Im Gespräch
Im Falle eines massiven Datenlecks können der Status quo eines Unternehmens – und möglicherweise sogar dessen Existenz – innerhalb von Sekunden zunichte gemacht werden. Orion Hindawi, Mitbegründer und CTO von Tanium, sowie Brad Peterson, Executive Vice President und Chief Information Officer bei Nasdaq, wissen besser als die meisten anderen, dass unzählige Unternehmen am Rande einer vermeidbaren Katastrophe stehen.
Orion und Brad haben sich kürzlich zusammengesetzt, um darüber zu sprechen, welche sechs Fragen ihrer Meinung nach für Vorstandsmitglieder am wichtigsten sind. Im Folgenden finden Sie eine Zusammenfassung ihres Gesprächs.
Frage Nr. 1: Wie hoch sind Ihre Ausgaben für Informationssicherheit? Welcher Prozentsatz Ihrer Ausgaben für Cybersicherheitslösungen entfällt auf etablierte Anbieter und welcher Prozentsatz auf neuere Technologien?
Brad: Ich kann zunächst die Frage bezüglich der Nasdaq beantworten und anschließend meine Überlegungen zu diesem Thema im Allgemeinen darlegen, die auf meinen Gesprächen mit anderen CIOs und CTOs basieren.
Bei uns sind die Ausgaben für Informationssicherheit in den letzten drei Jahren weiter gestiegen, während unsere Gesamtausgaben für Technologie unverändert geblieben sind. Dieser Bereich und die neuen Datentechnologien waren für uns die Wachstumsfelder. Was den Vergleich zwischen etablierten Anbietern und neueren Technologien betrifft, so haben wir eine Reihe neuer Technologien eingeführt, da die Investitionen und Innovationen im Bereich der Informationssicherheitslösungen tatsächlich zu einer beeindruckenden Vielzahl neuer Marktteilnehmer geführt haben. Es gibt nach wie vor umfangreiche Investitionen und zahlreiche Innovationen, doch der Schwerpunkt der Tools hat sich vom Schutz – der als unzureichend angesehen wurde – hin zu schnelleren Erkennungs- und Behebungsfunktionen verlagert. Diese sind sowohl für sie als auch für uns zu einer Priorität geworden.
Der Vektor weist nach wie vor einen Anstieg bei den Ausgaben auf. Vorstandsvorsitzende und Vorstände müssen ihren Führungskräften im Technologiebereich das Gefühl und den Eindruck vermitteln, freie Hand zu haben: „Auf welche Bereiche können Sie verzichten, um im Budget Platz zu schaffen?“ Das war früher ein Trend – dass neue Anbieter Ihre Kosten senken und dass die Technologiekosten sinken können. Bei der Informationssicherheit ist das nicht der Fall. Es stehen zwar weitaus mehr Kapazitäten zur Verfügung, doch die Gesamtausgaben steigen.
Orion: Viele unserer Kunden verfügen über erstklassige Cybersicherheitsabteilungen; ihnen ist bewusst, dass sie gegen neue Bedrohungen kämpfen – wie beispielsweise eine erst ein oder zwei Monate alte Bedrohung, gegen die Antivirenprogramme keine Chance haben. Man kann eine zwei Monate alte Bedrohung nicht mit 20 Jahre alter Technologie bekämpfen.
Frage Nr. 2: Haben Sie die Kosten quantifiziert, die im Falle eines Daten- und/oder IP-Verlusts durch einen Cyberangriff entstehen würden, und haben Sie diese mit Ihren Ausgaben für Cybersicherheit verglichen?
Brad: Es liegen heute zahlreiche Berichte vor, in denen die durchschnittlichen Kosten eines Cyberangriffs beziffert werden. So bezifferte beispielsweise der jüngste von IBM in Auftrag gegebene Bericht die konsolidierten Durchschnittskosten auf 2015 bei 3,8 Millionen Dollar. Es gibt einige Anwaltskanzleien, die sich auf die Unterstützung von Vorständen und Unternehmen spezialisiert haben, bei denen Datenlecks aufgetreten sind, und diese gehen davon aus, dass die Zahl höher ist als die im IBM-Bericht angegebene. So wurde beispielsweise in einem Gesetz der Durchschnittswert mit 7 Millionen Dollar angegeben. Ich bin der Ansicht, dass es hilfreich ist, sich im Vorfeld über die Kosten im Klaren zu sein und einen Dialog mit Ihrem Vorstand zu führen, damit alle Beteiligten in der Lage sind, die richtige Mischung aus Investitionen in die Informationssicherheit, dem erforderlichen Versicherungsumfang und dem Geschäftsrisiko, das das Unternehmen bereit ist einzugehen, zu beurteilen. Die langfristigen Kosten für die Marke oder den Ruf, die durch einen Sicherheitsverstoß entstehen, scheinen am schwierigsten zu quantifizieren und zu modellieren zu sein.
Orion: Bei massiven Datenschutzverletzungen können sich die Kosten aus direkten Ausgaben und dem Imageverlust auf mehrere Milliarden belaufen. Die Quantifizierung erfolgt von Fall zu Fall und erfordert eine gründliche Analyse vom Problem bis zur Lösung – sie hängt von der Art des Unternehmens, dem Umsatz, den Daten usw. ab.
Frage Nr. 3: Wie beurteilen Sie das Risiko des Unternehmens? Wissen Sie, wie viele Endpunkte das Netzwerk umfasst, und wie verwalten Sie diese?
Orion: Es ist überraschend, wie viele CIOs die Frage „Wie viele Endgeräte haben Sie?“ nicht beantworten können. Wenn Sie nicht wissen, was Sie besitzen, haben Sie nicht die geringste Chance, es zu schützen – und es ist die Pflicht eines Vorstands, eine Antwort zu erwarten.
