Cloud-Migration – Die grösste Gefahr ist „Nichts-Tun“

Als Managing Director von Interxion Switzerland hat Peter Möbius zahlreiche Unternehmen bei der Migration in Cloud unterstützt. Als Partner beim 5. Confare Swiss CIO SUMMIT am 22. 9. in Zürich haben wir ihn gefragt, welche Risiken und Chancen die Cloud bringt und wie seiner Meinung nach die korrekte Vorgehensweise bei einem Cloud-Projekt aussieht. Die Antwort ist überraschend.

Wie hat sich denn der Cloud Markt entwickelt?

Die steigenden Umsätze der namhaften Cloud Anbieter zeigen deutlich: Die zögerliche, zurückhaltende Haltung gegenüber Cloud Technologie weicht der Überzeugung, dass Cloud ein wertvoller Bestandteil zukünftigen IT Infrastrukturen sein wird. Das Angebot wächst stetig und bietet dem Kunden damit mehr Flexibilität. Das ist insbesondere in Zeiten rascher Veränderungen entscheidend.

Welche Wünsche haben die Cloud-Anwender?

Die Anbieter haben viel investiert um das Vertrauen der Kunden zu gewinnen. Die Anwender sind überzeugt, dass Sicherheit, Migration, und Betrieb in einer hybriden Cloud Umgebung gemanagt werden kann. Die Erfahrung fehlt aber noch, insbesondere wie sich bestehende Legacy Systeme mit Cloud Struktur vereinigen lassen. Deshalb ist es entscheidend, dass die Anbieter mit dem entsprechenden Consulting und Professional Services bei der Projektumsetzung und Betrieb unterstützen.

Welche Qualität hat das Angebot?

Die Kunden sind sensibilisiert auf mögliche Schwächen, und Cloud Anbieter verbessern daher laufen ihre Qualität. Mehr Digital bedeutet auch mehr Risiko. Vielen Unternehmen fehlen dabei die notwendigen Ressourcen um bei diesen Sicherheitsanforderungen auf dem neusten Stand zu bleiben. Hybrid Cloud Systeme leisten hier Abhilfe und garantieren, dass alle Anforderungen erfüllt werden wie zum Beispiel: Datenlokalität Schweiz, ISO 27001, ISO 27018 oder FINMA Audit.

Findige Anbieter kombinieren mit einer wasserdichten Trennung zwischen private Cloud und enterprise Cloud die Vorteile beider Welten, so dass die User Usability und Funktionalität von public Cloud Anwendungen nutzen können ohne Kompromisse bei der Sicherheit machen zu müssen.

Mit welchen Fragen sollte sich das Management auseinandersetzen, bevor Cloud-Projekte ins Auge gefasst werden?

-        Internetsicherheit
-        TCO (total cost of ownership: wo investiere ich mein Geld, make or buy
-        Gibt mir Cloud die Möglichkeit, die IT zu reformieren: 21st Century IT, Digitalisierung, Flexibilität, Zuverlässigkeit, OPEX statt CAPEX

Welche Chancen bietet Cloud Technologie für das Unternehmen?

-        MEHR Sicherheit
-        MEHR Zuverlässigkeit
-        MEHR Skalierbarkeit
-        BESSERE Disaster Recovery
-        BESSERE TCO

Das grösste Risiko für Unternehmen in der aktuellen Situation heisst:

- Nichts tun (!)
- Es bedeutet Digitalisierungschancen zu verpassen und von neueren Technologien nicht zu profitieren.
- Fachabteilungen suchen dann eigene Wege, die zentrale IT verpasst die Chance mitzugestalten und verliert an Bedeutung.

Was ist bei der Migration zu beachten?

- nicht alles gleichzeitig
- unsere Empfehlung ist Cloud First, das heisst bestehende Applikationen 1:1 abbilden in der Cloud
- erst wenn die Migration geglückt ist, sollte man weitere Optimierungen und Anpassungen vornehmen.

