Zunächst die gute Nachricht: Die 2021 liegt hinter uns. Es wird als eines der schlimmsten Ereignisse in die Geschichte eingehen, mit schwerwiegenden kriminellen Hackerangriffen auf Gaspipelines, Fleischverarbeitungsbetriebe, Versorgungsunternehmen, Regierungsbehörden, Gesundheitseinrichtungen und andere kritische Infrastrukturen.
Die schlechte Nachricht: Die 2022 könnte eine echte Herausforderung werden. So wie sich der SolarWinds-Angriff Anfang 2021 verschärfte, läutet der Beginn des Jahres 2022 mit einer der gefährlichsten Software-Sicherheitslücken der Geschichte ein – der „ “ Log4j .
Die Federal Trade Commission hat den Druck erhöht; warnte diese Woche , dass sie gegen Unternehmen vorgehen werde, die die Sicherheitslücke nicht beheben. Das Unternehmen führte seinen eigenen Vergleich in Höhe von 700 Millionen Dollar mit Equifax aus dem Jahr 2019 – – als Beispiel dafür an, was anderen Unternehmen widerfahren könnte, da Equifax es versäumt hatte, eine Sicherheitslücke zu schließen, durch die die persönlichen Daten von 147 Millionen Verbrauchern offengelegt wurden.
Niemand in einer Führungsposition fühlt sich sicher. Laut einer aktuellen Umfrage von Tanium unter 345 Fachleuten für Cybersicherheit ist die Mehrheit (64 %) der Ansicht, dass es mäßig bis äußerst wahrscheinlich ist, dass sie in den nächsten 12 Monaten Opfer eines erfolgreichen Cyberangriffs werden. Malware stellt die größte Sicherheitsbedrohung für Unternehmen dar (35 %), gefolgt von menschlichem Versagen (24 %), Insider-Bedrohungen (20 %) und Zero-Day-Exploits (11 %).
Um deren spezifischen Anliegen vorzugreifen, hat „ “ Endpoint Dutzende von Sicherheitsexperten befragt, um mehr über deren Sicherheitsprioritäten für das kommende Jahr zu erfahren.
Vorbereitung auf eine Welle von Ransomware-Angriffen
Da Ransomware-Angriffe vom Typ „ “ ( ) so profitabel sind und für die Täter nur ein geringes Risiko bergen, werden sie weiterhin auftreten, und die Angreifer werden auch künftig neue Methoden entwickeln.
Im vergangenen Jahr (auch bekannt als 2021) war ein deutlicher Anstieg sogenannter „Ransomware-as-a-Service“-Angriffe (RaaS) sowie von Angriffen mit doppelter Erpressung zu verzeichnen. Im Rahmen von „Ransomware-as-a-Service“ bieten Cyberkriminelle anderen Malware auf einer nutzungsabhängigen Bezahlbasis an.
Experten gehen davon aus, dass im Jahr 2022 Unternehmen und andere Organisationen eine Zunahme von Cyberbedrohungen im Rahmen eines Partnermodells erleben werden, da Cyberkriminelle mehr Mitarbeiter einstellen, Arbeiten an Subunternehmer vergeben oder Tools an Partner vermieten.
Bei Ransomware mit doppelter Erpressung stehlen Angreifer zunächst die Daten der Opfer, bevor sie diese gegen Lösegeld verschlüsseln. Sollte das Opfer sich weigern, für die Wiederherstellung des Zugriffs auf seine Daten zu zahlen, könnten die Angreifer diese dem Meistbietenden anbieten oder sie ins Internet hochladen.
Die ersten Maßnahmen nach einem solchen Angriff ermöglichen es CISOs und Incident-Response-Teams , schnell zu handeln und sich dabei insbesondere auf Backups und Ausfallsicherheit zu konzentrieren. Die Sicherheitsverantwortlichen setzen verstärkt auf Netzwerksegmentierung (in kleinere physische oder logische Komponenten), Lösungen für das Asset-Management, Tools für das Schwachstellenmanagement, die Planung der Geschäftskontinuität sowie vierteljährliche Übungen zur Reaktion auf Sicherheitsvorfälle.
