Interview mit Lena Smart, CISO bei MongoDB Sicherheit ist auch eine Frage der Unternehmenskultur

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Sicherheitsteams haben alle Hände voll zu tun, ihre Unternehmen sicher zu halten und nicht wenige kehren dem Beruf aufgrund der hohen Belastung den Rücken. Lena Smart, Chief Information Security Officer at MongoDB, weiß, wie Unternehmen nicht nur ihre Cyberresilienz, sondern auch ihre Sicherheitsexperten stärken können.

Komplexe Cloud-Umgebungen, immer mehr Zugriffspunkte, geopolitische Spannungen mit hybriden Angriffen auch staatlicher Akteure und eine Zunahme von Ransomware und Phishing-Attacken, die zudem durch generative KI immer professioneller werden stellen eine gewaltige Herausforderung für heutige Security-Teams dar. Nach Ansicht der Experten bei Gartner wird die Belastung in den nächsten Jahren für viele Security-Experten zu groß.

Security-Insider: Frau Smart, worin liegen für Sicherheitsverantwortliche die besonderen Herausforderungen großer Cloud-Umgebungen? Können Sie ein Beispiel aus Ihrem Arbeitsalltag nennen?

Lena Smart: Unsere Cloud-Plattform MongoDB ist eine solche Umgebung. Millionen von Produktionskundendatenbanken, auf allen großen Hyperscalern, werden in Hunderten von Rechenzentren weltweit verwaltet. Bei dieser Größenordnung stoßen wir oft auf frühe Signale für sehr subtile Sicherheitsinteraktionen mit Anwendungen, die neue (und manchmal alte) Bibliotheken oder Softwaresprachen integrieren. Um herauszufinden, ob es sich um eine potenzielle Bedrohung oder einen einfachen Fehler handelt, müssen wir sehr sorgfältig analysieren. Und wenn zu den „normalen“ Nutzungsmustern Netzwerkverbindungen mit hoch komplexen Abläufen gehören, die jede Minute eines jeden Tages weltweit stattfinden, wird es noch schwieriger.

Security-Insider: Was sind Best Practices und bewährte Verfahren oder Strategien speziell für die Sicherung solcher Umgebungen – einschließlich Erfolgsüberwachung und -messung?

Lena Smart: Wir behandeln Kundendaten wie eine Quelle radioaktiver Strahlung: Sie sollten von Menschen möglichst nicht berührt werden. Entsprechend gestalten wir die technischen und administrativen Kontrollen. Bei den sensibelsten Workloads, bei denen eine vollständige End-to-End-Verschlüsselung im Einsatz ist, haben weder wir selbst noch etwaige Angreifer Zugriff auf die Kundendaten, selbst im Falle eines katastrophalen Einbruchs. In Rechenzentrums­umgebungen von Unternehmen, in denen eine solche Abschottung nicht möglich ist, sollten alle bekannten Standardpraktiken zum Einsatz kommen. Dazu gehören Isolierung und Segmentierung, mehrere Ebenen des föderierten Identitätsmanagements sowie der Authentifizierung/Autorisierung (idealerweise mit hardwarebasiertem Token anstelle von z. B. SMS-Multifaktor-Authentifizierung). Temporäre Zugriffstoken sind sicherer als langlebige Anmeldeinformationen. Auch die unveränderliche, maschinenunabhängige Prüfung und zentrale Protokollierung, eine häufige Protokollüberprüfung, Machine Learning-gestützte Anomalieerkennung und häufige Tabletop-Übungen, die durch ständiges Red Teaming und unabhängige Sicherheitsbewertungen validiert werden, sind wichtige Säulen der Sicherheitsstrategie.

Security-Insider: Immer mehr Unternehmen erweitern ihre Cloud-Umgebungen, sei es durch die Übernahme anderer Unternehmen oder die fortschreitende Cloud-Implementierung. Wie würden Sie sicherstellen, dass die Sicherheitsmaßnahmen „mitwachsen“?

Lena Smart: Sicherheit ist auch eine Frage der Unternehmenskultur. Für Unternehmen ist es in jeder Situation entscheidend, eine positive Sicherheitskultur zu fördern. Deren Verankerung im gesamten Unternehmen ist dann am erfolgreichsten, wenn Mitarbeiter verstehen, warum Sicherheit wichtig ist und warum sie einen Mehrwert für das Unternehmen darstellt. Bei MongoDB stellen wir durch ein Security Champions-Programm sicher, dass Mitarbeiter das Thema hoch priorisieren und daran mitarbeiten, dass ein robustes, anpassungsfähiges Cybersicherheits­konzept entsteht, das sich ständig weiterentwickelt.

Security-Insider: Wie funktioniert das Security Champions Programm?

Lena Smart: Umfassende Sicherheit ist nicht allein durch Vorgaben von IT- und Sicherheitsexperten zu erreichen. Sie muss alle Geschäftsbereiche durchdringen und jedes Endgerät erreichen. Best Practices müssen dabei von ausnahmslos allen Mitarbeitern eingeübt und umgesetzt werden. Das geht nur, wenn Mitarbeiter bei der Umsetzung einer Sicherheitsstrategie als Partner fungieren. Wir haben die Erfahrung gemacht, dass Mitarbeiter aus Angst vor negativen Reaktionen und Sanktionen im Zweifelsfall eher eine verdächtige Mail löschen, als sich an Sicherheitsteams zu wenden. Im Security Champions-Programm von MongoDB sind Repräsentanten unterschiedlichster Abteilungen vertreten, deren Hauptaufgaben nicht IT oder Sicherheit, sondern etwa HR, Kommunikation, Kundenberatung oder Produktentwicklung sind. Teams haben dadurch einen Security-Ansprechpartner „aus den eigenen Reihen“. Das Arbeiten in Cloud-Umgebungen, die Zunahme von Zugriffspunkten, geopolitische Spannungen, Ransomware-Attacken und Phishing Mails sind nur einige der Themen, die zu einer strikten Sicherheitsdisziplin zwingen. Wird diese von den Mitarbeitern selbst mitgetragen und verantwortet, steigt das Engagement messbar an. Wir haben jetzt innerhalb des Security Champions-Programms mehr als 100 Sicherheitsbeauftragte an 45 verschiedenen Standorten weltweit.

Security-Insider: Was können Unternehmen jenseits der Schaffung einer positiven Sicherheitskultur tun, um ihren Sicherheitsteams die Arbeit zu erleichtern?

Lena Smart: Vorstand und Geschäftsleitung müssen dem Thema hohe Priorität einräumen, ihren Sicherheitsteams den Rücken stärken und Ressourcen bereitstellen. Wir sehen oft, dass Sicherheitsteams zu den ersten gehören, die betroffen sind, wenn Unternehmen Kosten reduzieren. Aber das ist kurzsichtig und auf lange Sicht schädlich. Cybersecurity ist geschäftskritisch, und Cyberattacken können existenzbedrohend werden. Wenn Unternehmensführungen an Prävention, Sensibilisierung und technischen Vorkehrungen sparen, riskieren sie bei einem Vorfall sehr viel höhere Folgekosten. Wer die Cyberabwehr stärken will, muss die Menschen dahinter stärken.

(ID:49992236)