Viele Organisationen haben erfolgreich solide Pläne entwickelt, um häufige Cyber-Scourges wie Ransomware-Angriffe, Datenschutzverletzungen und Phishing-Betrug zu mobilisieren und darauf zu reagieren.
Aber was passiert, wenn ein Unternehmen mit einer Veranstaltung getroffen wird, die so verheerend ist, dass es nie einmal gedacht hat, sie zu planen?
Nehmen wir zum Beispiel einen Cyberkrieg, eine Abschaltung des globalen Bankensystems oder ein neuartiges Virus ohne Heilung. Die Unternehmenssorge um solche Black-Swan-Ereignisse – auch bekannt als „unbekannte Unbekannte“ – wuchs, nachdem der ehemalige Wall Street-Optionshändler Nassim Nicholas Taleb seinen 2007 Bestseller, The Black Swan, veröffentlichte. Darin argumentiert er, dass Worst-Case-Szenarien vorhersehbar unvorhersehbar sind und eine Unternehmenskatastrophe auslösen können.
Erin Bajema hat dies aus nächster Nähe gesehen.
„Dies sind Ereignisse, die eine wirklich hohe Auswirkung und eine wirklich geringe Wahrscheinlichkeit haben“, sagt Bajema, Leiter des Associate and Cyber Sector bei Hagerty Consulting, einem Notfallmanagementunternehmen.
„Sie sind fast unmöglich vorherzusagen“, sagt sie, „und werden je nach Organisation, Umfang der Dienstleistungen und den beteiligten Teilen ihrer Infrastruktur etwas anderes bedeuten.“
Nur wenige Organisationen versuchen, sich solche Ereignisse vorzustellen, und zwar aus einer Vielzahl von Gründen. Manchmal gehen Führungskräfte davon aus, dass etwas dieser Größenordnung niemals passieren könnte. Andere Zeiten verfügen sie nicht über die Ressourcen, um sich der Worst-Case-Szenario-Planung zu widmen.
Auch die Vorstellung eines unbekannten Unbekannten ist überwältigend. Viele Organisationen richten ihre Bemühungen also darauf aus, nur die häufigsten und wahrscheinlichsten Risiken zu identifizieren und zu planen, denen sie ausgesetzt sind.
„Dies sind Ereignisse, die eine wirklich hohe Auswirkung und eine wirklich geringe Wahrscheinlichkeit des Auftretens haben.“Erin Bajema, Leiterin des Bereichs Associate und Cyber, Hagerty Consulting
„Wenn Sie täglich mit den gleichen geringen Risiken konfrontiert werden, wird es einfach, Ihren gesamten Krisenmanagementansatz auf diese Dinge zu konzentrieren“, sagt Bajema. Das ändert sich: „Organisationen erkennen, dass sie sich auf wirklich katastrophale Ereignisse vorbereiten müssen. Wenn sie dies nicht tun, können die Folgen katastrophal sein.“
Mayday! Mayday!
Stellen Sie sich die unbekannten Unbekannten vor – auch wenn sie schwierig und unangenehm sind – ist eine wesentliche Übung für Vorstände und Führungskräfte, bevor es zu spät ist. Hier ist der Anfang.
1. Stellen Sie Ihr Team zusammen
Die Planung des Stakeholder-Engagements ist ein wichtiger erster Schritt bei der Vorstellung unbekannter Unbekannter, sagt Bajema. „Sie müssen ein Team von Mitarbeitern mit dem richtigen Maß an Fachwissen, Wissen und Fähigkeiten zusammenbringen, um den Plan zu informieren, damit er tatsächlich in der realen Welt verwendet werden kann“, sagt sie.
