Der monumentale „ “-Hack bei SolarWinds von 2020 – bei dem Hacker Schadcode in gängige Software einschleusten, um in Zehntausende von Regierungs- und Unternehmensnetzwerken einzudringen – hat eine wichtige Lektion erteilt: Es reicht nicht aus, die eigene Infrastruktur zu sichern; man muss das gesamte Ökosystem der Lieferanten im Blick behalten.
Indeed, 62% of network intrusions start with third parties, according to a 2022 Verizon report, and 73% of organizations in a KPMG study said they’ve experienced at least one significant disruption from a third-party cyber event in the past three years.
Als Chief Information Officer (CIO) mit Zuständigkeit für Cybersicherheit bei Leo A Daly, einem weltweit tätigen Architektur- und Ingenieurbüro mit 800 Mitarbeitern und 32 Standorten, die überwiegend in den USA liegen, hält sich Stephen Held (rechts) über solche Statistiken auf dem Laufenden. Ihm ist auch bewusst, welche Frage im Zusammenhang mit Risiken durch Dritte wohl am seltensten gestellt wird.
Was geschieht, wenn Sie die dritte Partei sind?
Das Thema „Risiko bei Drittanbietern“ wird fast immer aus der Perspektive des Unternehmens selbst betrachtet. Wer sind die Anbieter der „ “-Software – – sowie andere Dritte in Ihrem Cyber-Ökosystem, die Ihnen versehentlich Schaden zufügen könnten? Das ist eine wichtige Frage, doch wie sieht es mit der Kehrseite aus: Stellt Ihre Kanzlei ein Risiko für Ihre Mandanten dar?
Ein Kunde, der groß und einflussreich ist oder eine beträchtliche Menge an Verbraucherdaten verwaltet, stellt für Cyberkriminelle ein attraktives Ziel dar. Und das macht auch Sie zu einem Ziel.
Das sei genau die Art von Dingen, die Held nachts wach halte, sagt er, und er sei fest entschlossen, zu verhindern, dass seine Kanzlei der Grund dafür sei, dass ein Partner angegriffen werde.
, Leiter von „Focal Point“, hatte die Gelegenheit, sich mit Herrn Held zu unterhalten, um mehr darüber zu erfahren, wie seine Organisation mit der heutigen Bedrohungslage umgeht.
[Dieses Interview wurde aus Gründen der Verständlichkeit und der Länge redaktionell bearbeitet.]
Man würde nicht vermuten, dass ein Architektur- und Ingenieurbüro anfällig für Cyberangriffe ist, doch offensichtlich machen Sie sich Gedanken über diese Möglichkeit. Warum ist das so?
Das dachte ich mir ebenfalls, nachdem ich bereits einige Jahre als CIO in diesem Unternehmen tätig war.
Dies änderte sich jedoch, als wir zunehmend beobachteten, wie sich die Angriffsvektoren weiterentwickelten. Hacker haben es vielleicht gar nicht wirklich auf Sie abgesehen, aber sie könnten Sie ins Visier nehmen, um an jemanden heranzukommen, mit dem Sie in Verbindung stehen. Je nachdem, wer Ihre Kunden sind oder ob Sie mit staatlichen Stellen zusammenarbeiten, könnten Sie anfälliger für Angriffe sein.
„. Je nachdem, wer Ihre Kunden sind oder ob Sie mit staatlichen Stellen zusammenarbeiten, könnten Sie anfälliger für Angriffe sein.“
Heutzutage spielt es fast keine Rolle mehr, in welcher Branche Sie tätig sind; Ihre Partner im öffentlichen und privaten Sektor fordern durchweg strengere Standards in den Bereichen Cybersicherheit, Datenschutz und Datenwiederherstellung. Aus diesen Gründen mussten wir sicherstellen, dass wir nicht das leichteste Ziel sind.
Wie schaffen Sie das?
