Physische Sicherheit (Objektschutz)
Physische Sicherheit ist der Schutz von Mitarbeitern, Hardware, Programmen, Netzwerken und Daten vor äußeren Gefahren und Ereignissen, die einen ernsthaften Verlust oder Schaden an einem Unternehmen, einer Behörde oder anderen Art von Organisation verursachen können. Darin enthalten sind der Schutz vor Feuer, Naturkatastrophen, Einbrüchen, Diebstahl, Vandalismus und Terrorismus. In Deutschland wird dafür auch der Begriff Objektschutz verwendet. Zwar sind häufig viele dieser Ereignisse durch Versicherungen abgedeckt, aber die Priorität der physischen Sicherheit bei der Schadensverhütung verhindert den Verlust von Zeit, Geld und Ressourcen aufgrund dieser Ereignisse.
Physische Sicherheit umfasst meist drei Hauptkomponenten: Zugangskontrolle, Überwachung und Prüfung. Der Erfolg einer Security-Strategie für die physische Sicherheit kann meist darauf zurückgeführt werden, wie gut jede dieser Komponenten umgesetzt, verbessert und immer wieder angepasst wird.
Zugangskontrolle
Die Kontrolle und die Beschränkung des Zugangs von Personen zu Standorten, Einrichtungen und Materialien ist einer der Schlüsselfaktoren der physischen Sicherheitsmaßnahmen. Die Zugangskontrolle umfasst die Maßnahmen, die ergriffen werden, um den Zugang zu bestimmten Vermögenswerten auf befugtes Personal zu beschränken. Beispiele für Zugangsbarrieren sind häufig Ausweise, elektronische Zugangssysteme – etwa per Chipkarten - oder auch Sicherheitspersonal. Diese Lösungen zur Zugangskontrolle können in Hinblick auf Methode, Ansatz und Kosten höchst unterschiedlich sein.
Das Gebäude an sich ist oft die erste Verteidigungslinie bei den meisten physischen Sicherheitssystemen. Je nach Unternehmen, kann das auch bereits für das Grundstück gelten. Entsprechend gut sichtbare und erkennbare Zugangskontrollen und auch physische Maßnahmen können hier bereits als erste Abschreckung für potenzielle Eindringlinge fungieren. Exemplarisch seien hier Schließanlagen, Vereinzelungsanlagen aber auch Kameras genannt.
Moderne Zugangskontrollen beinhalten einen technologiegestützten Ansatz, beispielsweise mit NFC-Karten (Near Field Communication) oder anderen Methoden der Authentifizierung, mit denen Sicherheitsteams die Identität von Personen beim Betreten und Verlassen verschiedener Einrichtungen überprüfen können. In manchen Ländern wird auch mit implantierten Chips experimentiert, um das Fälschen von Zugangsberechtigung weiter zu erschweren. Biometrische Zugangskontrollen bieten gleichfalls ein hohes Maß an Sicherheit mit einem ebenfalls problematischen Akzeptanzfaktor für Zugangsberechtigungen für Gebäude oder Abteilungen.
Insgesamt kann ein mehrschichtiger Ansatz bei der physischen Zugangskontrolle die Sicherheit deutlich erhöhen, wenn potenzielle Eindringlinge mehrere Barrieren überwinden müssten.
Physische Barrieren wie Mauern oder Zäune können jedoch nicht nur bei der Abwehr von Eindringlingen sinnvolle Maßnahmen sein, sondern auch bei extrem standortabhängigen Risiken wie Naturkatastrophen unter Umständen hilfreich sein.
Überwachung
Die Überwachung ist eine der wichtigsten Komponenten der physischen Sicherheit. Dies gilt sowohl für die Prävention als auch für Untersuchung oder Wiederherstellung nach einem Vorfall. Überwachung bezieht sich in diesem Fall auf die Technologie, das Personal und die Ressourcen, die Organisationen einsetzen, um die Aktivitäten an realen Standorten und Einrichtungen zu überwachen. Dazu gehören beispielsweise Wachpersonal, Sensoren, Bewegungsmelder und andere Benachrichtigungssysteme.
