Wir haben unsere Leser gebeten, die schmutzigsten IT-Geheimnisse zu teilen, auf die sie bei der Arbeit gestoßen sind – Lügen aus den Grauzonen und der dunklen Seite der Technologie, von denen andere überhaupt nichts wissen. Nach der Sichtung der Einsendungen haben wir diese „Geheimnisse“ Experten aus verwandten Bereichen zur Analyse vorgelegt. Einige wurden von den Experten anerkannt, andere wurden nicht bestätigt.

IT-Profis verbreiten oft graue Lügen und spielen im Tech-Business dunkle politische Spielchen, als wäre nichts verkehrt.

IT-Profis wissen oft genau, was hinter einem Problem steckt – und manchmal sind sie selbst diejenigen, die den Ärger verursacht haben.

Wir haben unsere Leser gebeten, die schmutzigsten IT-Geheimnisse zu teilen, auf die sie bei der Arbeit gestoßen sind – Lügen aus den Grauzonen und der dunklen Seite der Technologie, von denen andere überhaupt nichts wissen. Nach der Sichtung der Einsendungen haben wir diese „Geheimnisse“ Experten aus verwandten Bereichen zur Analyse vorgelegt. Einige wurden von den Experten anerkannt, andere wurden nicht bestätigt.

Reicht die Macht von Systemadministratoren aus, um zum schlimmsten Albtraum eines CIOs zu werden? Nehmen IT-Mitarbeiter noch immer Firmenausrüstung mit? Können die Daten, die wir in der Cloud speichern, sich wirklich in Luft auflösen? Sind die Preise für Tech-Support-Dienstleistungen unangemessen hoch?

Durch den heutigen Artikel erfahren wir die Ansichten sowohl der beteiligten Parteien als auch der relevanten Experten.

Schmutziges IT-Geheimnis #1: Systemadministratoren haben das Unternehmen in der Hand

Das IT-Wiesel ist tatsächlich zum Torwächter des fetten Huhns geworden – der Daten.

Wer Edward Snowdens Geschichte verfolgt hat, wird sicherlich verstehen, welchen Schaden ein Systemadministrator anrichten kann. Aber selbst IT-Profis können sich vielleicht nicht vorstellen, wie erstaunlich die Macht und Gefahr eines uneingeschränkten Administrators wirklich sind.

"Für IT-Profis gibt es so etwas wie ein Geheimnis nicht", sagte Pierluigi Stella, CTO des Anbieters für Managed-Security-Dienste Network Box USA. "Ich kann auf meiner eigenen Firewall Erkennungstools installieren, um jedes Datenpaket zu erfassen, das in einen bestimmten Computer hinein- oder aus ihm herausgeht. Ich kann sehen, was Leute in Nachrichten schreiben, welche Websites sie besuchen und was sie auf Facebook posten. Tatsächlich ist Moral der einzige Faktor, der IT-Profis davon abhält, diese Macht unsachgemäß zu verwenden oder zu missbrauchen. IT-Profis sind im Wesentlichen eine Miniatur-NSA, die direkt neben uns existiert."

Diese Situation ist ziemlich verbreitet, und den meisten CIOs ist sie bereits bewusst, bemerkte Tsion Gonen, Chief Strategy Officer beim Datenschutzunternehmen SafeNet.

„Ich schätze, dass mehr als 90 Prozent der Unternehmen mit dieser Art von Krise konfrontiert sind“, sagte er. „Die Zuverlässigkeit der Unternehmenssicherheit hängt eng mit der Vertrauenswürdigkeit der IT-Administratoren zusammen. Es ist sehr schwierig, genau zu wissen, wie viele Systemadministratoren ihre Zugriffsrechte missbrauchen — aber eines ist sicher: Die Zahl ist groß genug, um jede Woche in den Zeitungen Schlagzeilen zu machen. Das Erschreckendste ist, dass Sicherheitsrisiken oft von genau den Personen ausgehen, die für die Zuweisung von Zugriffsberechtigungen an Mitarbeiter verantwortlich sind.“

