Wo liegt das Gleichgewicht zwischen Cybersicherheit, IT-Infrastruktur und Mobilität? Die Antworten, die Sie erhalten, hängen möglicherweise davon ab, wen Sie fragen.

Cybersicherheitsteam: „Wir brauchen eine geschützte Organisation!“

Infrastrukturtechnologie-Team: „Wir brauchen eine organisierte und nachhaltige Organisation!“

Mobilitätsteam: „Wir brauchen eine flexible Organisation, die unsere Belegschaft unterstützt!“

Vielleicht haben Sie dieses Argument in der einen oder anderen Form schon einmal am sprichwörtlichen Wasserspender gehört, und es lohnt sich, es weiter zu untersuchen, um zu einem zufriedenstellenderen Konsens zu gelangen. Genau das werden wir in dieser letzten Folge unserer Podcast-Interviewreihe zum Thema Unternehmensmobilität tun, in der Alex Willis, Vice President of Global Sales Engineering bei BlackBerry, und Baldeep Dogra, Senior Director of Solutions Marketing, zu Gast sind.

Wir haben diese Diskussionsreihe – über Unified Endpoint Management (UEM) und wie es zur Lösung von Sicherheitsherausforderungen im Zusammenhang mit Mobilität beiträgt – vor dem Hintergrund der vier Säulen der IT gestaltet: Menschen, Prozesse, Technologie und Zusammenarbeit. Die ersten drei Säulen, die wir in den Teilen 1 bis 3 behandelt haben, sind gut etabliert. Auf die vierte Säule wurde ich jedoch erst Ende letzten Jahres aufmerksam, als sie vom stellvertretenden Leiter des ukrainischen Staatlichen Dienstes für spezielle Kommunikation und Informationsschutz, Victor Zhora, erwähnt wurde, der als Überraschungsgast von BlackBerry-CEO John Chen während der jährlichen BlackBerry Security Summit-Veranstaltung in New York City auftrat.

Aus der strengen Perspektive des Schutzes der Infrastruktur seines Landes vor hochqualifizierten, staatlich geförderten Cybersaboteuren stellte Zhora fest, dass die allgemein anerkannten Säulen „Menschen, Prozesse und Technologie“ ohne eine grundlegende Zusammenarbeit nicht erfolgreich sein können. „In einer modernen, vernetzten Welt“, erklärt er, „gibt es keine Möglichkeit, isoliert zu bleiben.“

In Teil 4 unserer UEM konzentrieren wir uns daher auf die Zusammenarbeit als grundlegende Ebene, auf der unsere dreigliedrige Struktur aus Menschen, Prozessen und Technologien aufgebaut sein muss. Wie so oft bedeutet die Etablierung dieser Zusammenarbeit zunächst einmal, sich intensiv mit den widersprüchlichen Prioritäten auseinanderzusetzen, die manchmal die abteilungsübergreifende Zusammenarbeit behindern, und herauszufinden, wie man effektiv zusammenarbeiten kann, um ein Ergebnis zu erzielen, das allen Beteiligten gleichermaßen zugute kommt.

Um mehr zu erfahren, hören Sie sich den Podcast an oder lesen Sie den Auszug (unten).

Steve Kovsky:
Wir sind hier, um über die Herausforderungen bei der Einführung von Mobilität und der Sicherung mobiler Geräte am Arbeitsplatz zu sprechen.

Wenn wir dort weitermachen, wo wir aufgehört haben, kommen wir zur Zusammenarbeit, der vierten und letzten Säule, die wir zu Beginn dieser Serie erwähnt haben. Du, Alex, hast Lieferketten angesprochen und wie wir zusammenarbeiten und unsere Unternehmen ganzheitlich betrachten müssen. Ich denke, einige der Dinge, die Alex beschrieben hat, sind die Gründe, warum die Kunden von BlackBerry für UEM Organisationen sind, denen Sicherheit und Zertifizierungen wirklich wichtig sind und die Vorschriften ernst nehmen. Dabei handelt es sich in der Regel um Regierungsbehörden, Militärbehörden sowie große Banken und Finanzinstitute. Das ändert sich gerade.

