Datenschutzverletzungen treten in unerbittlichem Tempo auf. Ihr Einfluss auf den Alltag der Menschen sowie auf die Widerstandsfähigkeit der Wirtschaft und die nationale Sicherheit ist mittlerweile unbestreitbar.
Allein in den letzten Monaten haben Cyberkriminelle den weltweit größten Fleischverarbeiter angegriffen und damit große Fleischverarbeitungsbetriebe in den USA lahmgelegt; sie haben die größte Gaspipeline des Landes lahmgelegt und damit Hamsterkäufe ausgelöst; und sie haben im Rahmen des größten Cyberangriffs in der Geschichte der USA in 300 Unternehmen und neun Bundesbehörden eingedrungen. (Siehe SolarWinds- -Angriff)
Für Unternehmen und Behörden geht es nicht mehr nur darum, Kreditkartennummern und andere personenbezogene Daten zu schützen. Es geht darum, die wirtschaftlichen Interessen des Landes zu schützen und – was vielleicht noch wichtiger ist – die Funktionsfähigkeit der Gesellschaft zu gewährleisten.
Viele der vielbeachteten Angriffe unter hätten das Potenzial gehabt, den „Wirtschaftsmotor“ des Landes schwer zu schädigen, so Maggie Wilderotter, ehemalige Geschäftsführerin von Frontier Communications und Vorstandsmitglied mehrerer Technologieunternehmen. Die Bedrohung ist so gravierend, dass das Weiße Haus am 2. Juni unter einen offenen Brief an „Führungskräfte und Wirtschaftsführer“ richtete, in dem es ihnen eine „entscheidende Verantwortung“ für die Stärkung der Cyber-Resilienz des Landes zuschrieb und gleichzeitig darauf hinwies, dass „kein Unternehmen [vor Ransomware] sicher ist, unabhängig von seiner Größe oder seinem Standort“.
Unternehmen, die so handeln, als würden ihre Abwehrmaßnahmen allein bereits für ihre Sicherheit sorgen, gehen jedoch ein größeres Risiko ein, als ihnen bewusst ist. Irgendwann werden Angreifer Erfolg haben. (Bedenken Sie, dass Cyberangriffe seit Beginn der Pandemie um 600 % zugenommen haben.)
Betroffene Unternehmen könnten feststellen, dass ihre Kerngeschäftsprozesse durch einen Angriff mit der Ransomware „ “ lahmgelegt werden. Diese Angriffe haben nicht nur negative Auswirkungen auf den Ruf eines Unternehmens, sondern auch auf dessen Geschäftsergebnis: Unternehmen geben durchschnittlich 3,86 Millionen Dollar aus, um die Folgen eines Datenlecks zu begrenzen.
Unternehmen müssen von einer rein defensiven Haltung dazu übergehen, sich auf einen erfolgreichen Angriff vorzubereiten und den Schaden zu begrenzen. Hier sind fünf Möglichkeiten, wie Sie dies erreichen können.
Schulen und vorbereiten
Sie möchten sich nicht erst mit der Reaktion auf Sicherheitsvorfälle befassen, während Sie gerade dabei sind, auf einen Sicherheitsvorfall zu reagieren. Das klingt zwar selbstverständlich, doch viele Unternehmen treffen keine entsprechenden Vorkehrungen. „Ihr Team muss bereit sein und genau wissen, was es zu tun hat“, sagt Fernando Montenegro, leitender Analyst im Team für Unternehmenssicherheit bei 451 Research, einem Unternehmen von S&P Global Market Intelligence.
“„Ihr Team muss bereit sein und genau wissen, was es zu tun hat.“Fernando Montenegro, Sicherheitsanalyst bei 451 Research
„Ich meine damit nicht, dass man theoretisch weiß, was sie tun sollten , falls etwas passieren sollte“, fügt er hinzu. „Ich meine damit, genau zu verstehen, was sie je nach der konkreten Situation tun müssen.“
Das bedeutet, dass man sich mit Menschen, Prozessen und Technologien befassen muss. Montenegro empfiehlt, zunächst die Personen zu ermitteln, die im Falle eines Vorfalls benachrichtigt werden müssen.
“Who do you call at 3 in the morning to escalate something about a particular application?” sagt er. „Oder wen rufen Sie an, wenn Sie die Hauptansprechpartner nicht erreichen können?“
Wenn man diese Personen bereits während der Schulung einbezieht, entstehen wichtige Beziehungen und ein gemeinsames Verständnis dafür, was zu tun ist, wer dafür zuständig ist und wie es umgesetzt werden soll. Neben den Bereichen Sicherheit und IT können zu den Krisenteams auch Mitarbeiter aus den Bereichen Personalwesen, Öffentlichkeitsarbeit, Rechtsabteilung, Produktentwicklung sowie interne und externe Kommunikation gehören.
