Die Sicherheitsfirma Acronis hat fünf Tipps für Unternehmen veröffentlich, die sich mit der Einführung von BYOD beschäftigen. Diese möchte ich hier ungefiltert als Zitat von Vogel Business Media (www.it-business.de) veröffentlichen:
Angesichts des Smartphone- und Tablet-Hypes lässt sich kaum verhindern, dass Anwender ihre privaten Mobilegeräte mit dem Firmennetz verbinden. Dieser Trend hin zu Bring Your Own Device ist gleichermaßen verheißungsvoll wie risikoreich. Vor Bring Your Own Device (Bring Your Own Device), also der Nutzung privater Mobilgeräte im Unternehmen, wird nicht zu Unrecht gewarnt. Denn abgesehen von der Malware-Gefahr, die von persönlich genutzten Endgeräten ausgeht, muss ein Unternehmen auch um die Sicherheit sensibler Daten fürchten.
1. Lösungen für Mobile Device Management und Mobile File Management einführen
Unternehmen sollten sicherstellen, dass private Geräte im Firmennetz über eine unternehmensweite MDM-Lösung (Mobile Device Management) eingebunden sind und der Zugriff über ein sicheres MFM-System (Mobile File Management) erfolgt. Dies ermöglicht den sicheren Zugriff auf E-Mails und Dateien des Unternehmens.
Auf diesem Weg können Unternehmen notwendige Beschränkungen und Richtlinien einführen und anwenden; handele es sich nun um die Anforderung eines Entsperr-Codes zur Gerätenutzung, sichere und rollenbasierte Zugriffsrechte oder der völlige Ausschluss eines bestimmten Geräts vom Netzwerkzugriff.
Ein MDM-System trägt dazu bei, den Schaden zu verringern, der bei Verlust oder Diebstahl eines Geräts entsteht. Mittels MDM kann der Administrator vertrauliche Daten des Unternehmens remote leicht löschen. Außerdem kann das Unternehmen so eine Liste von Apps aufstellen, die geschäftlich verwendet werden dürfen und den Dateizugriff strikt aber effizient kontrollieren.
2. Regelmäßige Sicherheits-Audits durchführen
Immer mehr Geräte mit unterschiedlichen Betriebssystemen greifen auf verschiedenen Wegen auf das Netzwerk oder die IT-Systeme eines Unternehmens zu. Dadurch entstehen zusätzliche Anforderungen an deren Sicherheit. Diese zu identifizieren, ist keine Aufgabe, die ein Administrator alleine bewältigen kann.
Unternehmen, die von einer stärker vernetzten, datengesteuerten Arbeitsumgebung profitieren möchten, sollten regelmäßige Sicherheitsprüfungen obligatorisch machen. Dabei sollten sie die Geräte, die Verbindungen mit dem Netzwerk herstellen, überprüfen und sicherstellen, dass die Mitarbeiter, die diese verwenden, auch vernünftig mit vertraulichen Daten umgehen.
Gleichzeitig gilt es, Schwachstellen in der Sicherheitsarchitektur aufzudecken. Das Ziel solcher Audits besteht darin, zu erkennen, welche Sicherheitsprobleme durch gründlichere Konfiguration, zusätzliche Technologien, neue Richtlinien oder Mitarbeiterschulungen behoben werden müssen.
3. Zentrales Verwaltungstool nutzen
Die Verwaltung mobiler Geräte kann durch Integration in das zentrale Netzwerk-Verwaltungstool erleichtert werden. Dies ermöglicht eine Kontinuität der gesamten Netzwerkadministration und stellt sicher, dass die Kontrollmöglichkeiten den gesetzlichen Vorschriften (Compliance) genügt. Außerdem erfährt der Administrator die genauen Details zum Zugriff eines Gerätes auf eine Datei zu einem beliebigen Zeitpunkt.
4. Einfache Lösungen bereitstellen
Mitarbeiter benötigen den Zugang zu den richtigen Werkzeugen, andernfalls nutzen sie möglicherweise unsichere Consumer-Produkte als Alternative. Mit den richtigen Lösungen können Unternehmen den Dateizugriff, aber auch Synchronisierung und File-Sharing komfortabel verwalten. Eine ideale Lösung gewährleistet zudem, dass alle Dateiaktualisierungen an die Server des Unternehmens zurückgesendet und in seine Backup- und Archivierungsprozesse integriert sind.
5. Business-Continuity-Plan einrichten
Gerade weil der Schutz des Netzwerks immer komplexer wird, sollten Administratoren dafür Sorge tragen, dass IT-Ressourcen bei Ausfällen und Problemen schnell wiederhergestellt werden können, bevor der Geschäftsbetrieb wesentlich beeinträchtigt wird. Jedes Unternehmen benötigt definierte Vorgaben für Wiederherstellungspunkte und -zeiten.