Der Confare Swiss CIO AWARD wird am 22. September in Zürich im Rahmen des SWISS CIO SUMMIT verliehen. Anmeldung und Details auf www.ciosummit.ch
Einreichungen zum SWISS CIO AWARD sind bis zum 31. Juli möglich auf www.cioaward.ch

Die Bedrohung der Gesellschaft durch Cyberwar und was Unternehmen und Bürger für mehr Sicherheit tun können – Blog-Interview mit Oberst des Generalstabs Walter J. Unger, Abwehramt

ObstdG Mag. Walter J. Unger leitet den Bereich Cyber Defence beim Bundesministerium für Landesverteidigung und Sport. Durch die zunehmende Digitalisierung aller Lebensbereiche hat sich die Zahl der möglichen Angriffspunkte für Cyber Attacken drastisch vergrößert. Anlässlich seiner Keynote beim 9. Confare CIO SUMMIT am 6/7. April haben wir Mag. Unger zum Bloginterview gebeten. Es geht um Cyberwar Szenarien, die Rolle klassischer Streitkräfte im Digitalen Krieg und die notwendigen Vorsichtsmaßnahmen.

Wie angreifbar ist unsere Gesellschaft, sind unsere Unternehmen in Zeiten der zunehmenden Digitalisierung tatsächlich?

Die in rasanten Schritten zunehmende Digitalisierung aller Gesellschaftsbereiche führt zu einer massiven Abhängigkeit von der Verfügbarkeit der gespeicherten Daten, der Funktionsfähigkeit der Informations- und Kommunikationstechnik-Infrastrukturen (IKT-Infrastrukturen) und dem reibungslosen Fluss riesiger Datenmengen. Aktuelle Trends wie internet-of-everything, Industrie 4.0, Big Data, Clouds, Roboter, Mobilität, permanente Erreichbarkeit und Forecast Analytics verstärken diese Dependenzen.

Leider gibt es keine fehlerfreie Software, täglich werden neue Schwachstellen entdeckt und damit ergeben sich zahlreiche Möglichkeiten für Angriffe.

Folgende Bedrohungstrends sind erkennbar: Cyber-Attacken kommen laufend und treffen jeden. Angreifer werden immer professioneller. Und derartige Dienstleistungen werden auch im Netz angeboten (Cyber Attacks-as-a-Service).  Angriffe können gekauft werden, gleichzeitig gibt’s auch Angriffstools zu mieten. Damit können auch Angriffe ohne spezielle IT-Kenntnisse durchgeführt werden.

Weiters ist zu beobachten, dass Täter sich intensiv mit den Opfern beschäftigen. Angriffe werden indirekt geführt und zielen auf das schwächste Glied. Angriffe gegen kritische Infrastrukturen nehmen zu. Schadprogramme werden industriell gefertigt, täglich tauchen 100.000e neue auf. Und letztlich kann jeder vom Missbrauch seiner persönlichen Daten, auch im Zusammenhang mit Forecast Analytics, betroffen sein.

Was sind die wichtigsten Faktoren, die einen Cyberwar ausmachen?

Die grundsätzlichen Überlegungen für einen Cyberwar gehen davon aus, dass ein Staat von seinen strategischen Infrastrukturen abhängig ist. Dazu gehören die Elektrizitätsversorgung, Telekommunikation, Internet, Bundesbahn- und andere Logistiksysteme, Wasser- und Lebensmittelversorgung, Abwasserentsorgung, Banken und Geldversorgung, Militär, Sicherheits- und andere Behörden, Kraftwerk- und Staudämme, Krankenhäuser und Notfalleinrichtungen, Medien, Luftverkehrskontrollzentren und Flughäfen. Alle diese strategischen Infrastrukturen sind wiederum von deren IKT massiv abhängig.

Ein massiver Angriff auf die IKT-Systeme eines Staates könnte zu ähnlichen Wirkungen, wie ein massiver Angriff auf die industrielle Basis und damit zu einem politisch verwertbaren Ergebnis führen.  Durchschlagend wären diese Angriffe nur, wenn sie einen langfristigen, digitalen Stillstand des gesamten Staates zur Folge hätten.

Wieviel Cyberwar gibt es schon in Friedenszeiten?

