Angesichts der Tatsache, dass sich die Welt auf Cyberangriffe aus Russland als Vergeltung für westliche Sanktionen vorbereitet, ist die Notwendigkeit einer effektiven Kommunikation zwischen den Sicherheitsverantwortlichen in Unternehmen und den Führungskräften, denen sie unterstehen, größer denn je.
Doch das ist leichter gesagt als getan. In einem neuen Bericht von Harvard Business Review Analytic Services, der in Zusammenarbeit mit Tanium erstellt wurde, gibt ein Drittel der Befragten an, dass ihre Führungskräfte von den Sicherheitsverantwortlichen lediglich gelegentliche Informationen zu Themen wie der Überwachung sensibler Daten und dem Datenschutz erhalten.
Aufgrund einer sich rasch wandelnden, komplexen IT-Umgebung ist die Cybersicherheit heute komplexer denn je. Und laut dem HBR-Bericht wird die Situation durch Tools noch verschlimmert, die keinen Bezug zur Risikoanalyse und zur Sicherheitsleistung haben.
Das bedeutet zweierlei: Fachleute für Cybersicherheit haben Schwierigkeiten, Cyberrisiken in einer Sprache zu erläutern, die Führungskräfte und Vorstände verstehen können. Im Gegenzug erhalten Führungskräfte und Vorstandsmitglieder nicht die Informationen, die sie benötigen, um fundierte Entscheidungen hinsichtlich Netzwerkrisiken und der Widerstandsfähigkeit des Unternehmens zu treffen.
Angesichts der Dringlichkeit, dass beide Seiten in dieser Angelegenheit zusammenfinden müssen, hat Endpoint beschlossen, auf ein wichtiges Gespräch zurückzublicken, das wir im vergangenen Frühjahr mit Maggie Wilderotter geführt haben. She has been addressing these issues in the C-suite and boardroom for a long time as a former CEO of telecom Frontier Communications, a member of President Barack Obama’s Commission on Enhancing National Cybersecurity, and one of Fortune magazine’s “50 Most Powerful Women in Business”—an honor she's received four times. Zudem war sie als Mitglied
in mehr als 32 Gremien des öffentlichen und privaten Sektors tätig; ihr erstes Mandat
übernahm sie im Alter von 28 Jahren.
Hier erörtert sie die geschäftlichen Herausforderungen, die von Cyberbedrohungen ausgehen, die Notwendigkeit regelmäßiger – und häufiger – Sicherheitsüberprüfungen sowie die Bedeutung der Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor.
(Das folgende Interview erschien in „ Mai 2021“.)
Welche Rolle sollten Vorstände bei der Bewältigung von Cyberbedrohungen spielen?
Die Vorstände müssen eine aktive Rolle übernehmen. Zu den Aufgaben eines Vorstands gehört es, dafür zu sorgen, dass wir Risiken mindern und dass wir wissen, welche Risiken für das Unternehmen am bedeutendsten sind. Wir müssen verstehen, welche Maßnahmen das Unternehmen ergreift, um dieses Risiko zu bewältigen: .
„. Zu den Aufgaben eines Vorstands gehört es, dafür zu sorgen, dass wir Risiken minimieren.“
Und wir müssen sicherstellen, dass die Unternehmensführung und die Transparenz den Bedürfnissen nicht nur der Aktionäre des Unternehmens, sondern auch seiner Interessengruppen gerecht werden. Dazu gehören seine Kunden, staatliche Stellen sowie andere Unternehmen, die in ihrer Lieferkette auf das Unternehmen angewiesen sind.
So bin ich beispielsweise Vorsitzender von drei Prüfungsausschüssen börsennotierter Unternehmen. Wir sind im Auftrag des Vorstands, der die oberste Aufsichtstracht trägt, für die Risikoaufsicht zuständig. Einige Vorstände börsennotierter Unternehmen verfügen tatsächlich über einen Ausschuss für Cybertechnologie. „Cyber“ ist eine Überprüfung, die wir vierteljährlich auf Ebene des Prüfungsausschusses durchführen, und einmal jährlich führen wir gemeinsam mit dem Vorstand eine eingehende Analyse durch. Vieles davon beruht jedoch auf dem, was wir wissen, und nicht auf dem, was wir nicht wissen.
Welche Herausforderungen ergeben sich bei der Sicherheitsaufsicht?
Wir haben nach wie vor mit vielen veralteten Netzwerken zu tun. Die Abläufe und Funktionen dieser Netzwerke sind nicht unbedingt dafür ausgelegt, der Raffinesse der heutigen Cyberangriffe standzuhalten. Die Umgestaltung dieser Netzwerke erfordert Zeit, Mühe, Geld und
weitere Ressourcen.
Ich glaube also, dass wir alle eher damit beschäftigt sind, den Rückstand aufzuholen, als der Entwicklung voraus zu sein. Und was Altsysteme betrifft, so herrscht große Zurückhaltung, diese überhaupt anzurühren, da Unternehmen weder Ausfallzeiten in Kauf nehmen wollen noch die damit verbundenen hohen Kosten tragen möchten. Aber man muss einfach in den sauren Apfel beißen und es tun.
„. Wenn etwas passiert – sei es ein Sicherheitsverstoß oder eine andere böswillige Aktivität –, müssen Sie über ein System verfügen, das Ihnen Fakten liefert, damit Sie schnell handeln können.“
Im Laufe der Zeit hat sich folgende Entwicklung gezeigt: Wenn eine neue Cybersicherheitslücke entdeckt wird, greifen Unternehmen letztendlich zu einer Punktlösung, anstatt über „ “ nachzudenken und eine Plattform zu nutzen, die zur Lösung eines Problems erweitert werden kann. Im Laufe der Zeit verfügen Unternehmen daher über zahlreiche Einzellösungen, von denen keine miteinander integriert ist oder miteinander kommuniziert.