„David Gibson, Vizepräsident des Anbieters von Data-Governance-Lösungen Varonis, stimmt ebenfalls zu, dass Administratoren im Allgemeinen tatsächlich die Möglichkeit haben, auf Daten zuzugreifen, ohne dass jemand etwas davon merkt, aber er nennt eine konkretere Zahl — 50%. Er fügt hinzu, dass dieses Problem nicht auf Administratoren beschränkt ist — die meisten Benutzer haben die Möglichkeit, auf weit mehr Daten zuzugreifen, als ihre Arbeit erfordert.“

„Er sagte, die Lösung für diese Herausforderung lasse sich in zwei Teile zusammenfassen: die Verwendung eines ‚Least-Privilege‘-Modells, um die Zugriffsmöglichkeiten der Mitarbeiter zu begrenzen, und die kontinuierliche Überwachung derjenigen, die auf Daten zugreifen.“

„Unternehmen müssen sehen können, welche Mitarbeiter auf welche Daten zugegriffen haben, wem die Daten gehören und wer bereits auf welche Dateien zugegriffen hat“, sagte er. „Auf dieser Grundlage können IT-Abteilungen direkt mit den Datenbesitzern in Kontakt treten und so ein Gleichgewicht zwischen der Reduzierung des Zugriffs und der Aufrechterhaltung einer akzeptablen Benutzererfahrung finden.“

IT-Schmutzgeheimnis #2: Mitarbeiter nehmen das Unternehmen wahrscheinlich mit nach Hause

Diese ‚ausrangierten‘ IT-Assets werden wahrscheinlich auf unerwartete Weise ein zweites Leben erhalten.

Veraltete Technologiegeräte werden selten tatsächlich in den Müll geworfen; sie finden oft schnell ein neues Zuhause — und manchmal überschneidet sich dieses ‚neue Zuhause‘ mit den eigenen Wohnungen der IT-Mitarbeiter.

„Mitarbeiter, die außer Betrieb genommene Geräte entwenden, sind nichts Neues“, sagte Kyle Marks, CEO von Retire-IT, einem Unternehmen, das sich auf Betrugs- und Datenschutz-Compliance-Probleme im Zusammenhang mit IT-Assets spezialisiert hat. „Ich habe noch nie einen IT-Profi getroffen, der nie Firmeneigentum für private Zwecke mitgenommen hat. Für die meisten Menschen ist es keine große Sache, ein wenig veraltete Geräte mitzunehmen. Viele betrachten es nicht als Sicherheitsbedrohung – sobald Geräte ausgemustert sind, behandeln sie sie als etwas, das nach Belieben entsorgt werden kann.“

Das größte Problem beim Zurückholen von Geräten aus dem Müll oder der Recyclingtonne ist, dass sie noch sensible Daten enthalten können. Wenn diese Daten offengelegt werden, könnte das dem Unternehmen immense Verluste verursachen, bemerkte Marks. Natürlich stellt selbst dann, wenn es keine späteren Probleme gibt, die Handlung an sich immer noch den Diebstahl von Firmeneigentum dar.

„Diebstahl und Betrug sind sehr ernste Situationen, die leicht einen groß angelegten Datenschutzvorfall auslösen könnten“, fügte er hinzu. „Wenn dieser Zustand anhält, könnten skrupellose IT-Mitarbeiter ein ganzes Unternehmen an den Rand des Zusammenbruchs bringen. Doch in den meisten Fällen ist die Person, die dafür verantwortlich ist, sicherzustellen, dass alle Assets ordnungsgemäß entsorgt werden – das heißt, alle Daten werden gelöscht –, oft ein Mitglied der IT-Abteilung. Unternehmen müssen einen Prozess der ‚umgekehrten Beschaffung‘ einrichten, um sicherzustellen, dass Assets ihren Arbeitsplatz auf ordnungsgemäße Weise verlassen.“

Doch streckt jeder IT-Mitarbeiter seine gierigen Hände nach veralteter Hardware aus? Ein erfahrener Praktiker im Bereich der IT-Asset-Entsorgung, der seinen Namen nicht nennen wollte, sagt, die tatsächliche Situation sei weit von dem entfernt, was Marks folgerte.

