Unternehmen sprechen heutzutage ständig über Initiativen zur digitalen Transformation oder beschäftigen sich intensiv damit. Und warum eigentlich nicht? Diese Bemühungen können zu mehr Effizienz, größerer Flexibilität und einem besseren Kundenerlebnis führen – um nur einige der Vorteile zu nennen.
Das Problem besteht darin, dass viele Unternehmen Transformationsprozesse in Angriff nehmen, ohne die Auswirkungen dieser Maßnahmen auf die Cybersicherheit und die Einhaltung gesetzlicher Vorschriften wirklich zu berücksichtigen.
Natürlich setzen Unternehmen alle möglichen Sicherheitstools und -dienste ein – und das ist ein wichtiger Aspekt bei der Erstellung von Sicherheits- und Compliance-Programmen. Sie machen sich jedoch nicht ausreichend Gedanken darüber, wie sie Prozesse, Abläufe und Organisationsstrukturen ändern müssen. Damit sich ein Unternehmen wirklich wandeln und diesen Wandel festigen kann, muss es seine Unternehmenskultur verändern.
Veränderungen sind nie einfach, insbesondere wenn die Menschen mit der derzeitigen Vorgehensweise zufrieden sind. Dies gilt zweifellos für CISOs, CIOs, CTOs und andere Führungskräfte im Bereich Cybersicherheit und Compliance – ebenso wie für Endnutzer. Die Einführung aller verfügbaren Sicherheitstechnologien ohne die erforderlichen Anpassungen an Prozessen, Abläufen und Organisationsstrukturen wird jedoch aus Sicht der Sicherheit und der Compliance wahrscheinlich zu Frustration und im schlimmsten Fall zum Scheitern führen.
Im Folgenden sind einige der Änderungen aufgeführt, die Unternehmen in diesen Bereichen berücksichtigen müssen.
Prozesse/Verfahren
Zur Stärkung der Sicherheit müssen zahlreiche Geschäftsprozesse und Sicherheitsvorkehrungen angepasst werden.
Ein wichtiger Bereich, in dem noch Verbesserungen erforderlich sind, ist die Sicherung der Benutzeridentität. Dies ist einer der am häufigsten ausgenutzten Angriffsvektoren. Es reicht bereits aus, wenn ein Nutzer von „ “ auf einen Phishing-Angriff unter hereinfällt, und schon haben die Angreifer einen Fuß in der Tür. Von diesem Punkt an wissen sie, dass sie mit der Suche nach erweiterten Berechtigungen beginnen können.
Hier sollte die Multi-Faktor-Authentifizierung (MFA) von das absolute Minimum für den Benutzerzugriff auf Netzwerke und andere Ressourcen darstellen. Auch wenn diese Methoden nicht perfekt sind, erschweren sie Angreifern das Vorgehen doch so sehr, dass diese möglicherweise aufgeben und sich ein anderes Ziel suchen.
Durch die MFA wird es wesentlich schwieriger, Konten zu kompromittieren. Außerdem sollten sie davon absehen, jeden Monat eine Passwortänderung zu verlangen und den Nutzern damit eine übermäßige Belastung aufzuerlegen. Sicherheitsteams sollten zumindest die Verwendung von „Passphrasen“ fördern, die sich leichter merken lassen, da es sich im Grunde um einen Satz handelt, der wesentlich schwerer zu erraten und zu knacken ist.
Unternehmen sollten zudem die Anzahl der Konten mit Administratorrechten reduzieren und ein System für privilegierten Zugriff einsetzen, bei dem Benutzer für einen bestimmten Zweck und einen festgelegten Zeitraum erweiterte Berechtigungen beantragen können, die nach Ablauf dieses Zeitraums automatisch wieder entzogen werden.
Viele Menschen sind überrascht, wenn sie feststellen, dass sie Hunderte von Konten mit Administratorrechten besitzen, da diese eigentlich nur vorübergehend gedacht waren, aber nie gelöscht wurden.
Anstatt „Golden Images“ zu erstellen, deren Erstellung und Verwaltung sehr zeitaufwendig ist, sollten Sie ein Basis-Betriebssystem-Image und Anwendungspakete verwenden, damit der Aufwand für Aktualisierungen und Wartung geringer ausfällt. Um die Umstellung abzuschließen, stellen Sie einen Softwarekatalog und einen Self-Service-Client bereit, damit die Benutzer keine lokalen Administratorrechte benötigen, um Anwendungen zu installieren.
Eine weitere bewährte Vorgehensweise aus prozesstechnischer Sicht ist etwas, das viele Organisationen bereits zu umsetzen versuchen: so viele Abläufe wie möglich zu automatisieren. Die Automatisierung von Routineaufgaben verringert menschliche Fehler und verschafft den Mitarbeitern mehr Zeit, sich auf anspruchsvollere Projekte zu konzentrieren.
