IT-Sicherheitsplan für die Rückkehr ins Büro

Die meisten Organisationen und Unternehmen werden nicht darum herumkommen, sich früher oder später Gedanken darüber zu machen, wie die Arbeitsroutinen nach der Pandemie gestaltet werden sollen. Auch wenn viele Unternehmen – die teilweise immer noch unter den Folgen der Pandemie leiden – bis jetzt noch keinen endgültigen Entschluss gefasst haben, wie sie mit der neuen Arbeitsplatzrealität umgehen sollen, erfordert selbst eine stufenweise Rückkehr ins Büro bestimmte IT-Maßnahmen und sollte durch ein IT-Sicherheitsteam unterstützt werden.

Vom Büro zum Homeoffice zu wechseln war eine knifflige Angelegenheit, aber kurioserweise scheint die Rückkehr ins Büro genauso schwierig zu sein. Die Organisationen werden manche Änderungen wieder rückgängig machen müssen, was den gleichen Arbeitsaufwand bedeuten kann, wie damals die Einführung dieser Neuerungen. Es ist wichtig, die interne Sicherheit der Dienste zu überprüfen. Auch die neue Software, an die sich die Mitarbeiter im Homeoffice gewöhnt haben, sollte in Betracht gezogen werden. Wir haben einige Cybersicherheit-Aktionspunkte für Unternehmen zusammengestellt, die gestressten IT-Sicherheitsmanager als Leitfaden dienen und ihnen bei der Priorisierung helfen können.

1. Cybersicherheitsmaßnahmen für das Homeoffice beibehalten

Viele Unternehmen haben zusätzliche Maßnahmen ergriffen, um die Sicherheit der arbeitsrelevanten Endgeräte auch im Homeoffice ihrer Mitarbeiter zu garantieren. Zu diesen Maßnahmen zählen: IT-Sicherheitschecks, zentralisiertes Patch-Management von Remote-Computern, zusätzlichen oder erweiterten Zugriff auf virtuelle private Netzwerke und die Bereitstellung von Schulungen rund um die Themen IT-Sicherheit und Gefahrenbewusstsein. Endgeräteschutz durch Erkennung und Reaktion spielte eine wichtige Rolle bei der Identifizierung und beim Schließen von Lücken in der Netzwerkumgebung.

Egal, ob Ihre Belegschaft gerade vom Homeoffice ins Büro zurückkehrt oder einfach viel auf Geschäftseisen unterwegs ist, wird die Verwendung von virtuellen privaten Netzwerken (VPN), Endpoint-Erkennung und -Reaktion (EDR) und Angriffserkennungssystemen (Intrusion Detection Systems, IDS) auf Endgeräten eine sichere Rückkehr zum Arbeitsplatz im Büro gewährleisten.

2. Alle Sicherheitskontrollen wiederherstellen, die für Mitarbeiter im Homeoffice deaktiviert wurden

Damit Mitarbeiter sich mit dem Unternehmensnetzwerk verbinden können – besonders wenn sie ihre eigenen Geräte verwenden – haben manche Unternehmen die IT-Sicherheitskontrollen, wie beispielsweise Netzwerkzugriffskontrollen (engl. Network Access Control, NAC) eingeschränkt oder deaktiviert. NAC prüft die Computer auf die Einhaltung der Sicherheitsanforderungen des Unternehmens, wie z. B. aktualisierter Malware-Schutz, bevor der Zugriff auf das Unternehmensnetzwerk zugelassen wird.

Wenn die Mitarbeiter ins Büro zurückkehren und wieder im Unternehmensnetzwerk arbeiten, sollte NAC aktiviert werden, um die internen Systeme zu schützen, für den Fall, dass bestimmte Computer eine Gefahr darstellen. Da die Computer während ungefähr 18 Monate remote verwendet wurden, fehlen eventuell einige Updates. Was wiederum bedeutet, dass es durch die Aktivierung von NAC bei Duzenden oder Hunderten Computer zu massenhaft Fehlern kommen kann. Aus diesem Grund ist die korrekte Aktivierung von diesem Service oft nur mit einem Vorgang möglich, der schrittweise durchgeführt und an die individuellen Anforderungen kleiner Mitarbeitergruppen angepasst wird.

Organisationen sollten mit diesen Schwierigkeiten rechnen und einen Plan aufstellen, indem u. A. die erforderlichen Ressourcen, Fertigstellungstermine, Behebung von Fehlern in Computerprogrammen und eventuell die Hilfe von IT-Systemintegratoren mit einbezogen werden.

3. Interne Systeme aktualisieren

Vergessen Sie nicht die kritischen internen Dienste zu überprüfen. Gibt es beispielsweise Server im Gebäude, die noch nicht gepatcht wurden, sollte das IT-Sicherheitsteam darüber informiert sein, bevor sie irgendwem Zutritt gewähren.

Als wir alle noch an unseren Schreibtischen im Büro saßen, waren sämtliche PCs die ganze Zeit über mit dem Unternehmensnetzwerk verbunden, 24 Stunden am Tag geschützt und das Einhalten aller Sicherheitsrichtlinien wurde überwacht. Dementsprechend war das Risiko eines Exploits, der über einen Computer in das Netzwerk gelangt, um einen verwundbaren Server zu kompromittieren, wesentlich niedriger.

Doch wenn plötzlich alle Mitarbeiter auf einmal ins Büro zurückkehren und dort ihren Laptop an das Unternehmensnetzwerk anschließen, kann sogar ein einziger ungepatchter Domänencontroller umfangreichen Zugriff auf beispielsweise die Passwörter und Kontoinformationen der Mitarbeiter gewähren.  Ein wachsames IT-Sicherheitsteam sollte Probleme frühzeitig erkennen und ernsthafte Gefahren im Keim ersticken. Doch selbst wenn das getan wird, ist da immer noch die zusätzliche Arbeit, die für die Neuorganisierung des Netzwerkes und das Ändern aller Passwörter erforderlich ist.

