Cyber-Resilienz Was ein CISO heute wissen muss!

Anbieter zum Thema

Cohesity GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

CISOs müssen ihre Rolle im Unternehmen weiterentwickeln. Denn die Gefahr durch Ransomware zwingt sie dazu, sich stärker operativ zu positionieren und sich eng mit dem CIO und den IT-Infrastrukturteams auszutauschen.

Bislang hieß es: Man braucht nur ausreichend Budget und die entsprechende Anzahl an Sicherheitsspezialisten, um das Unternehmen zu schützen. Dieses Mantra war jahrzehntelang ein strategischer Eckpfeiler für viele CISOs. Doch jeder neue Prozess und jedes neue Tool erhöht die Reibungsverluste für Benutzer und verringert die Flexibilität. Deloitte erklärte kürzlich bei einer DefCon-Präsentation, dass ein Unternehmen mittlerweile durchschnittlich mehr als 130 verschiedene Tools für Cybersicherheit einsetzt: Während sich die IT-Abteilung im Zuge der digitalen Transformation auf die Wertschöpfung, Konsolidierung und Verlagerung in die Cloud konzentriert, kümmern sich Cybersicherheitsteams zunehmend um die Verwaltung der Infrastruktur, anstatt um das Management von Cyberrisiken.

Vor dem Aufkommen von Ransomware stand die überwiegende Mehrheit der Cyberrisiken im Zusammenhang mit der Exfiltration von Unternehmensdaten. Bei entsprechenden Angriffen drohen dem Unternehmen Reputationsschäden, Geldstrafen und potenzielle Rechtsstreitigkeiten. Eine Kopie der Unternehmensdaten bleibt jedoch auf den Systemen vorhanden und Produkte sowie Dienstleistungen lassen sich weiterhin anbieten. Bei einem Ransomware-Angriff hingegen ist das Unternehmen nicht mehr in der Lage, seine grundlegenden Aufgaben zu erfüllen. Ransomware- und Wiper-Angriffe haben ganz andere Auswirkungen. Im Gegensatz zur Datenexfiltration, bei denen der Schaden bereits zum Zeitpunkt des Angriffs besteht, gehen die Auswirkungen bei Ransomware so lange weiter, bis der Vorfall bewältigt ist.

Eine Zeitenwende

Traditionellerweise konzentrieren sich CISOs nur auf Prävention und Erkennung. Sie gehen davon aus, dass das Unternehmen mit einer angemessenen Aufstockung des Personals und des Budgets ausreichend vor Angriffen geschützt ist. Manche glauben sogar, dass das neueste Sicherheitstool alle Zero-Day-Angriffe erkennen wird. Doch diese CISOs erleben aktuell, dass andere Unternehmen mit viel größeren Sicherheitsteams und deutlich höheren Sicherheitsbudgets unter erheblichen Auswirkungen durch Ransomware leiden. Sie müssen nun dem Vorstand mitteilen, dass es trotz aller Investitionen in die Sicherheit wahrscheinlich ist, dass sie einem Cyberangriff zum Opfer fallen werden. Letztendlich müssen sie zugeben, dass es trotz aller Bemühungen ein Restrisiko für das Unternehmen gibt.

Daher sind CISOs im Zeitalter der Ransomware gezwungen, ihre Strategie anzupassen. Die Installation des 131. Sicherheitstools verringert das Restrisikos nur minimal, führt jedoch zu noch mehr Reibungsverlusten und verringert weiter die Agilität. Investitionen in die Cyber-Resilienz sollten jedoch die Risiken senken, indem sie eine effektive und effiziente Reaktion und Wiederherstellung ermöglichen. Damit müssen CISOs realistische Gespräche mit der Unternehmensleitung führen. Die Investitionen sollten das verbleibende Restrisiko stärker reduzieren als die bisherigen Zusatzlösungen.

Dazu ist es entscheidend, sich auf die Folgen eines erfolgreichen Angriffs zu konzentrieren und wie dieser so schnell und effizient wie möglich eingedämmt, untersucht und beseitigt werden kann. Um diese Reaktion zu verbessern, ist eine enge Zusammenarbeit zwischen Geschäftsleitung und anderen Teams im Unternehmen erforderlich.

Offene Kultur etablieren

Denn die Folgen eines Ransomware-Angriffs lassen sich nicht innerhalb des eigenen Sicherheitsteams lösen. So besteht sogar die Gefahr eines totalen IT-Ausfalls. Zur Vorbeugung müssen alle wichtigen Fragen zu Verfügbarkeit, Wiederherstellung und Vorfallsanalyse mit anderen Teams sowie der Geschäftsleitung geklärt und die Maßnahmen schriftlich festgehalten werden. Es ist wichtig, den Ernstfall regelmäßig zu üben, in Schulungen durchzuspielen und das Gelernte in den eigenen Alltag konsequent zu übertragen.