Ein gängiges Mittel zur Überwachung sind beispielsweise Kameras, die die Aktivitäten in bestimmten Bereichen aufzeichnen. Überwachungskameras haben den Vorteil, dass ein etwaiges kriminelles Verhalten aufgezeichnet werden kann und sie zudem eine abschreckende Wirkung haben. Im Zweifel kann der Diebstahl eines Objektes durch eine Aufzeichnung mit einem visuellen Beweis belegt werden. Bei dem Einsatz von Überwachungskameras gilt es immer alle rechtlichen und datenschutzrelevanten Vorgaben zu berücksichtigen.
Testen
Physische Sicherheit ist eine Präventivmaßnahme und ein Instrument zur Reaktion auf Vorfälle. Pläne für die Wiederherstellung im Katastrophenfall (DRP, Disaster-Recovery-Pläne) berücksichtigen üblicherweise auch die physischen Sicherheitsprotokolle. Dabei geht es auch darum, wie gut ein Unternehmen eine Bedrohung erkennt, auf sie reagiert und diese eindämmt. Der einzige Weg, um sicherzustellen, dass solche DR-Richtlinien und -Verfahren zu gegebener Zeit wirksam sind, besteht darin, aktive Tests durchzuführen.
Test gewinnen immer mehr an Bedeutung und sind eine notwendige, teils auch vorgeschriebene Aktivität, wie etwa bei Brandschutzübungen. Diese Tests tragen dazu bei großen Gruppen und ihre Reaktionsweise zu koordinieren. Tests sollten regelmäßig durchgeführt werden, um Rollenzuweisungen und Verantwortlichkeiten zu üben und die Wahrscheinlichkeit von Fehlern zu minimieren.
Die Bedeutung der physischen Sicherheit
Der physische Schutz wird häufig unterschätzt und vernachlässigt. Stattdessen wird vermehrt auf Sicherheitsmaßnahmen vor technischen und gefühlt dramatischeren Ereignissen wie Angriffen durch Hacker, Viren, Trojaner und Spyware geachtet. Gelange Unbefugte jedoch relativ unbehelligt an Ressourcen oder Systeme, können ebenfalls schnell große Risiken und Schäden entstehen.
Bei den Unternehmen steigt die Abhängigkeit vom Internet der Dinge (IoT) und damit auch der Bedarf an digitaler und physischer Sicherheit. Das IoT erfordert ein hohes Maß an physischer Sicherheit, um Daten, Server und Netzwerke zu schützen. Die zunehmende Vernetzung hat den Bereich der physischen Sicherheit erweitert. Und virtuelle Maschinen (VMs) und Anwendungen, die in der Cloud laufen, sind auch nur so gut geschützt, wie ihre physischen Server.
Unabhängig davon, ob Unternehmen Dienste im eigenen oder in fremden Rechenzentren nutzen, müssen diese durch physische Sicherheitsmaßnahmen ausreichend geschützt werden, um Datenverluste zu vermeiden.
Beispiele für physische Sicherheit
Die physische Sicherheit kann unterschiedlichste Bereiche betreffen und viele Formen annehmen. Nachfolgend einige Beispiele für physische Sicherheit, die zur Eindämmung und Kontroller realer Bedrohungen eingesetzt werden.
Die Aufzeichnung von Zugriffsversuchen ist ein probates Mittel, um eine forensikfreundliche Datenumgebung zu schaffen. Mehrere fehlgeschlagene Anmeldeversuche oder Zugriffsversuche mit einer verlorengegangenen Karte sind beides Indizien der physischen Sicherheit, die Unternehmen nutzen können, um die Aktivitäten ihrer Anlagen zu verfolgen. Im Falle eines Sicherheitsverstoßen können sich solche Aufzeichnungen als wertvoll für die Identifizierung von Sicherheitsschwachstellen erweisen.
Eine der effektivsten Methoden zur Optimierung von Investitionen in die physische Sicherheit ist die Anwendung eines risikobasierten Ansatzes. Dabei handelt es sich um eine Datenanalysetechnik zur Bewertung von Szenarien auf der Grundlage eines Risikoprofils.
Wenn ein Unternehmen mit einem besonders geringen Risiko agieren will, wird es sich unter Umständen dafür entscheiden, in ein sehr aufwendiges physisches Sicherheitssystem zu investieren, das zur entsprechenden Risikominderung geeignet ist. Daher sollte der Umfang der Ressourcen, die ein Unternehmen für seine physische Sicherheit nach einem risikobasierten Ansatz einsetzt, dem Wert entsprechen, den es der Risikominderung beimisst.