4. Seien Sie darauf vorbereitet zu sparen – aber auch zu investieren

Durch die Rückkehr ins Büro werden Unternehmen etwas Geld sparen. Bei Kaspersky haben wir zum Beispiel die Anzahl an VPN-Tunneln von 1.000 bis zu über 5.000 erhöht, damit der Großteil unserer Belegschaft zu Hause arbeiten konnte. Höchstwahrscheinlich werden wir die Kosten diesbezüglich reduzieren, wenn unsere Mitarbeiter nach und nach wieder ins Büro zurückkommen.

Ebenso können Unternehmen die Anzahl der Abonnements für Cloud-Lösungen, wie Slack oder Microsoft Teams, reduzieren. Wenn die Mitarbeiter wieder im Büro arbeiten, sind nicht mehr so viele Cloud-Lizenzen erforderlich und einige Dienste können wieder über die lokalen Ressourcen laufen. Die gleiche Strategie umfasst auch die Apps für digitale Unterschriften, die während des Lockdowns unabdingbar waren, aber allmählich wieder durch die herkömmliche Methode für das Unterschreiben von Dokumenten ersetzt werden können.

Ziehen Sie in Betracht, das eingesparte Budget für die Digitalisierung der Workstations zu investieren, damit Ihre Mitarbeiter unter der Woche sowohl im Büro als auch im Homeoffice oder an jedem beliebigen Ort arbeiten können. Dieses Konzept – als hybrides Arbeiten bekannt – ist nicht neu, aber der Wandel zu diesem Arbeitsmodell wurde durch die Pandemie beschleunigt, wie Gartner hervorhebt. Von der Verwendung virtueller Maschinen zum Bereitstellen und Verwalten virtueller Desktops (engl. Virtual Desktop Infrastructure, VDI) bis hin zu virtuellen Desktop-Arbeitsplätzen (engl. Desktop as a Service, DaaS), sind Technologien für Remote-Work dazu in der Lage den Arbeitsplatz in die Cloud zu verlegen, wodurch von überall darauf zugegriffen werden kann. Ein weiterer Vorteil von virtuellen Desktops ist, dass sie im Vergleich zu Remote-Computern leichter zu implementieren, zu verwalten, zu reparieren und zu schützen sind.

5. Tools und Einstellungen beibehalten, die von Mitarbeitern im Homeoffice verwendet wurden

Während der Heimarbeit haben Mitarbeiter Erfahrungen mit neuen Tools für Kommunikation und Zusammenarbeit gemacht – für Chats, Videokonferenzen, Planung, Customer Relationship Management (CRM) und vieles mehr. Wenn diese Tools gut funktioniert haben, werden Mitarbeiter auch im Büro damit arbeiten wollen. Basierend auf den Erfahrungen während der Pandemie haben in unserer Umfrage 74 % der Teilnehmer gesagt, dass sie sich flexiblere und angenehmere Arbeitsbedingungen wünschen.

Diese Innovationen zu verbieten ist möglicherweise keine kluge Entscheidung. Das könnte Schatten-IT zur Folge haben, weil die Mitarbeiter eventuell die Apps auch ohne Zulassung der IT-Abteilung weiterverwenden. Die Unternehmen sollten darauf vorbereitet sein, entweder neue Dienste zuzulassen oder Alternativen vorzuschlagen und durchzusetzen. Spezifische Lösungen können den Unternehmen bei der Verwaltung der Cloud-Dienste helfen – z. B. die Verwendung bestimmter Funktionen von Cloud Discovery in einer Sicherheitslösung oder Cloud Access Security Broker (CASB) – und für den Einhalt der damit verbundenen Sicherheitsrichtlinien sorgen.

IT-Sicherheit sollte Unternehmen unterstützen und kein Hindernis darstellen. Einen kollektiven Verhaltenswandel zu ignorieren kann die Art und Weise, wie ein Mitarbeiter über seinen Arbeitgeber denkt, negativ beeinflussen. Umgekehrt können flexible Arbeitszeitmodelle und Dienste, die das Arbeitsleben der Mitarbeiter erleichtern, genau das Gegenteil bewirken. Das gilt sowohl für Bestandsmitarbeiter als auch für zukünftige Bewerber. Ein Beispiel hierfür ist der offene Brief einiger Mitarbeiter von Apple, in dem sie den Unternehmenschef Tim Cook und andere Führungskräfte bitten „dass es keine Regelung geben sollte, die man universell allen Mitarbeitern aufzwingt. Stattdessen sollte die Entscheidung in Sachen Telearbeit autonom auf Teamebene getroffen werden, so wie es auch bei Einstellungen der Fall ist.“

Der durch die Pandemie ausgelöste, globale Wandel zur Heimarbeit stellt für Unternehmen und deren IT-Abteilungen eine große Herausforderung dar. Trotz all der Schwierigkeiten ist diese Erfahrung von unschätzbarem Wert und hat uns eine ausschlaggebende Lehre für die Zukunft erteilt.

Eine der wichtigsten Schlussfolgerungen der Pandemie ist, dass Unternehmen einen Wandel in Rekordzeit durchführen können. Da wir so viel aus dieser Erfahrung gelernt haben, sollte IT-Sicherheit Optionen und Unterstützung für nachhaltige Flexibilität bieten. Eine intelligente und sichere Rückkehr zur Büroarbeit in jeglicher Form, kann Unternehmen dabei helfen, diesem neuen Trend zu folgen und das volle Potenzial aus ihren Unternehmensabläufen auszuschöpfen.