Wir betrachten die Angriffslage aus verschiedenen Blickwinkeln. Beispielsweise verfügen wir in unserer Umgebung über etwa 1 200 Computer. Es ist durchaus möglich, dass jemand versuchen könnte, diese zu nutzen, um einen verteilten Denial-of-Service-Angriff (DDoS) vom Typ „ “ zu starten. Das hätte nicht unbedingt etwas mit unserem Geschäft zu tun. Sie würden wahrscheinlich keine Baupläne stehlen wollen; sie wollen lediglich die Kontrolle über diese Geräte erlangen, um gegen jemand anderen vorzugehen. Daher müssen wir alles in unserer Macht Stehende tun, um unsere Kunden vor all diesen Szenarien zu schützen.
Was unternehmen Sie noch, um zu verhindern, dass Sie der Grund dafür sind, dass ein Kunde Opfer eines Hackerangriffs wird?
Nun, abgesehen von DDoS-Angriffen müssen wir alle möglichen Angriffsvektoren berücksichtigen und die richtigen Technologien und Prozesse einsetzen, um diese abzusichern.
Vieles davon steht im Zusammenhang mit „ “, der Sicherheit der Software-Lieferkette sowie den von uns verwendeten Softwareprodukten. Wenn ein Produkt in den Schlagzeilen als anfällig genannt wird, wie beispielsweise SolarWinds oder MOVEit, muss ich wissen, ob wir dieses Produkt einsetzen und, falls ja, ob wir es ordnungsgemäß patched halten. Dies gilt für unsere gesamte Software, da wir wissen, dass jede Software Sicherheitslücken enthält.
[Lesen Sie auch: Der Aktionsplan der US-Regierung zur Stärkung der Lieferketten]
Was bereitet Ihnen als Sicherheitsexperte nachts schlaflose Nächte?
Was hält mich nicht wach? Ich denke vor allem über zwei Dinge nach: Zum einen darüber, was ich der Außenwelt mitteile.
„: KI wird eingesetzt, um „grammatikalisch einwandfreie“ Phishing-Angriffe zu generieren. Das bedeutet, dass die Indikatoren, auf die wir uns bisher verlassen und mit denen wir trainiert haben, um Betrugsfälle zu erkennen, nicht mehr gültig sind.”
Wir führen Gespräche wie dieses, um bewährte Verfahren im Bereich Cybersicherheit sowie das entsprechende Bewusstsein zu vermitteln, in der Hoffnung, einander zu schützen – wohl wissend, dass wir uns noch in einem fortlaufenden Lernprozess befinden. Sicherheit ist ein sich ständig wandelndes Ziel. Je besser die Abwehrmaßnahmen werden, desto ausgefeilter werden die Angriffe. Ich habe kürzlich erfahren, wie künstliche Intelligenz (KI) genutzt wird, um „grammatikalisch einwandfreie“ Phishing- -Angriffe zu generieren. Das bedeutet, dass die Indikatoren, auf die wir uns bisher verlassen und anhand derer wir geschult wurden, um Betrugsfälle zu erkennen, nicht mehr gültig sind.
Ein weiterer Punkt – und der macht mir vielleicht noch mehr Angst – ist, dass andere Unternehmen, die viel größer sind als unseres und über mehr Ressourcen verfügen, nach wie vor Opfer von Hackerangriffen werden. Ich beobachte, wie viel Zeit und Mühe die „ “ aufwenden, wenn sie unter angegriffen werden, und das ist wirklich beeindruckend. Niemand möchte seinen Kunden Mitteilungen senden müssen, in denen er sie auf einen Datenschutzverstoß hinweist. Ich versuche stets, dem zuvorzukommen.
Welche Technologie setzen Sie ein, um Ihr Netzwerk zu sichern?
