Just mit dem Beginn der Pandemie Ende Februar 2020 hat Gil Vega seinen Job als CISO bei Veeam angetreten. Die COMPUTERWELT sprach mit dem Security-Experten über die neue Arbeitswelt nach der Pandemie, Datenschutz und die sich wandelnde Rolle des CISO. [...]
Glauben Sie, dass die neue, durch die Pandemie geschaffene Homeoffice-Arbeitswelt bleiben wird?
Ja, ich glaube, es bleibt. Ich nenne das die Covid-Digital-Transformation. Dabei geht es nicht nur um das Arbeiten per Fernzugang, sondern auch um das Implementieren von Zero-Trust-Architekturen. Ich komme aus dem Regierungsbereich, dort haben wir sozusagen immer mit Zero-Trust gearbeitet. Präsident Biden setzt sich jetzt per executive order sehr für Zero-Trust-Architekturen im Regierungsbereich ein. Das wirkt sich dann auch auf die Lieferanten der US-Regierung aus, die ihre Lieferketten entsprechend aufrüsten müssen.
Ist die europäische DSGVO (engl. GDPR) ein Vorbild oder eine Abschreckung für Sie?
Viele Leute beschweren sich in den USA über die GDPR, weil sie sie nicht verstehen. Ich schätze sie. In den USA geht es auch darum, wie wir die Daten von Bürgern anderer Staaten behandeln. Für den Datenschutz sind die einzelnen Bundesstaaten verantwortlich, es gibt also 50 verschiedene Regulatorien.
Wir bei Veeam respektieren und schützen die Daten europäischer Bürger. Letztlich kommt es auf drei Punkte an: Kenne deine Daten, wisse wo sie sind und wie sie die Leute verwenden. Vor GDPR wussten die meisten Unternehmen keine Antworten auf diese drei Punkte. Die GDPR half uns zu verstehen, wie und warum wir die Daten verwenden.
Für kleinere Firmen ist es aber schwierig…
Es ist dieselbe Herausforderung, wie wir sie auch in der Information Security beobachten. Kleine Unternehmen haben hier unter Umständen nicht die Ressourcen, um richtig in die Cybersicherheit zu investieren.
Sind die vermeintlich hohen Kosten für Security noch immer ein Grund für Firmen, nicht die richtigen Maßnahmen zu setzen oder diese zu verzögern?
Ja, ich glaube schon. Aber selbst einige große Unternehmen unterschätzen nach wie vor die Cybersecurity-Gefahr. Wir brauchen hier einen proaktiveren Ansatz und eine solide interne Governance von Cybersicherheitsprogrammen.
Wie sehen Sie die Rolle des CISO?
CISO-Rollen werden immer strategischer und geschäftsorientierter, weil sie es auch müssen. Hier bei Veeam berichte ich direkt an den CEO als Teil seines Führungsteams. Es ist zunehmend weniger eine technische Rolle, obwohl ein solides Verständnis und Erfahrung mit Technologie erforderlich sind. Ein CISO muss sicherstellen, dass der Vorstand versteht, was auf dem Spiel steht, denn es ist nicht nur die alleinige Verantwortung des CISOs, das Unternehmen zu sichern. Cybersicherheit ist Teamarbeit und erfordert eine engagierte Belegschaft, um es richtig effektiv umzusetzen. Mehr als 90 Prozent aller erfolgreichen Cyberangriffe, einschließlich Ransomware, beginnen mit einer Phishing-E-Mail, die an die Mitarbeiter gesendet wird. Investitionen in die Sensibilisierung und Schulung dieser Mitarbeiter sind der Schlüssel zu ihrem Schutz.
Hacker verwenden zunehmend KI für ihre Attacken, die Verteidiger ebenso. Maschinen kämpfen de facto gegen Maschinen, aber dahinter sitzen doch wieder Menschen. Was halten Sie von einer Automatisierung des Backup- und Recovery-Prozess im Falle eines Angriffs?
Man muss schneller handeln. Läuft ein blitzschneller, automatisierter Angriff ist für ein schnell einberufenes Meeting keine Zeit mehr. Aber ich sehe keine Entwicklung, bei der wir uns zurücklehnen und die Maschinen miteinander kämpfen lassen können, denn das birgt ein erhebliches Risiko für unvorhergesehene geschäftliche Auswirkungen, wenn die falschen Maßnahmen ergriffen werden. Die Technik für solche automatisierten Angriffe gibt es jedoch schon. Grundsätzlich wird sich KI weiterentwickeln und weiterhin von Experten genutzt werden.
Sollte man Lösegeld zahlen?
Dies ist eine sehr schwierige Entscheidung. Das U.S. Federal Bureau of Investigation (FBI) rät davon ab, Lösegeld zu zahlen, und das U.S. Finanzministerium warnt vor zivilrechtlichen Strafen, wenn die Lösegeldzahlung sanktionierte Stellen erreicht. Viele Unternehmen haben Versicherungspolicen, die Lösegeldzahlungen übernehmen. Es ist daher wichtig zu verstehen, dass die Zahlung eines Lösegelds die Probleme möglicherweise nicht löst. Dennoch haben viele Unternehmen die Reaktion auf einen ausgeklügelten Ransomware-Angriff noch nicht einstudiert. Die Vorbereitung der Entscheidungsträger eines Unternehmens, bevor ein echter Angriff stattfindet, ist ein wichtiger Schritt zur Verbesserung der Widerstandsfähigkeit.
Be the first to comment