„Man muss nicht unbedingt zu den jüngsten, viel beachteten Unternehmensopfern eines Cyberangriffs gehören, um zu erkennen, dass Cyberangriffe eine eindeutige und unmittelbare Gefahr darstellen.“
So begann Will Brandon, Chief Information Security Officer der Bank of England, seine Rede „ “ () unter dem Titel „ “ (öffnet in einem neuen Tab) () () ( ) auf der kürzlich stattgefundenen „ “-Konferenz () „City Week“ ( ) (öffnet in einem neuen Tab) () (). Brandon, der mit der Beratung des britischen Finanzsektors in Fragen der Cyberkriminalität betraut ist, könnte nicht mehr Recht haben. Obwohl sich Unternehmen der ernsthaften Bedrohung durch Cyberangriffe stärker denn je bewusst sind, unternehmen sie nicht genug, um sich selbst und ihre Kunden zu schützen.
Die Sicherheit einer Organisation darf nicht allein in der Verantwortung der IT-Abteilung liegen
Für diesen Mangel an Führungsstärke gibt es keine Entschuldigungen. Die Sicherheit der Systeme und Daten eines Unternehmens darf nicht allein in der Verantwortung des technischen Personals liegen. Selbst wenn Cyberbedrohungen, wie Brandon andeutet, „unklar“ sind und die „Täter auffallend fehlen“, müssen die Treuepflichten der Vorstandsmitglieder die Kenntnis aller möglichen Bedrohungen umfassen.
Dennoch tun sich viele Vorstände nach wie vor schwer damit, Cyberrisiken zu verstehen und letztendlich ihre Risikobereitschaft in diesem Bereich festzulegen. Unsere eigene Studie „ “, die in Zusammenarbeit mit der NASDAQ und dem Goldsmiths College der University of London durchgeführt wurde, hat ergeben, dass lediglich 10 % der nicht geschäftsführenden Vorstandsmitglieder aus besonders gefährdeten Unternehmen der Aussage zustimmen, dass sie regelmäßig über die für ihr Unternehmen relevanten Arten von Bedrohungen für die Cybersicherheit informiert werden. Im Vereinigten Königreich haben lediglich 29 % der am stärksten gefährdeten Führungskräfte der obersten Ebene Risikobewertungen im Zusammenhang mit der Cybersicherheit durchlaufen – weltweit sinkt dieser Anteil auf 13 %.
In diesem Jahr haben wir eine Reihe von vielbeachteten Hackerangriffen erlebt, die die Schlagzeilen beherrscht haben, und davon sind nicht nur Unternehmen betroffen. Auch ganze Länder sind davon betroffen, darunter die Ukraine, deren Stromnetz angegriffen wurde, und die Philippinen, die Anfang des Jahres große Teile ihrer Wählerdaten verloren haben. Für Unternehmen lässt sich jedoch leicht vorstellen, in welchem Umfang Reputations- und finanzielle Schäden hätten vermieden werden können, wenn sich die Führungskräfte der Organisation der Bedrohungen stärker bewusst gewesen wären oder über klare und konsistente Daten verfügt hätten, um ihre Risikobereitschaft im Hinblick auf diese Risiken zu bewerten. Rückgänge beim Gewinn vor Steuern, explodierende Sonderaufwendungen, öffentliche Blamage und zahlreiche unzufriedene Kunden – all dies hätte möglicherweise vermieden werden können.
