Niemand kann wissen, wie stark die Gegenwinde, denen die US-Wirtschaft ausgesetzt sein wird, im Jahr 2023 werden. Unter Ökonomen herrscht weitgehende Einigkeit darüber, dass das Land auf eine Rezession zusteuert. Natürlich haben einige Prognostiker eine sanfte Landung für die USA vorhergesagt, doch sie bilden nicht die Mehrheit.
Zwar liegen Ökonomen bei der Vorhersage von Rezessionen oft falsch, doch ein weitaus zuverlässigerer Indikator hat bereits Anfang dieses Monats deutlich Alarm geschlagen: die Zinsstrukturkurve, also die Differenz zwischen den Renditen langfristiger und kurzfristiger Anleihen. Die Differenz zwischen den Renditen 10-jähriger Anleihen und denen mit einer Laufzeit von drei Monaten war die größte seit 2000, was darauf hindeutet, dass das Wachstum in Zukunft deutlich langsamer ausfallen wird als heute.
All diese Unsicherheit bringt Führungskräfte in eine schwierige Lage. Sie müssen flexibel bleiben – möglicherweise angesichts gekürzter Budgets, selbst im Bereich der Cybersicherheit –, während der regulatorische Druck und die Cyberkriminalität weiter zunimmt. In einer Konjunkturflaute ist es schwierig, die Ausgaben für Sicherheit zu kürzen, und es kann leicht passieren, dass man dabei Fehler begeht, die die Sicherheitsbereitschaft eines Unternehmens beeinträchtigen.
Um CISOs dabei zu unterstützen, auf alle Eventualitäten des kommenden Jahres vorbereitet zu sein, wandte sich -Ansprechpartner an eine Handvoll erfahrener Sicherheitsverantwortlicher, die im Laufe ihrer Karriere bereits zahlreiche wirtschaftliche Höhen und Tiefen miterlebt haben, und befragte sie zu den Fehlern, die Führungskräfte im Sicherheitsbereich in schwierigen Zeiten typischerweise begehen.
Im Folgenden sind die häufigsten Fehler aufgeführt, deren Vermeidung sie den Organisationen empfohlen haben.
Fehler 1: Unbeabsichtigtes Einschränken von Sicherheitsfunktionen
Wenn Stellen im IT-Bereich abgebaut werden, sind häufig auch die Sicherheitsabteilungen unnötigerweise von Kürzungen betroffen. Davon betroffen sein können wesentliche Aufgaben wie die Durchführung routinemäßiger Datensicherungen und die Sicherstellung, dass den Mitarbeitern die entsprechenden Ressourcen zur Verfügung stehen.
„Ein Großteil der Unternehmen rechnet das Sicherheitsbudget als Teil des IT-Budgets mit ein, und in diesem Sinne wird ein Teil der Sicherheitsmaßnahmen Einbußen hinnehmen müssen“, sagt Wim Remes, Geschäftsführer bei Damovo Security Services EMEA.
„Es ist ein großer Fehler, blindlings zu kürzen und die Menschen an der Basis mit den Folgen fertig werden zu lassen.“David Elfering, Senior Vice President und Spezialist für Cybersicherheit bei Marsh
Die Kürzungen können willkürlich und schlecht gezielt sein. „Es ist ein großer Fehler, blindlings zu kürzen und die Menschen an der Basis mit den Folgen fertig werden zu lassen“, warnt David Elfering, Cybersicherheitsexperte und Senior Vice President bei Marsh, einem weltweit tätigen Versicherungsmakler und Risikoberater.
Angesichts von Personalabbau und Umstrukturierungen sollten Sicherheitsverantwortliche sich darüber im Klaren sein, welche Sicherheitsaufgaben die betroffenen Mitarbeiter wahrnehmen, und sicherstellen, dass diese Aufgaben auch nach etwaigen Veränderungen weiterhin erfüllt werden.
Fehler Nr. 2: Weiterhin Geld für veraltete Werkzeuge ausgeben
Investitionen in die Sicherheit weisen oft die ungünstigste Dynamik auf: Veraltete Tools, die nicht mehr den gleichen Nutzen bieten wie früher, bleiben häufig über Jahre hinweg in Form von veralteten Lizenzen, Abonnements und Wartungsverträgen in der Bilanz stehen. Zu diesen Tools können alte Schwachstellenscanner gehören, die durch externe Dienste ersetzt wurden, oder punktuelle Sicherheitslösungen, die neuere Software-Suiten bieten.