„Ich sage nicht, dass es keinen Diebstahl gibt“, erklärte er. „Ich sage nur, dass ich noch nie einen einzigen Praktiker getroffen habe, der ein festes Muster für den Umgang mit veralteter Hardware hat.“

Er fügte außerdem hinzu, dass die meisten Geräte hauptsächlich aufgrund von Verlust oder anderen schwer erklärbaren Gründen verschwinden – zum Beispiel, weil sie an den falschen Ort versandt wurden.

"Das klingt ein wenig nach pauschaler Verleugnung. Tatsächlich sind viele Unternehmen stolz darauf, Sicherheitsdienste völlig ehrlich und vertrauenswürdig anzubieten und an ihrer Art, Dinge zu tun, festzuhalten."

IT-schmutziges Geheimnis Nr. 3: Daten in der Cloud speichern – gefährlicher, als Sie denken

Wenn rechtliche Bestimmungen ins Spiel kommen, wird uns kein Sicherheitsmechanismus der Welt schützen können.

Daten in der Cloud zu speichern ist zwar praktisch, aber wir müssen für diesen Komfort womöglich einen hohen Preis zahlen: In einem Rechtsstreit, der so verworren wie ein Fadenknäuel ist, können unsere Daten verschwinden.

"Die meisten Menschen begreifen nicht, dass ihre Daten, wenn sie in der Cloud auf den Systemen anderer gespeichert sind und Seite an Seite mit den Daten anderer Unternehmen existieren, ebenfalls betroffen sein und zwangsweise offengelegt werden können, wenn die andere Partei rechtliche Probleme bekommt", sagte Mike Balter, Präsident des IT-Support-Unternehmens CSI Group.

Mit anderen Worten: Ihre Cloud-Daten werden wahrscheinlich wegen Ermittlungen gegen andere in Schwierigkeiten hineingezogen – Pech gehabt zu haben ist der einzige Grund. Allein weil Sie sich einen Server mit einer verdächtigen Partei teilen, kann ein Unternehmen ernsthafte Verluste erleiden.

Ein typischer Fall ereignete sich im Januar 2012, als die US-amerikanischen und neuseeländischen Behörden Kim Dotcoms MegaUpload-Dateispeicher abschalteten. Neben einer großen Zahl von Filmdateien, die tatsächlich im Verdacht der Piraterie standen, beschlagnahmten die Behörden auch Daten von Tausenden gesetzestreuer Kunden und weigerten sich, sie zurückzugeben. Bis heute können diese armen einfachen Nutzer nicht sicher sein, ob ihre Daten jemals wiederhergestellt werden können.

„Das Risiko einer Datenbeschlagnahme ist real“, bestätigte Jonathan Ezor, Direktor des Zentrums für Wirtschaft, Recht und Technologie am Touro Law Center. „Wenn Strafverfolgungsbehörden oder andere Regierungsbeamte eine rechtliche Grundlage haben, können sie Speichergeräte oder -systeme beschlagnahmen – in bestimmten Sonderfällen kann eine Genehmigung erforderlich sein – und die Daten auf diesen Systemen können, ob sie unter Verdacht stehen oder nicht, mitgenommen werden. Kurz gesagt: Wenn die Daten eines Unternehmens außerhalb seiner eigenen Kontrolle gespeichert werden, sind sie zwangsläufig einem gewissen Grad an Schnüffelei ausgesetzt – zumindest haben andere Zugriff auf dieselbe Hardware.“

Um sich vor diesem Worst-Case-Szenario zu schützen, müssen Nutzer genau wissen, wo ihre Daten gespeichert sind und welche rechtlichen Bestimmungen auf die Situation anwendbar sind, sagte David Campbell, CEO des Cloud-Unternehmens JumpCloud.