Installieren Sie außerdem Software-Patches und -Updates so bald wie möglich. Es ist nicht sinnvoll, 90 Tage oder länger zu warten, um ein Update zu „prüfen“ und sicherzustellen, dass es keine negativen Auswirkungen auf die Systeme hat – insbesondere, wenn die Zeitspanne zwischen der Entdeckung einer Sicherheitslücke und deren Ausnutzung etwa 22 Tage beträgt. Es besteht ein Abwägungszwang zwischen möglichen Ausfällen und einer Sicherheitsverletzung, doch häufig lässt sich der Validierungszeitraum mit minimalem Risiko verkürzen.
Bitte bedenken Sie, dass Änderungen an Abläufen und Verfahren bei einigen Personen wahrscheinlich auf Unmut stoßen werden. Im Bildungswesen beispielsweise lehnen es viele Lehrkräfte ab, dass die IT-Abteilung die Multi-Faktor-Authentifizierung (MFA) einführt, mit der Begründung, die Schüler würden dies niemals akzeptieren. Tatsächlich haben die Studierenden kein Problem damit, dass MFA Teil des Anmeldeverfahrens ist, da sie bereits daran gewöhnt sind, sich damit in ihr Online-Banking-Konto und sogar in ihr Facebook-Konto einzuloggen.
Menschen, die in bestehenden Vorgehensweisen verhaftet sind, widersetzen sich Veränderungen. IT- und Sicherheitsteams sollten sich nicht von den Skeptikern beirren lassen und gemeinsam daran arbeiten, Veränderungen dort umzusetzen, wo sie erforderlich sind.
Organisationsstrukturen
Auch die Organisationsstrukturen müssen angepasst werden, um die neue Kultur zu fördern. Zum einen müssen Unternehmen etwaige Informationsbarrieren zwischen verschiedenen Abteilungen abbauen, die eigentlich zusammenarbeiten sollten.
Der CSO oder CISO kann es sich nicht leisten, darauf zu warten, dass die IT-Abteilung, der operative Bereich oder eine andere Abteilung innerhalb des Unternehmens wertvolle Informationen und Erkenntnisse über Bedrohungen oder Schwachstellen bereitstellt, die dazu beitragen könnten, einen Sicherheitsvorfall zu verhindern.
Auf organisatorischer Ebene bestehen in vielen Unternehmen nach wie vor Silos, die die verschiedenen Beteiligten daran hindern, bei Sicherheits- und Compliance-Fragen so zusammenzuarbeiten, wie es eigentlich erforderlich wäre. Hinzu kommt – und das ist vielleicht sogar noch schlimmer –, dass es nach wie vor Machtkämpfe gibt, die die verschiedenen Fraktionen daran hindern können, geschlossen zusammenzuarbeiten, um die Organisation als Ganzes zu schützen.
In den besten Organisationen findet ein reger Austausch und eine regelmäßige Weitergabe von Informationen zwischen den verschiedenen Abteilungen statt. Um jedoch in Bezug auf Sicherheit und Compliance wirklich optimale Ergebnisse zu erzielen, haben die meisten zukunftsorientierten Unternehmen ihre Organisationsstruktur abgeflacht, um Silos und Kompetenzstreitigkeiten zu beseitigen und sicherzustellen, dass verschiedene Technologie- und Geschäftsbereiche reibungslos zusammenarbeiten.
Ein weiterer wichtiger Faktor, der zu den oben genannten Silos beiträgt, sind die Berichtsstrukturen der obersten Führungskräfte im Bereich Sicherheit und Compliance, denen beispielsweise der CISO unterstellt ist. Im Idealfall sollte der leitende Sicherheitsbeauftragte dem Vorstandsvorsitzenden, dem Finanzvorstand, dem Technikvorstand oder anderen Führungskräften der obersten Ebene unterstellt sein. Dies kann dazu beitragen, bürokratische Hürden abzubauen, insbesondere in Bereichen wie der Genehmigung von Haushaltsplänen.
Wenn der CISO oder andere Führungskräfte aus dem Sicherheitsbereich in der Geschäftsleitung vertreten sind und an die oberste Führungsebene berichten, bedeutet dies, dass Cybersicherheit und Compliance für das Unternehmen einen hohen Stellenwert einnehmen.
Eine starke Führungskraft ist zwar unerlässlich, doch letztendlich sollte Cybersicherheit Teil der Aufgaben jedes Einzelnen sein. Es wird stets einen gewissen Kompromiss zwischen Sicherheit und der Freiheit zur Innovation geben. Doch indem sie eine neue Denkweise in Bezug auf Sicherheit etablieren, können Unternehmen die digitale Transformation wirklich erfolgreich gestalten.
Erfahren Sie, wie Tanium Sie dabei unterstützen kann, Ihre Anforderungen an Cybersicherheit und Compliance im Rahmen der digitalen Transformation zu priorisieren. Erleben Sie noch heute die Leistungsfähigkeit von Tanium im Bereich „ “ (wird in einem neuen Tab geöffnet).
