In einer Ära, in der digitale Technologien das Rückgrat zahlloser Unternehmen bilden, stehen Firmen weltweit vor der wachsenden Herausforderung, ihre Organisationen vor den vielfältigen Bedrohungen durch Cyberangriffe zu schützen. Als CEO oder Geschäftsführer tragen Sie nicht nur die Verantwortung für die Wettbewerbsfähigkeit und Rentabilität Ihres Unternehmens, sondern auch für dessen Sicherheit und Integrität. Angesichts der zunehmenden Komplexität und Raffinesse der Bedrohungslandschaft ist es unerlässlich, dass Sie sich aktiv mit der Cybersicherheit Ihrer Organisation auseinandersetzen. Aufgrund der hohen Anforderungen an den Bereich der Cybersicherheit kann es jedoch eine Herausforderung sein alle sicherheitsrelevanten Vorgänge zu kennen. Damit Sie trotzdem einen Überblick über die Ressourcen Ihres Unternehmens im Bereich der IT-Sicherheit bekommen, haben wir Ihnen fünf Fragen vorbereitet, die Sie als CEO in Ihrer Organisation stellen sollten, um einen schnellen Überblick über den Stand Ihrer Sicherheit zu erhalten.
Der Fragenkatalog soll dabei eine Indikation über den Stand Ihrer IT-Sicherheit gewährleisten. Die Fragen sind strategisch so gewählt, dass sie alle Kernbereiche der IT-Sicherheit abdecken. Zur Beantwortung der Fragen sollen Ihre Mitarbeiter eine vorgegebene Zeitspanne von 24h erhalten. Wichtig ist, dass es weniger darauf ankommt, welche Antwort Sie nach Ablauf der Frist erhalten, sondern vielmehr, dass Ihre Mitarbeiter innerhalb der 24 Stunden überhaupt in der Lage sind die aufgeworfenen Fragen zu beantworten. Außerdem sollten Ihre Mitarbeiter in der Lage sein, Ihnen zu erklären, warum die Ihnen vorgelegten Schritte so geplant worden sind.
Ist Ihre Organisation nicht in der Lage, die aufgeworfenen Fragen innerhalb von 24 Stunden zu beantworten, fehlt Ihrem Unternehmen eine Übersicht über Hauptfaktoren jeglicher Risikobewertung. Dies spricht dafür, dass Sie sich bisher nicht mit den Risiken durch Cyberbedrohungen auseinandergesetzt haben und Ihre Organisation infolgedessen erhebliche Mängel in ihrer IT-Sicherheitsstruktur aufweist. Solche Indikatoren könnten Ihnen als CEO im Falle eines IT-Vorfalls im Sinne eines Organisationsverschuldens zugerechnet werden. Als CEO ist es zwar nicht Ihre Aufgabe die detaillierten Abläufe zu kennen, aber Ihre Mitarbeiter müssen in die Lage versetzt werden jede der Fragen ausführlich zu beantworten.
Um den Stand Ihrer IT-Sicherheit einordnen zu können, haben wir für Sie fünf Fragen entworfen, die wir mit Ihnen im Einzelnen durchgehen und Ihnen erklären, was die vorgelegte Antwort über die IT-Sicherheit Ihres Unternehmens aussagt:
Antwort:
Ein Großteil der Hackerangriffe erfolgt heutzutage über technische Schwachstellen. Dabei ist es wichtig zwischen bekannten Schwachstellen und den dazu passenden Exploits zu unterscheiden. Der Begriff Schwachstelle meint bekannte technische Schwächen in einem System, die theoretisch zu dessen Kompromittierung ausgenutzt werden können. Die Anzahl bekannter Schwachstellen zu verschiedenen Applikationen kann groß sein, diese Schwachstellen müssen dabei jedoch nicht immer erheblich für die Sicherheit sein. Gefährlich wird es in der Regel erst dann, wenn ein Dritter in der Lage ist diese Schwachstellen auszunutzen, um z. B. Zugang oder erhöhte Rechte in der Umgebung zu erhalten. Dies wird dann als Exploit bezeichnet. Grundsätzlich sollte alle Systeme so regelmäßig geupdatet werden, dass es möglichst wenige Schwachstellen gibt, zwingend erforderlich ist dies jedoch für Systeme, für die es Exploits gibt. Die von Ihnen angeforderte Auflistung der verwendeten Systeme und Applikationen ist dabei unbedingt erforderlich, um Schwachstellen und eventuell dazu passende Exploits zu überwachen. Auch für den Fall, dass kein aktives Schwachstellen-Management durchgeführt werden soll oder kann, ist es für Sie von großer Bedeutung Ihre verwendeten Systeme und Applikationen auf dem neusten Stand zu halten, um das Risiko eines Angriffs zu minimieren.