In seinem Leitfaden „ 2023 : Sicherheits- und Risikoplanung“ () erklärt das weltweit tätige Marktforschungsunternehmen Forrester, dass es stets sinnvoll ist, auf Einzelpunkt-Sicherheitsprodukte und veraltete lokale Tools zu verzichten. Dieser Ansatz erweist sich insbesondere in Zeiten eines Marktabschwungs als umsichtig. Forrester rät Unternehmen dazu, den Einsatz von Einzelmodulen wie Lösungen zur Verhinderung von Datenverlusten, Analysen des Nutzerverhaltens, Managed Security Services-Anbietern und anderen veralteten Sicherheitsmaßnahmen zu reduzieren oder gar ganz zu vermeiden.
Michael Farnum, CTO bei Set Solutions, fügt hinzu, dass es bei knappen Budgets kein guter Zeitpunkt sei, sich von Anbietern zurückzuziehen. Vielmehr ist dies ein hervorragender Zeitpunkt, um mit Anbietern in Kontakt zu treten und herauszufinden, inwieweit sich deren Produktentwicklungspläne mit Ihrer Strategie decken. „Während des wirtschaftlichen Abschwungs infolge der Pandemie stellte ich fest, dass sich die Anbieter auf Entwicklungsmaßnahmen konzentrierten und begannen, weitere Plattformen zu entwickeln“, sagt er. „Dies bietet den CISOs die Möglichkeit, ihre Sicherheitsinfrastruktur zu konsolidieren.“
Fehler Nr. 3: Versäumnis, Insider-Bedrohungen einzudämmen
Angesichts steigender Inflation, wirtschaftlicher Unsicherheit und einer zunehmenden Zahl von Entlassungen besteht ein erhöhtes Risiko, dass Mitarbeiter unzufrieden werden. Tatsächlich gehen interne Bedrohungen häufig von Mitarbeitern aus, denen gekündigt wurde und die Rache nehmen wollen.
„In Zeiten des wirtschaftlichen Abschwungs kommt es häufig zu Entlassungen; daher ist es jetzt an der Zeit, Folgendes zu überprüfen: Wird bei Ausscheiden eines Mitarbeiters dessen Zugriffsberechtigung überall entzogen?“John Pescatore, Leiter des Bereichs „Neue Sicherheitstrends“ am SANS Institute
Im September bekannte sich ein IT-Administrator, der von seinem Arbeitsplatz bei einem Finanzdienstleistungsunternehmen mit Sitz in Hawaii entlassen worden war, schuldig, die Systeme seines ehemaligen Arbeitgebers mehrere Tage lang rechtswidrig gestört zu haben. Nach Angaben des US-Justizministeriums nutzte der ehemalige Administrator seine alten Zugangsdaten , um auf Konfigurationen zuzugreifen und den Zugriff auf die Website sowie die E-Mail-Systeme des Unternehmens zu sperren.
Derartige Bedrohungen durch Insider können jederzeit auftreten, nicht nur in Zeiten des wirtschaftlichen Abschwungs, und sie können unglaublich schwerwiegende Folgen haben. Betrachten Sie Fälle wie den Twitter-Mitarbeiter von , der wegen der Annahme von Bestechungsgeldern verurteilt wurde, um private Nutzerdaten von Twitter an das Königreich Saudi-Arabien weiterzugeben, oder den ehemaligen Hubschrauberpiloten der US-Armee von sowie einen zivilen Auftragnehmer, der Bestechungsgelder von der chinesischen Regierung angenommen hatte, um Informationen über die Rüstungsunternehmen weiterzugeben, bei denen er beschäftigt war.
Die Minderung von Insider-Bedrohungen in Zeiten des wirtschaftlichen Abschwungs hängt maßgeblich davon ab, dass entsprechende Kapazitäten vorhanden sind, um die Aktivitäten der Benutzer zu überwachen und Zugriffsrechte zu entziehen, sobald sich der Beschäftigungsstatus ändert. „In Zeiten des wirtschaftlichen Abschwungs kommt es häufig zu Entlassungen. Daher sollten Sie jetzt überprüfen: Wird bei Ausscheiden eines Mitarbeiters dessen Zugriff überall – einschließlich des VPNs sowie externer Cloud- und Mobil-Apps – gesperrt?“ fragt John Pescatore, Leiter des Bereichs „Emerging Security Trends“ am SANS Institute.
Nach Ansicht der von uns befragten Experten müssen Unternehmen zudem ihre Fähigkeit stärken, ungewöhnliche Systemaktivitäten zu erkennen und den Fluss von sensiblen Daten nachzuverfolgen.
Fehler Nr. 4: In aktuelle Sicherheitstrends zu investieren, während die Grundlagen der Sicherheit vernachlässigt werden
Angesichts begrenzter Ressourcen versuchen Sicherheitsverantwortliche häufig, ihre Sicherheitslücken mit den neuesten, vielversprechenden technologischen Innovationen zu schließen. „In Zeiten des wirtschaftlichen Abschwungs besteht die Gefahr, dass CISOs und Unternehmen den Blick vom Wesentlichen abwenden“, sagt Martin Fisher, Leiter der Abteilung für Informationssicherheit und Chief Information Security Officer am Northside Hospital in Atlanta.