[Lesen Sie auch: Die Ransomware-Krise in den USA lässt sich lösen]
Montenegro empfiehlt, dass Incident-Response-Teams Übungen durchführen, etwa einmal pro Quartal. Durch die Durchführung von Übungen können Sicherheitsteams Lücken oder veraltete Vorgaben in ihren Strategien zur Reaktion auf Vorfälle aufdecken und so das Selbstvertrauen sowie die Reaktionsgeschwindigkeit des Teams steigern.
„Sie sollten sicherstellen, dass Sie auf dem neuesten Stand sind und nicht alte Reaktionsleitfäden aus einem virtuellen Regal hervorholen, das seit einem Jahr nicht mehr angerührt wurde“, sagt er.
Situationsbewusstsein schaffen
Um eine schnelle Reaktion auf Vorfälle zu gewährleisten, müssen Unternehmen ständig nach Anzeichen dafür Ausschau halten, dass Hacker oder Schadsoftware ihr System kompromittiert haben. Sie möchten nicht erst von einem betroffenen Partner oder Kunden, von den Strafverfolgungsbehörden oder durch einen plötzlich von Ransomware verschlüsselten Servercluster von einer Sicherheitsverletzung erfahren.
„Sobald ein Angreifer mit Zugangsdaten oder einer Umgehung der Multi-Faktor-Authentifizierung operiert, sind Sie kompromittiert“, sagt Gal Shpantzer, Gründer der Beratungsfirma für virtuelle CISO-Dienstleistungen Security Outliers.
“„Sicherheitsteams benötigen Prozesse, mit denen sich neue Kommunikationsverbindungen zwischen Computergeräten erkennen und feststellen lässt, ob diese dort zulässig sind.“
Um Sicherheitsverletzungen frühzeitig zu erkennen, benötigen Sicherheitsteams Prozesse, mit denen sich neue Anzeichen von Malware, die auf Computergeräte oder andere Endpunkte gelangen, erkennen lassen und festgestellt werden kann, ob diese dort hingehören. „Man sollte nach ungewöhnlicher Kommunikation zwischen Desktops Ausschau halten oder nach Servern, die versuchen, andere Server über seltsame oder neue Protokolle zu erreichen, oder auf eine Weise, die neue Verbindungen im Netzwerk herstellt“, sagt Shpantzer.
Sie möchten Endpunkt-Sicherheitstools mit umfassenden Funktionen, wie beispielsweise Systemen zur Erkennung von Eindringlingen und Anomalien, einrichten, die ungewöhnliche Aktivitäten so schnell wie vernünftigerweise möglich erkennen. „Neuheiten in der Kommunikation und Neuheiten in den Binärdaten sind wichtige Anhaltspunkte“, sagt Shpantzer.
Die Auswirkungen auf das Geschäft verstehen
Wenn sich ein Sicherheitsvorfall tatsächlich ereignet, versäumen es die meisten Unternehmen, die geschäftlichen Auswirkungen dieses Vorfalls zu erfassen. Doch jeder Vorfall führt in gewissem Maße zu einer Betriebsstörung.
„Der entscheidende Faktor ist, inwieweit dies den Geschäftsbetrieb beeinträchtigt“, sagt David Elfering, Leiter der Abteilung für Informationssicherheit bei ReSource Pro. Die Eskalation eines Vorfalls von einem Service-Desk-Anliegen zu einem Fall, der eine Reaktion auf höherer Ebene erfordert, sei ein Prozess, der „in den meisten Unternehmen grundlegend nicht funktioniert“, sagt er.
“„Die Eskalation von einem Service-Desk-Anliegen zu einem Fall, der eine Reaktion auf höherer Ebene erfordert, ist ein Prozess, der in den meisten Unternehmen nicht ordnungsgemäß funktioniert.“David Elfering, Leiter der Abteilung für Informationssicherheit bei ReSource Pro
Das liegt daran, dass die meisten Unternehmen keine Bestandsaufnahme ihrer Kernprozesse vorgenommen haben. Das bedeutet, dass sie den Wert ihrer Prozesse nicht kennen. Daher können sie keine tatsächliche Kritikalität zuweisen. Wenn die IT-Abteilung also etwas als kritisch oder als geringes Risiko einstuft, „raten sie oft nur“, so Elfering.