Ist Ihre IT-Abteilung jedoch gar nicht in der Lage eine solche Auflistung zu erstellen und somit auch keinen Überblick über Update- und Patchstände zu erhalten, dann erfüllen Sie die Mindestanforderung einer geeigneten Cybersicherheitsstrategie nicht. Versetzen Sie die IT-Abteilung in die Lage eine Liste der Systeme und Applikationen zu generieren und aktualisieren Sie diese regelmäßig.
Antwort:
Im Idealfall sollten Sie für alle betriebsrelevanten Systeme ein Backup besitzen, welchen aufgrund von Berechtigungen oder physikalischer Trennung vom System unabhängig ist. Ist ein solches Backup-System nicht vorhanden muss davon ausgegangen werden, dass Systeme im Falle eines Defektes oder einer vorsätzlichen Manipulation vollständig verloren gehen. Daher muss unbedingt getestet werden, ob Backups erstellt wurden und ob diese auch zeitnah nach einem Defekt oder Angriff abgerufen werden können. Häufig entstehen vor allem auch Probleme bei Backups von Inhaltsdaten. Nicht selten kommt es vor, dass den Zuständigen bei der Wiederherstellung auffällt, dass der alte Softwarestand des Betriebssystems, auf welchem die Daten eingestellt werden sollen, nicht mehr verfügbar sind. Dies kann im Falle eines Angriffs auf Ihre Organisation zu erheblichen Verzögerungen bei der Wiederherstellung Ihrer Systeme führen, die durch ein ausgefeiltes Backup-Management vermieden werden können.
Ein oft vernachlässigtes Thema in IT-Abteilungen ist die Erstellung von Backupstrategien und deren Umsetzung. Im Falle eines Angriffs kann dies jedoch weitreichende finanzielle Folgen für Ihr Unternehmen haben und den Wiederaufbau Ihrer IT-Landschaft erschweren.
Antwort:
Jede Organisation benötigt ein gewisses Maß an Überwachung ihrer IT-Systeme. Es ist notwendig Ihre Endgeräte und Server auf das Vorhandensein von Viren, Malware oder anderer Schadsoftware zu prüfen und diese auch vor dem Eindringen solcher Schadsoftware zu schützen. Im Bereich der Antivirensysteme haben sich in den letzten Jahren unterschiedliche Ansätze herausgebildet. Wichtig zu unterscheiden sind dabei sogenannte Legacy-Anti-Viren-Programme und neuere verhaltensanalysierende Lösungen. Während es in der Vergangenheit oft ausreichend war, in der Umgebung nach schadhaften Dateien zu suchen, ist dies heute nicht mehr hinlänglich, da die heutigen Angriffsmethoden weit darüber hinaus gehen. Um in der Lage zu sein, Angreifer aktiv zu erkennen, bedarf es einer Analyse der Prozesse und Verhaltensweisen auf dem zu untersuchenden Gerät. Oft verwenden Angreifer nur „legale“ administrative Programme, um sich auf Ihren IT-Strukturen zu bewegen, was die Unterscheidung zwischen einer normalen Verwendung der Systeme und einem Angriff schwierig macht. Aus diesem Grund ist es notwendig, ein modernes EDR-System zur Schadsoftware-Erkennung zu betreiben, welches eine zuverlässige Unterscheidung treffen kann. Wichtig ist zudem, dass diese Systeme flächendeckend eingesetzt werden. Kann Ihr Unternehmen nur eine Abdeckung von unter 80% der vorhandenen Endgeräte aufweisen, so ist dies in der Regel ein starker Indikator für eine mangelnde Absicherung und Sie sollten die Abdeckung erhöhen. Für den Fall, dass Systeme mit Ihrer Sicherheitslösung nicht kompatibel sind, müssen diese Systeme durch andere ausgleichende Maßnahmen abgesichert werden, um einen größtmöglichen Schutz zu gewährleisten.
