Am 9. März 2022 hat die Securities and Exchange Commission die Vorstandsvorsitzenden und die Vorstände börsennotierter Unternehmen in Kenntnis gesetzt. Die Anleger, so hieß es, hätten das Recht zu erfahren, ob Unternehmen auf Cyberangriffe vorbereitet seien.
Dementsprechend schlug die Behörde regulatorische Änderungen in den Bereichen Cyber-Risikomanagement, Cyber-Governance und Meldung von Cybervorfällen vor. Die vorgeschlagenen Vorschriften werden die Rechenschaftspflicht von Unternehmen im Hinblick auf Cyberrisiken verstärken – vom Vorstand über die Führungsetage bis hinunter in die unteren Ebenen. „Heutzutage stellt die Cybersicherheit ein aufkommendes Risiko dar, mit dem sich öffentliche Emittenten zunehmend auseinandersetzen müssen“, erklärte SEC-Vorsitzender Gary Gensler. „Anleger möchten mehr darüber erfahren, wie Emittenten mit diesen zunehmenden Risiken umgehen.“
Da Cyberangriffe durch Nationalstaaten eine allgegenwärtige Bedrohung darstellen und die Ransomware „ “ mittlerweile zum Alltag gehört, haben sich Unternehmen weltweit verständlicherweise auf das Schlimmste vorbereitet. Aber sind sie darauf vorbereitet?
Für viele lautet die eindeutige Antwort „Nein“. Just 46% of organizations say they have a cybersecurity incident response plan (IRP) in place to identify, respond to, and recover from specific types of cyberattacks, and only 26% of organizations have an IRP that’s applied consistently across the enterprise, according to a 2021 report from IBM Security.
„Ransomware und andere Cyberangriffe betreffen sowohl kleine als auch große Branchen, und wir beobachten einen Anstieg sowohl bei der Anzahl als auch bei den möglichen Auswirkungen dieser Cyberangriffe“, sagt Erin Bajema, Managing Associate und Leiterin des Bereichs Cybersicherheit bei Hagerty Consulting. „Unternehmen müssen davon ausgehen, dass sie von einem Cyberangriff betroffen sein werden, und sicherstellen, dass sie für den Fall der Fälle über einen Plan verfügen.“
Zwar sind die IT- und Sicherheitsteams für die technischen Details der Reaktion auf Vorfälle im Zusammenhang mit „ “ () verantwortlich, doch müssen der Vorstandsvorsitzende und andere Mitglieder der obersten Führungsebene eine aktive Rolle übernehmen. Das Problem: Viele Führungskräfte verstehen nicht, welche Rolle sie spielen sollten, so Quentin Hodgson, leitender Forscher für internationale Angelegenheiten und Verteidigung mit den Schwerpunkten Cybersicherheit und Risikomanagement bei der Rand Corporation.
„Die Führungskräfte wissen zwar, wofür sie im Tagesgeschäft verantwortlich sind, doch möglicherweise ist ihnen nicht klar, wer bei einem Cybervorfall für Entscheidungen und Maßnahmen zuständig ist“, sagt Hodgson. Aus diesem Grund ist es unerlässlich, einen Plan zur Reaktion auf Vorfälle zu erstellen – und die Führungsspitze darüber auf dem Laufenden zu halten. „Wenn kein bewährter Plan vorliegt, wird es in einer ohnehin schon stressigen Situation zu großem Chaos kommen.“
Ein guter Plan umfasst fünf Elemente. Diese Elemente stimmen laut der IEEE Computer Society mit den Hauptphasen der „ “ im Bereich der Vorfallreaktion überein: Vorbereitung, Identifizierung, Eindämmung und Beseitigung, Wiederherstellung sowie gewonnene Erkenntnisse.
1. Bereiten Sie Ihre Mitarbeiter und Prozesse auf die Reaktion auf Sicherheitsvorfälle vor
Die Vorbereitung ist laut IEEE die entscheidende Phase der Reaktion auf Vorfälle, da sie den Maßstab dafür setzt, wie gut eine Organisation auf eine Krise reagiert. Um sich auf einen Cyberangriff vorzubereiten, sollte das Computer Security Incident Response Team (CSIRT) – das sich in der Regel aus Mitarbeitern der Sicherheits- und IT-Abteilungen sowie aus Vertretern der Personalabteilung, der Öffentlichkeitsarbeit, der Rechtsabteilung und der Geschäftsführung zusammensetzt – die bestehenden Sicherheitsrichtlinien und -instrumente überprüfen und eine „ “-Risikobewertung durchführen, um festzustellen, welche Schwachstellen noch bestehen, wie wahrscheinlich es ist, dass diese Schwachstellen ausgenutzt werden könnten, und wie leicht sich die Schwachstellen erkennen lassen.