Die beteiligten Stakeholder sollten repräsentativ für die gesamte Organisation sein. Vielfalt trägt dazu bei, eine gründliche Betrachtung aller Möglichkeiten und eine umfassende Reaktion sicherzustellen, sagt F. Charlene Watson, Senior Cybersecurity Consultant bei dem multinationalen Ingenieurunternehmen AECOM. Zu den Stakeholdern können Mitglieder der Kommunikations- und Medienbeziehungenteams, die Personalabteilung, die Gehaltsabrechnung, die Cybersicherheit und die Rechtsabteilung sowie Mitglieder des Vorstands und der C-Suite gehören.
2. Klein starten
Für kleinere Organisationen oder Unternehmen mit begrenzten Ressourcen kann die Vorstellung unbekannter Unbekannter besonders entmutigend sein. „Manche halten ihren Kopf vielleicht kaum über Wasser und bewältigen kaum ihre täglichen Risiken“, sagt Bajema. „Wenn Sie versuchen, direkt zu einem katastrophalen Ereignis überzugehen, ohne Ihre grundlegenden [Vorfallreaktions-]Konzepte in Einklang zu haben, bereiten Sie sich auf einen Misserfolg vor.“
„Niemand möchte glauben, dass sie verletzlich sind, und wenn man über Ereignisse spricht, die ihr Unternehmen buchstäblich zerstören könnten, ist es nicht angenehm.“F. Charlene Watson, Senior Cybersecurity Consultant, AECOM
Für diese Organisationen empfiehlt sie, klein mit der grundlegenden Szenarioplanung oder szenariobasierten Tischübungen zu beginnen. Teams können ein vergangenes Ereignis oder eine Fallstudie verwenden, um eine Antwort zu modellieren, die dabei hilft, Annahmen zu testen, wie z. B. wie die Geschäftsprozesse eines Unternehmens derzeit funktionieren, und einzelne Fehlerpunkte für jeden seiner kritischen Dienste aufdecken kann.
Szenarioplanungs-Pionier Peter Schwartz, heute Cheffuturist von Salesforce, hat Szenarien als reichhaltige, datengesteuerte Geschichten über morgen konzipiert, die heute bessere Entscheidungen treffen können. Das Ziel ist nicht, Sicherheit zu finden, sondern eine „Karte der Unsicherheit“ zu erstellen; es geht nicht darum, das zu verstärken, was Sie bereits wissen, sondern „das sichtbar zu machen, was Sie nicht sehen“.
[Auch lesen: Was ist Bedrohungssuche und warum ist sie wichtig?
Watson von AECOM schlägt vor, dass Unternehmen alle sechs Monate Tischübungen durchführen. „Viele Unternehmen machen das nicht, weil sie es nicht als eine Erhöhung ihrer Gewinnmarge ansehen“, sagt sie. „Sie sehen den Wert nicht, bis es zu spät ist und sie mit einer
kritischen Situation konfrontiert sind.“
3. Machen Sie sich mit dem Unbehagen vertraut
Die Vorstellung unbekannter Unbekannter ist für viele Vorstandsmitglieder und Führungskräfte nicht einfach, räumt Watson ein. „Niemand möchte glauben, dass sie verletzlich sind, und wenn man über Ereignisse spricht, die ihr Unternehmen buchstäblich zerstören könnten, ist es nicht angenehm“, sagt sie.
Es ist jedoch entscheidend, das Gefühl von Unbehagen hinter sich zu lassen. Bajema, die Tischübungen mit leitenden Führungskräften durchführt, sagt, dass es immer einen Punkt gibt, an dem das Szenario das System bricht – oft absichtlich.
