- Anzeige -


MSSPs mehr als nur Feuerwehr-Funktion


Outsourcing durch Managed Security Service Providers (MSSPs) immer stärker gefragt
Kunden wollen sämtliche Netzwerkdienstleistungen aus einer Hand als Managed Services zu beziehen


Von Dr. Klaus Gheri, Chief Technology Officer, phion AG

(31.03.10) - Im Gespräch mit Unternehmen zeigt sich immer wieder, dass die Übergabe der Verantwortung des unternehmensweiten Sicherheitsmanagements für viele Unternehmungen eine Option ist. Einerseits. Andererseits herrschen Zweifel vor, ob eine solche Partnerschaft auf Dauer für beide Seiten erfolgreich und lukrativ sein kann: "Was können die schon, was ich nicht kann?" Als Kunde wünscht man sich schließlich keine 08/15-Sicherheit, sondern Systeme, die sich exakt an die eigenen Bedürfnisse anpassen lassen, so wie es bei intern betriebenen Lösungen der Fall ist. Als Managed Security Service Provider (MSSP) ist man hingegen auf Skaleneffekte angewiesen, die sich mit voller Individualität schwer vereinbaren lassen.

Aus diesem Zweifel heraus hat der Trend zum Outsourcing an Managed Security Service Providers (MSSPs) anfangs nur vorsichtig Fahrt aufgenommen: Typischerweise haben Unternehmen Firewalls und VPNs ausgelagert. Die zahlreichen erfolgreichen Referenzen aus diesem Bereich ließen das Vertrauen zu MSSP jedoch schnell steigen. Dies verstärkte den Wunsch, sämtliche Netzwerkdienstleistungen aus einer Hand als Managed Services zu beziehen.

Das heißt, Unternehmen und Institutionen wollten nicht mehr nur IT-Sicherheit, sondern auch das Netzwerkmanagement und – beispielsweise – MPLS (Multiprotocol Label Switching) oder Endpoint Security als Gesamtservice "mieten": Ein einziges Service Level Agreement (SLA) regelt die Netzwerkperformance und IT-Sicherheit; ein einziger Ansprechpartner ist für den Kunden verantwortlich. Durch die Verbindung vom Schutz der Unternehmenskommunikation mit dem Betrieb und der Optimierung der Netzwerkleistung bieten MSSPs einen sichtbaren Mehrwert für das Unternehmen und wachsen aus ihrer "Feuerwehr"-Funktion heraus.

Dezentrale Firmen erreichen Effizienzvorteile
Je größer das Unternehmen ist, desto eher ist eine solche ganzheitliche Lösung empfehlenswert. Die internen IT-Verantwortlichen geben die Vorgaben für das Netzwerk und müssen sich um die technische Umsetzung nicht mehr kümmern. Sie gewinnen Zeit, um sich Aufgaben zu widmen, die eine stärkere Verankerung im Unternehmen erfordern, wie das Prozessmanagement oder die Applikationsverwaltung. Dezentral aufgestellte Firmen erreichen mit der Auslagerung noch größere Effizienzvorteile.

Bevor die Services abgegeben werden, müssen sich Unternehmen Gedanken machen, was genau sie auslagern wollen und welche Sicherheitsmechanismen sie benötigen. Ist beim einen Unternehmen vor allem Virenschutz gefragt, ist bei einem anderen Verschlüsselung oder Verhinderung von Datendiebstahl (etwa per USB-Stick) ein wichtiges Thema. Beim Support ist ein 5x16-Service das Minimum, aber meist ist 7x24 anzuraten, denn dem Netzwerk drohen am Wochenende kaum weniger Gefahren als unter der Woche.

4-Augen-Prinzip für Zugriff auf Logfiles
Im Zusammenhang mit Compliance-Fragen ist bei fast allen Unternehmen eine einheitliche Revisionskontrolle unverzichtbar. Es muss jederzeit nachvollziehbar sein, welcher Admistrator wann welche Änderungen vorgenommen hat. Eine Grundregel ist etwa, dass der Zugriff auf Logfiles eindeutig definiert ist. Unter Compliance-Gesichtspunkten empfehlenswert ist es, hier das 4-Augen-Prinzip zu vereinbaren. Unternehmen sollten außerdem bei ihrem Dienstleister auf ITIL-spezifische Prozesse und ISO-Zertifizierung achten. Die Prozesse und Schnittstellen müssen genau definiert werden. Unternehmen können ihre Dienstleister auffordern, die Funktionsfähigkeit ihrer Prozesse vorab unter Beweis zu stellen. Es geht dabei um grundlegende Abläufe beim Incident Management, Call Management, Change Management und Escalation Management.

Die Herausforderung für den Security-Dienstleister ist es, trotz aller individuellen Kundenwünsche ein möglichst konsistentes Management über alle Kunden hinweg aufzubauen. Hierfür sind neue Ansätze bei der Verwaltung von Netzwerken und ihrer Sicherheit sehr hilfreich. Sie ermöglichen ein grafisches, visuelles Management über alle Accounts hinweg sowie konsolidierte Alarming-, Diagnose- und Troubleshooting-Funktionalitäten. Ein scheinbar einfaches, aber seltenes Feature ist auch, Konfigurationen auf beliebig viele Firewalls oder UTM-Appliances (Unified Threat Management Applicances) zu übertragen - ein effizientes Verfahren, das zugleich häufige Fehlerquellen eliminiert.

