Storage und Security wachsen zusammen
Mit Sicherheit gut gelagert
IT-Sicherheit wird mehr und mehr ein Standardaspekt jeglicher Themen der Informationstechnik. Mit Speichersystemen allerdings wächst Security gleich auf mehreren Ebenen besonders eng zusammen - das Spektrum reicht von der Verschlüsselung bis zur eigenen Fibre-Channel-Verbindung zum externen Dienstleister.
Aufgrund der ausufernden Menge zu speichernder Daten und der zunehmenden Zahl der
datenschutzgetriebenen Archivierungsvorschriften steigt einerseits die Bedeutung der
Speichersysteme für Unternehmensnetze und -applikationen, andererseits aber auch das Niveau der
Sicherheitsanforderungen. Im Markt hat dies die Folge, dass sich vermehrt Anbieter von
Speichersystem- und Sicherheitslösungen zusammenschließen und ihre Techniken integrieren. Network
Appliance etwa hat Decru gekauft, einen Anbieter von Verschlüsselungs-Appliances für Speichernetze
(siehe Text in LANline Spezial II/2005, Seite 30), und Symantec folgte dem Beispiel mit der
Akquisition des Storage-Anbieters Veritas. Computer Associates propagiert als Reaktion auf
derartige Aktivitäten Storage-Sicherheitsmechanismen, die in die übergreifende Ressourcenverwaltung
eines Unternehmensnetzes integriert sind. Ein neuer Anbieter in Deutschland ist Disuk – ein
Unternehmen, das Verschlüsselungsboxen herstellt, die Band- und Plattenspeichern vorgeschaltet
werden und den bezeichnenden Produktnamen "Paranoia2" tragen. Disuk bringt nun auch "Safe-Tape"
-Bandlaufwerke mit bereits integrierter Verschlüsselung auf den Markt.
Sicherheit für gespeicherte Daten bedeutet
Vertraulichkeit, denn sensible Daten dürfen nicht Unbefugten in die Hände
fallen,
Authentizität, denn es muss sichergestellt werden, dass ein Anwender immer
genau auf die Daten zugreift, die er erwartet,
Integrität, denn gesicherte Dokumente dürfen nicht modifiziert werden, und
Verfügbarkeit, denn die Zugänglichkeit der Daten bleibt bei allen
Schutzvorkehrungen der Hauptzweck der Ablage.
Vor allem bei der langfristigen Speicherung von Daten sind alle vier Aspekte nicht so einfach
sicherzustellen wie bei Informationen, die noch aktuell bearbeitet werden.
Für die Vertraulichkeit etwa lässt sich grundsätzlich mit Verschlüsselungsprodukten und mit
Systemen für den Zugriffsschutz sorgen. Die Authentifizierungs- und Autorisierungssysteme
allerdings sollten streng rollenbasiert arbeiten, da die Lebensdauer der gesicherten Daten die
Beschäftigungsdauer einzelner Mitarbeiter inzwischen immer häufiger übersteigt.
Auf der Datenseite sollte der rollengestützten Personenerkennung und Rechtezuordnung ein
Kategoriensystem gegenüberstehen. Dies könnte etwa sensiblen Kundendaten, Dokumenten aus der
Entwicklung, Personaldaten oder Verträgen eigene Rubriken zugestehen oder – wie bei Behörden – mit
übergreifenden Vertraulichkeitsstufen arbeiten. Technisch ließe sich solch ein Kategoriensystem
beispielsweise durch dedizierte Repositories für einzelne Datenklassen abbilden oder durch ein DRM-
oder Dokumentenmanagementsystem, das es dem Administrator erlaubt, jedem einzelnen Dokument
Metadaten mit der Kategorieninformation zuzuweisen.
Wie lange hält Verschlüsselung?
Werden Daten verschlüsselt, muss vor allem bei Langzeitspeicherung sicher gestellt werden, dass
die Schlüssel ebenfalls nicht an einzelne Personen gebunden werden. Zumindest ein Zweitschlüssel
muss immer derjenigen Abteilung zur Verfügung stehen, die die gespeicherten Informationen
verwaltet. Bei dauerhafter Archivierung ist dabei ein Migrationsproblem einzukalkulieren, das zu
den übrigen Anforderungen an Format- oder Medienmigrationen hinzutritt: Bleibt die
Vertraulichkeitsanforderung für die Dokumente über ihre ganze Lebensdauer gleich, verringern die
steigende Leistung der Durchschnitts- und Spezialrechner und neue Erkenntnisse der
Krypto-Analytiker und Hacker eventuell den Schutzwert des verwendeten Algorithmus? und der
Verschlüsselungstiefe. Von Zeit zu Zeit kann deshalb eine zusätzliche oder eine neue
Verschlüsselung mit jeweils zeitgemäßen Verfahren notwendig sein. Alle Sicherungssysteme müssen so
dokumentiert sein, dass notfalls ein Nachprogrammieren möglich ist.
