Was bedeutet Cyber-Resilienz?
Dem ein oder anderen Leser dürfte „Resilienz“ bereits ein Begriff aus der Psychologie sein. Vereinfacht ausgedrückt, versteht man darunter die „Widerstandsfähigkeit“ einer Person. Bezogen auf Cyber-Resilienz kann darunter eine präventive Maßnahme verstanden werden, die die Widerstandsfähigkeit eins Unternehmens im Hinblick auf
-
Insider-Bedrohungen
-
Gefahren aus dem Netz sowie durch Malware
-
Menschliches Versagen
-
Fehler in Software und/oder Hardware
meinen. Dabei ist es nicht von Belang ob diese Vorfälle unabsichtlich oder mutwillig passiert sind.
Dass das Thema Cyber-Resilienz weltweit nach wie vor nicht das angestrebte Sicherheitsniveau erreicht hat, was es haben sollte, zeigt eine Studie aus 2020. In Europa lag das angestrebte Niveau bei 2,33 Punkten1, erreicht wurden lediglich 0,88. Auch Amerika erreicht mit einer Differenz von 2,37 Punkten bei eigentlich angestrebten 3,61 zu tatsächlich erreichten 1,24 Punkten nicht annähernd sein Ziel. Demnach ist in Sachen Cyber-Resilienz gegenüber potentiellen Gefahren noch „Luft nach oben“.
Cyber-Resilienz bezeichnet die Widerstandsfähigkeit von Unternehmen gegen Angriffe auf die Sicherheit ihrer Informations- und Kommunikationstechnik (IKT). Im Fokus der Angreifer stehen die Systeme der Unternehmen oder auch die Daten von Kunden.Quelle: Bafin
Ein Cyber-Resilienz-Plan für Unternehmen
Über 1000 IT-Verantwortliche wurden im Rahmen des State of Emai-Security Report von Mimecast zu ihren Security-Herausforderungen befragt. Dabei wurden vier Dimensionen des Cyber-Resilience herausgearbeitet:
1. Bedrohungsschutz (Threat Protection)
Bei der Threat Protection geht es um die Herausforderung, möglichen Angriffen zuvor zu kommen. Das heißt eingesetzte Service, Software und Solutions müssen regelmäßig auf ihre Sicherheit überprüft werden. Dazu kommen regelmäßige Schulungen der Mitarbeiter.
2. Anpassungsfähigkeit (Adaptability)
Hacker und co. sind ständig auf der Suche nach möglichen Schwachstellen, um die bestehenden Sicherheitsmaßnahmen von Unternehmen zu umgehen. Daher wächst auch hier die Anforderung an Unternehmen, dementsprechend angepasst reagieren zu können und im Falle eines Cyber-Angriffs alle Geschäftsprozesse aufrechtzuerhalten.
3. Beständigkeit (Durability)
In dieser Phase sollte ein Unternehmen seine Geschäftsprozesse weiterhin beständig halten können, trotz möglicher Sicherheitsvorfälle. Hierzu zählen neben Back-ups der Daten auch alternative Möglichkeiten im Falle eines infizierten Systems oder Angriffs, den operativen Geschäftsalltag aufrecht zu halten. Denn der größte Schaden liegt bei solchen Incidents meistens in den finanziellen Folgekosten. Die oft ein erhebliches Ausmaß erreichen.
4. Fähigkeit zur Wiederherstellung (Recoverbility)
Seien Sie durch Back-ups Ihrer Systeme und Daten jederzeit vorbereitet, diese in einen Zustand vor den Incidents wiederherstellen zu können.
Um nachhaltig widerstandsfähig also resilienter zu sein, müssen IT Security-Spezialisten ein Konzept zur eigenen Cyber-Resilienz ausarbeiten und implementieren. Mit dem Ziel, die Angriffsfläche zu verkleinern, zu stärken und Prozesse zu etablieren, die im Falle einer erfolgreichen Attacke greifen.
All diese Schritte sind unerlässlich für ein Unternehmen, um widerstandsfähiger zu werden gegenüber Cyber-Angriffen. Doch letztendlich entscheiden über „Sieg oder Niederlage“ im übertragenen Sinne, ist der Ausbildungsstand der Mitarbeiter.