„Unser Rat ist, einen Cloud-Anbieter zu finden, der Zusicherungen zum physischen Standort von Servern und Daten geben kann, etwa Amazon, damit jeder eine proaktive Haltung bei der Kontrolle unbekannter Risiken einnehmen kann“, merkte er an.

Ezor fügte außerdem hinzu, dass die Verschlüsselung von Daten wirksam verhindern kann, dass diejenigen, die sie erhalten, ihren Inhalt erfolgreich entschlüsseln. Eine weitere gute Idee: Halten Sie immer eine Sicherungskopie Ihrer Daten bereit. Wir können wirklich nicht sicher sein, wann sie zum letzten Rettungsanker des Unternehmens werden könnte.

Schmutziges IT-Geheimnis #4: Mitarbeiter schnallen den Gürtel enger, doch der Chef schreibt leere Schecks

Die Finanzleute haben es am schlimmsten.

Für nahezu jedes mittelgroße oder große Unternehmen kann der Beschaffungsgenehmigungsprozess auf zwei Arten ablaufen, betonte Mike Meikle, CEO der Hawkthorne Group – eines Management- und IT-Beratungsunternehmens. Erstens gibt es den offiziellen Beschaffungsprozess – äußerst zeitaufwendig, bei dem wir einen Genehmigungs-„Feuerring“ nach dem anderen durchspringen müssen wie Katzen und Hunde in einem Zirkus. Darüber hinaus gibt es einen speziellen „VIP-Express-Diamant-Kanal“, der natürlich nur wenigen „besonderen Leuten“ vorbehalten ist.

„C-Level-Führungskräfte haben alle ihre eigenen Beschaffungskanäle“, erklärte er. „Genehmigungsprozesse, für die IT-Leute acht Monate bräuchten, sind von diesen Führungskräften oft in nur wenigen Wochen abgeschlossen – und das ist eine sehr konservative Schätzung. Ich nenne das den ‚VIP-Express-Diamantenkanal‘. Unter allen Regierungsbehörden und privaten Unternehmen, mit denen ich zu tun hatte, war keines in der Lage, diesem geheimen Beschaffungsweg, der im Schatten existiert, vollständig zu entgehen.“

Der offizielle Prozess macht es Mitarbeitern absichtlich schwer, weil Unternehmen nicht wollen, dass sie Firmengeld ausgeben, bemerkte Meikle – es sei denn natürlich, sie finden einen Weg auf diesen geheimen Kanal. Er wies außerdem darauf hin, dass CIOs leider oft nicht qualifiziert sind, diesem VIP-Club beizutreten, was bedeutet, dass große Technologiekäufe oft ohne rigorose Kostenanalyse oder Prüfung der IT-Strategie abgeschlossen werden.

„Sie gehen zusammen zum Mittagessen, und der Anbieter flüstert ihnen süße Nichtigkeiten ins Ohr; und ehe man sich versieht, werden großzügig Hunderttausende von Dollar für eine weitere Mobile-Application-Management-Lösung herausgeworfen – diese Leute merken nicht einmal, dass das Unternehmen bereits eine hat“, sagte er empört. „Jetzt haben wir zwei Mobile-Application-Management-Lösungen – wozu brauchen wir so viele, zum Essen?“

Aber das ist nicht unbedingt der Fall, wandte eine anonyme Quelle aus dem Militär und von Fortune-100-Unternehmen ein. Während viele Unternehmen tatsächlich die Standardbeschaffungsprozesse umgangen haben mögen, geht es oft um etwas, das die IT-Abteilung dringend braucht – der Grund dafür sei, wie er sagte, dass man keine Zeit mit Bürokratie verschwenden wolle.

