Drei Schritte

Wie sich Firmen auf Cyber-Angriffe vorbereiten können

24. Juni 2015
Olaf Riedel ist verantwortlicher Partner für die Beratungsgesellschaft EY in der DACH-Region. Als Mitglied im Fachausschuss IT des IDW arbeitet er an der Weiterentwicklung von Rechnungslegungsstandards mit Auswirkungen auf IT-spezifische Aspekte des Risikomanagements.
Risiken im Netz verändern sich ständig. Unternehmen müssen vorsorgen – mit einer ausgereiften Internetsicherheit.

Hacker sind cleverer als jemals zuvor: Sie wissen genau, wo sich die Achillesferse von Unternehmen in Bezug auf ihre Informationssicherheit befindet - Menschen und Prozesse eingeschlossen - und sie haben Zeit! Laut der aktuellen Global Information Security Survey von Ernst & Young steigt für viele Unternehmen die Bedrohung durch externe Angreifer mehr und mehr.

Firmen müssen über die neuesten Technologien verfügen - nur so herrscht "Waffengleichheit" mit den potenziellen Angreifern.
Firmen müssen über die neuesten Technologien verfügen - nur so herrscht "Waffengleichheit" mit den potenziellen Angreifern.
Foto: Nmedia, Fotolia.de

53 Prozent der Firmen fürchten laut den Studienergebnissen einen Angriff durch kriminelle Vereinigungen, 46 Prozent sehen in sogenannten Hacktivisten - das sind politisch motivierte Hacker - eine erhebliche Gefahrenquelle, 43 Prozent betrachten einzelne, allein agierende Hacker als Risiko und 27 Prozent stufen staatlich finanzierte Angreifer als besonders bedrohlich ein. Nach wie vor stellen auch die eigenen Mitarbeiter eine Risikoquelle dar: 57 Prozent der Unternehmen nennen die eigenen Angestellten als Gefahrenquelle.
In Bezug auf das Thema Internetsicherheit mangelt es Unternehmen auch häufig an einem angemessenen Budget und den geforderten fachlichen Fähigkeiten. Das Kompetenzprofil ändert sich von Jahr zu Jahr und der Bedarf an neuen Skills wächst, um die Sicherheitsmaßnahmen in sämtlichen Bereichen des Unternehmens zu verankern.

Externe und interne Einflüsse und Gefahren
Externe und interne Einflüsse und Gefahren
Foto: Ernst & Young

Drei Phasen auf dem Weg zu einer ausgereiften Cybersecurity

In der ersten Phase aktivieren Unternehmen ihre Informationssicherheit. In der nächsten Phase geht es darum, die bestehenden Maßnahmen an die digitalen und wirtschaftlichen Veränderungen anzupassen, damit sie ihre Wirkung nicht verlieren. Sind die ersten beiden Etappen abgeschlossen, heißt es antizipieren. Dafür müssen Unternehmen zunächst definieren, was ihr heiligstes Gut ist. Was möchten sie am meisten schützen? Wo sind sie besonders verwundbar? Und wie können sie auf mögliche Angriffe reagieren?

1. Phase: Aktivieren

Unternehmen, deren Niveau an Internetsicherheit in Phase 1 zu verorten ist, weisen in der Regel drei typische Defizite auf: Zunächst ist die Cybersecurity noch nicht ganzheitlich in die Organisation integriert. Sie wird vielmehr als ein Kostenfaktor betrachtet, den es soweit als möglich zu begrenzen gilt. Zweitens beschränken sich Unternehmen an dieser Stelle lediglich darauf, die aktuell als Bedrohung wahrgenommenen Risiken abzusichern, statt sich auch auf mögliche zukünftige Risiken einzustellen. Außerdem sind die Herangehensweise und alle Prozesse rund um Cybersicherheit sehr statisch. Unternehmen müssen jedoch agil auf Veränderungen reagieren können.

Sechs Maßnahmen, die jedes Unternehmen "aktivieren" sollte:

  • Sicherheitsprüfung und -plan: Filtern Sie heraus, welche Gefahren auf Sie zukommen könnten, wie umfassend Sie bereits mit dem Thema Internetsicherheit umgehen, welche Sicherheitslücken bestehen und welche Ziele Sie in Bezug auf Ihre Internetsicherheit haben.

  • Unterstützung durch die Führungsebene: Definieren Sie die Steuerung der Sicherheit neu und stellen Sie sicher, dass auch der Vorstand die Prozesse nachvollzieht und hinter ihnen steht.

  • Erneuerung und Aufstellung von Sicherheitsstandards und Richtlinien, um die Informationssicherheit langfristig zu steuern, zu kontrollieren und zu optimieren: Implementieren Sie dazu ein Information Security Management System (ISMS).

  • Aufbau eines Security Operations Center (SOC), einer Anlaufstelle, die Dienstleistungen zum Schutz der Informationssicherheit und zur Risikovorbeugung bietet: Beobachten und dokumentieren Sie Angriffe auf Ihre Internetsicherheit und Reaktionsstrategien.