Identity Management
Storage-Server mit hoher Kapazität oder SANs erfordern eine ausgefeilte und sorgfältig
betriebene Zugriffskontrolle, weil sie oft die wertvollsten Informationen einer ganzen Organisation
beherbergen. Experten empfehlen, eine Administration nur über HTTPS oder SSH zuzulassen und mittels
Hard- und Soft-Zoning innerhalb von SAN-Infrastrukturen nur ausgewählte physikalische oder durch
festgelegte Kommunikationsadressen definierte Verbindungen zwischen Servern und Speichern zu
schalten. In den Speichersystemen selbst wiederum dient LUN-Masking dazu, einzelnen Servern nur den
Zugriff auf bestimmte interne Ressourcen einzuräumen.
Langfristige Integrität
Die langfristige Integrität von Daten lässt sich auf verschiedene Weise sicherstellen.
WORM-Medien (write once, read many times), handelsüblich vor allem in Form optischer oder
magneto-optischer Speicher, sorgen dafür, dass Originaldokumente zumindest auf ihren
Orgininal-Datenträgern nicht verändert werden können. Diverse Bandhersteller haben inzwischen auch
Tapes mit WORM-Technik im Programm, bei denen der Schreibschutz zumeist durch eine eindeutige
elektronische Kennzeichnung der Bänder hergestellt ist. Will man die Integrität auf Dateiebene
gewährleisten, helfen nur digitale Signatur oder die Speicherung in unveränderlichen
Archivformaten. Beide Herangehensweisen haben ihre eigenen Schwierigkeiten, denn die langfristige
Überprüfbarkeit digitaler Signaturen macht genau wie die Verschlüsselung eine PKI notwendig, die
wahrscheinlich länger betriebsbereit sein muss, als die heutige Erfahrung mit Computersystemen
überhaupt zurückreicht, und über die wirklich geeigneten Dokumentformate werden selbst ausgewiesene
Experten noch eine ganze Weile streiten (siehe Artikel "Eine Frage des Formats", S. 66).
Die Folgen von Time Warner
Die Auslagerung von Daten, mit der sich manche Organisation gern der Probleme mit der sicheren
Ablage entledigen würde, wurde vorübergehend durch einen Skandal diskreditiert: Auf dem Weg zum
Einlagerungsspezialisten Iron Mountain gingen dem Medienunternehmen Time Warner 40 Bänder mit
600.000 aktuell angestellten und früheren Mitarbeitern verloren. Iron Mountain empfiehlt seitdem
dringend, alle extern zu lagernden Datenträger zu verschlüsseln, und Institutionen in den USA
entfalten bislang ungeahnte Datenschutzaktivitäten, nachdem noch einige weitere ähnliche Fälle
bekannt wurden.
Iron Mountain, eigentlich ein Spezialist für die sichere Lagerung klassischer Akten, wird
zusätzlich in Zukunft seine Services für die digitale Datenlagerung ausbauen und dabei
Infrastrukturen zur Verfügung stellen, die hohe IT-Sicherheitsanforderungen einhalten können. Dass
auf dem Weg zu solchen externen Lagern nicht mehr unbedingt ein Lastwagen mit Speichermedien den
Transport übernehmen muss, demonstriert neuerdings das Unternehmen Global Voice mit seinen
Managed-Storage-Lösungen: Der Anbieter verfügt über große Kapazitäten an Fibre-Channel-Netzen, die
Ende der 90er-Jahre in der Hoffnung auf steigenden Carrier-Bedarf verlegt wurden, und kann deshalb
nun an vielen Standorten nicht nur VPN-Tunnel durchs Internet, sondern sogar einzelnen Kunden
eigene optische Faserstränge zur Kopplung zwischen internem Netz und externen Storage-Systemen
anbieten.
Info: Computer Associates Tel.: 06151/9490 Web: www.ca.com
Info: Disuk Tel.: 0612/693480 Web: www.disuk.de
Info: Global Voice Tel.: 069/905540 Web: www.globalvoice.com
Info: Symantec Tel.: 02102/74530 Web: www.symantec.de
Info: Network Appliance Tel. 0211/437180 Web: www.netapp.de
Info: Iron Mountain Tel.: 0800 4080000 Web: www.ironmountain.de
Lesen Sie mehr zum Thema