Der Begriff Cyberwar in Friedenszeiten ist irreführend, verharmlosend und führt zu groben Missverständnissen. Im Frieden sollte man besser den Terminus „Cyber-Angriffe“ verwenden. Ich sehe derzeit folgendes Cyber-Bedrohungsspektrum: Missbrauch personenbezogener Daten von Forecast Analytics, Cyber-Angriffe um Geld zu ergaunern, Cyber- Wirtschafts- und Konkurrenzspionage sowie Angriffe gegen einzelne Unternehmen und Behörden der strategischen Infrastrukturen. 

Massive, großflächige Angriffe mit dem Ziel durch Herbeiführung eines digitalen Stillstandes einen Staat in die Knie zu zwingen, entspricht dem Cyberwar-Szenario. Davon sieht man im Frieden nicht viel. Wenn jemand so etwas vorbereitet, wird er Cyberwaffen im Labor entwickeln und austesten. Was man erkennen könnte, sind Handlungen zur Auskundschaftung und Infiltrierung relevanter Ziele. Da solche Maßnahmen sich nicht von anderen kriminellen Machenschaften unterscheiden, sind sie nur schwer als potenzielle Kriegsvorbereitung zu identifizieren.

Mit welchen Szenarien setzen Sie sich auseinander?

Cyber Defence beschäftigt sich ausschließlich mit dem zuletzt beschriebenen Szenario: Nur bei Vorliegen eines Angriffes auf die staatliche Souveränität und selbstverständlich nach politischer Entscheidung ist das Militär zuständig. Alle anderen Szenarien fallen in die Zuständigkeit des BMI. Das BMLVS unterstützt hier nach Anforderung im Rahmen eines Assistenzeinsatzes.

Welche Rolle haben bewaffnete Streitkräfte in Digitalen Kriegsszenarien?

Das Bundesheer hat vor 25 Jahren mit der Einführung der EDV begonnen und ist mittlerweile fast voll digitalisiert. Damit das ÖBH als strategische Reserve Österreichs den Auftrag „Schutz und Hilfe“ erfüllen kann, ist die erste Hauptaufgabe der Cyber Defence-Elemente, die Verfügbarkeit, Integrität und Vertraulichkeit der militärischen IKT-Systeme sicherzustellen. Zusätzlich leisten wir einen Beitrag zur Resilienz anderer Behörden und den strategischen zivilen Infrastrukturen.

Die strategischen Infrastrukturen müssen selbst permanent ein hohes Maß an IKT-Sicherheit gewährleisten. Bei großangelegten Cyber-Attacken könnte das Militär durch frühzeitige Information über die Angriffe und Unterstützung bei der Abwehr einen wesentlichen Beitrag leisten.

Wie sicher ist Österreich?

Sicherheit ist schwer messbar. Im reichen Österreich gibt es etwas zu holen: es gibt beispielsweise sehr innovative erfolgreiche Unternehmen und zahlreiche interessante Forschungsprojekte. Daher sind Angriffe auf unser Land grundsätzlich für kriminelle Akteure und Spione sehr interessant. Ich gehe davon aus, dass es bei uns täglich zu Cyber-Angriffe auf Unternehmen, Verwaltungen und Privatnutzer kommt.

Welche Möglichkeiten haben Behörden, Unternehmen und Bevölkerung um dazu beizutragen?

Es ist wichtig, sich dieser Bedrohung bewusst zu sein. IKT-Sicherheit ist permanent auf hohem Niveau erforderlich. Das erfordert zwingend eine eigene Sicherheitsorganisation.

Rasche, professionelle Reaktion (Incident Management) muss institutionalisiert werden. Dabei ist eine Frühwarnung zur vorbeugenden raschen Reaktion äußerst wertvoll.  Diese Informationsweitergabe ist eine der Hauptaufgaben für staatliche Cyber-Elemente (Cyber Defence Center, Cyber Security Center, GovCERT).

Zur Bewältigung von Angriffen und Minimierung deren Folgen ist es notwendig Redundanzen aufzubauen und Notfallpläne vorzubereiten.

Welche Vorbereitungen kann man persönlich treffen um sich auf Szenarien des Cyberwars vorzubereiten?