Das Wichtigste in Sachen Cyber-Resilienz: Mehr Sicherheit durch Anwenderschulung
Wie bereits erwähnt, handelt es sich bei Cyber Resilienz um eine präventive Maßnahme, die im Falle eines Cyber-Angriffs alle wichtigen Geschäftsprozesse aufrechterhält bzw. solche Angriffe präventiv verhindert. Daher sind Unternehmen in der Pflicht ihre Mitarbeiter zu schulen, um menschliches Versagen oder fehlerhafte Anwenderpraktiken auf ein Minimum zu reduzieren.
Mitarbeiter müssen regelmäßig in Sachen Cyber-Bedrohungen geschult werden, damit steigt auch die Cyber-Resilienz des Unternehmens. Denn nur wenn die Nutzer wissen, welche Arten von Cyber-Bedrohungen existieren, können sie diese erkennen und angemessen reagieren: Unaufmerksamkeit zusammen mit Unwissenheit über aktuelle Angriffsstrategien sowie fehlendes Know-how sind der Knackpunkt.
So wird auch das Cyber-Resilienz-Konzept immer widerstandsfähiger gegen äußere Cyber-Attacken. Daher ist es von immenser Bedeutung, wenn Mitarbeiter aus Fehlern lernen, statt sie aus Angst vor einem Jobverlust oder etwaigem zu verschweigen.
Solche Cyber Security Schulungen sollten grundsätzlich beinhalten, wie Phishing-E-Mails, ungewöhnliches App- und Account-Verhalten erkannt werden und auf tatsächliche oder mögliche Cyber-Bedrohungen reagiert werden können. Doch gänzlich ausschließen, lässt sich das Risiko eines erfolgreichen Cyber-Angriffs nicht. Die Antwort hier: Eine positive Fehlerkultur. Aus jedem Fehler lernt man, entwickelt sich weiter und bewahrt Kollegen davor, denselben Fehler zu machen ¬– so wird auch das Cyber-Resilienz-Konzept immer widerstandsfähiger gegen äußere Cyber-Attacken. Daher ist es von immenser Bedeutung, wenn Mitarbeiter aus Fehlern lernen, statt sie aus Angst vor einem Jobverlust oder etwaigem zu verschweigen.
Letztendlich geht es bei einer funktionierenden Kultur der Cyber-Sicherheit darum, eine sicherheitsbewusste Umgebung zu schaffen, die das Vorkommen von Sicherheitsvorfällen verhindert, indem menschliches Versagen und schlechte Benutzerpraktiken minimiert werden.
Schwachstellenmanagement: Präventiv reagieren und Cyber Security Maßnahmen umsetzen
Nebst gut geschulten Mitarbeitern sind auch aktuelle Technologien und IT-Infrastrukturen maßgeblich für eine gute Cyber-Resilienz eines Unternehmens. Dazu zählt auch das Vulnerability Management. Eine Vulnerability-Management-Lösung scannt alle Systeme, die an ein Netzwerk angeschlossen sind unentwegt auf Schwachstellen. Eine solche Lösung verwendet dazu zig Schwachstellentests, basierend auf CVE-Berichten sowie Informationen der Hersteller. Eine solide IT Infrastruktur, in der kaum bis keine Schwachstellen vorhanden sind, erschweren es Hackern ihre Cyber-Angriffe erfolgreich durchzuführen.
Zusammengefasst lässt sich sagen, dass Cyber-Resilienz nochmal ein Stück weiter geht als Cyber-Security. Bei der es nicht nur darum geht, Systeme auf Cyber-Bedrohungen vorzubereiten, sondern, dass Infrastruktur, geschulte Mitarbeiter, Unternehmenskultur und Prozesse optimal ineinandergreifen, um die minimalste Angriffsfläche zu bieten.
[1] Die vergebenen Punkte bzw. das Scoring wurde dabei aus verschiedenen Kriterien ermittelt. Das Scoring gliedert sich wie folgt:
0-0,99: „Nicht-vorhanden“
1-1,99: „Anfangsniveau“
2-2,99: „Wiederholbar“
3-3,99: „Klar definiert“
4-4,99: „Managed“
5-5,99: „Optimiert“
Kategorien
- Allgemein (89)
- Corporate Security (26)
- Customer Service (31)
- Digitale Transformation (54)
- ISMS (1)
- ITSM (37)
- Leadership (22)
- Mit OTRS arbeiten (15)
- OTRS im Einsatz (8)
- Über die OTRS Group (21)
- Unternehmenskultur entwickeln (13)