„Wenn Stakeholder an diesen Punkt kommen, sagen sie: „Nun, es ist jetzt kaputt und das ist es.“ Um sie zu ermutigen, diesen Punkt zu überwinden, sagen wir: „OK, jetzt, da Ihr Stromnetz ausgefallen ist, was werden Sie tun?“ Vorstände müssen bereit sein, sich in diese Worst-Case-Szenario-Situation zu versetzen.“
[Lesen Sie auch: 6 Cybersicherheitsfragen, die ich immer den Pinnwänden sage]
4. Prozesse formalisieren und Lücken schließen
Wenn Organisationen Worst-Case-Szenario-Übungen durchführen, wird ein klareres Bild darüber entstehen, wie gut Teams zusammenarbeiten und die Klarheit ihrer Rollen und Verantwortlichkeiten. Prozesse und Verfahren sollten dokumentiert werden, und alle Lücken oder überlappenden Bemühungen sollten behoben werden, sagt Bajema.
„Vorstände müssen bereit sein, sich in diese Worst-Case-Szenario-Situation zu versetzen.“F. Charlene Watson
Organisationen können beispielsweise feststellen, dass sowohl die Personalabteilung als auch das Kommunikationsteam für die Kontaktaufnahme nach einem Notfallereignis verantwortlich sind und koordinieren müssen, oder dass einer bestimmten Person oder einem bestimmten Team keine Incident Response Duty zugewiesen wurde. Die Formalisierung von Prozessen hilft bei der Identifizierung, ob Rollen und Verantwortlichkeiten korrekt zugewiesen wurden.
„Dies ermöglicht Ihnen einen einheitlichen Plan und Prozess, sodass Sie, wenn ein Ereignis eintritt, keine widersprüchlichen Handlungswege zwischen den Abteilungen haben“, fügt Bajema hinzu.
5. Berücksichtigen Sie Skalierbarkeit und Anpassungsfähigkeit
Viele Organisationen haben Reaktionspläne , um alltägliche Cybersicherheitsbedrohungen und Geschäftsunterbrechungen zu beheben. In diesen Fällen kann die Anpassung von Plänen an Worst-Case-Szenarien eine weitere Möglichkeit sein, unbekannte Unbekannte anzugehen. Bajema nennt dies eine „Eskalationsmatrix“, die die bereits vorhandenen Verfahren anwendet und sie auf katastrophale Ereignisse ausweitet.
„Wenn Sie in der Lage sind, einen dieser Pläne zu überarbeiten oder zu aktualisieren oder zu stärken, um ihn zu skalieren und sich an eine größere Katastrophe anzupassen, ist dies eine Möglichkeit, das, was Sie bereits haben, zu nutzen und es für ein Black-Swan-Event besser verwendbar zu machen“, sagt sie.
6. In Schulungen investieren
Organisationen sollten erwägen, ihre Vorstandsmitglieder, leitenden Führungskräfte und andere verantwortliche Gruppen zu schulen, um sich das Unbekannte vorzustellen und sich darauf vorzubereiten, sagt Bajema. Dies kann etwas so Einfaches sein wie eine grundlegende Sensibilisierungsschulung, abhängig vom Grad der Cybersicherheitsschulung des Vorstands oder fortschrittlichere Initiativen, wie z. B.
Krisenkommunikation.
Die Vorstellung unbekannter Unbekannter ist ein wichtiger Bestandteil des Cybersicherheitsprogramms jeder Organisation, sagt Watson. Sie sagt, der Prozess ist sehr ähnlich wie die Zahlung Ihrer Stromrechnung. Sie bezahlen Ihre Rechnung jeden Monat, und ohne Misserfolg geht Ihre Leistung an, wenn Sie sie benötigen. Aber es kann einen Tag geben, an dem Sie es versäumen, eine Rechnung zu bezahlen, und Ihr Strom abgeschaltet wird.
„Mit anderen Worten, Sie investieren durch Cybersicherheitsmaßnahmen in Ihr Unternehmen, um Ihr Unternehmen zu schützen“, sagt sie. „Wenn Sie die Planung für ein Black-Swan-Ereignis nicht priorisieren und Ihre Organisation ein Worst-Case-Szenario erlebt, sind Sie unvorbereitet, weil Sie nicht das getan haben, was Sie hätten tun sollen. Was passiert als Nächstes?“