„“Wenn Sie die Beteiligten in die Vorsorge einbinden, schaffen Sie die Voraussetzungen für Ihren Erfolg.“Erin Bajema, geschäftsführende Partnerin und Leiterin des Bereichs Cybersicherheit bei Hagerty Consulting
Geschäftsführer und Führungskräfte sollten ihre möglichen Bedenken darlegen und einige der zugrunde liegenden Annahmen in ihrem Reaktionsplan hinterfragen, so Hodgson. Dazu könnte gehören, zu hinterfragen, welche Ressourcen im Falle eines Cyberangriffs tatsächlich zur Verfügung stehen und inwieweit die Organisation sowie bestimmte Personen in der Lage sind, die erforderlichen Maßnahmen zur Schadensbegrenzung und -behebung zügig durchzuführen.
Da die Beteiligten möglicherweise nicht auf dem gleichen Stand sind, ist es von entscheidender Bedeutung, dass die Teammitglieder ein erstes Gespräch darüber führen, welche Aufgaben sie im Falle eines möglichen Vorfalls übernehmen wollen, welche Maßnahmen sie unter ergreifen möchten und welche Folgen ihnen am meisten Sorge bereiten.
„Was passiert, wenn Sally im Urlaub ist, wenn sich ein Vorfall ereignet?“ fragt Hodgson. „Wer ist befugt, Entscheidungen zu treffen? Machen wir Annahmen über unsere Fähigkeiten, die sich möglicherweise als falsch erweisen könnten? „Das sind wichtige Fragen, die man stellen sollte, und Gespräche, die man führen sollte, um den Rahmen für die Planung festzulegen.“
Vorstandsvorsitzende sollten sicherstellen, dass IRPs Worst-Case-Szenarien berücksichtigen, rät die US-Behörde für Cybersicherheit und Infrastruktursicherheit ( , Cybersecurity and Infrastructure Security Agency, CISA) . Im Falle eines Eindringens müssen unter Umständen extreme Maßnahmen ergriffen werden, um die wichtigsten Ressourcen einer Organisation zu schützen, wie beispielsweise die Abschaltung bestimmter besonders kritischer Teile des Netzwerks.
Die CISA empfiehlt Unternehmen, die neuesten Leitfäden der US-Regierung zum Thema „ “ () sowie die „Incident and Vulnerability Response Playbooks“ () zu prüfen, die von der CISA Ende letzten Jahres veröffentlicht wurden. Vorstandsvorsitzende und Führungskräfte der obersten Ebene sollten ebenfalls an Simulationsübungen teilnehmen, um sicherzustellen, dass sie mit den Abläufen vertraut sind, nach denen das Unternehmen einen schwerwiegenden Cybervorfall bewältigen wird. Diese Übungen sollten mindestens einmal jährlich durchgeführt werden, fügt Hodgson hinzu.
„Die Reaktion auf Vorfälle und deren Bewältigung verlaufen reibungslos, wenn die Koordinationsabläufe im Vorfeld eingeübt wurden“, sagt Bajema. „Dies bietet Ihnen die Gelegenheit, in einem Umfeld, in dem niemandem die Schuld gegeben wird, zu erkennen, was in den Beziehungen innerhalb der gesamten Organisation gut funktioniert, was Schwierigkeiten bereitet und woran Sie arbeiten müssen. „Wenn Sie die Beteiligten in die Vorsorge einbinden, schaffen Sie die Voraussetzungen für Ihren Erfolg.“
2. Cybervorfälle erkennen und melden
In der Identifizierungsphase legen Organisationen fest, ab wann eine Sicherheitsabweichung als Vorfall zu betrachten ist. Zur Identifizierung eines Vorfalls gehören die Erhebung von Beweismitteln, die Feststellung der Priorität des Vorfalls sowie die Dokumentation aller ergriffenen Maßnahmen. Das CSIRT sollte den geeigneten Zeitpunkt für die Kontaktaufnahme mit den Beteiligten und den relevanten externen Stellen ermitteln.
