Bring Your Own Device ist derzeit sehr beliebt, aber nicht immer ganz unkompliziert für Unternehmen. Aber doch ist es möglich, seine Arbeitgeber glücklich zu machen, wenn diese die privaten mobilen Endgeräte mit zum Arbeitsplatz bringen möchten. Heute ist es sogar so, das viel Firmen den eigenen Nutzen für sich sehen, wie dass der Mitarbeiter dafür rund um die Uhr erreichbar ist oder aber, dass man nicht jeden neuen Mitarbeiter auch Geräte anbieten muss.
Oft ist es so, dass BYOD noch rechtliche Grauzonen mit sich bringt, die man aber umgehen kann, wenn man klare Regeln durch einen Vertrag aufsetzt. Auch muss man sich leider den technischen Voraussetzungen stellen, wenn es um das eigene Firmennetzwerk geht. Aber man braucht hier nicht unbedingt gleich einen neuen Mitarbeiter, sondern kann einen Fachmann mit der Aufgabe betreuen, der genau aufzeigen kann, wie man am sichersten unterwegs ist und wie man was einzustellen hat und was die Mitarbeiter am besten für eine Software nutzen, um das Firmennetzwerk zu schützen. Ob es nun um die Firewall, um das Antivirenprogramm oder mehr geht. Einmal gezahlt, langhaltig sicher. So agieren die meisten Firmen, wenn es nicht durch Zufall einen Mitarbeiter für das Firmennetzwerk und die Sicherheit gibt. Warum jemanden von dem eigenen Personal damit beschäftigen, wenn der Fachmann schnell vor Ort ist und seine Arbeit auch zu 100 Prozent versteht?
Denken Sie unbedingt an die Vorteile
Die verbleibenden Risiken sichtbar akzeptieren. Ordnen Sie jedem wesentlichen BYOD-Risiko eine Maßnahme, eine zuständige Rolle und einen Prüfpunkt zu. Dokumentieren Sie zusätzlich, wer über nicht ausreichend begrenzte Risiken entscheidet.
{tmamazon asin="B0HCK3HKX1" layout="mini" align="left" label="ISO27001 – Alles was man wissen muss" text="Eine umfassende Auseinandersetzung mit ISO/IEC 27001 und ihrem Einsatz zur systematischen Informationssicherheitssteuerung. Im Vordergrund stehen ein wirksames ISMS, die Zuordnung von Verantwortung und belastbare Nachweise." shorttext="Eine umfassende Auseinandersetzung mit ISO/IEC 27001 und ihrem Einsatz zur systematischen Informationssicherheitssteuerung." image="images/mg-publikationen/cover/buch-iso27001-alles-was-man-wissen-muss-system-nachweis-wirksamkeit.jpg" book="1" note="Von Dr. Markus Groß" price="0" rating="0" count="0" features="0" disclosure="1"}
Heute leben wir in einer Zeit, wo man mobil sein möchte. Immer mehr Menschen tragen einen Laptop mit sich oder aber ein Tablet, nicht zu vergessen das Smartphone. Zum einen leben wir in einer Zeit, wo man auch privat noch etwas für das Geschäft tut, zum anderen möchte man auch gerade für die Familie erreichbar sein, vor allem, wenn man Schlüsselkinder hat oder kranke Eltern, die gepflegt werden müssen. Somit gibt es viele Mitarbeiter, die private und geschäftliche Geräte mit sich herumtragen und das kann durchaus eine Menge an Ausstattung bedeuten. Hinzu kommt, dass viele Mitarbeiter erst einmal eine Einarbeitung in Geräte brauchen, weil Sie sich nur mit den privaten Geräten auskennen und das kostet das Unternehmen Zeit und Geld. Warum dann nicht die Endgeräte einschränken, indem man den privaten Gebrauch auch im Geschäft erlaubt? Warum nicht die Zeit und das Geld einsparen, weil die Mitarbeiter Ihre Geräte kennen und nur kurz in Sachen Sicherheit aufrüsten müssen und kurz eingewiesen werden? Wenn man dies von der nützlichen Seite betrachtet, kann ein Unternehmen dadurch nur gewinnen. Was aber die private Nutzung anbelangt, muss man klare Regeln setzen, damit die Mitarbeiter nicht nur auf Facebook und Co. unterwegs sind.
Wer das BYOD Modell schon nutzt, berichtet davon, dass die Mitarbeiter auf einmal viel fleißiger sein können, denn sie kennen ihr eigenes System und die eigenen Produkte und können viel motivierter an die Arbeit gehen. Wo man sich auskennt, muss man nicht lange experimentieren und kann effektiver Leistung bringen. Die Produktivität kann enorm gesteigert werden und wer das nicht für sich nutzt, darf sich auch nicht beschweren. Die Firma spart an IT Anschaffungskosten und kann die Sicherheit gezielt anpassen. Der Sicherheitsaufwand erscheint erst einmal hoch, aber wenn man sich beraten lässt, ist man schnell erstaunt, wie wenig Mühe ein Fachmann damit hat. Es gibt immer mehr Spezialisten, die sich auf BYOD Lösungen verstehen und von daher kann man sich an diese wenden und sicher sein, man sorgt für zufriedene Mitarbeiter, die natürlich dem Unternehmen gut tun. Und über kurz oder lang wird sich BYOD in immer mehr Unternehmen durchsetzen, von daher ist es nicht verkehrt, wenn man sich auch darauf einstellt und mit dem Trend geht. Bisher wird der Trend der USA dankend angenommen!
