Gastkommentar NIS2 unwichtig? Cyber-Resilienz ist es nicht!

Anbieter zum Thema

Tanium GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Wie Unternehmen NIS2 und DORA als Chance zur revolutionären Verbesserung Ihrer Cyberresilienz nutzen können, welche Rolle dabei die Automatisierung, strategische Partnerschaften und innovative Sicherheitsansätze spielen, erklärt Zac Warren, Chief Security Advisor EMEA bei Tanium in seinem Gastkommentar.

Ich verstehe durchaus, dass viele Entscheidungsträger es langsam satt haben, immer wieder von NIS2 oder DORA zu hören oder zu lesen. Und ich kann auch nachvollziehen, dass sie der Dringlichkeit, die in all diesen Botschaften mitschwingt, nicht wirklich Glauben schenken. Immerhin: Y2K, die Euro-Einführung, DSGVO... Diese Art von Regulierungen sorgt in der IT-Abteilung zunächst regelmäßig für leichte Panik, aber am Ende stellt sich alles als nicht so dramatisch heraus.

„Die Welt ist am 1. Januar 2000 nicht untergegangen, also wird auch NIS2 vorübergehen – oder?“ So die gängige Argumentation. Richtig, die Welt wird durch NIS2 nicht sofort stillstehen. Aber Ihre Organisation könnte es. Immerhin kann ein Cyberangriff Ihr Unternehmen in erhebliche Schwierigkeiten bringen. Denn darum geht es letztendlich: NIS2 und DORA drehen sich in erster Linie um das, was wir als Cyber-Resilienz bezeichnen. Oder nennen Sie es meinetwegen einfach IT-Sicherheit. Und die bleibt unabhängig von NIS2 oder DORA eine Top-Priorität. Denn Ransomware, Phishing oder der Diebstahl von Geschäftsgeheimnissen können jede Organisation in ernsthafte Probleme bringen.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

NIS2 ist eine großartige Chance

Natürlich ist NIS2 derzeit für viele Organisationen eine Pflichtübung. Und natürlich drohen Bußgelder, wenn sie nicht compliant sind. Also werden die Menschen zwangsläufig anfangen, sich mit NIS2 zu beschäftigen. Wir müssen es tun, weil es vorgeschrieben ist. Die Gefahr bei Vorschriften besteht jedoch darin, dass Unternehmen sie einfach als „Checkbox-Punkt“ betrachten. „Wir tun, was offenbar von uns verlangt wird, und gehen dann zur Tagesordnung über.“

Aber so funktioniert das natürlich nicht.

Der Zweck von NIS2 und DORA ist nicht die Erfüllung irgendwelcher neuen Anforderungen, die sich ein paar Bürokraten in Brüssel ausgedacht haben. Kluge Organisationen sehen NIS2, und DORA wenn sie im Finanzsektor tätig sind, in erster Linie als Chance, endlich ihre Hausaufgaben zu machen und die Cyber-Hygiene der Organisation weiter zu verbessern. Und für die sehr Pragmatischen unter uns: Jeder CISO oder Sicherheitsspezialist ist durchaus in der Lage, die vielen Berichte über die neuen Regelungen zu nutzen, um endlich ein höheres Budget für Cybersicherheit zu erwirken.

Automatisierung ist entscheidend

Aber wie geht man die Verbesserung der Cyber-Hygiene konkret an? In letzter Zeit hatte ich viel Kontakt mit unserem ServiceNow-Partner Plat4Mation. Wir arbeiten seit einiger Zeit als Tanium mit ServiceNow zusammen. Die Tatsache, dass ServiceNow nun auch strategisch in Plat4Mation investiert hat, macht die Zusammenarbeit nur noch logischer. Eine gute Abwehr gegen Cyber-Bedrohungen lässt sich nur mit einem ganzheitlichen Ansatz aufbauen, der Prozesse, Technologie, Menschen und Daten berücksichtigt. Genau diese vier Aspekte werden durch die Kombination von Tanium, Plat4Mation und ServiceNow perfekt adressiert.

Wie Plat4Mation stellen wir fest, dass viele Unternehmen viel zu wenig Einblick in ihre IT-Umgebung haben. Das ist ein großes Problem, denn schließlich ist das Ziel jeder guten Cybersecurity-Strategie der Schutz der Organisation. Dafür muss man natürlich genau wissen, was man schützen muss. Aber wie viele Unternehmen haben eine CMDB, die zu 100 Prozent genau ist und exakt widerspiegelt, was im Unternehmen vor sich geht? Nicht besonders viele, fürchte ich. Gerade bei der heutigen Explosion von Endpunkten kann eine CMDB fast per Definition nicht aktuell sein, es sei denn, man kann Echtzeitdaten nutzen, die automatische Updates liefern.