Antwort:
Im Bereich der Cybersicherheit sind Multi-Faktor-Authentifizierungen heutzutage state of the art. Diese Systeme sollen gewährleisten, dass die Person, die vorgibt sich in einem System anzumelden, auch tatsächlich die anmeldende Person ist. Sichergestellt wird dies dadurch, dass technische Systeme wie z. B. Token oder Codes auf personenbezogenen Endgeräten angezeigt werden und bei der Anmeldung verwendet werden müssen. Den Grad der Häufigkeit einer solchen Identitätsüberprüfung kann man dabei individuell regeln, im Idealfall sollte jedoch die Häufigkeit mit einer erhöhten Stufe an Berechtigung steigen, um besonders sensible Daten bestmöglich vor einem illegalen Zugriff zu schützen. Zusätzlich dazu sollten im Hintergrund Konzepte angewendet werden, welche die Entstehung sogenannter Super-User vermeiden, also Konten, die aufgrund Ihrer besonders weitreichenden Zugriffsrechte ein ideales Ziel für Angreifer darstellen. Ist ein Großteil Ihrer Systeme nicht an eine Multi-Faktor-Authentifizierung geknüpft, so besteht ein erhöhtes Risiko für die Kompromittierung dieser Systeme durch einen Angriff. Hinterfragen Sie daher, ob die Abdeckung Ihrer Systeme mit Multi-Faktor-Authentifizierungen als ausreichend zu erachten ist und in welchen Bereichen die Etablierung von MFA-Systemen vorgenommen werden sollte, um das Schutzniveau Ihrer Organisation zu erhöhen.
Antwort:
Im Falle eines Sicherheitsvorfalls sind detaillierte und strukturierte IT-Notfallpläne essenziell, um einen schnellen Wiederaufbau zu garantieren und zu gewährleisten, dass eine Organisation auch in Notfallsituationen handlungsfähig bleibt. Die Auskunft über die Ablaufplanung im Falle eines IT-Vorfalls soll sicherstellen, dass Sie als Management der Organisation in solchen Situationen weiterhin risikobasiert und unternehmerisch entscheiden können. Es ist notwendig, dass Ihnen Vorfälle größeren Ausmaßes unmittelbar zur Kenntnis gebracht werden, gleichzeitig, aber auch kleine IT-Vorfälle auf der Ebene der IT gelöst werden. Es muss daher im Vorhinein geklärt werden, wer und vor allem wie im Falle eines Vorfalls vorgegangen werden muss. Umso wichtiger ist dies, wenn Sie z.B. durch die hier genannten Indikatoren festgestellt haben, dass ihre Organisation nicht über die erforderlichen Übersichten verfügt. Betrachten Sie daher das genaue Vorgehen in einem IT-Notfall und werfen Sie ein besonderes Augenmerk auf die Zuständigkeiten.
Die oben aufgeführten Indikatoren geben Ihnen einen Anhaltspunkt wie gut die IT-Sicherheit Ihres Unternehmens ausgearbeitet ist. Zu beachten ist dabei, dass diese Indikatoren keine vollständige Analyse durch Experten ersetzen kann, sondern Ihnen lediglich einen schnellen Überblick über die IT-Sicherheit Ihres Unternehmens verschaffen soll. Falls Sie durch die aufgeführten Indikatoren schwere Missstände in der IT-Umgebung Ihres Unternehmens aufgedeckt haben, sollten Sie dringend einen Experten zu Rate ziehen, der Ihre gesamte IT-Umgebung analysiert und vorhandene Schwachstellen behebt. Nur so kann gewährleistet werden, dass Ihr Unternehmen in Zukunft gegen Angriffe geschützt ist und Sie möglichen Haftungsrisiken gekonnt ausweichen können.
Falls Sie Lücken in Ihrer IT-Sicherheit entdeckt haben sollten, zögern Sie nicht uns zu kontaktieren. Unsere Experten im Bereich der IT-Sicherheit stehen Ihnen gerne jederzeit zur Seite und beraten Sie zur Verbesserung Ihrer IT-Sicherheit.