Viele Führungskräfte werden Simulationsübungen durchführen müssen, um Ransomware-Angriffe schnell und effektiv abzuwehren.
Zero Trust vom Konzept zur Umsetzung bringen
War das Jahr 2021 das Jahr, in dem die Sicherheitsbranche über Zero Trust sprach, so wird das Jahr 2022 das Jahr sein, in dem Sicherheitsteams dieses Konzept in die Praxis umsetzen werden.
“If you haven’t already, 2022 is the time to go all-in on zero trust,” says Amanda Fennell, CSO and CIO at Relativity, a provider of end-to-end legal and compliance software.
Im heutigen hybriden Arbeitsmodell, so sagt sie, müssen Unternehmen den Nutzern genau den Mindestzugriff gewähren, den diese zur Erfüllung ihrer Aufgaben benötigen. Durch die Zugriffskontrolle lässt sich ein kompromittiertes Gerät leicht isolieren, insbesondere da durch die Arbeit im Homeoffice immer mehr Endgeräte außerhalb der herkömmlichen Netzwerkgrenzen hinzukommen.
“If you haven’t already, 2022 is the time to go all-in on zero trust.”Amanda Fennell, CSO und CIO bei Relativity
Um wettbewerbsfähig zu bleiben, benötigen Unternehmen laut Sicherheitsexperten erstklassige und sich rasch wandelnde IT-Ressourcen. Sicherheitspersonal erwartet – wie alle Beschäftigten in den verschiedenen Abteilungen heutzutage – die Möglichkeit, von überall aus arbeiten zu können.
That expectation allows security leaders to shift from traditional network-centric security models and create granular access controls focused on user identity and endpoint trustworthiness.
Spending on zero trust is expected to reach about $39 billion in 2024, up from $16 billion in 2019, according to the B2B research firm MarketsandMarkets.
Die Integration der Cybersicherheit in die Unternehmensziele
Seit Jahren bemühen sich Sicherheitsverantwortliche darum, ihre Sicherheitsinvestitionen besser auf den geschäftlichen Nutzen der von ihnen geschützten Geräte und Daten abzustimmen. Angesichts der heutigen Flut kostspieliger Angriffe und des zunehmenden Tempos der digitalen Transformation von Unternehmen wird dies jedoch in 2022 entscheidender denn je sein.
“„Wir alle sind staatlichen Akteuren ausgesetzt, und das bedeutet, dass die Zeit des Amateurhaft-Handelns vorbei ist.“David Elfering, Senior Director für Informationssicherheit bei ReSource Pro
„Das war schon immer von entscheidender Bedeutung, doch nun sind wir alle Angriffen durch staatlich agierende Akteure ausgesetzt, und das bedeutet, dass die Zeit des Amateurhaft-Handelns vorbei ist“, sagt David Elfering, Senior Director für Informationssicherheit bei ReSource Pro, einem Anbieter einer Produktivitätsplattform für Versicherungsunternehmen.
Auch wenn sich Sicherheitsverantwortliche angesichts der Fähigkeiten der versiertesten Hacker möglicherweise überfordert fühlen, ist es nie zu spät, die Bereitschaft des Unternehmens zu verbessern. „Wir können die Messlatte noch höher legen“, sagt Elfering. „Das Sicherheitsteam muss das Geschäft verstehen, damit es dieses schützen und Risiken wirklich bewältigen kann.“
Sicherung der Lieferkette
Seit dem SolarWinds-Angriff ist nun etwas mehr als ein Jahr vergangen, und die CISOs haben nach wie vor nur wenig Einblick in die Risiken, die von ihrer eigenen Drittanbietersoftware ausgehen. Doch die Cyberrisiken für Lieferketten-Software traten im Jahr 2021 deutlich zutage, zuletzt im Zusammenhang mit der Sicherheitslücke Log4j .
Derzeit laufen mehrere Initiativen zur Verbesserung der Systemsicherheit, darunter die kürzlich vom Weißen Haus erlassene Verordnung „ “ ( ), die darauf abzielt, die Sicherheitsstandards für Software zu stärken, bestimmte Meldepflichten bei Datenschutzverletzungen vorzuschreiben und deren Umsetzung zu beschleunigen sowie den Austausch von Informationen zur Cybersicherheit zwischen Organisationen zu intensivieren.