Ungeachtet des zentralen Managements besteht bei den Konfigurationen der einzelnen Kundennetzwerke volle Flexibilität. Dies ermöglicht MSSPs eine Umsetzung von Kundenanforderungen und trägt wesentlich zur Kosteneffizienz der Gesamtlösung bei. Erst mit hundertprozentig zentralem Management und solchen speziellen Funktionalitäten entstehen die erwünschten Skaleneffekte, die sowohl dem Dienstleister ein rentables Geschäftsmodell ermöglichen, als auch dem Kunden einen spürbaren Preisvorteil bieten. Und das Sicherheitsniveau? Das kann sich bei einer Zusammenarbeit mit einem erfahrenen MSSP nur verbessern, denn mit dem Einsatz geeigneter Managementlösungen lassen sich dann spezialisierte Netzwerkadministratoren mit einer Effizienz einsetzen, die bei internen Lösungen kaum jemals erreicht wird. (phion: ra)

phion AG, Eduard-Bodem-Gasse 1, A-6020 Innsbruck

- Anzeigen -





Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>



Schwerpunktinhalte im Überblick

Gesetzeskonforme Langzeitarchivierung

  • Standards wie ArchiSig und ArchiSafe

    Die revisionssichere elektronische Archivierung setzt Archivsysteme voraus, die den Datenbestand nach gesetzlichen Vorgaben und internen Vorschriften sicher, unverändert, vollständig, ordnungsgemäß, verlustfrei, reproduzierbar und datenbankgestützt recherchierbar verwalten. Die verwendeten Datenformate müssen dabei eindeutig, zuverlässig und langfristig interpretierbar sein. Die Daten müssen wirksam gegen ein mögliches Überschreiben geschützt und die technische Infrastruktur stabil verfügbar sein.

  • Untersuchung: Der deutsche StaaS-Markt

    Das rasante Wachstum von Unternehmensdaten treibt die Entwicklungen im Storage-Markt nach vorne. Der unaufhörlich steigende Bedarf an flexibler Speicherkapazität, vor allem die enorme Zunahme an unstrukturierten Datenformaten wie E-Mail etc., stellt IT-Anwender vor gro?e Herausforderungen beim Archivieren und beim Backup. Hersteller sind gefordert, auf diese Probleme - mit den richtigen Produkten und Services - zu reagieren. Das neue Multi Client-Projekt von IDC "Storage-as-a-Service: Anwenderpräferenzen und Trends in Deutschland, 2009/2010" bietet Anbietern von Storage-as-a-Service-Lösungen (in Anlehnung an SaaS, Software-as-a-Service) Gelegenheit, sich an dem Projekt zu beteiligen.

  • Der neue Trend heißt Storage-as-a-Service

    Angesichts der unsicheren Wirtschaftslage kämpfen alle, große genauso wie kleine Unternehmen, mit immer knapperen IT-Budgets. Bei gleichzeitig gestiegenen gesetzlichen Anforderungen - Stichwort Compliance -, dem enorm anwachsenden digitalen Datenbestand und nicht zuletzt dem zunehmenden Kostendruck suchen Firmen und Organisationen aller Größen nach praktikablen Lösungen für die sichere Verwaltung ihrer digitalen Daten. On-Demand-Technologielösungen wie SaaS (Software-as-a-Service) und STaaS (Storage-as-a-Service) bieten hier interessante Möglichkeiten zur Kosteneinsparung. Iron Mountain Digital, Spezialistin für digitale Informationssicherung, hat daher die wichtigsten Punkte für die Wahl eines STaaS-Anbieters in einer Checkliste zusammengefasst.

  • Digitalisierung von wichtigen Kulturgütern

    So einfach die Idee klingt, es ist natürlich eine Mammutaufgabe, mehrere Tausend Jahre Kulturgeschichte aus den Museen, Archiven und Bibliotheken der Welt in das digitale Zeitalter zu übertragen. Dabei sind die Kosten - natürlich - ein entscheidendes Hemmnis.

  • E-Mail-Archivierung durch ECM

    Die Komplexität der heutigen Compliance-Vorschriften macht es für Mitarbeiter fast unmöglich, selbst den Überblick darüber zu behalten, welche Nachrichten gespeichert werden müssen und welche nicht. Daher können Unternehmen heutzutage nicht mehr darauf verzichten, E-Mails automatisch zu sichern. Eine softwareseitige Unterstützung erleichtert nicht nur den Mitarbeitern die Arbeit, sondern gibt der Geschäftsführung Sicherheit, dass wichtige E-Mails auch wirklich aufbewahrt werden.

  • Prüfbarkeit digitaler Unterlagen (GDPdU)

    Auf die gesetzlich festgelegten Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) beruft sich das Finanzamt während einer Betriebsprüfung (Stichwort: Digitale Betriebsprüfung). Laut § 147 Abs. 6 und § 146 Abs. 5 der Abgabenordnung muss jeder Gewerbetreibende bereits seit Januar 2002, ohne Einschränkung hinsichtlich Größe und Art des Unternehmens, steuerbezogene Informationen bis zu zehn Jahre in digital auswertbarer und strukturierter Form aufbewahren. Zeitraubendes Sichten unzähliger Mikrofilme und Aktenordner durch Finanzbeamte und Wirtschaftsprüfer sollte durch diese Vorschrift ebenso vermieden werden wie Dokumentationslücken.