Jeder kann einen Beitrag zu mehr Sicherheit im Netz leisten. Mit einfachen Maßnahmen wie die permanenten Aktualisierung aller Programme und die Verwendung von einer Firewall und Anti-Virensoftware kann ein Mindestmaß an Schutz erreicht werden.

Dazu kommen noch das Anlegen eines User-Kontos (anstatt alles mit Administrator-Konto), die Verwendung eines Zweitgerätes zum Surfen und eine sicherheitsbewusstes Verhalten im Netz. So sollte man Mails von Unbekannten löschen, Vorsicht bei Nutzung von dubiosen kostenlose Angeboten bzw. Software walten lassen und E-Shopping nur bei seriösen Anbietern abwickeln.

Ganz wichtig ist auch dieses Bewusstsein an den Partner oder die Kinder zu vermitteln. Und auch im privaten ist ein Notfallplan wichtig – an wen kann ich mich wenden?

Zuletzt noch ganz wichtig – auch unsere mobilen Device (Smartphone, Tablets) sind Computer und gehören geschützt.

Die Keynote von ObstdG Mag. Walter J. Unger findet im Rahmen des 9. Confare CIO SUMMIT am 6/7. April in Wien in den Räumlichkeiten der Schönbrunner Orangerie statt. Anmeldung und Details auf www.ciosummit.at – Für IT-Manager ist die Teilnahme kostenlos.

Bis der Arzt kommt … Die 3 wichtigsten Bedrohungen für die Gesundheit der IT

Vorsorgemedizin boomt und wirkt sich nachweislich positiv auf die Gesundheit der Bevölkerung aus. Eher nachlässig wird indes die „Gesundheit von IT-Systemen“ behandelt, gerade in Zeiten von Kostendruck und steigender Komplexität. Während die Abhängigkeit der Unternehmen von der IT immer mehr steigt, wachsen gleichzeitig auch die Bedrohungen. Der Ziviltechniker Dr. Wolfgang Prentner (ZT-PRENTNER-IT GmbH) ist Spezialist für Computer Forensik und IT-Sicherheit und versteht sich oft als Notfallmediziner in der IT. Im Gespräch gibt der Spezialist Auskunft über jene Vorbeugemaßen, die zur Gesundheitsfürsorge in der IT notwendig wären.

Wo sehen Sie denn die 3 schlimmsten Gesundheitsbedrohungen für die Unternehmens-IT?

Mehrere Faktoren kommen zur Zeit gleichzeitig zum Tragen:

(1) Die IT Landschaft ist hoch komplex und neue, moderne Technologien werden eingesetzt. Mobile Endgeräte, Cloud Services und Virtualisierung verändern die Nutzung und die Erwartungen an IT-Systeme. Um agil und rasch im Wettbewerb zu agieren, wird Software in immer kürzeren Abständen entwickelt, zumeist nicht ausreichend getestet und  von Qualitätssicherung sowie Dokumentation ist keine Rede. Dadurch schleichen sich immer mehr Fehler in die Software ein mit zum Teil fatalen Folgen im Bereich der System-Zuverlässigkeit als auch im Bereich der Sicherheit. Beispiele dafür sind die falsche Verbuchung von Geldbeträgen auf Privat- und Firmenkonten sowie die Einsicht in fremde Konten beim Online-Banking oder der Supergau der heuer stattfand im Zusammenhang mit dem  „Heartbleed Software-Fehler“. Dieser ermöglichte direkt den Hauptspeicher von mehreren Millionen sicherheitskritischen Computersystemen auszulesen.

(2) Unternehmen sind immer mehr von Spezialisten und Dienstleistern abhängig. Dabei kommen die Dienstleistungen zu 99% nicht aus einer Hand sondern von einer Heerschar von Dienstleistern für z.B. Hardware, Betriebssystemen, Infrastruktur, ERP, CMS, Storage, für Installation, Wartung und Betrieb. Dies führt dazu, dass bei Problemen mit der IT, keine rasche und zielgerichtete Lösung des Problems vorliegt, sondern das Problem zumeist wie eine heiße Kartoffel im Kreis geschickt wird. Die Rechnung zahlt dann der Auftraggeber.