Die Forderung nach einer „Software-Stückliste“ (SBOM) zielt darauf ab, die Risiken in der Lieferkette von Drittanbietersoftware zu verringern, indem alle Komponenten einer Software detailliert aufgeführt werden.
[Lesen Sie auch: Bewältigung von Risiken in der Lieferkette nach der „ Log4j “-Sicherheitslücke]
CISOs müssen die Sache ernst nehmen. Sie müssen die Service-Level-Vereinbarungen (SLAs) überprüfen, um Dritte zur Rechenschaft zu ziehen.
Automatisierung dessen, was automatisiert werden kann
Wenn die meisten Sicherheitsexperten an Automatisierung denken, denken sie an Funktionen im Bereich „Security Orchestration, Automation and Response“ (SOAR). Und dies macht zweifellos den Großteil der Investitionen in die Sicherheitsautomatisierung von „ “ aus. Dennoch ist es ebenfalls unerlässlich, alltägliche Arbeitsabläufe zu automatisieren, darunter die Bestandsverwaltung, das Identitätsmanagement, das Schwachstellenmanagement und natürlich das Patch-Management.
“„CISOs müssen sich so gut wie möglich darauf konzentrieren, ihre Effizienz und Effektivität zu steigern.“Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research
Automatisierung muss eine Sache der Menschen sein. Jeder CISO verfügt über Dutzende von Systemen und Tools, die für das Unternehmen von entscheidender Bedeutung sind, doch es stehen nie genügend Fachkräfte zur Verfügung, um sich einen umfassenden Überblick über Bedrohungen, Risiken, Leistung und Konsistenz zu verschaffen.
Unternehmen können über die beeindruckendsten Prozesse und Dashboards verfügen, doch wenn diese die Arbeitsabläufe nicht effizienter gestalten und den Analysten keine Zeit einsparen, sind sie lediglich eine weitere Schnittstelle. Die Automatisierung sollte vorrangig in Bereichen eingesetzt werden, in denen sie die Alarmüberlastung sowie menschliche Fehler verringert und die Wiederherstellungszeit verkürzt.
Den Fokus auf die Grundlagen legen
Sicherheitsexperten haben noch viel zu tun, um die Sicherheit ihrer Unternehmenssysteme zu gewährleisten. Zudem müssen sie grundlegende Richtlinien festlegen, wie beispielsweise eine angemessene Cyberhygiene.
„Der Schwerpunkt wird auf vielen der grundlegenden Maßnahmen liegen, die Unternehmen benötigen, um sich vor Ransomware zu schützen und Risiken durch Drittanbieter zu minimieren“, sagt Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research. „Dies sind die grundlegenden Maßnahmen, die Sicherheitsteams schon immer hätten ergreifen müssen und an denen sie in gewissem Umfang bereits gearbeitet haben. „Das bedeutet jedoch keineswegs, dass diese Aufgaben einfach sind.“
[Lesen Sie auch: Cyberhygiene – proaktives Risikomanagement beginnt hier]
Tatsächlich werden viele CISOs im Kurs „ 2022 “ erkennen, dass sie sich wieder auf die Grundlagen der Cybersicherheit besinnen müssen, darunter die Erkennung und die Reaktion auf Vorfälle, sagt Martin Fisher, Leiter der Informationssicherheit und CISO am Northside Hospital in Atlanta.
„Angesichts der Häufigkeit von Zero-Day-Bedrohungen in Verbindung mit der Geschwindigkeit, mit der das Unternehmen neue Technologien in das Netzwerk integriert, wird es von entscheidender Bedeutung sein, Bedrohungen schnell und effektiv zu erkennen und darauf zu reagieren“, sagt Fisher.
Alle oben genannten Probleme stellen Jahr für Jahr große Herausforderungen dar. „Es liegt nicht daran, dass es an Aufmerksamkeit oder an der Bereitschaft mangelt, diese Herausforderungen zu bewältigen“, sagt Crawford. „Es ist nur so, dass es sich um sehr schwierige Probleme handelt. „CISOs müssen sich so gut wie möglich darauf konzentrieren, ihre Effizienz und Effektivität zu steigern.“