Brad: Orion hat Recht, und neben der Kenntnis der Anzahl der Endpunkte benötigen Sie auch die entsprechenden Tools, um nachvollziehen zu können, was auf diesen Endpunkten vor sich geht. Welche Softwareversionen sind installiert, was ändert sich, was wird hinzugefügt? Um das Risiko einzuschätzen, sollte sich der Vorstand daher davon überzeugen, dass die Geschäftsführung über die erforderlichen Instrumente und das entsprechende Team verfügt, um die sich dynamisch verändernden Endpunkte des Unternehmens zu erfassen und zu überwachen. Der letzte zu bewertende Bereich ist die Fähigkeit des Führungsteams, auf ein sich abzeichnendes Umweltrisiko zu reagieren. Wie schnell kann das Problem behoben werden, sobald eine Sicherheitslücke bekannt ist?
Frage Nr. 4: Wie sieht der Notfallplan des Unternehmens für den Fall eines schwerwiegenden Datenverlusts aus?
Orion: Die besten Cybersicherheitsteams bauen die Fähigkeit auf, intern auf Bedrohungen zu reagieren, anstatt einen externen Partner hinzuzuziehen. Wenn Sie einen externen Partner hinzuziehen, entbinden Sie sich im Grunde genommen von Ihrer Verantwortung. Und bei einem groß angelegten Sicherheitsvorfall haben Sie keine Kontrolle über die Ressourcen, wenn Sie externe Dienstleister einsetzen. Interne Reaktionsfähigkeit ist mittlerweile tatsächlich eine Kernkompetenz und nicht mehr nur ein nettes Extra.
Brad: Wir wickeln die Bearbeitung in erster Linie mit internen Ressourcen ab. Meiner Meinung nach sind externe Anbieter eine wertvolle Ressource, wenn Sie ein Unternehmen erwerben – Sie benötigen Unterstützung, um die Risiken einer potenziellen Übernahme schnell einzuschätzen. Andernfalls müssen Sie darauf achten, dass Sie sich nicht zu sehr auf Außenstehende verlassen, weil Sie glauben, besser geschützt zu sein, als Sie es tatsächlich sind. Nasdaq verfügt über ein „ 7.12.“, ein gemeinsam untergebrachtes Sicherheitsoperationszentrum mit einem globalen Netzwerkoperationszentrum.
Frage Nr. 5: Wie sieht unser Versicherungsstatus aus? Sind wir gegen Verluste infolge eines Cyberangriffs versichert? Wie breit ist es?
Orion: Vor drei Jahren hatte noch niemand eine Cyberversicherung.
Brad: Ich bin der Ansicht, dass der Abschluss einer Cyberversicherung eine lohnende Maßnahme für die Geschäftsführung ist, über die sie dem Vorstand Bericht erstatten sollte. Dies ist ein proaktiver Ansatz, der einen konstruktiven Dialog über die potenziellen Kosten eines Datenschutzverstoßes in Gang setzt und ein Unternehmen dazu zwingt, sich über die spezifischen Risiken eines solchen Verstoßes im Klaren zu sein. Wie bei jeder Art von Versicherung können die Höhe der Selbstbeteiligung und die Deckungsbeschränkungen Aufschluss darüber geben, wie die Mittel sinnvoller eingesetzt werden können, beispielsweise für verbesserte Cybersicherheitsmaßnahmen und zusätzliches Personal. Unabhängig davon, ob die Lösung in einem höheren Versicherungsschutz oder in höheren Investitionen in den Bereich der Informationssicherheit liegt, sollte die Bewertung des Umfangs des Versicherungsschutzes ein regelmäßig jährlich stattfindender Prozess sein.
Orion: Ich habe mit vielen Vorstandsvorsitzenden von Banken gesprochen, denen bewusst ist, dass Cybersicherheit die größte Bedrohung für ihr Unternehmen darstellt. Dies kann ein Finanzdienstleistungsunternehmen in den Ruin treiben, und es ist nicht schwer, sich vorzustellen, dass dies geschieht. Es gibt einen gewichtigen existenziellen Grund, warum CEOs besorgt sind.
Es gibt keine perfekte Lösung, sondern nur bessere Lösungen. Sie mögen zwar teuer sein, doch die meisten Unternehmen haben zu wenig investiert und versuchen nun, diesen Rückstand aufzuholen. Wir alle wissen, was wir eigentlich tun sollten. Nicht verwaltete Vermögenswerte, Lagerbestände … das hätten wir eigentlich schon die ganze Zeit tun sollen.
Frage Nr. 6: Ist unser Sicherheitsteam in der Lage, alle erforderlichen Informationen von Dritten zu erhalten? Können sie diese Daten effektiv nutzen, um Bedrohungen zu bewältigen oder zu mindern?
Brad: Wir sind insofern einzigartig, als wir einer Aufsicht unterliegen und als kritische Infrastruktur gelten; daher arbeitet die Nasdaq sehr eng mit staatlichen Partnern wie dem Ministerium für Innere Sicherheit, dem FBI und anderen Regierungsbehörden zusammen. Darüber hinaus abonnieren wir die führenden kommerziellen Benachrichtigungsdienste für Sicherheitslücken, um unsere Informationen zu vervollständigen.
Orion: Diese Frage umfasst zwei sehr wichtige Aspekte: Verfügen Sie über die notwendigen Kontakte, um Daten von den Behörden und aus relevanten Bedrohungsströmen zu erhalten? Und, was ebenso wichtig ist: Verfügen Sie über die notwendigen Werkzeuge, um diese Daten effizient zu nutzen?
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