Der wichtigste Aspekt bei der Planung dieser Phase ist es, zu wissen, wie man den Schweregrad eines Vorfalls einstuft, so Bajema. „Genau wie Hurrikane gibt es auch Cybervorfälle in verschiedenen Schweregraden, je nachdem, wie groß ihre möglichen Auswirkungen sind“, sagt sie. „Cyberangriffe, die nur einen Teil eines Systems betreffen, gelten als weniger schwerwiegend als solche, die die gesamte Cyberinfrastruktur lahmlegen.“ „Geschäftsführer sollten verstehen, was derzeit betroffen ist und was als Nächstes betroffen sein könnte.“
Angesichts der derzeit erhöhten Bedrohungslage empfiehlt die CISA den Vorstandsvorsitzenden, ihre Schwellenwerte für die Meldung von Vorfällen zu senken. Jeder Hinweis auf böswillige Cyberaktivitäten – selbst wenn Sicherheitsmaßnahmen einen Angriff abwehren – sollte der CISA gemeldet werden. (Das 7.12. Operations Center bei der CISA erreichen Sie per E-Mail unter report@cisa.gov oder telefonisch unter der Nummer 888-282-0870; alternativ können Sie sich auch an eine Außenstelle des FBI wenden.) „Durch die Senkung der Schwellenwerte wird sichergestellt, dass wir ein Problem sofort erkennen und dazu beitragen können, weitere Angriffe oder Opfer zu verhindern“, so die Behörde.
Sobald die Führungskräfte den Schweregrad eines Vorfalls ermittelt haben, müssen die Führungskräfte bereit sein, die Rollen und Zuständigkeiten des CSIRT zu erläutern, die erforderlichen Maßnahmen zur „ “ sowie die durchzuführenden Überwachungsmaßnahmen ( ) zu identifizieren, die notwendigen Schritte zur aktiven Eindämmung eines Vorfalls festzulegen, die zu besprechenden Elemente des Informationsmanagements zu ermitteln und die Verantwortung für jeden dieser Punkte klar zuzuweisen, so Bajema.
Die Kerngruppe der Personen, die an der Planung der Gespräche für diese Phase beteiligt sind, kann je nach Organisation und Art des Angriffs unterschiedlich aussehen, so Bajema. Bei einem weniger schwerwiegenden Vorfall sollten Geschäftsführer wahrscheinlich den leitenden IT-Verantwortlichen sowie Personen einbeziehen, die für die Bereiche
, geschäftskritische Abläufe, Personalwesen, Öffentlichkeitsarbeit, Rechtsabteilung und Marketing zuständig sind.
[Auch interessant: Die steigende Notwendigkeit, IT und Sicherheit zu vereinheitlichen]
Geschäftsführer sollten bereit sein, den Dialog zwischen den verschiedenen Gruppen innerhalb der Organisation zu fördern: „Als Führungskraft werden Sie nicht selbst die Software reparieren, sondern dazu beitragen, die verschiedenen Maßnahmen zu koordinieren und die Kommunikation auf allen Ebenen aufrechtzuerhalten“, sagt Bajema,
.
3. Netzwerkinfektionen eindämmen und beseitigen
Nachdem der Vorfall erkannt wurde, muss er eingedämmt werden, um weiteren Schaden zu verhindern. Dann muss es vollständig beseitigt werden, um bestehende Infektionen und alle im System verbliebenen Angreifer zu entfernen. In dieser Phase werden betroffene Teile eines Netzwerks isoliert oder infizierte Geräte außer Betrieb genommen, infizierte Systeme oder Geräte durch unverseuchte Versionen ersetzt und Patches für bereits ausgenutzte und neu entdeckte Sicherheitslücken installiert. Diese Verantwortung liegt größtenteils bei den Cybersicherheits- und IT-Teams.