Abwägung von Cyberrisiken gegenüber anderen Risiken
„Wie wägen Sie also Cyberrisiken gegenüber anderen Risiken ab?“ fragte Brandon. „Ich nehme an, als Erstes muss man es quantifizieren, zumindest soweit dies möglich ist. Dies kann Bewertungen oder Prüfungen beinhalten, beginnt jedoch wahrscheinlich damit, zu klären, wer welche Rolle in Bezug auf welchen Teil Ihres Nachlasses übernehmen könnte. Oder, um es anders auszudrücken: das Risiko in Bedrohungen, Schwachstellen und Ressourcen aufzuschlüsseln.“
Joan Conley, Senior Vice President und Corporate Secretary bei Nasdaq, , rät Unternehmen , dass „der Vorstand bei der Festlegung der Risikobereitschaft seine geschäftlichen Ziele definieren und alle Risiken verstehen sollte, einschließlich rechtlicher, operativer, wettbewerbsbezogener und reputationsbezogener Risiken, die sich auf diese Ziele auswirken könnten.“ Erst dann kann der Vorstand die wünschenswerten Risikoniveaus festlegen. „Anschließend müssen sie sich weiterhin ein Bild von der Wahrscheinlichkeit und den Auswirkungen der wichtigsten Risiken im gesamten Unternehmen machen – und darauf achten, dass die Geschäftsleitung weiterhin im Rahmen der festgelegten Risikobereitschaft handelt.“
Erstellung eines Plans zur Reaktion auf Vorfälle
Unabhängig von der Risikobereitschaft kann jedes Unternehmen Risiken minimieren, indem es grundlegende Maßnahmen der Sicherheitshygiene befolgt und über einen erprobten Plan zur Reaktion auf Sicherheitsvorfälle verfügt. Die Vorstände müssen zudem Fragen stellen, um sicherzustellen, dass die Unternehmensleitung die Cybersicherheit als Teil des gesamten Geschäftsbetriebs berücksichtigt:
- Wie hoch ist das Cyberrisiko des Unternehmens, und welche Quellen und Arten sensibler Daten fließen in diese Einschätzung ein?
- Hat das Unternehmen eine grundlegende Bewertung der Cyberrisiken erstellt, und gibt es einen fortlaufenden Prozess, um die Fortschritte im Laufe der Zeit zu erfassen?
- Gibt es einen Plan für die Reaktion auf Cyberangriffe oder einen Krisenmanagementplan?
- Welche Informationen werden dem Vorstand in Bezug auf Cyberrisiken übermittelt – gibt es ein regelmäßiges Verfahren zur Überprüfung des aktuellen Stands gemeinsam mit dem CIO auf der Ebene eines Vorstandsausschusses?
- Sollten wir innerhalb des Prüfungsausschusses einen leitenden Direktor ernennen, die Satzung des Prüfungsausschusses formell um das Thema Cyberrisiken erweitern oder wird unser Cyberrisiko als so hoch eingestuft, dass die Einrichtung eines separaten, ständigen Ausschusses für Cyberrisiken erforderlich ist?
- Wie hoch sind die Kosten für das Cyber-Risikomanagement im Vergleich zu den Kosten einer Datenpanne – haben wir uns mit Datenpannen in unserer Branche befasst, um zu verstehen, wie hoch die Gesamtkosten einer solchen Panne sind?
- Sollte das Unternehmen den Abschluss einer Cybersicherheitsversicherung oder den Einsatz anderer neuer Sicherheitstechnologien in Betracht ziehen, um Risiken und Kosten zu minimieren?
Sobald ein gemeinsamer Satz von Kennzahlen definiert ist, können die IT- und Sicherheitsverantwortlichen gemeinsam mit anderen Führungskräften und Mitgliedern der Unternehmensführung die Risikobereitschaft des Unternehmens festlegen.
Cyberkriminalität stellt ein ernstes und komplexes Risiko dar. Wenn sich die Unternehmensführung die Zeit nimmt, sich der besonderen Herausforderungen bewusst zu werden, denen sich ihr Unternehmen gegenübersieht, lässt sich dieses Risiko mindern. Wie Will Brandon es formulierte: „Menschen müssen geführt werden.“ Prozesse müssen gesteuert werden … Cybersicherheit ist in hohem Maße eine Frage der Führung und des Managements. „Führungskompetenz, die von ganz oben ausgeübt werden muss – nicht nur von der IT-Abteilung.“
Richard Olver, Vizepräsident für die Region EMEA bei Tanium.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
