„Ich schätze die DSGVO“

Just mit dem Beginn der COVID-19-Pandemie Ende Februar 2020 hat Gil Vega seinen Job als CISO bei Veeam angetreten. Die COMPUTERWELT sprach mit dem Security-Experten im Rahmen der VeeamOn-Konferenz über die neue Arbeitswelt nach der Pandemie, Datenschutz und die sich wandelnde Rolle des CISO. [...]

Ende Mai fand die siebte VeeamON statt, aufgrund der COVID-19-Pandemie wurde sie als Online-Event veranstaltet. Die Konferenz zählte beeindruckende 35.000 Teilnehmer aus 175 Ländern, die sich über die neuesten Datensicherungslösungen und laufende Entwicklungen von Veeam informierten. Per Videocall befragte die COMPUTERWELT den Veeam-CISO Gil Vega über die aktuellen Sicherheitstrends. Vega hat über 22 Jahre Erfahrung im Sicherheitsbereich. Bei Veeam verantwortet er die Definition und Einhaltung der Veeam-Sicherheitsstrategie zum Schutz der eigenen Informationswerte und Lösungen. Zudem leistet Vega einen wesentlichen Beitrag zur Weiterentwicklung von Strategien und der Einhaltung von gesetzlichen Vorschriften.

In der Vergangenheit war Vega in verschiedenen Führungspositionen im Bereich Cybersicherheit im US-Verteidigungsministerium (DoD) sowie im nachrichtendienstlichen Umfeld tätig. Zuletzt arbeitete er unter anderem als Managing Director und CISO bei der CME Group sowie als Associate Chief Information Officer & CISO für das US-Energieministerium und die US-Einwanderungs- und Zollbehörden.

Glauben Sie, dass die neue, durch die Pandemie geschaffene Home-Office-Arbeitswelt bleiben wird?

Ja, ich glaube, das bleibt. Ich nenne das die Covid-Digital-Transformation. Dabei geht es nicht nur um das Arbeiten per Fernzugang, sondern auch um das Implementieren von Zero-Trust-Architekturen. Ich komme aus dem Regierungsbereich, dort haben wir sozusagen immer mit Zero Trust gearbeitet. Präsident Biden setzt sich jetzt per Executive Order sehr für Zero-Trust-Architekturen im Regierungsbereich ein. Das wirkt sich dann auch auf die Lieferanten der US-Regierung aus, die ihre Lieferketten entsprechend aufrüsten müssen.

Ist die europäische Datenschutzgrundverordnung (DSGVO, auf Englisch GDPR für General Data Protection Regulation) ein Vorbild oder eine Abschreckung für Sie?

Viele Leute beschweren sich in den USA über die GDPR, weil sie sie nicht verstehen. Ich schätze sie. In den USA geht es auch darum, wie wir die Daten von Bürgern anderer Staaten behandeln. Für den Datenschutz sind die einzelnen Bundesstaaten verantwortlich, es gibt also 50 verschiedene Regulatorien.

Wir bei Veeam respektieren und schützen die Daten europäischer Bürger. Letztlich kommt es auf drei Punkte an: Kenne deine Daten, wisse wo sie sind und wie sie die Leute verwenden. Vor GDPR wussten die meisten Unternehmen keine Antworten auf diese drei Fragen. Die GDPR hat uns geholfen, zu verstehen wie und warum wir die Daten verwenden.

Für kleinere Firmen ist es aber schwierig…

Es ist dieselbe Herausforderung, wie wir sie auch in der Information Security beobachten. Kleine Unternehmen haben hier unter Umständen nicht die Ressourcen, um richtig in die Cybersicherheit zu investieren.

Sind die vermeintlich hohen Kosten für Security noch immer ein Grund für Betriebe, nicht die richtigen Maßnahmen zu setzen oder diese zu verzögern?

Ja, ich glaube schon. Aber selbst einige große Unternehmen unterschätzen nach wie vor die Cybersecurity-Gefahr. Wir brauchen hier einen proaktiveren Ansatz und eine solide interne Governance von Cybersicherheitsprogrammen.

Wie sehen Sie die Rolle des CISO?

Die CISO-Rolle wird immer strategischer und geschäftsorientierter, weil sie es auch muss. Hier bei Veeam berichte ich direkt an den CEO als Teil seines Führungsteams. Es ist zunehmend weniger eine technische Rolle, obwohl ein solides Verständnis und Erfahrung mit Technologie erforderlich sind. Ein CISO muss sicherstellen, dass der Vorstand versteht, was auf dem Spiel steht, denn es ist nicht nur die alleinige Verantwortung des CISOs, das Unternehmen zu sichern. Cybersicherheit ist Teamarbeit und erfordert eine engagierte Belegschaft, um es richtig effektiv umzusetzen. Mehr als 90 Prozent aller erfolgreichen Cyberangriffe, einschließlich Ransomware, beginnen mit einer Phishing-E-Mail, die an die Mitarbeiter gesendet wird. Investitionen in die Sensibilisierung und Schulung dieser Mitarbeiter sind der Schlüssel zu ihrem Schutz.

Hacker verwenden zunehmend KI für ihre Attacken, die Verteidiger ebenso. Maschinen kämpfen de facto gegen Maschinen, aber dahinter sitzen doch wieder Menschen. Was halten Sie von einer Automatisierung des Backup- und Recovery-Prozesses im Falle eines Angriffs?

Man muss schneller handeln. Läuft ein blitzschneller, automatisierter Angriff ist für ein schnell einberufenes Meeting keine Zeit mehr. Aber ich sehe keine Entwicklung, bei der wir uns zurücklehnen und die Maschinen miteinander kämpfen lassen können, denn das birgt ein erhebliches Risiko für unvorhergesehene geschäftliche Auswirkungen, wenn die falschen Maßnahmen ergriffen werden. Die Technik für solche automatisierten Angriffe gibt es jedoch schon. Grundsätzlich wird sich KI weiterentwickeln und weiterhin von Experten genutzt werden.

Sollte man Lösegeld zahlen?

Dies ist eine sehr schwierige Entscheidung. Das U.S. Federal Bureau of Investigation (FBI) rät davon ab, Lösegeld zu zahlen, und das U.S. Finanzministerium warnt vor zivilrechtlichen Strafen, wenn die Lösegeldzahlung sanktionierte Stellen erreicht. Viele Unternehmen haben Versicherungspolicen, die Lösegeldzahlungen übernehmen. Es ist daher wichtig zu verstehen, dass die Zahlung eines Lösegelds die Probleme möglicherweise nicht löst.

Dennoch haben viele Unternehmen die Reaktion auf einen ausgeklügelten Ransomware-Angriff noch nicht einstudiert. Die Vorbereitung der Entscheidungsträger eines Unternehmens, bevor ein echter Angriff stattfindet, ist ein wichtiger Schritt zur Verbesserung der Widerstandsfähigkeit.