Der Hack der SolarWinds-Lieferkette im Jahr 2020 war mehr als nur schlimm. Dadurch wurden sensible Daten von 100 Unternehmen der „ “ sowie von Regierungsbehörden offengelegt, was zu einem Kurssturz der Aktien des Netzwerkmanagement-Unternehmens führte. Doch was das Unternehmen später traf, war ebenso beunruhigend – und von persönlicher Natur.
Die Anleger „ “ haben vor dem „ November 2021“ Klage gegen „ “ sowie ehemalige und derzeitige Mitglieder des Vorstands erhoben und behaupten, diese hätten es versäumt, die Cybersicherheitsrisiken, die zu dem Hackerangriff führten, ordnungsgemäß zu überwachen.
Die Klage diente als Weckruf für Vorstandsmitglieder, die sich lediglich zurücklehnen und die Aufsicht über die Cybersicherheit an die Unternehmensleitung delegieren. Neue gesetzliche und aufsichtsrechtliche Anforderungen, darunter neue Vorschriften zur Unternehmensführung und Berichterstattung , die derzeit von der SEC geprüft werden, lassen diesen zurückhaltenden Ansatz ebenso überholt erscheinen wie das Verlassen auf Firewalls für die Unternehmenssicherheit.
Derzeit ist die Aufsicht des Vorstands im Bereich der Cybersicherheit äußerst mangelhaft. Tatsächlich sind viele Vorstände laut einer aktuellen Umfrage des Konsortiums „ “ (CAMS) am MIT Sloan, die in der „Harvard Business Review“ veröffentlicht wurde ( ), nicht darauf vorbereitet, mit einem Cyberangriff umzugehen: 23 % der Befragten geben an, dass es keine Pläne oder Strategien des Vorstands für die Cybersicherheit gibt.
Und obwohl 88 % der Vorstände eine Sicherheitsverletzung als erhebliches Geschäftsrisiko betrachten, verfügen laut Gartner
nur 12 % über einen auf Vorstandsebene angesiedelten Cybersicherheitsausschuss .
Zu den Problemen zählt unter anderem ein Mangel an technischem Fachwissen bei den Vorstandsmitgliedern – ein Problem, das mit den vorgeschlagenen SEC-Vorschriften behoben werden soll. Da man mit Sicherheitstechnologie nicht vertraut ist, fällt es schwer, die oft mit Fachjargon und Abkürzungen gespickten Präsentationen für Führungskräfte zu verstehen.
Schlimmer noch: Die Vorstandsmitglieder wissen oft nicht, welche Fragen sie stellen müssen, um die Sicherheit des Unternehmensnetzwerks und seiner Vermögenswerte vor Cyberbedrohungen zu beurteilen.
Hier ist eine Frage, die sie tatsächlich stellen, unmittelbar nach einer Schlagzeilen machenden Sicherheitslücke wie „ Log4j“: Sind wir davor geschützt? Selbst wenn die Antwort „Ja“ lautet, geht die Frage am Kern der Sache vorbei: Kriminelle, die ständig nach neuen Schwachstellen suchen und immer wirkungsvollere Methoden entwickeln, sind schneller weiter, als man „Bitcoin-Überweisung“ sagen kann.
Bei der Cybersicherheit spielt man ständig „Whac-A-Mole“. So beschreibe ich es den Vorstandsmitgliedern, denen ich begegne und die gerne erfahren möchten, wie sie sich engagieren und helfen können. Da ich meine gesamte berufliche Laufbahn im Bereich der Cybersicherheit damit verbracht habe, die Bösewichte in Schach zu halten – darunter rund 21 Jahre bei Wells Fargo –, kann ich Ihnen versichern: Jedes Mal, wenn ein Problem auftritt, wollen Sicherheitsexperten in jeder Branche viel Geld für einen neuen Hammer ausgeben. Dieser Hammer eignet sich jedoch nur für einen ähnlichen Maulwurf, der aus einem Loch derselben Art hervorkommt.
Welche Fragen sollten die Vorstandsmitglieder von „ “ also stellen? Im Folgenden stelle ich Ihnen sechs Punkte vor, die ich für Vorstände als besonders hilfreich erachte, die die Sicherheitsausgaben, die Planung und die Governance ihres Unternehmens verbessern möchten.
1. Welche Vermögenswerte sichern wir ab?
Die Transparenz der Vermögenswerte ist eine grundlegende, aber entscheidende Frage. Schließlich kann man das, was man nicht sieht, auch nicht schützen.