Wir setzen eine Kombination aus verschiedenen Sicherheitstechnologien ein, darunter Security Incident and Event Management (SIEM), Intrusion Detection, Intrusion Mitigation sowie Endpunktlösungen mit „ “. Wir nutzen die Multi-Faktor-Authentifizierung (MFA) von anstelle von Passwörtern. Wir trennen die Administratorrechte. Zudem nutzen wir eine Plattform zur Konsolidierung von Netzwerkspeichern (NAS) und Dateiservern, die eine geografisch verteilte Umgebung ermöglicht und die Synchronisierung von Dateien unter Nutzung integrierter Sicherheitsfunktionen erlaubt.
Außerdem lassen wir jeden unserer Mitarbeiter jährlich an einer Sicherheitsschulung von „ “ teilnehmen (), und Teil dieses Programms ist ein Abschnitt über Insider-Bedrohungen ( ) ().
Hatten Sie schon einmal Fälle, in denen Mitarbeiter nur knapp einem Betrug entgangen sind?
Ja, in letzter Zeit haben wir beobachtet, dass Mitarbeiter SMS oder E-Mails erhalten, die angeblich von Geschäftsführern oder Finanzvorständen stammen und in denen es etwa heißt: „Hey, ich möchte ein paar Geschenke verteilen.“ „Gehen Sie los, kaufen Sie eine ganze Reihe von Amazon-Geschenkkarten im Wert von jeweils 100 Dollar und schicken Sie sie mir.“
Wir hatten tatsächlich einen Mitarbeiter, der diese Geschenkkarten gekauft hatte; glücklicherweise konnten wir dies jedoch aufdecken, da der Mitarbeiter zum Finanzvorstand ging und fragte: „Was soll ich nun damit machen?“
Wir verfügen über eine gut aufgestellte Buchhaltungsabteilung, die dabei hilft, solche Angelegenheiten streng im Griff zu behalten, aber wir schulen unsere Mitarbeiter auch darin, auf der Hut vor solchen Betrugsmaschen zu sein. Und unsere Mitarbeiter haben uns bisher recht zuverlässig darüber informiert, wenn sie Fälle von Social Engineering bemerken.
Ist „Zero Trust“ Teil Ihrer Cybersicherheitsstrategie?
Wir haben darüber gesprochen, eine „ “-Mentalität im Sinne des Zero-Trust-Ansatzes zu übernehmen. Das ist jedoch eine ziemliche Herausforderung und steht im Widerspruch zur Arbeit in einem stark kooperativen Umfeld. Wir möchten das tun. Wir möchten das Zero-Trust-Konzept umsetzen. Aber so weit sind wir noch nicht. Dies würde eine grundlegende Umstellung im Netzwerkmanagement erfordern, und das wird Zeit brauchen.
WEITERE INFORMATIONEN
Lesen Sie weitere exklusive Interviews mit Sicherheitsverantwortlichen in unserer Reihe „Erfolgsgeschichten".
- Joseph Karpenko von Stratascale zum Thema …
– VON DATENVERLETZUNGEN ZUR UNTERNEHMENSSTRATEGIE - Ken Fishkin, der „Datenschutz-Evangelist“ von Lowenstein Sandler, über …
LANGWEILIGE SCHULUNGEN ZUR CYBERSICHERHEIT - Marvel-„Superheld“ Mike Wilkes über …
– EINSATZ VON KI ZUR BEKÄMPFUNG VON CYBERKRIMINALITÄT - „Ash Hunt“ der Apex Group auf…
CYBERRISIKEN (GENAU) MIT DIESER FORMEL VORAUSSAGEN - LA Countys Jeff Aguilar über…
WIE ER MITARBEITER IM KAMPF GEGEN PHISHING SCHULT (UND NACHSCHULT) - Honest Medical Groups Dennis Leber über…
WARUM ER (KAUM) ÜBER CYBERSICHERHEIT MIT DEM VORSTAND SPRICHT - Zooms Michael Adams über…
CYBERSICHERHEIT ERREICHEN 2,0 MIT CYBER-RISIKO-SCORING