Um die Auswirkungen von Cybervorfällen besser zu verstehen, müssen Unternehmen davon absehen, ihre IT-Umgebungen von unten nach oben zu bewerten. Anstatt aufzuzählen, wie IT-Systeme das Geschäft unterstützen, ist es besser, ganz oben anzufangen, sagt Montenegro.
„Ermitteln Sie Ihre wichtigsten Geschäftsprozesse und ermitteln Sie die Technologie, die deren reibungslosen Ablauf gewährleistet“, sagt er. „Dies trägt dazu bei, die Entscheidung, welche Vorfälle für die wichtigsten Geschäftsabläufe kritisch sind, aus wertorientierter Sicht einfach zu halten.“
Nutzen Sie die Vorteile des Remote-Sicherheitsoperationszentrums (SOC)
Viele Sicherheitsteams in Unternehmen haben während der Pandemie begonnen, im Homeoffice zu arbeiten. Da Unternehmen mit einem Mangel an Fachkräften im Sicherheitsbereich konfrontiert sind, erkennen sie mittlerweile die Vorteile von Remote- , da sie dadurch auf einen geografisch breit gefächerten Bewerberpool zurückgreifen können.
„In der Regel arbeiteten SOC-Mitarbeiter in einer physischen Umgebung, in der überall Bildschirme standen und alle auf Warnmeldungen schauten“, sagt Scott Crawford, Leiter der Informationssicherheitsforschung bei 451 Research. „Wir haben festgestellt, dass Analysten von jedem beliebigen Ort aus Konsolen überwachen und dabei zusammenarbeiten können.“
Diese Form der Telearbeit spricht zudem viele Arbeitnehmer an, die lieber dort leben möchten, wo sie möchten, und die Kosten sowie den Aufwand des Pendelns zum Büro vermeiden möchten.
„Dadurch wird es wesentlich einfacher, das Sicherheits-Know-how zu erhalten, das Sie benötigen, um effektiv auf Vorfälle zu reagieren“, sagt Crawford.
Automatisieren Sie dort, wo es sinnvoll ist
Wenn es um die Erfassung von Daten und die Auswertung von Protokollen geht, gibt es zahlreiche Prozesse, die automatisiert werden können und sollten. „Man möchte so viel wie möglich automatisieren“, sagt Shpantzer. „Sie können Playbooks erstellen, die das Drücken eines großen roten Knopfes vorsehen, wodurch eine Reihe von Indikatoren für Kompromittierung (IOC) hochgeladen wird, und Ihre Protokolle durchsuchen, um jeden Rechner zu finden, der mit den IOC in Berührung gekommen ist, sowie jede URL einzusehen, die der DNS-Proxy protokolliert.“
[Lesen Sie auch: Warum Sicherheit und Automatisierung untrennbar miteinander verbunden sind]
Sie möchten diese Arbeit weniger manuell gestalten, insbesondere wenn jemand diese Aufgabe wiederholt ausführt. Die Automatisierung ist nicht nur schneller, sondern verringert auch das Risiko manueller menschlicher Fehler. Dies sei entscheidend, so Shpantzer, in der stressigen Situation eines laufenden Vorfalls. Es ist zudem von entscheidender Bedeutung, festzulegen, wie lange Protokolle aufbewahrt werden sollen. Viele Angriffe erstrecken sich über Wochen oder sogar Monate; daher müssen Sie festlegen, wo die Protokolle gespeichert werden sollen, und anschließend einen Arbeitsablauf erstellen, um bei Bedarf schnell darauf zugreifen und sie auswerten zu können.
„Man möchte in der Lage sein, auf eine Schaltfläche zu klicken und diese Protokolle abzurufen oder auf Schaltflächen zu klicken, die eindeutig mit den entsprechenden Daten beschriftet sind“, sagt Shpantzer. Dazu könnten Bezeichnungen wie „Eingabetabelle mit IOCs für DNS“, „Eingabetabelle mit IP-Adressen“ und „Eingabetabellen mit Hash-Werten“ gehören.
Mit diesen, so sagt er, werde die Endpunkt-Erkennungs- und Reaktionsplattform „ “ ( ) alles zusammenführen. „Auf diese Weise können Sie schnell einen Überblick darüber gewinnen, was passiert ist, wo es passiert ist und was davon betroffen war“, sagt er.
Zwar sind Datenlecks so gut wie unvermeidlich – es ist keine Frage des „ob“, sondern des „wann“ –, doch können wir zumindest Maßnahmen ergreifen, um sie so lange wie möglich zu verhindern, und dann darauf vorbereitet sein, sicherzustellen, dass die Auswirkungen minimal sind, wenn sie doch einmal auftreten.