Erinnern Sie sich daran, als die Pandemie ausbrach und scheinbar über Nacht die ganze Welt auf Videokonferenzen umstieg. Es war ein Glücksfall, um Menschen aller Art für die unterschiedlichsten Besprechungen miteinander zu verbinden; doch je mehr Unternehmen, Schulen, Behörden und – nun ja – einfach fast jeder auf Videokonferenzen und andere Software zur Zusammenarbeit zurückgriff, desto anfälliger wurden die Plattformen. Die Nutzer hielten sich nicht an grundlegende Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung, und die lückenhafte Implementierung von Verschlüsselung gefährdete den Datenschutz. Mit der zunehmenden Nutzung von Videokonferenzen stiegen auch die Risiken für die Cybersicherheit.
Für Michael Adams, Chief Information Security Officer (CISO) bei Zoom, dem Vorreiter des Videokonferenz-Booms, stellte die Pandemie sein Unternehmen vor ein unerwartetes Problem, das zunächst gar nicht wie ein Problem erschien: das plötzliche und exponentielle Wachstum des Kundenstamms. Während CEOs vielleicht von solchen Dingen träumen, war sich Adams bewusst, dass das Wachstum von Zoom eine neue und andere Herangehensweise an das Thema Cybersicherheit erfordern würde.
Ein entscheidender Schritt im Rahmen dieses neuen Ansatzes bestand darin, die Bewertung von Cyberrisiken im Rahmen des „ “ zu verbessern.
Vor der Pandemie unterhielt Zoom ein kleines Sicherheitsteam. „Sie haben hervorragende Arbeit geleistet und die Grundlagen für das Unternehmen geschaffen“, sagt Adams, der im Jahr „ August 2020 “ als Rechtsberater des Chief Operating Officer und des CISO zu Zoom kam; im vergangenen Jahr übernahm er die Position des CISO.
Mit dem Aufkommen von und der Arbeit im Homeoffice hat das Unternehmen den Schritt in Richtung dessen vollzogen, was er als ihre „ 2,0 -Version“ der Cybersicherheit bezeichnet. Dies bot die Gelegenheit, die bereits bestehenden Sicherheitssysteme weiterzuentwickeln und zu verbessern und das bestehende Sicherheitsprogramm von Zoom so zu erweitern, dass es potenziellen neuen Risiken gerecht wird. Dies erforderte, dass man sich über die neuen Risiken im Klaren war und anschließend das Programm und die Vorgehensweise auf diese Risiken zuschneiden musste, insbesondere da sich diese im Laufe der Zeit weiterentwickelten (und weiterhin weiterentwickeln).
“„Wir müssen uns einen umfassenden Überblick über die Bedrohungs- und Risikolandschaft verschaffen und diesen dann konkret auf unsere spezifischen Verpflichtungen gegenüber unseren Kunden herunterbrechen.“Michael Adams, CISO bei Zoom
Insbesondere hat die Risikobewertung die Sicherheitslage des Unternehmens in Bereichen wie (Schwachstellenmanagement), in denen bestimmte Compliance- oder Kundenverpflichtungen eingehalten werden müssen, sowie (Risikomanagement bei Drittanbietern), einem spezifischen Bereich, der aus verschiedenen Gründen in dieser Zeit, in der Videokonferenzen zunehmend an Bedeutung gewannen, nicht denselben Stellenwert erhielt wie einige andere Bereiche, entscheidend verbessert. Mithilfe von Risikobewertungen konnte Zoom potenzielle Probleme identifizieren, die andernfalls übersehen worden wären und die Marke anfällig gemacht hätten für Cyberkriminelle, aus Spaß handelnde jugendliche Hacker sowie Bedrohungen durch Insider. Stattdessen konzentrierte Zoom seine Investitionen auf den Aufbau eines noch umfassenderen Sicherheitsprogramms.
„Ich wusste, dass wir investieren und die entsprechenden Mittel bereitstellen mussten“, sagt Adams. Sie mussten zudem genauer hinschauen, fügt er hinzu, um das tatsächliche Risiko zu ermitteln und zu entscheiden, wie die Schlüsselkomponenten ausgerichtet werden sollten, um diesem Risiko zu begegnen.