“Bei der Cybersicherheit spielt man ständig „Whac-A-Mole“. So beschreibe ich es den Vorstandsmitgliedern, die ich treffe und die gerne erfahren möchten, wie sie sich engagieren und helfen können.”
Laut einer Umfrage des Marktforschungsunternehmens IDG Connect sind jedoch nur 30 % der IT-Fachkräfte sehr zuversichtlich, dass sie jederzeit mehr als 85 % der Endgeräte ihres Unternehmens überwachen können.
Wie viele Hardwaregeräte sind mit dem Unternehmensnetzwerk verbunden und welche Software läuft auf diesen Geräten? Woher beziehen Sicherheitsverantwortliche ihr Wissen? Genaue Zahlen werden für die Vorstandsmitglieder keine Aussagekraft haben, doch sie können weiter nachhaken, um sich zu vergewissern, dass die Unternehmensleitung über zuverlässige Systeme zur Erfassung von Unternehmensressourcen ( ) und zur Bestandsaufnahme ( ) verfügt.
2. Wie schützen wir unsere „Kronjuwelen“?
Beispiele für die „Kronjuwelen“ eines Unternehmens: Quellcode für Schlüsselprodukte; Verschlüsselungsschlüssel und Sicherheitsstrategien; vertrauliche Gespräche zu finanziellen, rechtlichen und aufsichtsrechtlichen Themen. Die Vorstandsmitglieder müssen die Kontrollmechanismen, die ein Unternehmen zur Sicherung des Zugriffs auf diese und andere hochsensible Daten eingerichtet hat, vollständig verstehen.
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
Wie sicher sind beispielsweise die Cloud-Plattformen von ? Weiß das Unternehmen, welche Mitarbeiter privilegierten Zugriff auf bestimmte Daten haben?
Wie oft führt ein Unternehmen Bedrohungsanalysen und Penetrationstests durch, um Schwachstellen in den wertvollsten Daten aufzudecken, und hat es Erkenntnisse aus
diesen Tests umgesetzt?
3. Wer genau stellt für uns das größte Sicherheitsrisiko dar?
Die Vorstandsmitglieder müssen die potenziellen Angreifer des Unternehmens aufdecken, die über die üblichen Verdächtigen wie Russland, China, Nordkorea und den Iran hinausgehen.
Ein wichtiger Ansatz hierfür ist die „Adversarial Consulting“-Methode, ein Untersuchungsansatz, der über die einfache Frage „Wer könnte uns angreifen?“ hinausgeht und fragt: „Wie erscheinen wir einem Angreifer und wie könnte dieser einen Angriff durchführen?“
Dieser Ansatz trägt wesentlich dazu bei, festzustellen, ob die Organisation ausreichend vor bekannten Taktiken, Techniken und Vorgehensweisen geschützt ist, die von potenziellen Angreifern eingesetzt werden. Zu den Bedrohungen zählen jedoch auch Hacktivisten, die Chaos stiften wollen, Wettbewerber, die geistiges Eigentum stehlen wollen, sowie die derzeit in den Schlagzeilen am häufigsten erwähnte Bedrohung: Ransomware-Banden, die auf lukrative Lösegeldzahlungen aus sind.
Eine offene und ehrliche Diskussion über Risiken muss auch Insiderbedrohungen einbeziehen. Laut Verizon ( ) stehen 20 % der Datenschutzverletzungen ( ) im Zusammenhang mit Fahrlässigkeit oder böswilligem Handeln von Mitarbeitern.
Die Vorstandsmitglieder sollten sich nach den bestehenden Richtlinien erkundigen, mit denen die Mitarbeiter über die neuesten Phishing-Taktiken und andere Sicherheitslücken aufgeklärt werden, um sicherzustellen, dass das Unternehmen die Strategie „Zero-Trust“ fest in sein Sicherheitskonzept integriert.
4. Wie groß ist unser Vertrauen in unsere Strategien zur Risikominderung?
Ja, „Vertrauen“ ist zwar ein subjektiver Maßstab, doch ist es für Vorstandsmitglieder wichtig, Führungskräfte nach dem Grad ihres Vertrauens zu befragen, um einschätzen zu können, ob das Sicherheitsteam der Ansicht ist, über ausreichende Ressourcen und Unterstützung zu verfügen, um die Herausforderungen zu bewältigen, denen das Unternehmen gegenübersteht. Sollten Führungskräfte in Unternehmen angeben, dass ihr Vertrauensniveau in eine bestimmte Technologie oder einen bestimmten Ansatz bei nahezu 100 % oder unter 20 % liegt, sollten die Alarmglocken läuten.