„Nicht-technische Führungskräfte verfügen einfach nicht über das IT-Wissen, das nötig ist, um größere Beschaffungsentscheidungen zu treffen“, fügte er hinzu. „Wenn eine leitende Führungskraft den Beschaffungsprüfungsprozess umgeht, darauf besteht, die Bestellung zu unterzeichnen, und vom Anbieter verlangt, zu versenden, dann sollten alle nachfolgenden technischen Fehler dieser Person über Mechanismen der Rechenschaftspflicht und Rückverfolgbarkeit zugeschrieben werden. Das ist wie Kryptonit für Superman – ihr größter Erzfeind.“

IT-Schmutzgeheimnis Nr. 5: Auf der schwachen Seite im Gleichgewicht des Kundensupports stehen

Techniker spielen nur mit Skripten

Ich bin sicher, jeder kennt dieses Szenario: Wir kommunizieren per Telefon mit technischem Supportpersonal, das eine halbe Welt entfernt ist, aber nach nur wenigen Worten stellen wir fest, dass ihr technisches Niveau schlecht ist und sie dem Kunden nur aus einem Skript vorlesen. Ratet mal? Genau das passiert wahrscheinlich gerade.

„IT-Support ist eine Handelsware“, sagte Tim Singleton, Präsident von Strive Technology Consulting, einem High-End-Techniksupport-Unternehmen, das kleine und mittelständische Kunden betreut. „Die meisten Werkzeuge, die helfen können, sind kostenlos, und Computer verlangen den Nutzern heute nicht mehr so viel technisches Wissen ab wie früher. Das kleine Mädchen von nebenan ist wahrscheinlich genauso fähig wie ein erfahrener Experte, Ihre Computerprobleme so zu lösen, wie es ein IT-Unternehmen tun würde.“

Aber einige glauben, dass diese Schlussfolgerung zu willkürlich ist. Zwar mögen einige einfache Probleme die Notwendigkeit eines technischen Supportteams nicht belegen, doch für komplexe Probleme ist professionelle Beratung nach wie vor unverzichtbar, bemerkte Aramis Alvarez, Senior Vice President für Services und Support bei Bomgar, einem Anbieter von Remote-IT-Supportlösungen für Unternehmen.

„Das Problem damit, den IT-Support als ‚Commodity‘ zu bezeichnen, ist, dass wir nicht alle technischen Probleme gleich behandeln können“, sagte Alvarez. „Einige grundlegende Probleme können von technisch versierten gewöhnlichen Nutzern tatsächlich genau diagnostiziert werden, aber komplexere Situationen wie Virusinfektionen nicht. Das Mädchen von nebenan mag zwar über viel technisches Wissen verfügen, doch am Ende könnte sie ernsthafte Schäden an den Daten auf dem Computer verursachen.“

Schließlich müssen wir einen höheren Preis zahlen, um das Chaos zu beseitigen, fügte Joe Silverman hinzu, CEO von New York Computer Help – ein Problem, das häufig auftritt, wenn Unternehmen bei der Technik sparen oder wenn interne IT-Abteilungen überlastet sind.

„In unserer täglichen Arbeit stellen wir fest, dass viele Büroorganisationen und Fachabteilungen in New York eine nachlässige Haltung gegenüber Computerreparaturarbeiten oder IT-Stellen an den Tag legen – sie holen Leute aus anderen Unternehmen, lassen Familienmitglieder einspringen oder rekrutieren halbqualifizierte Freunde“, bemerkte er. „Manchmal springen auch Mitarbeiter der Finanzabteilung ein, um Computerprobleme zu lösen, aber sie sind oft zu beschäftigt oder nicht erfahren genug, um ausgefallene Festplatten, Mainboards oder Netzteile zu reparieren. Wenn das Netzwerk oder der Server abstürzt, haben Sie dann wirklich vor, sich auf einen Finanzmitarbeiter zu verlassen, oder würden Sie lieber einem erfahrenen Netzwerkingenieur mit zwanzig Jahren Erfahrung vertrauen?“

Schmutziges IT-Geheimnis #6: Wir wissen viel mehr, als Sie denken

Daten umfassend sammeln, das Gesamtbild erfassen

Glauben Sie, Sie stehen unter intensiver Überwachung durch die NSA? Im Vergleich zu Verbrauchermarketing-Unternehmen und Datenhändlern ist die NSA wirklich nur ein kleiner Akteur.