Bal, Sie haben sich mit einigen anderen Trends befasst, die den Markt beeinflussen. Sehen Sie, dass diese Beschäftigung mit der Sicherung mobiler Geräte nachlässt? Breitet sie sich auf andere Branchen aus?

Baldeep Dogra:
Das ist eine gute Frage. Wie Alex bereits erwähnt hat, befassen wir uns mit Lieferketten, aber derzeit liegt der Schwerpunkt vor allem auf älteren Legacy-Umgebungen und solchen, die auf „OT” basieren: Operational Technology. Es gibt einen Industrie 4.0-Trend rund um die Konvergenz von Informationstechnologie (IT) und OT. Wenn man über OT-Systeme selbst nachdenkt, die in der Regel auf industriellen Steuerungssystemen (ICS) und Überwachungs- und Datenerfassungssystemen (SCADA) basieren. Industrielle Steuerungssysteme sind, wie Sie wissen, eine Klasse für sich. Sie sind mit IT-basierten Mensch-Maschine-Schnittstellen (HMI) verbunden, die in der Regel veraltet sind. Es handelt sich um ältere Betriebssysteme, von denen viele auch isoliert sind.

Und dann kommen wir wieder auf das zurück, worüber wir zuvor gesprochen haben. Wie beginnen wir, über Cloud und On-Prem zu denken? Wie bauen wir darauf etwas für unsere Kunden auf? Das ist für uns entscheidend, um es zu verstehen und auch unseren Kunden zu vermitteln.

Aus Sicht der Zusammenarbeit müssen wir uns überlegen, wer verantwortlich ist. Im Bereich Sicherheit gibt es Ihre Endpunktmanagement-Teams – wie bringen wir sie dazu, miteinander zu kommunizieren? Wir wollen auch die Endnutzer nicht außen vor lassen, oder? Für die Nutzer ist das Niveau ihrer Produktivität entscheidend. Deshalb müssen wir auch die Teams einbeziehen, die für die Endnutzererfahrung verantwortlich sind. So schaffen wir die Kundenerfahrung, die wir unseren Kunden helfen wollen, mit ihren Ergebnissen zu erreichen.

Alex Willis:
Auch bei den Branchenstandards gibt es viel Raum für Zusammenarbeit. Wir großen Anbieter müssen uns zusammensetzen und diese Standards ausarbeiten. Diese Standards haben sich bereits in Bereichen wie der Lieferkette als nützlich erwiesen. Sie haben dazu beigetragen, Fragen zu klären wie: „Woher weiß man, dass man diesem Partner vertrauen kann?“ „Muss man wirklich eine Sicherheitsbewertung durchführen?“ „Wie erhalten sie eine Bewertung?“

Das ist ein Bereich, in dem wir ebenfalls tätig sind. Versicherungen sind ein Beispiel dafür. Versicherungsgesellschaften können eine „Bewertung“ abgeben, sodass ich, wenn ich mit einem Lieferanten zusammenarbeiten möchte, dessen Sicherheitsniveau kennenlernen möchte, bevor ich ihm Zugang gewähre.

Der moderne Weg, dies zu erreichen, ist Zero Trust. Beispielsweise sollten Sie einem Partner nach wie vor keine Site-to-Site-VPN-Funktion gewähren, ohne zuvor eine Sicherheitsbewertung durchgeführt zu haben. Aber selbst dann reicht das nicht aus, da Sie kontinuierliche Audits durchführen müssten. Mit Zero Trust erhalten Sie einen viel sichereren Verbindungspunkt, an dem alles verhindert oder blockiert wird, es sei denn, es handelt sich um einen Just-in-Time-Bedarf und einen tatsächlichen Bedarf auf der Grundlage von ACLs (Zugriffskontrolllisten) basiert – also dem, worauf sie tatsächlich Zugriff benötigen. Dies ist ein weiterer großer Unterschied zwischen Dingen wie VPN und unserem Zero-Trust-Netzwerkzugangsprodukt (ZTNA) namens CylanceGATEWAY™, bei dem ich ein älteres Protokoll rund um VPN ersetze, um Konnektivität bereitzustellen. Für Benutzer ist dies viel einfacher, da es keine Verzögerungen bei der Konnektivität gibt. Meine kontextbezogene Sicherheitslage wird bewertet, bevor ich Zugriff erhalte, aber selbst wenn ich einmal Zugang zur Eingangstür erhalten habe, um hinter die Firewall zu gelangen, habe ich nur Zugriff auf die Endpunkte, die ich benötige.

