Worum geht es?
In diesem Kapitel werden einige ergänzende Maßnahmen vorgeschlagen, die dafür sorgen sollen, dass Werte in Sicherheitsbereichen vor Beschädigungen unbefugten Eingriffen geschützt sind.
Auch unter der Prämisse, dass ohnehin nur ausgewähltes Personal Zutritt zu Sicherheitsbereichen hat, sollte nicht nur auf den vermeintlich gesunden Menschenverstand vertraut werden. Auch um der eigenen Verantwortlichkeit zweifelsfrei gerecht zu werden, sollten Zutrittsberechtigten klare Vorgaben gemacht und kommuniziert werden.
Was sagt die ISO 27002 zum Arbeiten in Sicherheitsbereichen?
Die Vorschläge der Norm sind sehr knapp und lassen sich dementsprechend kurz zusammenfassen.
- Sicherheitsbereiche sollten dem Personal bekannt sein.
- Aufenthalt und Tätigkeit in Sicherheitsbereichen sollte auf erforderliche Fälle beschränkt werden.
- Sicherheitsbereichen sind zu verschließen und insbesondere leerstehende Sicherheitsbereiche zu kontrollieren.
- Arbeiten von unternehmensfremden Personen sollten nicht unbeaufsichtigt erfolgen.
- Aufzeichnungen jeglicher Art sollten verboten sein bzw. nur nach ausdrücklicher Genehmigung ermöglicht werden. Bereits die Mitnahme tauglicher Geräte ist gegebenenfalls zu kontrollieren, um Foto- oder Videoaufnahmen von Serverraum oder Entwicklung zu unterbinden.
- Entsprechendes gilt auch für das Einbringen und Verwenden von Benutzerendgeräten in Sicherheitsbereichen. Steht der Angreifer schon am Serverschrank, interessieren ihn vorgeschaltete Firewall und Zugangsbeschränkungen zum Netzwerk regelmäßig nicht mehr.
- Klare und gut auffindbare Hinweise für Notfälle sollten vor Ort vorhanden sein.
Fazit: Auf die Durchsetzung kommt es an
In im Fall von Kapitel 7.6 der ISO 27002 zum Arbeiten in Sicherheitsbereichen sind die Vorschläge der Norm recht verständlich und die Umsetzung scheitert eher an tatsächlichen Hürden und vor allem an der Bequemlichkeit bzw. mangelhafter Durchsetzung von Vorgaben.
So bleibt das private Handy eben doch in der Hosentasche oder der ohnehin fast leere Kaffee wird noch schnell im Serverraum ausgetrunken. Und einem Dienstleister dabei zuzusehen, wie er irgendeine langwierige Aufgabe erledigt, hält einen von der eigenen Arbeit ab und ist dazu auch noch langweilig.
Wie in anderen Fällen auch, sollten die Maßnahmen von Kapitel 7.6 der ISO 27002 jedoch mit der erforderlichen Sorgfalt geplant und vor allem umgesetzt bzw. durchgesetzt werden.