Vertiefung: Resümee: BYOD-Risiken für das Unternehmen minimieren
„Resümee: BYOD-Risiken für das Unternehmen minimieren“ bleibt als zeitbezogene Einordnung erhalten. Die folgende Ergänzung betrachtet den Schwerpunkt mit Blick auf Patchstand aus heutiger Organisations- und Betriebssicht, ohne damalige Zahlen oder Produktversprechen stillschweigend fortzuschreiben; der Belastungstest erfolgt mit Blick auf „Resümee: BYOD-Risiken für das Unternehmen minimieren“.
Wiedervorlage als Konsequenz aus „Resümee: BYOD-Risiken für das Unternehmen minimieren“
Der Beitrag gewinnt beim Aspekt „Resümee: BYOD-Risiken für das Unternehmen minimieren“ an Aktualität, sobald sein Kerngedanke in eine heutige Entscheidung übersetzt wird: Es ist zu klären, wann eine frühere Entscheidung ihre Grundlage verlieren kann. Beim Schwerpunkt „Resümee: BYOD-Risiken für das Unternehmen minimieren“ geht es um die Sicherheit mobiler Geräte, Anwendungen und Zugänge sowie um den Bezug zu „Patchstand“; zu entscheiden ist, welches Vertrauensniveau ein Gerät oder eine App vor dem Zugriff nachweisen muss – betrachtet im Kontext „Konfigurationsbaseline“. Dabei bleibt folgende Grenze maßgeblich: Ein installiertes Sicherheitsprodukt ersetzt weder einen vertrauenswürdigen Zustand noch eine geübte Reaktion – betrachtet im Kontext „Reaktionszeit“; im vorliegenden Abschnitt wird dies an „App-Herkunft“ konkretisiert. Im Regelbetrieb wird folgender Punkt verankert: Zeitpunkt und ereignisbasierte Auslöser miteinander kombinieren; der Belastungstest erfolgt mit Blick auf „Gerätevertrauen“. Der Prüfpfad endet nicht beim Dokument; die Bewertung erfolgt hier aus der Perspektive „Konfigurationsbaseline“. Als Verbindung zwischen Nachweis und Messung dienen: eine terminierte Neubewertung mit benannten Eingangsdaten; Zeit bis zur Erkennung (hier bezogen auf „Protokollierung“), Anteil konformer Geräte, offene Schwachstellen und Dauer bis zur Sperrung. Die bisherige Diskussion liefert mit „klare Zuständigkeiten und Entscheidungsrechte“ einen zusätzlichen Prüfstein; er sollte mit „Patchstand“ verbunden und nicht isoliert bewertet werden; bezogen auf „Reaktionszeit“ ist die konkrete Ausprägung separat zu entscheiden.
Herstellerabhängigkeit ohne blinden Fleck bei „Gerätevertrauen“
Aus dem historischen Befund entsteht für „Patchstand“ eine praktische Steuerungsfrage: Es ist zu klären, welche Zusage technisch, vertraglich oder nur marketingseitig besteht. Beteiligt sind hier vor allem Informationssicherheit, IT-Betrieb, Datenschutz, Anwendungsverantwortliche und Nutzende; ihre Perspektiven treffen beim Aspekt „Gerätevertrauen“ unmittelbar aufeinander. Die Schwachstelle liegt nicht im Schlagwort selbst, sondern dort, wo ein kompromittiertes oder ungepatchtes Gerät trotz formaler Freigabe auf geschäftliche Daten zugreift – betrachtet im Kontext „Identitätsprüfung“; die Bewertung erfolgt hier aus der Perspektive „Reaktionszeit“. Die praktische Konsequenz heißt: Supportdauer, Updateweg, Export und Wechseloption vor Auswahl bewerten; die Umsetzung wird dabei an „Angriffsszenario“ gespiegelt. Der vorgesehene Nachweis lautet: eine Abhängigkeitsübersicht mit realistischem Ausstiegsszenario. Als Messperspektive dient: der Zusammenhang zwischen „Patchstand“ und „Gerätevertrauen“. Im Managementdialog muss beim Aspekt „Patchstand“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird; für den Aspekt „Protokollierung“ wird daraus ein eigener Prüfschritt.
