Worum geht es?
Dass die Sicherheit von und innerhalb Netzwerken absolut wesentlich für ein wirksames Informationssicherheits-Managementsystem (ISMS) ist, spricht die ISO 27002 an mehreren Stellen aus.
Wie bei der Kontrolle und der Beschränkung des physischen Zutritts zur Organisation, sollte es auch für Netzwerke bestimmte Zonen unterschiedlicher Sicherheitsstufen geben, die dann auch wirksam gegeneinander abgegrenzt sind und einen Übergang untereinander nur kontrolliert erlauben.
Die geeignete Unterteilung insbesondere großer Netzwerke in verschiedene Bereiche kann die Sicherheit erhöhen und gleichzeitig auch die Verwaltung vereinfachen.
Was empfiehlt die ISO 27002?
Im hier besprochenen Kapitel 8.22 der ISO 27002 fällt auf, dass die sonst oft typische Aufzählung fehlt. Die Empfehlungen sind stattdessen im Fließtext versteckt.
Zusammenfassend lassen sich aber die folgenden Maßnahmen finden:
- Organisationen sollten mehrere Netzwerke bzw. Netzwerkdomänen aufbauen und diese nicht nur untereinander, sondern insbesondere von öffentlichen Netzwerken und dem Internet trennen.
- Die Trennung kann physisch oder logisch erfolgen; also tatsächlich separate Leitungen (LAN) oder aber Bereiche mit unterschiedlichen Regelungen für das Routing (VLAN). Wird WLAN eingesetzt, sollte zusätzlich auch an die Reichweite gedacht werden. Von wo aus soll und darf noch Zugriff möglich sein?
- Zur Abgrenzung der verschiedenen Netzwerke sollten vor allem Gesichtspunkte wie Vertraulichkeit und Kritikalität bzw. Sensibilität herangezogen werden.
- Zugang zu bzw. Übergang zwischen Netzen darf nur kontrolliert und gesteuert möglich sein. Der Einsatz einer passend konfigurierten Firewall oder von Routern ist unumgänglich.
- Die Leistungsfähigkeit der zur Trennung von Netzwerken eingesetzten Technik muss dabei weiterhin den bestehenden Verfügbarkeitsanforderungen entsprechen. Es wird die Ziele einer Organisation insgesamt nicht fördern, wenn ein günstiger aber entsprechend schmalbrüstiger Router den Netzwerkverkehr zu sehr drosselt.
- Besonderes Augenmerk verdienen auch Gastzugänge oder Netzwerke für Gäste. Diese sollten stets von den eigenen Netzen getrennt sein und – nicht zuletzt aus Datenschutzgründen – auch nicht den gleichen Reglementierungen bzw. Protokollierungen unterworfen sein. Werden solche Zugänge bereitgestellt, darf es allerdings nicht möglich sein, dass sich eigene Mitarbeiter bei Erfüllung ihrer dienstlichen Aufgaben mit dem Gästenetz verbinden und dadurch Sicherheitsvorkehrungen umgehen oder aushebeln.
- Abschließend noch der Hinweis auf das oft sinnvolle Managementnetz. In einem solchen dedizierten und separaten Netz erfolgt (nur) die Verwaltung und Überwachung von IT-Systemen und Netzwerkkomponenten. Durch die strikte Trennung von produktiv genutzten Netzen, ist es mit einem normalen Client unmöglich zuzugreifen, egal wie kompromittiert dieses Gerät auch sein mag. Zugriff auf Managementnetze ist typischerweise nur für wenige vorbestimmte Nutzer und von wenigen Geräten aus möglich, die hierzu erst eine sehr starke Authentisierung durchlaufen müssen.
Fazit
Was die ISO 27002 empfiehlt, dürfte vielen Verantwortlichen zumindest im Grundsatz bekannt sein. Dennoch mangelt es aus den typischen Gründen oft an der korrekten und konsequenten, vor allem aber vollständigen Umsetzung. Ressourcenmangel bzw. Zeitdruck und irgendwann zu groß gewachsene Netzwerke, über die der Überblick verloren ging, erzeugen oft Lücken und Mängel in der Informationssicherheit.
Organisationen sollten daher soweit irgend möglich bereits beim Aufbau und der Erweiterung von Netzwerken sorgfältig und professionell vorgehen. Erst recht aber, wenn zu einem späteren Zeitpunkt Ordnung in das Chaos gebracht werden muss, wird professionelle Unterstützung notwendig sein. In einem produktiv genutzten Netzwerk ist es nicht mehr ohne weiteres möglich, Verkabelung oder Konfigurationen zu verändern, ohne den laufenden Betrieb möglicherweise erheblich zu stören.