Die Ergebnisse dieser Cyber-Risikoanalyse bildeten die Grundlage für ein neues Sicherheitskonzept und eine Reihe von Programmschwerpunkten für das Geschäftsjahr 2020.
Diese Erkenntnis gilt für Unternehmen aller Branchen. Viele Organisationen verfügen über ein gutes Verständnis der Risiken, denen sie ausgesetzt sind, doch zu viele haben kein formelles System eingerichtet, um diese Risiken zu erkennen und zu überwachen.
So richten Sie ein Programm zur Bewertung von Cyberrisiken ein
Die Risikobewertung beginnt mit der Ermittlung der für Ihr Unternehmen relevanten Risikoindikatoren. Es gibt zahlreiche Indikatoren für Cyberrisiken, die zu berücksichtigen sind (beispielsweise die Anzahl erfolgreicher oder versuchter Cyberangriffe, die Geschwindigkeit und der Zeitplan des Patch-Managements, die Reaktionszeiten bei Cybervorfällen und so weiter). Adams orientierte sich am NIST-Cybersicherheits-Framework (CSF) des Nationalen Instituts für Standards und Technologie ( ) sowie an der Norm ISO 27001 , um eine Reihe von Risikoindikatoren zu entwickeln, die dem Sicherheitsteam dabei halfen, die Risikosituation des Unternehmens in Bezug auf bestimmte Risiken vierteljährlich zu überwachen.
“„Man muss wissen, was man hat, um es verteidigen zu können.“Adams
Adams erläutert beispielsweise, dass der Liquor fünf Funktionen hat: . Davon unterstützt die Funktion „Identifizieren“ Unternehmen dabei, ihre physischen und Software-Assets zu erfassen, um die Grundlage für eine umfassende Asset-Management-Lösung von zu schaffen.
„Die Bestandsverwaltung ist ein wesentlicher Bestandteil jedes Cybersicherheitsprogramms“, sagt Adams. „Man muss wissen, was man hat, um es verteidigen zu können.“ Um dies genauer zu erläutern, machte sich Adams daran, die folgenden Fragen zu beantworten:
- Verfüge ich über ein aussagekräftiges Bestandsverzeichnis der Vermögenswerte unter ?
- Gibt es Lücken?
- Mit welchen Programmen v wird die Software verwaltet, die auf diesen Systemen läuft?
- Wie gehe ich beim Schwachstellenmanagement vor, um diese Elemente auf dem neuesten Stand zu halten?
- Welche Compliance-Verpflichtungen ergeben sich für mich daraus?
„Das ist zwar nur ein einzelnes Beispiel, doch wir müssen uns einen umfassenden Überblick über die Bedrohungslage und die Risikolandschaft verschaffen und diesen dann detailliert aufschlüsseln, um ein maßgeschneidertes Verständnis unserer spezifischen Verpflichtungen gegenüber unseren Kunden zu erlangen“, sagt er. Beide Sichtweisen sind notwendig, da sie Einblicke in zwei unterschiedliche Bereiche gewähren: Bedrohungen, d. h. böswillige Vorfälle, die durch die Ausnutzung von Schwachstellen entstehen, und Risiken, d. h. Verluste oder Schäden, die im Falle eines Cybervorfalls eintreten könnten.
In Zukunft helfen Risikobewertungs-Benchmarks – Messgrößen, die das Umfeld eines Unternehmens mit dem seiner Wettbewerber vergleichen – Herrn Adams und seinem Sicherheitsteam dabei, sicherzustellen, dass alle wichtigen Bereiche abgedeckt sind, und unterstützen sie bei der Priorisierung der Ressourcen. Wichtige Risikoindikatoren liefern die erforderlichen Kennzahlen, um festzustellen, welche Vermögenswerte im Visier stehen, und um etwaige Anomalien zu erkennen. Die Risikoindikatoren werden nach Funktionsbereichen gegliedert und überwacht.