“„Ja, ‚Vertrauen‘ ist zwar ein subjektiver Maßstab, doch ist es wichtig, dass die Vorstandsmitglieder die Führungskräfte danach befragen.“
Unabhängig von den genauen Zahlen werden die besten Führungskräfte auf C-Level dem Vorstand Daten vorlegen, um ihre Einschätzungen zu untermauern, wie zum Beispiel: die Anzahl kritischer Sicherheitslücken, die durchschnittliche Zeitspanne bis zur Behebung dieser Lücken sowie den Prozentsatz der in den letzten 12 Monaten überprüften Drittanbieter, dargestellt in einem Diagramm über mehrere Quartale hinweg.
Zu den besten Daten zählen wertorientierte Kennzahlen, die auf Geschäftsergebnisse ausgerichtet sind, wie beispielsweise eine Senkung der Kosten für die Wiederherstellung nach Ransomware-Angriffen um 70 % oder eine Verringerung ungeplanter Ausfälle aufgrund nicht gepatchter Sicherheitslücken um 50 %, wie aus einem aktuellen Konferenzvortrag von Paul Proctor, Vizepräsident und renommierter Analyst bei Gartner, hervorgeht.
5. Welche proaktiven Maßnahmen wurden getroffen, um auf einen Sicherheitsvorfall vorbereitet zu sein?
Vorstandsmitglieder neigen dazu, das Thema Cybersicherheit aus einer defensiven Perspektive zu betrachten. Angesichts der rasant steigenden Zahl von Cyberangriffen sollten Führungskräfte in Unternehmen jedoch proaktiv konkrete Szenarien für den Fall einer Sicherheitsverletzung durchspielen. Dazu muss ein Unternehmen über ein klar definiertes Team für die Reaktion auf Cybersicherheitsvorfälle (CSIRT) verfügen. Außerdem muss das Unternehmen über dokumentierte Pläne zur Reaktion auf Vorfälle verfügen.
Zu den strategischen Maßnahmen, die Führungskräfte im Bereich Unternehmenssicherheit ergreifen können, gehören Simulationen von Cyberangriffen, mit denen diese Pläne auf die Probe gestellt werden. Auf diese Weise werden Schwachstellen aufgedeckt und blinde Flecken proaktiv erkannt. In einigen Unternehmen, wie beispielsweise bei Mastercard, nehmen Vorstandsmitglieder an Angriffssimulationen teil, die dazu beitragen können, ihr theoretisches Wissen in praktische Erfahrungen umzusetzen.
6. Welche Rolle spielt der Vorstand im Falle eines Vorfalls?
Zwar verfügen die meisten Unternehmen über Notfallpläne für den Fall eines Cyberangriffs, doch sollten Vorstandsmitglieder wichtige Fragen zu ihrer eigenen Rolle stellen sowie dazu, wer innerhalb der Organisation für die kritischen Reaktions- und Wiederherstellungspläne „verantwortlich“ ist.
Wird das Unternehmen möglicherweise ein Lösegeld zahlen? Ist dies rechtmäßig? (Es sollte eine Richtlinie für die Einberufung von Ersatzsitzungen vorhanden sein, falls der Vorstand nicht kurzfristig einberufen werden kann.) Wer wendet sich bei einem Ransomware-Angriff an die Behörden?
Weitere Fragen lauten: Wie werden die Vorstandsmitglieder miteinander kommunizieren, falls die Unternehmensnetzwerke ausfallen sollten? Wer wird im Falle eines schwerwiegenden Datenschutzverstoßes mit Mitarbeitern, Kunden und Lieferanten kommunizieren? Gibt es eine PR-Strategie für die Kommunikation mit der Presse?
Es reicht nicht aus, lediglich sicherzustellen, dass ein Plan vorliegt – die Vorstandsmitglieder sollten den Plan auf übergeordneter Ebene prüfen und ihre Rolle darin erörtern, bevor es zu einem Sicherheitsvorfall kommt. Letztendlich sollten sie wachsam und vorbereitet bleiben. Nur dann können sie hoffen, nicht das nächste Ziel einer Klage nach dem Vorbild des SolarWinds-Falls zu werden.
