Für Sean Zadig, Chief Information Security Officer bei Verizon Media, hat COVID-19 eine Vielzahl dringender Aufgaben im Bereich der Cybersicherheit erforderlich gemacht – von der Abwehr der zunehmenden Hackerangriffe auf die Unternehmensnetzwerke bis hin zur Aufklärung der größtenteils im Homeoffice tätigen Belegschaft über Phishing-Betrugsversuche im Zusammenhang mit „ “.
Das Unternehmen, zu dem Marken wie Yahoo, Engadget und TechCrunch gehören, stellte fest, dass es, um die weit verstreut arbeitenden Mitarbeiter dazu zu bewegen, dem Thema Sicherheit mehr Aufmerksamkeit zu schenken, etwas Überzeugenderes als die üblichen Webinare und FAQs zu Sicherheitsvorkehrungen bedurfte. Also stiftete das Sicherheitspersonal, das intern als „The Paranoids“ bekannt ist, einen unternehmensweiten Wettstreit um die besten Sicherheitspraktiken an.
Die Gruppe entwickelte ein Dashboard, mit dessen Hilfe Führungskräfte die Nutzung von Passwortverwaltungssoftware durch ihre Mitarbeiter verfolgen und deren Leistung mit der anderer Führungskräftegruppen vergleichen konnten. Das Interesse an dem Wettbewerb war so groß, dass einige Führungskräfte Sicherheitsmitarbeiter hinzuzogen, um den Teammitgliedern dabei zu helfen, ihre Nutzungszahlen zu steigern. Die zusätzliche Aufmerksamkeit sei „unerwartet“ gewesen, sagt Zadig.
Für viele Unternehmen hat die Bewältigung der Pandemie zu einigen unerwarteten Vorteilen im Bereich der Cybersicherheit geführt. Die Sicherheit digitaler Systeme wurde schon immer als wichtig erachtet, doch in vielen Organisationen ist sie nur eine von vielen Prioritäten – und nicht immer eine der wichtigsten. Cybersicherheitsteams kämpfen nach wie vor um Ressourcen und die Aufmerksamkeit der Führungskräfte, und IT- sowie Geschäftsabteilungen haben Sicherheit oft als Hindernis für einen reibungslosen und effizienten Betriebsablauf angesehen.
Dringender Handlungsbedarf im Bereich Cybersicherheit für alle Beteiligten
Da die Mitarbeiter heute im Homeoffice arbeiten und Hacker ihre Angriffe verstärken, gehen Unternehmen Sicherheitsprobleme sowohl auf organisatorischer als auch auf kultureller Ebene mit größerer Ernsthaftigkeit an. Führungskräfte widmen der Sicherstellung, dass Initiativen zur Sicherheit von „ “ ( ) zügig vorangetrieben werden, zunehmend mehr Aufmerksamkeit, und Sicherheitsteams erschließen neue Möglichkeiten zur Zusammenarbeit mit anderen Abteilungen.
COVID hatte sogar den unerwarteten Vorteil, dass es dazu beigetragen hat, einige der institutionellen Unterschiede zwischen IT- und Sicherheitsteams zu überbrücken. In einer Umfrage der Information Systems Security Association unter dem Titel „ Juli 2020 “ () gaben ein Drittel der Unternehmen an, dass sich die Zusammenarbeit zwischen Sicherheitsverantwortlichen, der IT-Abteilung und anderen Führungskräften im Unternehmen aufgrund der Pandemie deutlich verbessert habe.
“„Unternehmen beginnen zu begreifen, dass Sicherheit ein unternehmensweites Risikomanagementthema ist.“Larry Clinton, Präsident der Internet Security Alliance
„In der Vergangenheit wurde Cybersicherheit meist als technisches Problem betrachtet – als wäre mit einer Komponente im System etwas nicht in Ordnung“, sagt Larry Clinton, Präsident der „ “ Internet Security Alliance, eines Branchenverbands mit Sitz in Washington, D.C. „Unternehmen beginnen zu begreifen, dass es sich um etwas viel Größeres handelt. „Es handelt sich um ein unternehmensweites Risikomanagementproblem.“
Die Pandemie hat zudem einige Unternehmen dazu bewogen, den CISOs einen besseren Zugang zu den obersten Führungskräften zu gewähren. Bei einem großen Versicherungsunternehmen wechselte der CISO laut Keri Pearlson, der Geschäftsführerin eines Cybersicherheitskonsortiums an der MIT Sloan School of Management, von der Berichterstattung an den Chief Information Officer zur Berichterstattung an den Chief Operating Officer. Dadurch konnte der Sicherheitsleiter enger mit den Personalverantwortlichen zusammenarbeiten, um das Bewusstsein für Cybersicherheit unter den Mitarbeitern umfassender zu fördern. Außerdem ermöglichte es dem CISO, mit den Mitarbeitern im operativen Bereich zusammenzuarbeiten und die Sicherheitsmaßnahmen im Umgang mit den zahlreichen Lieferanten des Unternehmens zu verschärfen.
[Lesen Sie auch: Sicherheit in der Lieferkette: So sieht es aus.]
Bei der rasant wachsenden brasilianischen Digitalbank C6 hat der CISO kürzlich direkten Zugang zum CEO erhalten und berichtet nun nicht mehr über den Chief Technology Officer des Unternehmens, Nelson Novaes. Laut Novaes trug diese Änderung dazu bei, dass der CISO sicherstellen konnte, dass der oberste Chef mit gutem Beispiel voranging, beispielsweise durch die Nutzung der Gesichtserkennung für den Zugriff auf Unternehmenssysteme.
