Cyber-Resilienz Teil I: Mensch und Technik Das Immunsystem des Unternehmens

Anbieter zum Thema

Insider Research

Eye Security GmbH

Angesichts der wachsenden Bedrohung durch Cyber-Angriffe wird Cyber-Resilienz für Unternehmen immer wichtiger. Erst 36 Prozent der Unternehmen haben bisher allerdings ein hohes Resilienz-Level erreicht, so eine Studie von Frost & Sullivan und Greenbone.

Cyber-Resilienz beschreibt die angestrebte Widerstandskraft eines Unternehmens ­gegen jede Art von Cyber-Angriffen. Das bedeutet, inwieweit sie in der Lage sind, trotz einer Cyber-Attacke ihre Geschäftsprozesse, Kernaufgaben und allgemeine Integrität aufrechtzuerhalten. So stellt sich ­IT-Security als ein Teilbereich der Cyber-Resilienz dar. Resiliente Unternehmen sind strategisch ganzheitlich auf jede Form eines Angriffs oder IT-Ausfalls vorbereitet. Das bedeutet nicht, dass sie isoliert, hinter einer Sicherheitsmauer existieren, sondern dass sie gelernt haben, auch bei Störungen geschäftsfähig zu bleiben.

Bestenfalls entwickelt sich die Resilienz aus den Geschäftsprozessen. So zeigt der Report von Frost & Sullivan und Greenbone, dass fast alle hochresilienten Unternehmen (ca 95 %) der Best Practice folgen, bei der die Verantwortung eines digitalen Assets beim Owner liegt. Ab diesem Moment sind Einzelne oder Abteilungen für einen klar definierten Teil des Sicherheitsprozesses verantwortlich.

Im Detail bedeutet eine übergreifende, interdisziplinäre Betrachtung der Cybersicherheit, dass alle Bereiche des Unternehmens mit eingebunden sein müssen. Exemplarisch von der Haus-EDV über Krisenmanagement, Unternehmenskommunikation, Management und Kundendienst sollten alle den Cyber Security Incident-Plan kennen und leben. Schließlich gilt auch für die Cyber-Resilienz, dass die Abwehrkraft „des Immunsystems“ des gesamten Unternehmens nur so sicher ist, wie ihr schwächstes Glied.

Fortlaufender Lernprozess

Der erste Schritt auf dem Weg zur Resilienz besteht zumeist darin, zu akzeptieren, dass Fehler passieren – sowohl auf menschlicher als auch auf technischer Seite. Entscheidend ist, dass man offen mit ihnen umgeht und eine proaktive Fehler-Kultur entwickelt. Denn schließlich ist der Mensch nach wie vor die größte Schwachstelle in Unternehmen, weil Mitarbeiter aller Bereiche auf Phishing-Angriffe und Social Engineering hereinfallen oder Schadsoftware herunterladen können. Gerade die Kritis-Unternehmen sind sehr darauf bedacht und auch verpflichtet, ihre Mitarbeiter zu schulen und Notfallpläne zu entwickeln und zu trainieren. Die EU-weite NIS-Richtlinie (Directive on Security of Network and Information Systems) soll dementsprechend für ein hohes Resilienz-Level bei Organisationen sorgen, die kritische Infrastrukturen betreiben. Grundsätzlich betrifft Cyber-Resilienz immer alle Bereiche einer Organisation und ist im Management zu verankern. Sie ist Bestandteil aller Prozesse und muss allen Mitarbeitern nachvollziehbar vermittelt werden.

Schwachstellen-Management

Sämtliche Risiken lassen sich aber auch mit der besten Sicherheitstechnologie nie komplett vermeiden, sondern nur managen. Um Resilienz zu erreichen, müssen Unternehmen Risiken anerkennen, sie bewerten und angemessene Maßnahmen ­ergreifen, um sie zu reduzieren. Deshalb bedeutet Resilienz auch, Sicherheits-Kultur und Prozesse zu entwickeln, um aus Fehlern neue Methoden zu entwickeln, um mit zukünftigen Cyberattacken besser umzugehen. Das Immunsystem des Unternehmens wird so beim nächsten Data Breach besser reagieren können.

Nur wenn Unternehmen alle drei Dimensionen Menschen und Kultur, Prozesse und Organisation sowie Technologie und In­frastruktur berücksichtigen, kann es gelingen, nachhaltige Resilienz zu erreichen. Die Basis bilden die Maßnahmen zur ­Abwehr von Bedrohungen. Darüber hinaus sind Abläufe zum Disaster Recovery und zur Wiederherstellung des Betriebs nach erfolgreichen Angriffen zu verankern.

(ID:47141231)