Security Audit
Wie Sie externe Dienstleister auditieren
Simon Hülsbömer betreut als Senior Research Manager Studienprojekte in der Marktforschung von CIO, CSO und COMPUTERWOCHE. Zuvor entwickelte er Executive-Weiterbildungen und war rund zehn Jahre lang als (leitender) Redakteur tätig. Hier zeichnete er u.a. für die Themen IT-Sicherheit und Datenschutz verantwortlich.
Vertragsbezogene Maßnahmen
Unternehmen müssten laut Koller sicherstellen, dass ihre Dienstleisterverträge auch Bestimmungen darüber enthalten, wie hoch die Rückstellungen für Verbindlichkeiten für Cyber-Vorfälle sein müssen, wer für den Ausfall kritischer Dienste haftet, wo die Grenzen der Verpflichtungen seitens der Zulieferer liegen und wie ein möglicher Schadenersatz aussieht. Je nach Typ des Zulieferers und seines Services sehe solch ein Vertrag anders aus. Wer sich nicht sicher sei, solle sich juristischen Rat bei Experten einholen.
Damit die vereinbarten Regeln auch für beide Seiten nachvollziehbar und langfristig gültig sein können, müssen Unternehmen vor Vertragsunterzeichnung den Wert ihrer zu schützenden Daten und Systeme gegen die drohenden Risiken abwägen, die durch einen Zugriff von außen entstehen. Sie müssen sicherstellen, dass der Zulieferer gut genug versichert ist, um den schlimmstmöglichen Schaden finanziell decken zu können. Wichtig ist auch, dass jeder Zulieferer zum angemessenen Schutz der gefährdeten Systeme verpflichtet ist. "Begrenzungen von verbindlich zu tätigenden Rückstellungen für den Ernstfall senken zwar die Kosten für den Service, im Fall eines Daten-GAUs entsteht aber möglicherweise zusätzlicher finanzieller Schaden", erklärt Koller.
Eine entscheidende Rolle bei der Risikoabwägung spielen die Größe des Dienstleisters und der Umfang der Geschäftsbeziehungen, die ein Unternehmen mit ihm eingehen will. Erst wenn diese Indikatoren klar benannt sind, sollte ein Vertrag aufgesetzt werden. Je größer der Zulieferer, desto größer auch seine finanziellen Mittel, um den Auftraggeber im Fall eines Security-Vorfalls zu entschädigen. Berechnen Sie Ihren größtmöglichen finanziellen Schaden in dem betroffenen Bereich und halten Sie diesem Wert die größtmögliche Entschädigungsleistung des Zulieferers entgegen. Wenn der drohende Schaden größer ist als das, was der Dienstleister zu leisten im Stande ist, passt es möglicherweise nicht - der Lieferant ist zu klein. Andersrum stellt das Ganze meist kein Problem dar - dann sind aber eventuell die Kosten für eine Dienstleistung von einem viel größeren Zulieferer von Anfang an zu hoch.
Wer dennoch unbedingt mit einem Dienstleister zusammen arbeiten möchte, der die finanziellen Mittel im Schadensfall nicht aufbringen kann, sollte eine Cyber-Versicherung für Schäden, die durch Zulieferer entstanden sind, ins Auge fassen. Entsprechende Policen gibt es einige am Markt - man müsse laut Koller aber schon genau darauf achten, welche Schäden abgedeckt sind.
- Versicherung gegen Hacker?
Eine Cybersecurity-Versicherung kann Unternehmen im Falle eines Hacker-Angriffs vor finanziellem Schaden schützen. Eine Komplettlösung mit Rundum-Schutz gegen jegliches Risiko ist aber auch diese nicht. Auf die folgenden fünf Dinge sollten CIOs vor Abschluss einer Police achten. - 1. Kronjuwelen schützen
Eine Cybersecurity-Versicherung legt einen Teil des finanziellen Risikos einer Cyberattacke auf die Versicherungsgesellschaft um. Dabei unterscheidet man zwischen der first-party-insurance, die einer Vollkaskoversicherung ähnelt. Abgedeckt sind im Regelfall Schäden an digitalem Content, Geschäftsausfall und in manchen Fällen auch Reputationsschäden. Das Pendant zur sogenannten third-party-insurance wäre die Haftpflichtversicherung: Sie deckt im Regelfall zum Beispiel Ermittlungs- und Anwaltskosten, sowie Entschädigungs- oder Strafzahlungen ab. Das Problem: Das Spektrum einer Cyberattacke ist so breit, dass eine Absicherung gegen alle Risiken schlicht unmöglich ist. Der beste Weg für CIOs: die digitalen Kronjuwelen des Unternehmens identifizieren, quantifizieren und das Restrisiko versichern. - 2. Marktunterschiede Europa / USA: Marktunterschiede
Der Markt für Cybersecurity-Versicherungen ist in den USA wesentlich reifer als in Europa. Das liegt in erster Linie daran, dass in den USA bereits eine Meldepflicht bei Cyberattacken besteht. Mit dem Inkrafttreten der EU-Datenschutzrichtlinie wird sich das ändern. In den USA sind die third-party-insurances momentan deutlich gefragter als in Europa. Studien zufolge sind rund 30 Prozent aller großen und circa 10 Prozent aller US-Unternehmen mit einer Cybersecurity-Versicherung ausgestattet. - 03. Auf den Wortlaut achten
Bevor Sie eine Police abschließen, sollten Sie sich genau über die abgedeckten Risiken kundig machen - auch im Hinblick auf bereits bestehende Versicherungen! Eventuell gibt es hier - unnötig Kosten verursachende - Überschneidungen. Im Idealfall sollten sie Ihren Versicherungsmakler damit beauftragen, eine Police zu finden die exakt auf die Ansprüche Ihres Unternehmens zugeschnitten ist. - 4. Schaden trotz Versicherung?
Es gibt Bereiche, für deren Schutz eine Cybersecurity-Police nicht beziehungsweise nur unzureichend geeignet ist. Den Diebstahl geistigen Eigentums oder die Beschädigung der geschäftlichen Reputation durch eine Cyberattacke kann eine Versicherung zwar teilweise finanziell kompensieren - aber kaum wiedergutmachen. Inzwischen ist in der Industrie eine Diskussion darüber entbrannt, ob dies auch im Fall eines staatlich unterstützten Cyberangriffs gilt. - 5. Raum für Verbesserungen
Im Idealfall sollte eine Cybersecurity-Versicherung Unternehmen dazu motivieren ihre Sicherheitsstandards anzuheben, um von niedrigeren Versicherungsprämien zu profitieren. Allerdings fehlen den Versicherern bislang die statistischen Daten und Erkenntnisse, um solche kundenspezifischen Preismodelle anbieten zu können.