  • Entwicklung und Integration von Internetsicherheitskontrollen: Messen Sie den Nutzen von Data Loss Prevention Processes und Identity and Access Management (IAM). Innerhalb einer IAM-Architektur werden Identitäten und Zugriffsrechte verwaltet.

  • Überprüfung eines Business-Continuity-Plans und der damit verknüpften Prozesse: Kontrollieren Sie die Netzwerkgrenzen, Zugangspunkte (ingress points) und Softwareanwendungen.

2. Phase: Anpassen

Internetsicherheit ist ein Thema, das das gesamte Unternehmen angeht - von der Entwicklung neuer Prozesse über die Eröffnung von Betriebsstätten bis hin zur Einführung neuer Produkte. Ändern sich Geschäftsprozesse, sollte das Unternehmen diese sofort auf den Aspekt der Internetsicherheit hin analysieren und neue Anforderungen direkt in die Prozesse integrieren.
Auf diese Weise ist die Sicherheit kontinuierlich auf dem neusten Stand. Die Internetsicherheit des Unternehmens ist in dieser zweiten Phase flexibel und wird ständig nachjustiert.

Fünf Schritte, wie ein Unternehmen von der ersten in die zweite Phase übergehen kann:

  • Entwickeln und implementieren Sie ein Transformationsprogramm.

  • Entscheiden Sie, welche Maßnahmen und Prozesse Sie intern umsetzen und welche Sie auslagern.

  • Definieren Sie eine RACI-Matrix (Methode zur Analyse und Darstellung von Verantwortlichkeiten) für die Internetsicherheit.

  • Definieren Sie, wer zu Ihrem Ökosystem - Geschäftspartner, Lieferanten und Anbieter - gehört. Berücksichtigen Sie immer, welchen Einfluss Sicherheitsverstöße von Dritten haben könnten und verringern Sie potenzielle Sicherheitslücken durch den Austausch mit ihnen.

  • Führen Sie ein Trainingsprogramm für die Mitarbeiter ein, durch das sie für das Thema Internetsicherheit sensibilisiert werden.

3. Phase: Antizipieren

In der dritten Phase sind Unternehmen in der Lage potenzielle Risiken zu beobachten, sie vorherzusehen und schnell zu reagieren. Die Voraussetzung dafür ist, dass die Führungsebene Internetgefahren und Risiken als wichtiges Business-Thema akzeptiert. Daneben wissen die Unternehmen, was für sie besonders schützenswert ist, und können das Wissen darum in die Geschäftsprozesse integrieren.

Seine Umwelt bewusst wahrzunehmen, ist wichtig, um die Einflüsse der Umgebung auf das eigene Unternehmen einschätzen zu können. Zuletzt entscheidet ein auf Routinen basierender Umgang mit Internetsicherheit über das erfolgreiche Vorhersehen und Abwenden von Risiken. Dazu machen die Unternehmen Testläufe ihrer Reaktionsmaßnahmen auf die verschiedenen Angriffsszenarien.

Fünf Maßnahmen, wie Unternehmen die dritte Phase erreichen:

  • Entwickeln und implementieren Sie eine Cyber-Threat-Intelligence-Strategie.

  • Definieren und erkunden Sie das "Internetsicherheits-Ökosystem" Ihres Unternehmens. Erarbeiten Sie dabei mit den anderen Mitgliedern Ihres Ökosystems Richtlinien und legen Sie Verantwortlichkeiten fest.

  • Gehen Sie bei Cyber-Themen wirtschaftlich vor. Legen Sie fest, was Ihr wertvollstes Gut ist und was dieses Angreifern wert sein könnte. Im Anschluss sollten Sie Ihre Investitionen in Cybersecurity neu bewerten.

  • Führen Sie forensische Datenanalysen durch und ergreifen Sie geeignete Cyber-Threat-Intelligence-Maßnahmen.

  • Vergewissern Sie sich, dass jeder einzelne Mitarbeiter versteht und erkennt, welchen Beitrag er zur Internetsicherheit leisten kann. Dazu bedarf es einer Führung, die Vorbild ist und für diese Thematik sensibilisiert. Außerdem ist eine intensive Kommunikation mit den Mitarbeitern nötig, so dass sie von selbst mögliche Risiken wahrnehmen und bewusster mit dem Thema Internetsicherheit umgehen.

Fazit

Unternehmen müssen ihre Internetsicherheit kontinuierlich überprüfen und verbessern, um für neue Angriffsmethoden oder Gefahrentypen gewappnet zu sein. Dafür müssen sie über die neuesten Technologien verfügen. Nur so herrscht "Waffengleichheit" mit den potenziellen Angreifern. Die meisten Unternehmen beschäftigen sich jedoch aktuell noch zu stark mit der gegenwärtigen Situation, statt in die Zukunft zu blicken und ihre Internetsicherheit vorausschauend weiterzuentwickeln. Hier gilt es anzusetzen, um sich wirkungsvoll gegen Angriffe zu schützen und so dafür zu sorgen, dass das Business störungsfrei operieren und sich erfolgreich entwickeln kann.

Zur Startseite