Ausnahmen: Zugriffsschutz
Im Mittelpunkt von „Zugriffsschutz“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, wann eine Abweichung vertretbar ist und wann sie beendet werden muss. Als belastbare Grundlage dienen Gerätezustand, Patchstand, App-Herkunft, Identitätsprüfung, Protokolle und getestete Reaktionswege; für den Aspekt „Zugriffsschutz“ muss ihre Herkunft nachvollziehbar bleiben; der Belastungstest erfolgt mit Blick auf „Identitätsprüfung“. Die Entscheidung über „Angriffsszenario“ sollte deshalb ausdrücklich festhalten, welches Vertrauensniveau ein Gerät oder eine App vor dem Zugriff nachweisen muss – betrachtet im Kontext „Angriffsszenario“. Die praktische Konsequenz heißt: Eigentümer, Begründung, Kompensation und Ablaufdatum festlegen; im Fokus steht dabei „Wiederanlauf“. Überprüfbar wird der Schritt durch folgendes Ergebnis: ein befristetes Ausnahmeregister mit Wiedervorlage; die Umsetzung wird dabei an „Sperrprozess“ gespiegelt. Relevant bleibt dabei: die beobachtbare Veränderung beim Aspekt „die Grenze zwischen privaten und geschäftlichen Interessen“; der konkrete Prüfmaßstab wird aus „Sperrprozess“ abgeleitet. Für den Dialog unter dem Beitrag ist „die Grenze zwischen privaten und geschäftlichen Interessen“ der passende Belastungstest: Gerade beim Aspekt „Angriffsszenario“ muss die Regel im Alltag tragen.
Was „App-Herkunft“ für Störungsfall bedeutet im Kontext Angriffsszenario
Für die belastbare Anwendung von „App-Herkunft“ muss aus der Beobachtung ein prüfbarer Arbeitsauftrag werden: Es ist zu klären, welche erste Entscheidung bei Verlust, Missbrauch oder Ausfall nötig ist. Die alltagstaugliche Übersetzung für „App-Herkunft“ lautet: Zugriff wird an überprüfbare Bedingungen gebunden und bei relevanten Abweichungen automatisch begrenzt – betrachtet im Kontext „Resümee: BYOD-Risiken für das Unternehmen minimieren“. Damit wird zugleich die Grenze beim Aspekt „Wiederanlauf“ sichtbar: Ein installiertes Sicherheitsprodukt ersetzt weder einen vertrauenswürdigen Zustand noch eine geübte Reaktion – betrachtet im Kontext „Protokollierung“. Operativ folgt daraus: Meldeweg, Sperrung, Beweissicherung und Wiederanlauf vorab erproben; „Resümee: BYOD-Risiken für das Unternehmen minimieren“ liefert dafür den praktischen Anwendungsfall. Der vorgesehene Nachweis lautet: ein Zeitablauf vom Signal bis zur wirksamen Begrenzung; der Belastungstest erfolgt mit Blick auf „Patchstand“. Als Messperspektive dient: Zeit bis zur Erkennung (hier bezogen auf „Schwachstellenlage“), Anteil konformer Geräte, offene Schwachstellen und Dauer bis zur Sperrung. Beim Aspekt „Wiederanlauf“ ist nicht die Menge der Aktivitäten entscheidend, sondern die erkennbare Veränderung des Ergebnisses.
Priorisierung als Konsequenz aus „Gerätevertrauen“
Im Mittelpunkt von „Gerätevertrauen“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, welche Lücke zuerst behandelt werden muss und warum. Die Schwachstelle liegt nicht im Schlagwort selbst, sondern dort, wo ein kompromittiertes oder ungepatchtes Gerät trotz formaler Freigabe auf geschäftliche Daten zugreift – betrachtet im Kontext „Sperrprozess“. Für die beteiligten Rollen – Informationssicherheit, IT-Betrieb, Datenschutz, Anwendungsverantwortliche und Nutzende – braucht der Aspekt „Gerätevertrauen“ daher einen vorab geklärten Entscheidungsweg. Ein schlanker, aber wirksamer Ansatz lautet: Kritikalität, Exposition, Umsetzbarkeit und Abhängigkeiten gemeinsam gewichten; als Bezugspunkt dient „App-Herkunft“. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine begründete Reihenfolge statt einer unverbundenen Maßnahmenliste; als Bezugspunkt dient „Gerätevertrauen“. Relevant bleibt dabei: der Zusammenhang zwischen „Gerätevertrauen“ und „Resümee: BYOD-Risiken für das Unternehmen minimieren“. Die Leserperspektive auf „Messbarkeit und nachgewiesene Wirkung“ schärft den Blick dafür, ob „Resümee: BYOD-Risiken für das Unternehmen minimieren“ nur beschrieben oder tatsächlich gesteuert wird.
Als Abschluss für Resümee: BYOD-Risiken für das Unternehmen minimieren genügen drei verbindliche Antworten zu Patchstand: Wer entscheidet über Zugriffsschutz, woran wird Wirkung bei App-Herkunft erkannt und welcher Auslöser führt zur erneuten Prüfung? Sind diese Punkte geklärt, wird aus dem historischen Impuls zu Gerätevertrauen eine belastbare Arbeitsgrundlage.