Unternehmen sehen sich einer ganzen Reihe existenzieller Bedrohungen gegenüber: feindliche Übernahmen, Abwanderung von Fachkräften, unvorhersehbares Kundenverhalten und Marktschwankungen – allesamt nur allzu bekannte Risiken, auf die Führungskräfte seit Jahrzehnten sorgfältig vorbereitet sind und die sie sorgfältig bewertet haben. Dennoch sind genau diese Führungskräfte oft in besorgniserregender Weise unvorbereitet auf die potenziell verheerendste Bedrohung: einen massiven Datenverlust, der den Verlust von allem bedeuten könnte … und das alles innerhalb weniger Sekunden.
Die Probleme beginnen nicht bei den „Technikern“ in einem Unternehmen, sondern ganz oben beim Vorstand, wie wir erfahren haben, als Nasdaq und Tanium gemeinsam untersuchten, wie Führungskräfte ihre eigene Anfälligkeit im Bereich der Cybersicherheit einschätzen. In der neuen Studie mit dem Titel „The Accountability Gap: Cybersecurity & Building a Culture of Responsibility“ stellten Forscher der Goldsmiths, University of London, eine besorgniserregende Diskrepanz zwischen der vermeintlichen und der tatsächlichen Bereitschaft von Unternehmen im Hinblick auf Datensicherheitsvorfälle sowie einen weit verbreiteten Mangel an Verantwortungsbewusstsein in den Führungsetagen von Organisationen fest. Das bedeutet, dass einige der weltweit größten Netzwerke, in denen einige unserer wertvollsten Daten gespeichert sind, anfälliger sind, als ihre Verantwortlichen glauben.
Im Rahmen der Studie wurden 1 530 nicht geschäftsführende Verwaltungsratsmitglieder (NEDs), Führungskräfte der obersten Ebene, Chief Information Officers (CIOs) und Chief Information Security Officers (CISOs) in den Vereinigten Staaten, im Vereinigten Königreich, in Deutschland, Japan, Dänemark, Norwegen, Schweden und Finnland befragt. Sie stellten fest, dass unter den am stärksten gefährdeten Unternehmen 98 % der Führungskräfte nicht davon überzeugt sind, dass ihre Organisation alle Geräte und Nutzer jederzeit überwachen kann, was bedeutet, dass Informationen über unbekannte Wege übertragen werden.
Zudem konnten 90 % der Befragten als mittleres bis hohes Risiko für einen Cybersicherheitsvorfall eingestuft werden, und 40 % der Befragten gaben zu, dass sie sich nicht für die Folgen eines Cyberangriffs verantwortlich fühlten. Solange das Bewusstsein für Cybersicherheit und die entsprechende Vorsorge nicht sowohl von den Vorstandsmitgliedern als auch von den Führungskräften verstanden und offen kommuniziert werden – und alle Mitarbeiter nicht über ihre persönliche Verantwortung aufgeklärt werden –, ist es ein zu großes Unterfangen, die Kluft zwischen Ihrer tatsächlichen Anfälligkeit und der von Ihnen eingeschätzten Anfälligkeit zu schließen.
Die Informationssicherheit entwickelt sich für die „Global 2000 “-Unternehmen rasch zum wichtigsten Bereich der IT-Ausgaben. Laut PwC stiegen die Ausgaben für Informationssicherheit um durchschnittlich 24 % von 2014 auf 2015. Leider hat es die Sicherheitsbranche versäumt, mit der Entwicklung der Cyberkriminalität Schritt zu halten, und die meisten Unternehmen nutzen Technologien, die seit Jahrzehnten nicht mehr aktualisiert wurden, um ihre sensibelsten Daten zu schützen.
Aus derselben Studie ging hervor, dass die Zahl der Vorfälle im Zusammenhang mit Datenschutzverletzungen die Ausgaben übertraf und im vergangenen Jahr weltweit um 38 % zunahm. Warum? Denn wir haben erkannt, dass Cybersicherheit nicht lediglich ein technologisches Problem ist. Zwar sind die richtigen Tools und Maßnahmen zur Cyber-Hygiene von entscheidender Bedeutung für die Gewährleistung einer angemessenen Sicherheitslage, doch stellen sie nur einen Teil des Ganzen dar. Wenn sich die Personen, die für den Schutz der Daten einer Organisation verantwortlich sind, nicht verantwortlich fühlen – oder einfach nicht wissen, wie sie diese Verantwortung wahrnehmen sollen –, ist das Unternehmen weiterhin einem hohen Risiko ausgesetzt.