(3) Ein Basisschutz ist zumeist in den Unternehmen und Behörden vorhanden. Das wissen auch die Angreifer. Ein erhöhter Schutz auf Basis einer Risikoanalyse kostet zumeist nicht doppelt so viel wie man vermuten würde, sondern erhöht die Kosten um einen Faktor 10 bis 100 (!). Mit diesem exponentiellen Anstieg der Kosten und des Aufwandes sind die meisten Organisationen überfordert, das macht sie verwundbar. Aber auch dieser Schwäche sind sich Cyber-Kriminelle bewusst.  

Was sind die gängigsten Angriffsziele?

Die Angriffsziele sind breit gefächert. Primär geht es um Geld. Privatpersonen sind genauso lohnende Ziele, wie kleinere Unternehmen oder Konzerne. Immer noch gelingt es, blauäugigen Privatpersonen mit plumpen beziehungsweise simplen und altbekannten aber perfektionierten Methoden beträchtliche Summen abzuknöpfen, sei es mit Spam, Phishing oder fingierten Anrufen. Das Vorgehen bei Angriffen auf Konzerne ist meistens komplexer da das Sicherheitsniveau wesentlich höher ist. Allerdings ist hier auch mehr zu holen.

Inwieweit muss man sich als Unternehmen vor Cyber Kriminellen schützen?

Cyber Kriminalität hat sich zum Big-Business mit Milliarden Umsätzen entwickelt. Das Vertrauen in die Informationstechnologie ist mehr denn je durch die in den letzten Tagen, Monaten und Jahren aufgedeckten kriminellen Handlungen erschüttert – dahinter stecken mafiose Strukturen und natürlich auch staatliche Spionageaktivitäten. Man denke an den  aktuellen Fall des Trojaners Regin, bei dem die Vermutung nahe liegt, dass er aus dem Umfeld staatlicher Organisationen kommt.

Der Schutz vor Cyber Kriminellen kann zum Teil durch eine gut gewartete IT Landschaft und konkrete Abwehrmechanismen sichergestellt werden. Auch eine unabhängige und regelmäßige Überprüfung des Sicherheitsniveaus von Unternehmen und Behörden hilft.

Der zentrale Angriffs-Faktor ist jedoch weiterhin der Mensch selbst, der die Systeme, die ihm zur Verfügung gestellt werden nur unzureichend versteht und aus diesem mangelnden Verständnis heraus, aus Bequemlichkeit oder fehlendem Risiko-Bewusstsein heraus Fehler macht. Es gilt: „culture eats strategy“, die beste Sicherheitsstrategie hilft nichts, wenn die Unternehmenskultur im Punkto Sicherheit unterbelichtet ist. Awareness Maßnahmen, Information, Diskussion und Schulung sind hier von entscheidender Bedeutung.

 Was ist bei Gesundheitsvorsorge für die IT zu beachten?

Bei der Gesundheitsvorsorge für die IT ist zu beachten dass die strategischen IT-Ziele mit genügend Ressourcen, Know-how und Geldmitteln bestückt werden und mit den richtigen Partnern verfolgt werden. IT-Dienstleister glänzen oft in der Akquise, letztendlich sind sie aber eher dem eigenen Unternehmenserfolg verpflichtet als dem der Kunden. Wichtig ist dabei, sich nicht nur das Leistungspaket und die attraktiven Preise anzusehen, sondern auch zu prüfen, was passiert, wenn etwas passiert. So dass Sie im Fall des Falles nicht im Stich gelassen werden. Hier ist es unter Umständen unabhängige Dritte ins Boot zu holen, um die eine objektive Einschätzung der Lage zu erhalten.

Als Referent steht der Fachmann Wolfgang Prentner auf dem 8. Confare CIO & IT-Manager Summit für Fragen zur Verfügung, wo am 25. und 26. März in Wien auch die besten IT-Manager des Jahres ausgezeichnet werden. Anmeldungen und Details auf www.ciosummit.at
  (