CISOs müssen die möglichen Konsequenzen für Daten und Geschäft genau kennen und dem Vorstand erklären können. Der CIO und das Infrastrukturteam sind auf diesem Gebiet schon recht erfahren, denn in ihrem Bereich bedrohen Überschwemmungen, Brände, Stromausfälle und dergleichen die Rechenzentren. Diesen Erfahrungsschatz können CISOs nutzen. So lässt sich gemeinsam herausarbeiten, wie Dienste und Infrastruktur voneinander abhängen und was deren Ausfall durch Ransomware bedeuten würde.

Im Rahmen dieser Zusammenarbeit sollten CISO und CIO gemeinsam den Wert ihrer Daten und Vermögenswerte bestimmen sowie einen Prozess einführen, der dies künftig automatisch erledigt. Denn wie soll eine gemeinsame Risikoanalyse funktionieren, wenn es kein gemeinsames Verständnis darüber gibt, was man eigentlich schützen will? Diese enge Abstimmung erfordert eine neue Kultur der Zusammenarbeit über Teamgrenzen hinweg. Denn ein Unternehmen wird einen Ransomware-Angriff nur überstehen, wenn Sicherheits- und Infrastrukturteams eng zusammenarbeiten.

Vorbereitungen für die Stunde Null

Die Folgen eines akuten Ransomware-Angriffs unterscheiden sich stark von Malware, Spam oder Datenexfiltration. Möglicherweise ist der CISO nicht einmal mehr in der Lage, auf einen Angriff zu reagieren: Sicherheitstools können beeinträchtigt, Beweise verschlüsselt oder gelöscht worden sein. Die Kommunikation mit Geschäftsleitung, Strafverfolgungsbehörden, Versicherung, Presse und Aufsichtsbehörden ist durch das Fehlen von E-Mail- oder Voice-over-IP-Systemen erschwert. Administratoren können möglicherweise nicht einmal in das Gebäude gelangen, wenn die physischen Zugangskontrollsysteme ausgefallen sind. Wie soll das Lösegeld bezahlt oder ein Decryption-Key einer MAC-Adresse zugeordnet werden, wenn Datenbanken nicht mehr verfügbar sind? Wie können Unternehmen mit dem Rechtsbeistand kommunizieren, um Compliance-Verstöße zu vermeiden? Viele Notfallanleitungen wurden nicht von jemandem erstellt, der echte Ransomware-Vorfälle erlebt hat. Daher fehlen oftmals Antworten auf all diese Fragen.

Der CISO und seine Teams müssen sich auf die Stunde Null vorbereiten und im Voraus Notfallpläne und -umgebungen erstellen. Gemeinsam mit den Infrastrukturteams lassen sich isolierte Reinräume einrichten, in denen ein Notfallset an Werkzeugen sowie System- und Produktionsdaten gespeichert sind, um einen Notbetrieb des gesamten IT-Systems zu ermöglichen. Darin befinden sich auch alle wesentlichen Tools für die Sicherheitsteams, damit diese den notwendigen Incident-Response-Prozess starten können.

Anschließend wird Schritt für Schritt und in enger Abstimmung mit den Infrastrukturteams die Produktionsumgebung wiederhergestellt. Dazu müssen CISO und CIO ein gemeinsames Verständnis für die Reihenfolge der Wiederherstellung von Systemen und Daten haben. Sie erreichen diesen Reifegrad in ihrer Interaktion, wenn sie und ihre Teams diese Fragen regelmäßig besprechen. Kontroll-Frameworks wie das NIST bieten gute Best Practices für die Strukturierung und Automatisierung dieser Aufgaben. Sie beschreiben auch andere wichtige Best Practices für die Sicherheit, wie die Vergabe der geringsten Privilegien, Aufgabentrennung oder Authentifizierung. Beide Teams sollten diese gemeinsam umsetzen, um das Sicherheitsniveau der IT insgesamt zu erhöhen.

Vorfälle sind unvermeidbar

Letztendlich wird der CISO vom CIO lernen, dass ein Cybervorfall kein Versagen der Sicherheitsstrategie darstellt. Vorfälle können genauso geschehen wie ein Brand im Rechenzentrum oder eine Ransomware-Infektion. Entscheidend ist, dass die Tools und Prozesse vorhanden sind, um die Folgen eines Cybervorfalls abzumildern. Gelingt es den CISOs, diese Entwicklung weg von der reinen Abwehr hin zum operativen Schutz zu steuern, wird sich dies auf das Investitionsverhalten auswirken.

Ein weiteres Sicherheitstool wird dann weniger wahrscheinlich auf der Einkaufsliste stehen als gemeinsame Softwareprojekte mit den Infrastrukturteams für Reinräume, Klassifizierung und Incident Response. Denn es ist sicher, dass die Abwehrmaßnahmen früher oder später einmal versagen werden. Dann müssen CISO und CIO gemeinsam diesen Vorfall bewältigen. Beide sollten heute schon beginnen, daran zu arbeiten. Denn nur mit den richtigen Lösungen, den richtigen Teams und den richtigen Prozessen kann ein CISO das Cyber-Risiko auf ein erträgliches Maß begrenzen.

Über den Autor: James Blake ist Global Head of Cyber Resiliency GTM Strategy bei Cohesity.

(ID:50104422)