Dies ist eine gute Lösung für Partner oder Anbieter, denn wenn ich ihren Zugriff einschränken kann, ist das eine viel bessere Sicherheitsrichtlinie, als ihnen einfach nur VPN-Zugriff zu gewähren und sich dann auf die Backend-Server zu verlassen, um die Authentifizierung und den Schutz zu übernehmen. Ich würde lieber einfach einschränken, wohin sie möglicherweise gelangen können. Das kann eine IP-basierte Netzwerksegmentierung über ein virtuelles lokales Netzwerk (VLAN) sein, aber auch bis hinunter auf die Protokollebene.

Einige der böswilligen Akteure kapern nun also andere Ports. Ein standardmäßig zugelassener Port in einer Firewall ist beispielsweise DNS, wie Port 5350 DNS. Man sagt also: „Okay, ich werde jedem erlauben, sich über 53 zu verbinden.“ Einige der böswilligen Akteure ändern nun das Protokoll, das sie für die Verbindung zu ihren Command-and-Control-Servern (C2) verwenden, sodass es nur noch Port 53 ist. Für eine Firewall sieht dies dann wie jeder andere DNS-Datenverkehr aus, sodass sie ihn einfach durchlässt. Mit ZTNA in CylanceGATEWAY wird der Datenverkehr überprüft, um sicherzustellen, dass es sich um die Art von Datenverkehr handelt, die Sie für diesen Zweck zulassen. Das ist also ein weiterer Punkt, den Sie im Hinblick auf die Lieferkette und die Bereitstellung von Partnerzugriff auf Ihre Umgebung beachten sollten.

Kommen wir zurück zur Zusammenarbeit in der Lieferkette. Große Unternehmen wie wir müssen zusammenarbeiten – und das tun wir auch –, um Input und Orientierungshilfen zu liefern und diese Richtlinien mitzugestalten, die für alle Kunden von Vorteil sind. Und das tun wir auch in großem Umfang.  

Dann gibt es noch die andere Zusammenarbeit, die Bal und ich erwähnt haben, nämlich die Teams innerhalb dieser Organisationen zur Zusammenarbeit zu bewegen. Das ist einer der coolen Aspekte unserer Arbeit, da wir als Vermittler fungieren können, insbesondere weil wir Dienstleistungen sowohl für Cybersicherheit als auch für einheitliches Endpunktmanagement anbieten. Wir stehen bereits in Kontakt mit den Teams für Mobilität und Cybersicherheit. So konnten wir beiden Seiten Dinge liefern, die sie letztendlich zusammenbringen. Ein Beispiel: die Meldung des Sicherheitsstatus mobiler Geräte an unsere Konsole, auf die das Sicherheitsteam Zugriff hat.

Es ist das erste Mal, dass wir das erleben, dass das Sicherheitsteam nicht nur Richtlinien festlegt und die Mobilitäts- und IT-Teams diese umsetzen und hoffen, dass alles gut geht. Wir können das tun, aber dann bieten wir Funktionalität und Berichtsfähigkeit zurück an das Security Operations Center (SOC) und bringen so die Teams zusammen.

Steve Kovsky:
Betrachten wir BlackBerry also nicht nur als Ihren Sicherheits- und Technologieanbieter, sondern auch als Friedensstifter innerhalb Ihres Unternehmens?

Alex Willis:
Ja, in großen Unternehmen kommt es typischerweise zu Problemen mit der Verantwortlichkeit und zu Revierkämpfen. Man sagt dann: „Das ist mein Bereich, das ist dein Bereich, bleib dort.“ Aber eigentlich sind sie sehr stark voneinander abhängig. Wenn also Bedarf besteht, sind wir sicherlich in einer guten Position, um ihnen dabei zu helfen.

Steve Kovsky:
Okay, lassen Sie uns zum Schluss noch über die nächsten Schritte sprechen. Wenn jemand diesen Podcast hört und interessiert ist, möchte er nun wissen, wie gut er geschützt ist. Gibt es solche Lücken auch in seinem Unternehmen? Sollte er sich Sorgen machen? An wen kann er sich wenden, um weitere Informationen und Ratschläge zu erhalten?