„Die Wahrheit ist, dass die meisten Unternehmen in den letzten fünf Jahren deutlich zu wenig in Sicherheit investiert haben.“Wim Remes, Geschäftsführer, Damovo Security Services EMEA
„Anstatt sich auf die Schlüsselkompetenzen zu konzentrieren, die ihr Programm benötigt – die in der Regel grundlegend, langweilig und wenig attraktiv, aber entscheidend sind –, glauben sie irgendwie, sie könnten die Budgetprobleme überwinden, indem sie sich auf die ‚neuesten Trends‘ konzentrieren“, sagt Fisher. Beispielsweise führen sie ein neues Open-Source-Softwarepaket mit einer neuen Funktion ein, die einen gewissen Mehrwert bietet, investieren dann aber weniger Zeit in die wesentlichen Aspekte, wie beispielsweise Tabletop-Übungen oder die Durchführung von Überprüfungen der Reaktion auf Vorfälle im Rahmen des „ “. Fisher ist der Ansicht, dass Konjunkturabschwünge oft Zeiten sind, in denen sich Unternehmen ungewollt der Gefahr falscher Entscheidungen aussetzen.
Pescatore von SANS vertritt die Ansicht, dass in einem angespannten wirtschaftlichen Umfeld sichergestellt werden muss, dass die Grundlagen gegeben sind. Neben der Überwachung von anomalem Netzwerkverhalten und der effektiven Zuweisung sowie Entziehung von Zugriffsrechten auf Ressourcen gehören zu den weiteren Schwerpunkten: Endpunktsicherheit, Konfigurationsmanagement, Management von Geräteschwachstellen sowie Angriffsflächenmanagement – all dies kann das Risiko für ein Unternehmen verringern.
Fehler Nr. 5: Den Fokus auf die Sicherheitsstrategie aus den Augen verlieren
Sicherheitsverantwortliche sind oft so sehr damit beschäftigt, alltägliche Probleme zu lösen, dass sie die übergeordnete Sicherheitsstrategie vernachlässigen.
„Unternehmen begehen oft den großen Fehler, nicht stets den Überblick über ihre Sicherheitsausgaben zu haben“, sagt Elfering von Marsh. „Sie wissen nicht, wohin die Mittel fließen, wofür sie verwendet werden und was wesentlich ist und mit der Unternehmensstrategie im Einklang steht.“
Es ist wichtig, das Budget schnell anpassen zu können, da Sie nicht wissen, wann Sie aufgefordert werden, Möglichkeiten zur Verbesserung zu finden. „Auf was können Sie verzichten?“ fragt Elfering. „Das ist eine Entscheidung, zu der Sie stets bereit sein sollten.“
Natürlich geht es laut Forrester nicht ausschließlich um Einsparungen, selbst in Zeiten, in denen der Gürtel enger geschnallt werden muss. Das Marktforschungsunternehmen empfiehlt, die Ausgaben in folgenden Bereichen zu erhöhen: Sicherheit der Lieferkette, Endpunktüberwachung, Reaktion auf Sicherheitsvorfälle sowie Angriffsflächenmanagement.
In ihrem Bericht empfahl das Unternehmen den Organisationen zudem, besonderes Augenmerk auf die Absicherung der kundenorientierten Bereiche zu legen, die den Umsatz steigern, und darauf zu achten, das Sicherheitsprogramm im Laufe der Zeit kontinuierlich zu modernisieren, beispielsweise durch Maßnahmen wie Zero Trust.
In vielen Organisationen sollte bei der Sicherheit zu Recht nicht gespart werden. „Leider sieht die Realität so aus, dass die meisten Unternehmen in den letzten fünf Jahren deutlich zu wenig in die Sicherheit investiert haben“, sagt Remes von Damovo Security Services EMEA. „Wir beobachten derzeit Unternehmen, die beispielsweise über mehrere Jahre hinweg jedes Jahr 15 % weniger ausgegeben haben als veranschlagt, und viele von ihnen kürzen ihre Ausgaben nun noch weiter.“ Remes sagt, das Ergebnis sei für diese unglücklichen Unternehmen relativ vorhersehbar: „Sie werden gehackt werden.“
Auch wenn es unwahrscheinlich ist, dass die Sicherheitsausgaben im Falle einer Rezession die volle Wucht der Haushaltskürzungen abbekommen werden, sollten Führungskräfte im Sicherheitsbereich darauf vorbereitet sein, einige schwierige Entscheidungen zu treffen. Letztendlich vernachlässigen Unternehmen, wenn sie an der Sicherheit sparen, einen entscheidenden Bereich, der für ihren zukünftigen Erfolg von entscheidender Bedeutung ist.
