Das Fachmagazin Corporate Board Member und das weltweit tätige Beratungsunternehmen FTI Consulting haben kürzlich eine Studie zum Thema IT-Sicherheit vorgestellt, an der mehr als 500 Vorstände teilgenommen haben. Unter den vielen interessanten Ergebnissen war ein bemerkenswerter Anstieg des Risikobewusstseins bezüglich IT- und Cyber-Risiken zu verzeichnen. [...]
Auf die Frage „Was hält Sie nachts wach?“ gaben die Vorstände in der Studie das Thema Datensicherheit als größte Herausforderung an. Bei den Vorständen, die sich speziell um Rechtsfragen kümmern, landete die Datensicherheit auf Platz zwei hinter der Einhaltung gesetzlicher Vorschriften, gefolgt von Unternehmensreputation und Krisenvorsorge. 41 Prozent der Vorstände und 33 Prozent der Rechtsvorstände antworteten, dass IT-/Cyber-Risiken ein Thema sind, für das sie im kommenden Jahr „erhebliche Zeit“ aufwenden wollen. Anders ausgedrückt: Die Vorstandsetage hat erkannt, welche Auswirkungen ein Sicherheitsvorfall auf die Bewertung des Unternehmens haben könnte. In vielen Firmen werden daher spezielle Sicherheitsbeauftragte in aller Eile ausgebildet, um gezielt Strategien zum Schutz des Unternehmens vor IT-/Cyber-Risiken zu entwickeln und entsprechende Maßnahmen einzuleiten.
In den Unternehmen, in denen diesbezüglich noch Nachholbedarf herrscht, ist es höchste Zeit, entsprechende Strategien zu entwickeln. Wer als neuer CIO oder CISO zum ersten Mal an einer Vorstandssitzung teilnimmt, kann mit einer für den Vorstand überzeugenden Strategie die richtigen Weichen stellen. Dabei geht es vor allem um die folgenden drei Aspekte:
1. Es ist keine Überraschung, dass die Mitarbeiter und Vertragspartner als schwächstes Glied in der Sicherheit eines Unternehmens angesehen werden. Ob vorsätzlich oder unbeabsichtigt, die meisten Datenschutzverletzungen gehen zurück auf diesen gemeinsamen Nenner, da sich Einzelpersonen außerhalb der direkten Kontrolle befinden.
Dies bedeutet für CIOs oder CISOs, dass die Möglichkeiten einen Cyber-Angriff erfolgreich zu stoppen, begrenzt sind. Daher ist es unerlässlich, den Vorstand und die Führungskräfte davon zu überzeugen, eine umfassende Fortbildung unternehmensweit zu etablieren. Die Prävention muss ab dem Tag greifen, an dem Mitarbeiter oder Auftragnehmer Zugriff auf das Unternehmensnetz erhalten.
2. Wer neu anfängt im Unternehmen, hat die Möglichkeit, reinen Tisch zu machen und eine neue Denkweise zu verankern. Wenn es um die heutige Bedrohungslandschaft geht, bekommt man oft zu hören, dass sich Bedrohungen hinter gängigen Anwendungen verbergen und Netzwerkanwendungen für die Kommunikation und Datenextraktion nutzen. Die meisten dieser Anwendungen werden nicht überwacht oder die Gefahren sind gänzlich unerkennbar für die Sicherheits-Tools.
Dies ist die Gelegenheit, um dem Vorstand eine Netzwerksicherheitsbewertung schmackhaft zu machen, bei der Einiges ans Licht kommen kann. Basierend auf diesen Informationen lässt sich eine Architektur konzipieren, die eine vollständige Transparenz des gesamten Netzwerkverkehrs ermöglicht, unabhängig davon, welcher Port oder welches Protokoll in Gebrauch sind und ob der Datenverkehr verschlüsselt ist. Anhand dieser Informationen lassen sich die Anwendungen auswählen, die entscheidend für den Erfolg des Unternehmens sind. Alles darüber hinaus erhöht nur das Risiko. Um den Vorstand wirklich zu beeindrucken, empfiehlt es sich, den Sicherheitsbericht und das daraus erarbeitete Konzept bei der ersten Sitzung vorzulegen.
3. Präventivmaßnamen dürfen niemals aufgegeben werden. Es gibt derzeit beunruhigende Aussagen, wie etwa, dass „Signatur-basierte Abwehrmaßnahmen tot sind“ und dass „Prävention zwecklos ist“, was mit Sicherheit nicht stimmt. Vielmehr muss eine wirksame Sicherheitsstrategie sich heute immer stärker auf die Erkennung von fortschrittlichen Bedrohungen fokussieren. Falls erforderlich, ist eine sofortige Überarbeitung des bestehenden Sicherheitskonzepts, als entscheidendes Element eines Krisenvorsorgeplans, angebracht. Erkennungsmaßnahmen sollten generell als zentraler Bestandteil einer wirksamen Präventionsstrategie betrachtet werden. Dies muss zu einem geschlossenen Regelkreissystem verbunden werden, welcher neue Bedrohungen erkennt und diese sofort weiter an die vorderste Front der Malware-Abwehr gibt.
Die heutigen Sandbox-Tools können eine Fülle von neuen Mechanismen während des Analyseprozesses bisher unbekannter Bedrohungen erkennen. Jeden Tag analysieren Sicherheitsfirmen Hunderttausende von Samples, so dass ständig neue Malware, Schwachstellen, bösartige URLs oder Command-and-Control-Server entdeckt werden.
Auf Grundlage dieser Entdeckungen werden neue Signaturen für die Sicherheitsanwendungen wie IPS, Anti-Malware, URL-Filter etc. erstellt. Die Zeit der offenen Architekturen oder Architekturen, bei denen man sich bei einem Angriff auf manuelle Prozesse und menschliche Eingriffe verlässt, ist definitiv vorbei. Effektiver Schutz ist nur geboten, wenn die jeweils neuesten Signaturen sofort als Präventionsmittel angewendet werden.
Wichtig ist auch, dass diese Architektur an eine Intelligence-Community oder einen Abo-Service geknüpft ist. Angriffe werden oft für eine bestimmte Branche entwickelt, was auch bedeuten kann, dass neue Bedrohungen daher auch nur bei einer Tochtergesellschaft entdeckt werden können. Entscheidend ist, dass das gesamte Unternehmen im Rahmen eines unternehmensweiten Sicherheitskonzepts von allen Entdeckungen und Erkenntnissen profitiert.
* Scott Gainey ist Vice President of Product Marketing and Programs bei Palo Alto Networks.
Be the first to comment