In jedem großen Unternehmen gibt es sorgfältig entwickelte und genau definierte Prozesse für das Patch- und Pattern-Management. Laut Peter Graf wissen aber weder die Systemadminstratoren genau, ob die Update-Maßnahmen erfolgreich waren, noch sind die IT-Manager in der Lage, die Einhaltung der Prozesse ausreichend zu prüfen. „Die Reports werden heute mit unzureichenden Daten aufwändig und teilweise noch manuell erstellt, die Security Officer können auf dieser Basis unmöglich überprüfen, ob alle Sicherheitslöcher gestopft sind“, so Graf. „Ein effektives Sicherheitsmanagement setzt vollständige Transparenz und ein konsequentes Controlling voraus, auf dessen Basis alle Lücken systematisch geschlossen werden.“
Ohne Erfolgskontrolle keine Sicherheit
Nur durch gezielte Qualitätsprüfungen nach jedem Roll-Out können Unternehmen einen echten Schutz gegen Bedrohungen wie durch Conficker herstellen. „Wer nicht ständig über seinen tatsächlichen Sicherheitsstatus informiert wird, hat keine Chance. Und dazu gehört sowohl die Kontrolle, ob die Prozesse eingehalten werden, als auch die Kontrolle ob die Prozesse erfolgreich waren.“ Nur dann kommen IT-Leiter in die Lage, IT-Sicherheit proaktiv zu steuern sowie kontinuierlich und nachweislich zu verbessern. „Für unsere Kunden, die auf Basis einer Echtzeit-Analyse ein konsequentes Controlling der Update-Systeme eingeführt haben, war Conficker kein Thema“, so Graf.