In einer Krise den Rückstand aufholen
Zahlreiche Belege aus den vergangenen Jahren belegen die steigenden Kosten von Cybersicherheitsrisiken: Laut einem Bericht von McAfee mit dem Titel „ “ beliefen sich die weltweiten Verluste von Unternehmen durch Cyberkriminalität im Jahr 2020 auf über 1 Billion US-Dollar. Hier liegt die grausame Ironie: Der Großteil dieser Kosten ließe sich durch einfache Maßnahmen drastisch senken, beispielsweise indem man Sicherheitspatches stets auf dem neuesten Stand hält. Vier von 10 Unternehmen, die im Jahr 2019 Opfer eines Sicherheitsvorfalls wurden, waren sich laut einer Umfrage des Ponemon Institute zum Thema „ “ () bereits vor dem Vorfall der Sicherheitslücke bewusst; 60 % verfügten bereits über die entsprechenden Patches, konnten diese jedoch nicht rechtzeitig installieren.
Durch die Pandemie haben sich diese Gefahren nur noch vervielfacht, und seit langem vernachlässigte Themen – wie beispielsweise die Gewährleistung, dass Remote-Mitarbeiter sicher auf Unternehmensnetzwerke zugreifen können – ließen sich nicht mehr aufschieben.
Laut einem Bedrohungsbericht von CrowdStrike haben Hacker in den ersten sechs Monaten des Jahres 2020 mehr Einbruchsversuche auf Unternehmensnetzwerke unternommen als im gesamten Jahr 2019. Bedrohungen sind zudem weitaus stärker verteilt als früher. Hacker haben sowohl Mitarbeiter als auch Lieferkettenpartner von „ “ mit ausgeklügelten, COVID-bezogenen Phishing-E-Mails und Malware-Angriffen ins Visier genommen. Dazu gehören unter anderem gefälschte Listen mit Infektionsfällen in der Nachbarschaft einer Person, die angeblich von den Centers for Disease Control and Prevention versandt wurden, Websites mit eingebetteter Schadsoftware, auf denen gefälschte Ausnahmegenehmigungen für das Tragen von Gesichtsmasken verkauft werden, sowie Aufrufe des Vorgesetzten, jemandem in Not zu helfen, um nur einige Beispiele zu nennen.
„Sicherheit umfasst mittlerweile so viel mehr Bereiche“, sagt Clinton. „Ihre Rechtsabteilung muss die richtigen Sicherheitsvorkehrungen in die Verträge aufnehmen, um sicherzustellen, dass Ihre Partner nicht gefährdet sind.“ „Ihre Wirtschaftsprüfer müssen sich mit ihren Wirtschaftsprüfern abstimmen und so weiter.“
Planung für die Zukunft
Die Pandemie hat zudem dazu beigetragen, die Einführung neuer Sicherheitsinstrumente zu beschleunigen, wie beispielsweise „ “ sowie Zero-Trust- -Systeme, bei denen Mitarbeiter in der Regel zwei Arten der Authentifizierung (wie beispielsweise ein Passwort und einen einmaligen Mobilcode) verwenden müssen, um auf Unternehmenssysteme zugreifen zu können. Ein Bericht von „ “ von Forrester mit dem Titel „ “ (abrufbar unter Oktober 2020 ) ergab, dass 75 % der IT-Entscheidungsträger planten, die Umstellung auf ein Zero-Trust-Sicherheitskonzept aufgrund der Pandemie zu beschleunigen oder einzuleiten, und fast 40 % gaben an, im Jahr 2020 ein Zero-Trust-Pilotprojekt gestartet zu haben.
„Wenn Sie mich vor einem Jahr gefragt hätten: ‚Könnten Sie ein Zero-Trust-Netzwerk einführen, falls eine Pandemie ausbräche und das Unternehmen innerhalb weniger Wochen umstellen müsste?‘“ „Ich hätte gesagt: ‚Nein, das ist unmöglich‘“, so Kevin Curran, Professor für Cybersicherheit an der Ulster University in Nordirland.
Durch die engere Zusammenarbeit zwischen IT-, Geschäfts- und Sicherheitsteams sind zudem einige Fachkräfte mit unkonventionellem Hintergrund in den Sicherheitsbereich gelangt. Ein großes Finanzdienstleistungsunternehmen hat den ungewöhnlichen Schritt unternommen, einen Marketingexperten ohne technischen Hintergrund für die neue Position eines „Cybersecurity-Evangelisten“ einzustellen, so Pearlson vom MIT Sloan. Ihre Aufgabe: effektivere Wege zu finden, um zu vermitteln, warum Cybersicherheit für jeden wichtig ist – insbesondere bei der Arbeit von zu Hause aus während einer Pandemie.
[Lesen Sie auch: So machen Sie Ihre Remote-Mitarbeiter zu Fürsprechern der Sicherheit]
Mit einer einfachen Änderung hat die Marketingleiterin den Begriff „Cybersicherheit“ in ihren Präsentationen, Videos und E-Mails in „Datenschutz“ umbenannt, um ihn als etwas darzustellen, das einen klaren Mehrwert für das Unternehmen vermittelt, und nicht nur als abstraktes Konzept.
„Die Pandemie hat deutlich gemacht, dass jeder eine Rolle bei der Cybersicherheit spielen muss und das Gefühl haben sollte, etwas bewirken zu können“, sagt Pearlson. „Es geht darum, die Herzen und Köpfe der Menschen zu verändern.“