„“Oft werden Pläne lediglich von einzelnen Personen ausgearbeitet und dann in die Schublade gelegt, wo sie veralten und ihre Relevanz verlieren.“Quentin Hodgson, leitender Forscher für internationale Angelegenheiten und Verteidigung bei der Rand Corporation
In dieser Zeit müssen sich die Vorstandsvorsitzenden auf die Aufrechterhaltung des Betriebs konzentrieren, so Bajema. „Wenn Sie beispielsweise eine Bank sind, die von einem Cybervorfall betroffen ist, wie stellen Sie dann sicher, dass Ihre Bankfilialen weiterhin geöffnet bleiben?“ fragt sie. Vorstandsvorsitzende sollten zudem sicherstellen, dass Investitionen in Sicherheit und Resilienz sich auf Systeme konzentrieren, die die kritischen Geschäftsfunktionen ihres Unternehmens unterstützen.
Hodgson empfiehlt, dass Geschäftsführer in die Gespräche über die Kosten einer vollständigen Beseitigung des Problems und den Austausch der IT-Infrastruktur einbezogen werden, um den Betrieb des Unternehmens wieder in Gang zu bringen. „Die Kosten sind ein wesentlicher Aspekt, den der Vorstandsvorsitzende und andere verstehen und gründlich durchdenken müssen, um Entscheidungen treffen zu können“, sagt er.
4. Netzwerksysteme und -geräte wiederherstellen und testen
Während der Wiederherstellungsphase sollten Systeme und Geräte wieder in Betrieb genommen und getestet werden, um sicherzustellen, dass sie nicht mehr anfällig sind. IT- und Sicherheitsmitarbeiter überwachen diese Systeme über einen festgelegten Zeitraum hinweg, um sicherzustellen, dass Angreifer beseitigt wurden, und um eine erneute Infektion zu verhindern
.
Auf Führungsebene sollten die Vorstandsvorsitzenden in die Gespräche darüber einbezogen werden, wie die Dienstleistungen so wiederhergestellt werden können, dass sie die erlebten Veränderungen bewältigen können. „Sie stehen vor einer Rückkehr zur neuen Normalität. „Sie passen Ihre Arbeitsweise an – möglicherweise arbeiten Sie mit neuer Hardware –, und vor allem prüfen Sie, welche wesentlichen Funktionen und Dienste es gibt und wie Sie diese in dieser neuen Umgebung weiterhin bereitstellen können“, sagt Bajema.
5. Erstellen Sie einen Nachbericht, um festzustellen, was gut funktioniert hat und was nicht
Nach der Bewältigung eines Vorfalls sollten Organisationen die Erstellung eines Nachberichts planen. Im Rahmen dieses Berichts erarbeiten die Führungskräfte einen Verbesserungsplan, der sowohl die Stärken und Schwächen ihrer Reaktion als auch die Probleme aufzeigt, die auftraten, als es an festgelegten Vorgehensweisen mangelte, so Bajema. Nach der Erstellung des Berichts ist es wichtig, die gewonnenen Erkenntnisse zu analysieren und konkrete Korrekturmaßnahmen umzusetzen.
„Man darf nicht davon ausgehen, dass so etwas nicht noch einmal passieren wird, nur weil man [einen Angriff] bereits einmal erlebt hat“, sagt Hodgson. Er sagt, dass Geschäftsführer die Diskussion darüber anführen sollten, wie man sich besser auf die Zukunft vorbereiten kann. „Sollten die Menschen zusätzliche Schulungen erhalten? Was wussten wir damals nicht, was zu diesem Zeitpunkt nützlich gewesen wäre? Wie können wir besser kommunizieren? „Der Vorstandsvorsitzende wird diese Fragen nicht beantworten, sollte sein Team jedoch dazu anhalten, sich damit auseinanderzusetzen“, sagt Hodgson.
Je mehr Überlegungen, Tests und Übungen in einen IRP einfließen, desto reibungsloser verläuft die Wiederherstellung, so Hodgson. „Oft werden Pläne lediglich von einzelnen Personen oder kleinen Teams ausgearbeitet und dann in die Schublade gelegt, wo sie veralten und ihre Relevanz verlieren“, sagt er. „Natürlich lässt sich nicht vorhersagen, wie sich ein Vorfall entwickeln wird, aber je gründlicher Sie bei der Planung vorgehen, desto besser sind Sie darauf vorbereitet, damit umzugehen.“
Mit anderen Worten: Geschäftsführer, die sich aktiv an der Ausarbeitung eines Notfallplans beteiligen, können beruhigt sein, da sie wissen, dass ihr Unternehmen seine Sicherheitsvorkehrungen gegen Angriffe weiter gestärkt hat.