Vor diesem Hintergrund ist es wichtig, einen umfassenden Business-Continuity-Plan für Notfälle einzurichten. Administratoren und (in einigen Fällen) Anwender benötigen Schritt-für-Schritt-Anleitungen für die Wiederherstellung eines ausgefallenen geschäftskritischen Systems. Eine einheitliche Backup-Plattform, die Daten von jedem Gerät von überall im Unternehmen sichern kann, hilft bei der Datensicherung.
Es ist unvermeidlich, dass von Zeit zu Zeit persönliche Geräte verloren- oder kaputtgehen. Anhand eines unternehmensweiten Plans kann der betreffende Mitarbeiter den Vorfall der IT-Abteilung melden, sodass diese alle vertraulichen Daten schnell vom Gerät löschen und das Gerät vom Netzwerkzugriff ausschließen kann.
Aus Tipps eine prüfbare Freigabe machen. Ergänzen Sie zu jedem Tipp eine verantwortliche Rolle und einen einfachen Nachweis. Für Updates kann das ein überprüfter Gerätestatus sein, für den Verlustfall ein getesteter Sperrablauf. Eine Freigabe wird dadurch wiederholbar und bleibt nicht von der Einschätzung einer einzelnen Person abhängig.
{tmamazon asin="B0HCK3HKX1" layout="compact" align="none" label="ISO27001 – Alles was man wissen muss" text="Eine umfassende Auseinandersetzung mit ISO/IEC 27001 und ihrem Einsatz zur systematischen Informationssicherheitssteuerung. Im Vordergrund stehen ein wirksames ISMS, die Zuordnung von Verantwortung und belastbare Nachweise." shorttext="Eine umfassende Auseinandersetzung mit ISO/IEC 27001 und ihrem Einsatz zur systematischen Informationssicherheitssteuerung." image="images/mg-publikationen/cover/buch-iso27001-alles-was-man-wissen-muss-system-nachweis-wirksamkeit.jpg" book="1" note="Von Dr. Markus Groß" price="0" rating="0" count="0" features="0" disclosure="1"}
Vertiefung: Fünf BYOD-Tipps
Aus „Fünf BYOD-Tipps“ lässt sich mehr gewinnen als eine Momentaufnahme. Die nachfolgende Vertiefung ordnet für Nutzungsregel ein, welche Annahmen geprüft und welche Konsequenzen organisatorisch sauber umgesetzt werden sollten.
Integration als Konsequenz aus „Fünf BYOD-Tipps“
Aus dem historischen Befund entsteht für „Fünf BYOD-Tipps“ eine praktische Steuerungsfrage: Es ist zu klären, welcher bestehende Prozess den neuen Prüfschritt sinnvoll aufnehmen kann. Beim Schwerpunkt „Fünf BYOD-Tipps“ geht es um Einführung, Akzeptanz und praktische Steuerung von Consumerisation und BYOD sowie um den Bezug zu „Umgehungslösung“; zu entscheiden ist, ob verhindert, geduldet oder innerhalb klarer Leitplanken aktiv ermöglicht werden soll. Als fachliche Leitplanke gilt: Akzeptanz allein beweist keine sichere oder wirtschaftliche Umsetzung (hier bezogen auf „Einführungsmodell“); Ablehnung beseitigt den Bedarf ebenfalls nicht; als Bezugspunkt dient „Nutzungsbedarf“. Für den nächsten Review wird vereinbart: Beschaffung, Berechtigung, Änderung oder Offboarding gezielt erweitern. Die Dokumentation hält zwei Dinge fest – ein eingebetteter Kontrollpunkt ohne parallelen Sonderprozess; zusätzlich sichtbar wird: Nutzungsgrad, Ausnahmen, Umgehungslösungen, Supportaufwand und erreichte Arbeitsergebnisse. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „klare Zuständigkeiten und Entscheidungsrechte“ aufnehmen; bezogen auf „Einführungsmodell“ ist die konkrete Ausprägung separat zu entscheiden. Aus der Perspektive „Umgehungslösung“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.
Was „Umgehungslösung“ für Entscheidungsoptionen bedeutet
Der konkrete Nutzen von „Umgehungslösung“ zeigt sich erst, wenn eine offene Annahme überprüft wird: Es ist zu klären, welche Alternativen zwischen vollständigem Verbot und uneingeschränkter Freigabe liegen. Beteiligt sind hier vor allem Geschäftsleitung, Fachbereiche, IT, Informationssicherheit, Personal und Nutzende; ihre Perspektiven treffen beim Aspekt „Nutzungsregel“ unmittelbar aufeinander. Besondere Aufmerksamkeit verdient das Szenario, in dem die offizielle Regel vom tatsächlichen Arbeitsverhalten abweicht und Schattenlösungen zum Normalfall werden – betrachtet im Kontext „Akzeptanz“. Ein schlanker, aber wirksamer Ansatz lautet: Optionen nach Nutzen, Risiko, Aufwand und Rückbaubarkeit vergleichen. Der Prüfpfad endet nicht beim Dokument; die Umsetzung wird dabei an „Akzeptanz“ gespiegelt. Als Verbindung zwischen Nachweis und Messung dienen: eine dokumentierte Optionsentscheidung mit verworfenen Alternativen; der Zusammenhang zwischen „Umgehungslösung“ und „Nutzungsregel“. Beim Aspekt „Nutzungsregel“ ist nicht die Menge der Aktivitäten entscheidend, sondern die erkennbare Veränderung des Ergebnisses; bezogen auf „Supportgrenze“ ist die konkrete Ausprägung separat zu entscheiden.