„Wir sind der Ansicht, dass eine erfolgreiche Sicherheitsstrategie sowohl auf führende Sicherheitsrahmenwerke als auch auf eine auf die betrieblichen Gegebenheiten zugeschnittene Risikobewertung zurückgreifen sollte“, sagte Adams. „Durch diese Kombination sind wir in der Lage, unsere Ressourcen, unsere Zeit und unsere Energie optimal einzusetzen und die Sicherheit zu gewährleisten, die unsere Kunden und unser Unternehmen von Zoom erwarten.“
Adams arbeitet zudem eng mit einem dreiköpfigen Ausschuss für Cybersicherheitsrisiken zusammen, der sich aus Mitgliedern des Vorstands des Unternehmens zusammensetzt. Die Einrichtung eines solchen Ausschusses trägt wesentlich dazu bei, die von der US-Börsenaufsichtsbehörde (SEC) in einem neuen Regelwerk , das im vergangenen Jahr vorgeschlagen wurde und nun in die Endphase geht, dargelegten Strategien für eine gute Unternehmensführung umzusetzen. Der Risikoausschuss von Zoom trifft sich vierteljährlich, um die Strategie für das kommende Geschäftsjahr zu erörtern, und Herr Adams nutzt diese Gelegenheit, um die wichtigsten Prioritäten und Ziele für das gesamte Cybersicherheitsprogramm gemäß den NIST- und ISO-Richtlinien vorzustellen.
Der wichtigste (und unerwartete) Vorteil der Cyber-Risikobewertung
Der wohl bedeutendste Vorteil der Cyber-Risikobewertung ist zugleich ihr subtilster: die Fähigkeit, Risiken aufzudecken, von denen Sie gar nicht wussten, dass es sich um Risiken handelt, sagt Adams. So werden Sie auf Probleme aufmerksam gemacht, von deren Existenz Sie andernfalls nichts gewusst hätten. Diese Informationen zur Hand zu haben, bildet die Grundlage für eine robustere und effektivere Cybersicherheitsstrategie. Im Falle von Zoom ermöglichte dies Adams und seinem Sicherheitsteam, ihre Ziele besser zu priorisieren.
„Ich schätze mich sehr glücklich, über ein starkes Sicherheitsteam und Mitarbeiter zu verfügen, die unglaublich talentiert und engagiert sind, ihre Arbeit lieben und darin außergewöhnlich kompetent sind“, sagt Adams. Es ist zudem von Vorteil, dass die oberste Führungsebene, einschließlich des Vorstands, , aufmerksam zuhört; die Entscheidungsträger bei Zoom engagieren sich für die Cybersicherheit, unter anderem durch die Umsetzung von Verbesserungen und die Bereitstellung von Ressourcen.
„Risikofaktoren müssen angemessen berücksichtigt werden“, fügt Adams hinzu. Dazu bedarf es eines strategischen Sicherheitsprogramms und der Einsicht in eine einfache Tatsache: Man kann nicht alles auf einmal lösen. Die Risikobewertung gab Herrn Adams und seinem Team die Richtung vor: Sie deckte ein unerwartetes Problem auf, das durch die Pandemie entstanden war, löste es, indem sie der Organisation half, ihre Sicherheitsprobleme aus einem anderen Blickwinkel zu betrachten, und lieferte eine maßgeschneiderte Strategie sowie einen Fahrplan für die Zukunft.
WEITERE INFORMATIONEN
Lesen Sie weitere exklusive Interviews mit Sicherheitsverantwortlichen in unserer Reihe „Erfolgsgeschichten".
- Joseph Karpenko von Stratascale zum Thema …
– VON DATENVERLETZUNGEN ZUR UNTERNEHMENSSTRATEGIE - Ken Fishkin, der „Datenschutz-Evangelist“ von Lowenstein Sandler, über …
LANGWEILIGE SCHULUNGEN ZUR CYBERSICHERHEIT - Marvel-„Superheld“ Mike Wilkes über …
– EINSATZ VON KI ZUR BEKÄMPFUNG VON CYBERKRIMINALITÄT - „Ash Hunt“ der Apex Group auf…
CYBERRISIKEN (GENAU) MIT DIESER FORMEL VORAUSSAGEN - LA Countys Jeff Aguilar über…
WIE ER MITARBEITER IM KAMPF GEGEN PHISHING SCHULT (UND NACHSCHULT) - Honest Medical Groups Dennis Leber über…
WARUM ER (KAUM) ÜBER CYBERSICHERHEIT MIT DEM VORSTAND SPRICHT - Leo A Dalys Stephen Held über…
DIE KEHRSEITE DES DRITTANBIETER-RISIKOS
