Nachholbedarf bei Sicherheitstools:
Thema der Woche: IT-Sicherheit bei Unified-Communications & Collaboration, Teil 2

von Werner Veith (werner.veith@networkcomputing.de), vu

Share
27.10.2008

Unified-Communications & Collaboration (UCC) vereint verschiedene Kanäle wie Sprache, Daten oder Video für eine gemeinsame Zusammenarbeit. Schnellere Entscheidungen und bessere Abstimmung sind das Ziel. Doch ohne IT-Sicherheit gleicht das einem Riesen auf tönernen Füßen.

(Fortsetzung des Artikels von Seite 4)

Netzwerk Computing sprach mit Alcatel-Lucent [1], Ernst & Young [2], Logica [3], RDS [4] und Siemens [5] über die IT-Sicherheit im Bereich von Unified-Communications & Collaboration (UCC). Lesen Sie im Folgenden den zweiten Teil der Antworten. Den ersten Abschnitt finden Sie hier [6].

Network Computing: Wie sollten die Unternehmen ihre Multi-Kanal-Kommunikation absichern?

Lars Weimer, verantwortlich für Informationssicherheit im Bankenbereich bei Ernst & Young

Lars Weimer, verantwortlich für Informationssicherheit im Bankenbereich bei Ernst & Young: »Die einzelnen Datenströme und Informationen müssen dahingehend analysiert werden, inwieweit sie kritisch für das laufende Geschäft sind. Nur lässt sich gezielt entscheiden, wo und wie abgesichert werden muss. Unified-Communications mit ihren integrierten Kanälen und Workflows stellt sehr hohe Ansprüche an diese Analyse: Es werden hier unterschiedliche Informationsströme kombiniert, die vollständig einbezogen werden müssen.«

Alp Babayigit, Consultant bei Logica: »Mit der Ausrichtung, Abläufe Kosten sparend und produktiv zu gestalten, fällt Unified-Communications & Collaboration (UCC) in die Rubrik Geschäftsprozessverbesserung. Für die Ausgestaltung dieser Prozesse gilt: Es müssen auch die Sprachinformationen und Bildinhalte in die Sicherheitsüberlegungen einbezogen werden, die für das Unternehmen von strategischem Wert sind.«

Network Computing: Steuern die IT-Hersteller für die Sicherheit bei UCC schon genügend Absicherungsmechanismen bei?

Jörg Fischer, Leiter für Strategische Geschäftsentwicklung bei Alcatel-Lucent in Deutschland

Jörg Fischer, Leiter für Strategische Geschäftsentwicklung bei Alcatel-Lucent in Deutschland: »Hersteller von Managementsystemen müssen mit Blick auf die Sprach- und Videokommunikation aktiver werden. Ich sage Managementsysteme, weil ich sowohl das Sicherheits- als auch das IT-Service-Management meine. Andererseits sind zahlreiche solcher Managementwerkzeuge für eine Ende-zu-Ende-Überwachung und –Absicherung schon verfügbar. Was oft fehlt, ist die Bereitschaft der Unternehmen und Provider, sie einzusetzen.«

Carsten Muck, Berater IT-Security bei RDS Consulting: »Offensichtlich warten die Hersteller ab, bis sich für sie das Geschäft mit Sicherheits-Software speziell für die Sprach- und Videokommunikation lohnt. Deshalb sind hier die Schutzmechanismen längst nicht so ausgeprägt wie auf der Datenseite. Nur ein Beispiel: Die Abwehr von Malware an UDP-Ports hinkt weit hinter dem Niveau an TCP-Daten-Anschlüssen hinterher. Die Hersteller müssen also für UCC aktiver werden.«

Network Computing: Wo sehen Sie bei UCC die größten Sicherheitslücken?

Carsten Muck, Berater IT-Security bei RDS Consulting

Muck: »Bis auf die Verschlüsselung sehe ich innerhalb aller Sicherheitsdisziplinen Rückstände für die Absicherung der Sprach- und Videokommunikation. Offene Flanken können nicht nur aus fehlenden Sicherheitstechniken, sondern auch auf organisatorischer und personeller Ebene entstehen. Wird der komplexe Kommunikationsbereich von UCC nicht durchdrungen, können keine geeigneten, nicht-technischen Vorkehrungen getroffen werden.«

Andreas Essing, Experte im Bereich Systems-Integration für Kollaborationslösungen bei Siemens IT-Solutions and Services: »Während IAM-Systeme (Identity-and-Access-Management) eine breite Palette an Konnektoren für Datenapplikationen bieten, ist es darum bei Sprach- und Videoapplikationen eher schlecht bestellt. Zudem macht es die Vielfalt der mobilen Betriebssysteme schwierig, die Zugriffskontrolle auf die drahtlose Kommunikation auszudehnen. Es sei denn, das Unternehmen setzt durchgängig auf Microsoft-Technologien. Was über alle Kommunikationskanäle gut greift, ist die Verschlüsselung.«

Network Computing: Wie ist es bei UCC um die Verfügbarkeit von Verbindungen und Prozessen bestellt?

Alp Babayigit, Consultant bei Logica

Babayigit: »Diese Verfügbarkeit ist nicht nur die zweite Seite der Sicherheit. Für eine umfassende Sicherheit müssen beide Seiten zusammenwirken. So können nicht nur mangelnde Hochverfügbarkeitsvorkehrungen, sondern auch Angriffe die Verfügbarkeit von Systemen, Verbindungen und Prozessen beeinträchtigen. Unternehmen tun für diese doppelte Sicherheit mehr als die Provider, die eigentlich als Mittler der Prozesse gleichziehen müssten.«

Weimer: »Die Unternehmen setzen besonders hohe Erwartungen in den mobilen Part einer UCC-Installation. Doch genau hier, beim Mobilfunk, müssen sie Abstriche nicht nur bei der Verfügbarkeit, sondern mangels Bandbreite auch bei der Performance machen. Bei Fluss- und synchronisationskritischen Prozesse wie Videokonferenzen, mit oder ohne Online-Collaboration, gibt es mobil bis auf weiteres Einbußen bei der Ausgabe.«

Network Computing: Wie ist es um Compliance für Sprach- und –Videoprozesse bestellt?

Andreas Essing, Experte im Bereich Systems-Integration für Kollaborationslösungen bei Siemens IT-Solutions and Services

Essing: »Es ist zu befürchten, dass viele Unternehmen die Relevanz von Sprachsequenzen und Videobildern für Compliance unterschätzen. Dabei können diese Kommunikationsformen für Prüfungen ebenso wichtige Informationen transportieren wie ein Datenaustausch. Einmal digitalisiert und gespeichert, lassen sich Sprach- und Videoinformationen genauso prüfen wie Daten. Das alles will im Vorfeld bedacht sein.«

Fischer: »Compliant gegenüber rechtlichen Vorschriften und internen Auflagen zu sein, setzt aus technischer Sicht entsprechende Auditing- und Reporting-Tools voraus. Die sind in der Regel innerhalb IT-Management- und Sicherheits-Managementlösungen verankert. Allerdings konzentriert sich deren Auditing und Reporting bisher meist nur auf Daten. Die Werkzeuge müssen also für den Einsatz von Sprache und Video erweitert werden.«

[1] http://www.alcatel-lucent.com/
[2] http://www.ey.com/
[3] http://www.logica.com/germany
[4] http://www.rds.de/
[5] http://www.siemens.de/
[6] thema-der-woche-it-sicherheit-bei-unified-communications-collaboration-teil-1/

Verwandte Artikel