Die CTOs, CIOs und CISOs Ihres Unternehmens haben sich für diese Lösungen entschieden und sie implementiert. Mit der Zeit wird den Unternehmen dann bewusst, dass sie ohne eine ordnungsgemäße Integration der Lösungen nicht wirklich geschützt sind. Angesichts einer Vielzahl von -Einzelanwendungen zögern die Technologieführer, diese zu ersetzen, da sie bereits erhebliche Investitionen in deren Installation und Nutzung in ihren Systemen getätigt haben.
Außerdem würde dies den Anschein erwecken, dass diese Führungskräfte bei ihren Entscheidungen weniger kompetent sind, da sie diese Einzellösungen überhaupt erst eingeführt haben. Die Amtszeit von CIOs und CISOs ist in großen Unternehmen bereits kurz. Es besteht also der Druck, sich mit einer Reihe von Lösungen „zufrieden zu geben“, die nicht ganz den Anforderungen entsprechen.
Wie löst ein Unternehmen dieses Problem?
Die Lösung besteht darin, dass die oberste Führungsebene – einschließlich des CEO, des CFO und des COO – sowie der Vorstand bereit sind, die Genehmigung zu erteilen, diese Einzellösungen durch Plattformen zu ersetzen, die mit mehreren vollständig integrierten Anwendungslösungen genutzt werden können.
n diese Plattformen können horizontale Verknüpfungen über alle Bereiche des Unternehmens hinweg schaffen, um Transparenz zu gewährleisten, Schwachstellentests durchzuführen und – als entscheidende Abwehrmaßnahme – eine Isolierung zu ermöglichen, falls doch einmal etwas passieren sollte. Und sollte etwas passieren – etwa ein Sicherheitsverstoß oder eine andere böswillige Handlung –, müssen Sie über ein System verfügen, das Ihnen die Fakten liefert, damit Sie schnell handeln können. Angriffe werden sich weiter wandeln und immer raffinierter werden. Die Kosten des Datenlecks bei Colonial Pipeline beliefen sich auf 44 Millionen US-Dollar – ein beträchtlicher Betrag, der jedoch unter den durchschnittlichen Kosten eines Datenlecks bei Großunternehmen in Höhe von 200 Millionen US-Dollar liegt.
[Lesen Sie auch: Wie Sie auf eine Datenpanne reagieren sollten]
Heutzutage suchen Vorstände nach Fachwissen in den Bereichen Cybersicherheit und Technologie, und wenn sie selbst nicht über dieses Wissen verfügen, wenden sie sich an externe Berater, Branchenpartner und Thinktanks, um sich weiterzubilden.
Hat die Bundesregierung genug unternommen, um den Unternehmen klarzumachen, wie ernst die Bedrohung ist, und um ihnen die Unterstützung zu gewähren, die sie benötigen?
Eine der Maßnahmen, die die Regierung bisher nicht ergriffen hat – und die die Privatwirtschaft meiner Meinung nach sehr begrüßen würde –, besteht darin, Cyberkriminalität als einen Akt der „
“ im Sinne eines Kriegshandels zu betrachten.
„Dies sind Kriegshandlungen. Diese Angriffe laufen darauf hinaus, dass ein Land versucht, die Wirtschaft eines anderen Landes zu zerstören.”
Was meine ich damit? Auslöser für all dies war der Angriff Nordkoreas auf Sony. [Im Jahr 2014 hackte Nordkorea das IT-System von Sony Pictures, nachdem das Studio einen Film mit Seth Rogen veröffentlicht hatte, in dem Nordkoreas Staatschef Kim Jong-un parodiert wurde.]
Derzeit beobachten wir, dass ausländische Akteure mithilfe von Ransomware Unternehmensvermögen einfrieren. Es handelt sich hierbei um Kriegshandlungen. Diese Angriffe laufen darauf hinaus, dass ein Land versucht, die Wirtschaft eines anderen Landes zu zerstören.
Wer in der Regierung sollte hierfür zuständig sein?
Es gibt zahlreiche staatliche Stellen, die in gewissem Umfang für die Cybersicherheit zuständig sind, doch sollte ein besser abgestimmter Plan oder ein Programm auf
eingeführt werden. Eine proaktivere Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor ist dringend erforderlich. Ich habe 12 Jahre lang ein Telekommunikationsunternehmen geleitet. Die Telekommunikationsbranche unterliegt strengen Vorschriften.
Die Branche verfügt über zahlreiche personenbezogene Kommunikationsdaten vieler Menschen. Unsere Aufsichtsbehörde ist die FCC, und diese kann auf eine hervorragende Bilanz im Bereich des Verbraucherschutzes zurückblicken. Eine weitere regulierte Branche, die einer strengen Aufsicht im Bereich der Cybersicherheit unterliegt, ist die Finanzbranche, zu der sowohl Großbanken als auch Regionalbanken gehören.
[Lesen Sie auch: Cybersicherheitstrends, die Sie im Jahr 2022 im Auge behalten sollten]
Es gibt also bewährte Verfahren, die als Ausgangspunkt für öffentlich-private Partnerschaften dienen können, um Kapazitäten im Bereich der Cybersicherheit aufzubauen und sicherzustellen, dass diese mit den Software-Lieferketten von „ “ () geteilt werden, die sich über den gesamten Globus erstrecken und deren Sicherheitsvorkehrungen nicht immer besonders ausgefeilt sind. Dies würde wesentlich zu einem besseren Schutz und einer besseren Aufdeckung beitragen.
