Warum IT-Verantwortliche lieber die richtigen Fragen stellen sollten – ein Kommentar von Roland Stritt, Vice President Central EMEA bei SentinelOne. [...]
Jeder Jahreswechsel bedeutet auch: Es ist wieder Zeit für die alljährlichen Ausblicke auf das kommende Jahr. Doch “Prognosen sind schwierig, besonders wenn sie die Zukunft betreffen.”
Diese Aussage, die wahlweise dem US-amerikanischen Autoren Mark Twain oder dem deutschen Komiker Karl Valentin zugeschrieben wird, lässt sich meiner Meinung nach ganz leicht auf die Cyber-Sicherheit übertragen: In unserer Branche ist es manchmal sogar schwer vorherzusagen, was in den kommenden 30 Sekunden passieren wird – ganz zu schweigen von zwölf Monaten.
Meine Kolleg:innen und ich glauben, dass es zielführender ist, auf (mehr oder weniger vage) Prognosen zu verzichten und stattdessen (schwierige und auch unangenehme) Fragen zu stellen – um so neue Denkansätze zu schaffen.
Viele Vorhersagen in der IT-Branche beschreiben lediglich das „Was” und „Wie”, nur wenige befassen sich auch mit dem „Wann, Wo, Warum und Wer”. Doch genau das sind die Fragen, auf die es wirklich ankommt. Von Albert Einstein stammt der Ausspruch „Wenn ich eine Stunde Zeit hätte, um ein Problem zu lösen, würde ich 55 Minuten damit verbringen, über das Problem nachzudenken und fünf Minuten über die Lösung.” Denn sobald man die richtige Frage kennt, kann man das Problem in kurzer Zeit lösen.
Auch das ist eine Erkenntnis, die meiner Meinung nach auf die Cyber-Sicherheit zutrifft. Gerade jetzt stehen die Verantwortlichen in Unternehmen und Behörden angesichts der sich immer schneller weiterentwickelnden Bedrohungslage vor großen Herausforderungen. Daraus ergeben sich vier zentrale Fragen, die auf allen Führungsebenen gestellt werden sollten:
Verfügen wir über das erforderliche Wissen, um Risiken richtig einzuschätzen?
“Mancher ertrinkt lieber, als dass er um Hilfe ruft.” lautet einer der vielen bekannten Aussprüche des deutschen Dichters Wilhelm Busch. Es zeigt sich leider immer wieder, dass die Verantwortlichen in Organisationen (zu) wenig Erfahrung im Bereich Cyber-Sicherheit haben, viele überschätzen auch Qualität und Wirksamkeit ihrer Verteidigungssysteme.
Deshalb ist es wichtig, ganz allgemein in manchen Dingen des Lebens bescheiden zu bleiben und ganz konkret Expert:innen um Hilfe zu bitten. Im Idealfall nicht erst, wenn der gefürchtete Ernstfall bereits eingetreten ist.
Können unsere Mitarbeiter bestochen werden?
Die Hackergruppe Lapsus$ hat genau das getan: Sie verschaffte sich laut Microsoft “den ersten Zugang auf verschiedene Arten, beispielsweise durch die Bezahlung von Mitarbeitern, Zulieferern oder Geschäftspartnern der Zielunternehmen für den Zugriff auf Anmeldedaten und die Genehmigung der Multifaktor-Authentifizierung.”
Anders ausgedrückt: Manchmal ist es noch einfacher als in dem Ausspruch des französischen Dramatikers Molière „Wo sich eine Türe schließt, öffnet sich eine andere.“ Denn wenn man einfach durch die Tür hineingelassen wird, muss man noch nicht einmal einbrechen.
Zum Pflichtprogramm sollten kontinuierliche Mitarbeiter-Trainings zu IT-Sicherheit und Compliance gehören, um diese potenzielle Lücke zu schließen.
Was ist die ausgefallenste Art, wie Hacker auf unsere Daten zugreifen könnten?
Die Idee hinter der Redewendung „think outside the box” – im Deutschen vergleichbar mit dem “Blick über den Tellerrand” – stammt von Norman Maier.
Der amerikanische Psychologe definierte das Konzept hinter der Redewendung, die in den 70er und 80er Jahren des vergangenen Jahrhunderts von vielen Unternehmensberatern genutzt wurde, bereits 1930. Er stellte fest, dass weniger als fünf Prozent der Studenten diese Fähigkeit besaßen. Sie waren in ihrer Denkweise so stark eingegrenzt, dass sie den sprichwörtlichen Wald vor lauter Bäumen nicht sahen.
Daher ist es notwendig, ein Umfeld zu schaffen, in dem Innovationen gefördert werden, damit Teams über den Tellerrand hinausblicken können.
Kümmern wir uns um die wichtigsten Bedrohungen – oder nur um die dringendsten?
Das nach dem ehemaligen US-Präsidenten benannte Eisenhower-Prinzip ist eine Möglichkeit, Aufgaben nach Dringlichkeit und Wichtigkeit zu kategorisieren: Es gibt “zwei Arten von Problemen: die dringenden und die wichtigen. Die Dringenden sind nicht wichtig, und die Wichtigen sind nie dringend.”
Sein Entscheidungsprinzip war einfach, nur die dringenden UND wichtigen Dinge hatten für ihn Priorität. Security-Teams sollten sich davon leiten lassen – beispielsweise bei der Priorisierung von Sicherheitsrisiken in IT und OT.
*Roland Stritt ist Vice President Central EMEA bei SentinelOne.
Be the first to comment