Alex Willis:
Wenn sie bereits mit uns in Verbindung stehen, ist der erste Schritt eine Sicherheitsbewertung oder eine Besprechung des Designs. Sie können sich entweder über Ihr Vertriebsteam an uns wenden oder auf BlackBerry.com Kontakt zu einem unserer Experten aufnehmen. Weitere interessante Informationen und Einblicke in unsere Arbeit und die Unterstützung unserer Kunden finden Sie auf der Webseite des BlackBerry Security Summit. Sehen Sie sich einige der von uns durchgeführten Veranstaltungen und einige unserer Angebote an.

Aber als erste Art der Kontaktaufnahme erzielen Sie meiner Meinung nach die besten Ergebnisse mit einem Ansatz wie „Hey, lassen Sie uns einfach ein Gespräch führen“, damit wir verstehen können, wie Sie Ihre aktuelle Sicherheitslage einschätzen. Was sind Ihre Pläne sowohl aus Sicht der Sicherheitslage als auch aus allgemeiner geschäftlicher Perspektive? Was für eine Art von Organisation sind Sie? Was sind Ihre Unternehmensziele? Was macht Ihre Organisation? Wie arbeiten Ihre Mitarbeiter und wo liegen ihre Probleme? Was könnte besser sein, wenn wir Ihre Organisation mobilisieren könnten?

Dann können wir darüber diskutieren, wie dies auf sichere Weise umgesetzt werden kann. Im Bereich Cybersicherheit können wir natürlich über die Implementierung von Zero Trust sprechen und darüber, wie die Umstellung Ihrer Belegschaft auf ein dauerhaftes Homeoffice- oder Work-from-Anywhere-Modell für Ihr Unternehmen aussehen könnte.

Wir müssen zunächst ein Gespräch führen, um Ihre Ziele sowohl aus technologischer als auch aus unternehmerischer Sicht besser zu verstehen. Dann können wir sehen, wo wir Ihrem Unternehmen helfen können, diese Ziele zu erreichen, beispielsweise durch eine bessere Kapitalrendite bei geringeren Gesamtbetriebskosten.

Steve Kovsky:
Bal, gibt es noch weitere Erkenntnisse oder abschließende Worte?

Baldeep Dogra:
Alex hat vollkommen Recht. Wenn ich Alex' Worte unterstreichen sollte, würde ich den Zuhörern und Zuschauern sagen: Seid besser vorbereitet.

Zu Beginn dieser Serie haben Sie Victor Zhoras Ansatz „Menschen, Prozesse, Technologie“ erwähnt und wie er Zusammenarbeit oder Kooperation, je nachdem, was Sie bevorzugen, einbezogen hat. Für mich geht es dabei darum, die anderen drei miteinander zu verbinden. Und meine Sichtweise dazu entspricht unserer Erzählung, dass wir in der Lage sind, uns auf Bedrohungen vorzubereiten, sie zu verhindern, zu erkennen und darauf zu reagieren.

Das können Sie in Zusammenarbeit mit den verschiedenen beteiligten Teams tun und mit uns zusammenarbeiten. Wie Alex bereits gesagt hat: Lassen Sie uns einige Discovery-Sessions durchführen, Ihre Ergebnisse verstehen und Ihre Ziele verstehen. Wir sind hier, um unseren Kunden dabei zu helfen, ihre Ziele zu erreichen.

Wenn es eine wichtige Erkenntnis aus all dem gibt, dann diese: Betrachten Sie Sicherheit nicht als nachträglichen Einfall. Sie sollten nicht ständig darüber nachdenken, später weitere Sicherheitsebenen hinzuzufügen. So funktioniert Sicherheit nicht. Sie sollte in alles integriert sein, was Sie tun. Das ist meine Erkenntnis.

Steve Kovsky:
Vielen Dank Ihnen beiden, dass Sie sich Zeit für uns genommen haben und uns dabei helfen, einige der potenziellen Schwachstellen oder Lücken zu analysieren, die Menschen in ihrem Mobilitätsmanagement und in ihrem Unternehmen zu beheben versuchen.