Der größte Übeltäter sind Casinos, sagte J. T. Mathis, ein ehemaliger Casino-Datenbankmanager, der auf Grundlage seiner persönlichen Erfahrungen „Take It All: Through the City of Prosperity“ verfasste und veröffentlichte. „Wenn Sie ein Casino betreten, ist der Einsatz, den Sie platzieren, weit mehr als Geld – Sie spielen tatsächlich mit Ihren persönlichen Daten.“ Schätzungen von Mathis zufolge enthielt die Marketingdatenbank seines früheren Arbeitgebers ungefähr 100,000 oder mehr Namen aktiver oder inaktiver Glücksspieler.

„Vom Moment, in dem Sie das Casino betreten, wird jede Ihrer Bewegungen verfolgt“, betonte Mathis. „Wenn Sie sich an einen Spielautomaten setzen, kennt das Casinomanagement Ihren aktuellen Standort, wie oft Sie den Hebel gezogen haben, wie viele Münzen Sie eingeworfen haben; sie wissen, dass Sie gern um 4:30 Uhr essen und die Hummerplatte bevorzugen. Sie kennen Ihre bevorzugten Zigaretten- und Spirituosenmarken und ob Sie auf Ihrem Zimmer Erwachsenenprogramme ansehen. Und wenn Sie im Sommer zurückkehren, können sie sofort erkennen, dass die Frau an Ihrer Seite nicht Ihre eigentliche Ehefrau ist, sodass das Personal sie mit dem Namen ‚Cindy‘ begrüßen kann statt mit dem Namen Ihrer Ehefrau ‚Barbara‘.“

Michael Simon, ein ehemaliger Casino-Manager, der jetzt an der Louisiana State University tätig ist, bestätigte Mathis’ Darstellung. Er fügte jedoch hinzu, dass die Art und Weise, wie Casinos Daten sammeln, sich nicht wesentlich von CVS, PetSmart oder Amazon unterscheidet.

„Die MBA-Klasse, die ich derzeit unterrichte, konzentriert sich auf Datenbankanalyse und Data Mining, und alle Unternehmen, die wir befragt haben, sammeln Kundeninformationen und bieten Dienstleistungen auf der Grundlage der persönlichen Gewohnheiten der Kunden an“, sagte er. Als Autor von „My Gaming Life: A Former Casino Executive's Personal Perspective“ fügte Simon hinzu: „Dies ist heute eine übliche Geschäftspraxis, kein Geheimnis. Zum Beispiel bringe ich meinen Hund zu PetSmart für spezielle Produkte und Dienstleistungen, und die Programme, die sie anbieten, entsprechen definitiv meinen persönlichen Konsumgewohnheiten – ich bin sehr zufrieden damit. Aus einer anderen Perspektive betrachtet, bietet PetSmart tatsächlich das, was ich möchte, auf sehr effiziente Weise an, anstatt Zeit damit zu verschwenden, Dinge vorzubereiten, die ich niemals annehmen würde – wie etwa vergünstigtes Katzenfutter oder tropische Fische.“

Doch nur eine Sache ist anders: Mathis wurde im Mai 2012 vom Casino entlassen, aber zu diesem Zeitpunkt hatte er noch eine Kopie der Datenbank. Und als er versuchte, die Kopie an das Casino zurückzugeben, hatte er ziemliches Pech – sie weigerten sich, seine Anrufe zu beantworten –, also beschloss er, die Daten, die er hatte, zu nutzen, um über Glücksspielangelegenheiten zu sprechen.

Quelle: http://developer.51cto.com/art/201311/415064.htm