In vielen Organisationen ist die Erfassung von Informationen über die IT-Landschaft im Laufe der Jahre sehr fragmentiert geworden. IT Operations hat einen Teil der Informationen, die Sicherheitsabteilung hat einen anderen Teil der Daten, HR hat Daten, und so weiter. Leider hat der CISO wenig Einblick in alle Geräte, die in der Organisation verwendet werden, solange diese nicht in einem einzigen Dashboard zusammenkommen. Zudem wird ein Großteil der genannten Daten manuell gepflegt, in einer Excel-Tabelle oder einem Word-Dokument. Auf diese Weise ist es unvermeidlich, dass die Informationen völlig veraltet sind.

Dadurch entstehen gefährliche Situationen. Schließlich hat man keine „Single Source of Truth“, die Qualität der Daten ist schwer einzuschätzen, und die Auswirkungen eines möglichen Cyberangriffs auf das Unternehmen sind völlig unklar, selbst wenn der Angriff tatsächlich stattfindet. Von einem erfolgreichen Audit ganz zu schweigen. Es ist offensichtlich, dass die automatisierte Verarbeitung von Echtzeitdaten für einen guten Sicherheitsansatz entscheidend ist.

Strengere KRITIS-Vorgaben

Gespräche über Schutz kritischer Anlagen gescheitert

Strategische Zusammenarbeit

Tanium und ServiceNow arbeiten seit einiger Zeit zusammen. So wurde beispielsweise Taniums Autonomous Endpoint Management (AEM) Plattform in ServiceNow integriert, und auf der letztjährigen Converge-Benutzerkonferenz wurde Tanium Vulnerability Risk and Compliance (PRC) für ServiceNow angekündigt. Mit dieser Tanium-Lösung können Organisationen proaktiv Endpoint-Schwachstellen identifizieren, den Patch-Prozess automatisieren, um Sicherheitslücken schnell zu schließen, die Reaktionszeit bei Sicherheitsvorfällen deutlich verbessern, Risikoexposition eliminieren und nicht autorisierte Änderungen leicht erkennen. Auf der kommenden ServiceNow Knowledge Konferenz (Las Vegas, 7.-9. Mai) können wir zweifellos auch neue gemeinsame Initiativen erwarten.

Die Zusammenarbeit zwischen Tanium, ServiceNow und Plat4Mation ist ein perfektes Beispiel für eine komplementäre Partnerschaft: Tanium sammelt in Echtzeit alle Daten über potenzielle Risiken, ServiceNow kümmert sich um Datenspeicherung, -aggregation und -visualisierung, und Tanium wiederum übernimmt die Behebung. Und Plat4Mation sorgt dafür, dass Unternehmen diesen gesamten Zyklus richtig implementieren.

Awareness

Ich erwähnte bereits den ganzheitlichen Ansatz, bei dem auch Menschen ein wichtiges Element sind. Menschen sind meist die Schwachstelle in der Cybersicherheit. Oft kommen Bedrohungen durch Phishing herein, weil ein Mitarbeiter auf dubiose Links klickt oder wider besseren Wissens eine unbekannte exe-Datei installiert. Gleichzeitig sind Mitarbeiter auch die erste Verteidigungslinie gegen Cyberangriffe. Wenn alle wachsam sind und als Team zusammenarbeiten, können viele Probleme verhindert werden. Wenn eine verdächtige E-Mail eingeht, ist es die Aufgabe des Empfängers, dies sofort zu melden, damit schnell eine unternehmensweite Warnung verschickt werden kann. Neben dem Einsatz intelligenter Tools ist die Sensibilisierung aller Mitarbeiter eine wichtige Aufgabe der Sicherheitsabteilung. Nicht nur zur Vorbeugung von Problemen, sondern auch um schnell zu handeln, wenn etwas schief geht. Bei einer Datenpanne muss diese sofort gemeldet werden. Intern, aber auch an die Behörden.

Ist NIS2 wirklich nicht wichtig, wie die Überschrift dieses Kommentars suggeriert? Natürlich ist es das! Die Überschrift war bewusst etwas reißerisch gewählt. Warum? Weil Organisationen nicht nur verpflichtet sind, es umzusetzen, sondern vor allem, weil NIS2 ein Aufhänger sein kann, an dem sich eine gute Cybersecurity-Strategie festmachen lässt. Nicht umsonst hat ENISA, die europäische Cybersicherheitsbehörde, festgestellt, dass die NIS-Richtlinien durchaus positive Auswirkungen auf die IT-Sicherheit europäischer Organisationen haben. In diesem Sinne tragen NIS und NIS2 definitiv zu einer erhöhten Cyber-Wachsamkeit bei.

Über den Autor: Zac Warren ist Chief Security Advisor EMEA bei Tanium.

Die Anforderungen des NIS2-Umsetzungsgesetzes

Das bedeutet NIS 2 für Unternehmen

(ID:50334155)