Es gibt jedoch Grund zum Optimismus. Neue Technologien lösen nicht nur die Probleme hinsichtlich Latenz und Skalierbarkeit herkömmlicher Sicherheitstools; dieser Bericht nennt zudem mehrere Maßnahmen, die alle Organisationen in Betracht ziehen können, um einen konstruktiven Dialog – vom Vorstand über die Führungsetage bis hin zu den Mitarbeitern – anzustoßen, um Schwachstellen zu reduzieren und letztendlich die Lücke in der Rechenschaftspflicht zu schließen. Hier sind zwei Beispiele, die Sie in Betracht ziehen sollten:
Schaffen Sie eine Kultur der Offenheit: Schulen Sie den Vorstand und stärken Sie dessen Handlungsfähigkeit
Die meisten Vorstandsmitglieder sind keine Technologen, und noch weniger verfügen über einen Hintergrund im Bereich Cybersicherheit. 91 % der Vorstandsmitglieder der am stärksten gefährdeten befragten Unternehmen sind nicht in der Lage, einen Bericht zur Cybersicherheit zu interpretieren. Die Vorstandsmitglieder müssen jedoch wissen, welche Fragen sie stellen müssen, um die Anfälligkeit eines Unternehmens einzuschätzen – genauso wie sie Fragen zu finanziellen Belangen stellen. In vielen Fällen sollten bestimmte Vorstandsmitglieder, die für die Cybersicherheit zuständig sind, umfassend geschult werden, damit sie mit der Fachsprache und den Auswirkungen der ihnen vorgelegten Daten vertraut sind. Im Vorstand der Nasdaq sind mehrere Mitglieder vertreten, die über fundierte Kenntnisse darüber verfügen, was Sicherheit im Zusammenhang mit der Führung eines Technologieunternehmens bedeutet und welche Auswirkungen Sicherheitsvorfälle auf die Finanzmärkte haben könnten._._
Es ist wichtig, ein Umfeld transparenter Kommunikation zu schaffen, in dem offen über Cybersicherheit gesprochen werden kann. Arbeiten Sie eng mit Regierungen, Nichtregierungsorganisationen und Kollegen zusammen, um die neuesten Sicherheitsbedrohungen zu verstehen und Wege der Zusammenarbeit zu finden, um Krisen zu bewältigen. Die Untersuchung zeigt, dass wir zu einer Kultur der Offenheit übergehen müssen: einer Kultur, die auf Transparenz und größtmögliche Sichtbarkeit abzielt. Geben Sie zu, dass Hacking unvermeidbar ist, Sicherheitsverletzungen jedoch nicht. Wirkungsvolle Notfallpläne, auf die jeweilige Unternehmensebene zugeschnittene Mitarbeiterschulungen sowie die Förderung von Wissen und Informationsaustausch sind entscheidende Faktoren für die Stärkung der Cybersicherheit. Insbesondere sollten sich Unternehmen darauf konzentrieren, den Informationsfluss innerhalb der gesamten Organisation (einschließlich des Vorstands) zu verbessern und Informationen auch nach außen weiterzugeben. Das bedeutet, dass wir uns aktiv in zahlreichen Branchenkonsortien engagieren, da diese alle dasselbe Ziel verfolgen.
Schaffen Sie eine Kultur der Wachsamkeit: Erkennen Sie an, dass Cybersicherheit eine grundlegende Bedrohung für das Unternehmen darstellt
Wenn eine umfassende Aufklärung über die negativen Auswirkungen von Cybersicherheitsrisiken der erste Schritt ist, dann ist eine ehrliche Bestandsaufnahme der Technologien, die Sie zum Schutz und zum Betrieb Ihres Unternehmens einsetzen, der zweite Schritt. Präventionsorientierte Sicherheitsstrategien sind auf öffentlicher Ebene gescheitert. Menschen, Prozesse und Technologie sind die Eckpfeiler einer Kultur der Wachsamkeit und – bei ganzheitlicher Betrachtung – der Schlüssel dazu, den Angreifern immer einen Schritt voraus zu sein. Tatsächlich handelt es sich bei den meisten modernen Sicherheitstools lediglich um abstrahierte Versionen ihrer Vorgänger aus den letzten zwei bis drei Jahrzehnten. Ihnen fehlt die Fähigkeit, grundlegende Fragen wie „Wie viele Geräte befinden sich in meinem Netzwerk?“ zu beantworten. oder „Welche Anwendungen verursachen die meisten Sicherheitslücken?“ Es mag im Kern vielleicht etwas vereinfacht klingen, doch ein Unternehmen kann nicht schützen, was es nicht sehen kann.
Kris McConkey, bei PwC verantwortlich für Cyber- und Insider-Bedrohungsanalysen, Erkennung und Incident Response, erklärte uns: „Eines der Manko der Sicherheitsbranche – oder vielmehr der Branche insgesamt – besteht darin, dass wir im Grunde dieselben Geschäftsprozesse anwenden, die wir bereits seit 20-30 Jahren nutzen, und versuchen, immer mehr Technologieebenen darüber zu stülpen, um alle Lücken zu schließen.“
Wir leben in einer spannenden Zeit, in der wir internetfähige Geräte nutzen, um direkt mit Unternehmen, Behörden, einander und der Welt um uns herum in Verbindung zu treten. Dadurch sind wir in der Lage, Probleme schneller zu lösen und ein längeres, glücklicheres Leben zu führen. Cyberangriffe stellen eine existenzielle Bedrohung für diese Lebensweise dar, und wir müssen sicherstellen, dass die richtigen Personen, Prozesse und Technologien vorhanden sind, um unsere sensibelsten Daten zu schützen. Nun ist es an der Zeit, dass Führungskräfte in allen Organisationen persönliche Verantwortung übernehmen und eine aktivere Rolle spielen.
Orion Hindawi, Mitbegründer und Geschäftsführer von Tanium
Lou Modano, Senior Vice President, CISO und globaler Leiter des Bereichs Infrastructure Services bei Nasdaq
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