Kommunikation: Skalierung
Der Ausgangspunkt dieses Beitrags führt beim Aspekt „Skalierung“ zu einer klaren Prüffrage: Es ist zu klären, welche Erwartung verständlich erklärt und bei Rückfragen erreichbar sein muss. Als belastbare Grundlage dienen Nutzungsfälle, Bedarfsanalyse, Pilotbefunde, Ausnahmen, Supportdaten und dokumentierte Entscheidungen; für den Aspekt „Skalierung“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Schatten-IT“ sollte deshalb ausdrücklich festhalten, ob verhindert, geduldet oder innerhalb klarer Leitplanken aktiv ermöglicht werden soll. Statt einer neuen Parallelstruktur genügt zunächst: Regel, Grund, Alternative und Hilfe zielgruppengerecht verbinden. Überprüfbar wird der Schritt durch folgendes Ergebnis: Rückfragen, Fehlanwendungen und Verständnislücken als Lernsignal. Relevant bleibt dabei: die beobachtbare Veränderung beim Aspekt „die Grenze zwischen privaten und geschäftlichen Interessen“. Die Leserperspektive auf „die Grenze zwischen privaten und geschäftlichen Interessen“ schärft den Blick dafür, ob „Schatten-IT“ nur beschrieben oder tatsächlich gesteuert wird.
Nutzbarkeit: Nutzungsbedarf
Der Beitrag gewinnt beim Aspekt „Nutzungsbedarf“ an Aktualität, sobald sein Kerngedanke in eine heutige Entscheidung übersetzt wird: Es ist zu klären, ob die vorgesehene Regel im Arbeitsablauf verständlich und praktikabel ist. Die alltagstaugliche Übersetzung für „Nutzungsbedarf“ lautet: Reale Arbeitsweisen werden erhoben und in ein abgestuftes, überprüfbares Betriebsmodell überführt. Damit wird zugleich die Grenze beim Aspekt „Betriebsmodell“ sichtbar: Akzeptanz allein beweist keine sichere oder wirtschaftliche Umsetzung (hier bezogen auf „Supportgrenze“); Ablehnung beseitigt den Bedarf ebenfalls nicht. Der nächste Arbeitsschritt lautet: typische Aufgaben mit echten Nutzenden erproben und Reibung messen. Für Audit und Führung reicht Aktivität nicht aus; im Fokus steht dabei „Umgehungslösung“. Benötigt wird folgender Nachweis: beobachtbare Nutzung statt bloßer Kenntnisnahme; bewertet wird außerdem: Nutzungsgrad, Ausnahmen, Umgehungslösungen, Supportaufwand und erreichte Arbeitsergebnisse. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Nutzungsbedarf“ noch nachvollziehbar wäre.
Nutzungsregel – Lernschleife praktisch fassen
Die fachliche Vertiefung von „Nutzungsregel“ beginnt nicht mit einer weiteren Methode, sondern mit einer Grenze: Es ist zu klären, wie Störungen, Rückfragen und Ausnahmen zur Verbesserung genutzt werden. Das relevante Negativszenario entsteht, wenn die offizielle Regel vom tatsächlichen Arbeitsverhalten abweicht und Schattenlösungen zum Normalfall werden – betrachtet im Kontext „Pilotgruppe“. Für die beteiligten Rollen – Geschäftsleitung, Fachbereiche, IT, Informationssicherheit, Personal und Nutzende – braucht der Aspekt „Nutzungsregel“ daher einen vorab geklärten Entscheidungsweg. Der nächste Arbeitsschritt lautet: Muster regelmäßig auswerten und Regeln gezielt anpassen; die Bewertung erfolgt hier aus der Perspektive „Nutzungsbedarf“. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine Änderung, deren Anlass und erwartete Wirkung dokumentiert sind. Relevant bleibt dabei: der Zusammenhang zwischen „Nutzungsregel“ und „Fünf BYOD-Tipps“. Der Diskussionsaspekt „Mindestanforderungen und befristete Ausnahmen“ ergänzt die Betrachtung sinnvoll, weil er „Fünf BYOD-Tipps“ mit der tatsächlichen Anwendung verknüpft.
Der Praxistest für Skalierung bleibt bewusst einfach: Die Regel zu Nutzungsbedarf muss im Normalbetrieb verständlich, beim Aspekt Nutzungsregel im Ausnahmefall entscheidbar und nach einer Änderung erneut prüfbar sein. Fehlt eine dieser Eigenschaften, besteht bei Rückbau weiterer Handlungsbedarf.