers IT-Security as a profitable business segment. The decreasing time-lag be-tween publication of vulnerabilities and their exploit increases steadily the pressure of taking countermeasures. But individual countermeasures like denying access or deac-tivation of services as well as generic countermeasures like application of patches in-duce costs and can potentially lead to new disadvantages or even yet unknown vulner-abilities. In the past the economic interests were primarly driving a product oriented approach to solve the security issues. But neither firewalls nor intrusion detection sys-tems succeeded in meeting security requirements. Based on these experiences, cur-rently process oriented methods of resolution like the development of security policies are labored. These should be based on risk assessments to satisfy the perspective of engaged information technologies as assets.<br />Although this widely accepted method of resolution is an appropriate one, it often presents just the complementary extreme view to the product oriented approach. Often ineffectual or even no steps are taken after extensive and expensive risk assessments. Moreover, costly investments in security policies and risk assessments are often not realisable for small and medium sized companies, with a 60% proportion of Europeans gross domestic product. In sum, the current security situation is characterised by growing fear of security incidents, but however no security budgets are calculated for new projects.<br />This dissertation proposes a practical method (Opportunistic Security Establishment - opSEES) to face above mentioned problems in the area of network projects, elabo-rated on the basis of a concrete project of building up an internet service providing framework for a large Austrian lobby (The Austrian Trade Union/ ÖGB). Starting with a detailed description of current technological and general conditions, the terms integrity of and sovereignty over corporate information systems will be defined. Based on eight educed theses, it will finally be discussed that a sustainable solution for the complex difficulty of securing corporate information systems can only be achieved by a well-balanced application of generic solutions leading to more intrinsically secure technolo-gies as well as by specific solutions applied in projects leading to corporate information systems reflecting the perception of information systems as assets.