So werden Sie cyberresilient | Teil 2
Im ersten Teil dieser Reihe ging es darum, wie man einen Cyberangriff übersteht, indem man effektiv plant und sich gründlich vorbereitet, bevor man einen Plan in die Tat umsetzt. Nun möchte ich tiefer in das Thema einsteigen und untersuchen, was ich als „risikobasierte Reaktion“ auf einen Angriff auf die geschäftskritischen Anwendungen Ihres Unternehmens, einschließlich Ihrer ERP-Systeme, bezeichne.
Betrachten wir zunächst die Schlüsselbegriffe dieses Prozesses: Bereitschaft und Reaktion. Bereitschaft ist der Plan, und die Reaktion ist die Umsetzung dieser Bereitschaft. Im Rahmen des kürzlich von Onapsis und Dark Reading veranstalteten Webinars zum Thema Cyber-Resilienz habe ich eine Analogie aus dem Boxsport herangezogen, um zu verdeutlichen, wie wichtig es für Unternehmen ist, ihre Bereitschaft zur Reaktion auf Vorfälle regelmäßig – und gründlich – zu testen.
Stell dir jemanden vor, der sich in der Boxtheorie bestens auskennt. Er ist ein großer Fan und hat unzählige Kämpfe gesehen. Er glaubt, dass er aufgrund seines gesammelten Beobachtungswissens bereit ist, in den Ring zu steigen und gegen einen Profi zu boxen. Was passiert, wenn dieser Profi ihm hart ins Gesicht schlägt? Dieser „Experte“ wird schockiert sein. Und er wird große Schmerzen haben. Er hat die Lektion gelernt, dass man nicht bereit für den Kampf ist, wenn man sich nicht konditioniert hat und nicht in der Lage ist, schnell zu reagieren.
Übung ist sowohl im Boxsport als auch in der Cybersicherheit entscheidend, denn das Muskelgedächtnis ist in beiden Bereichen entscheidend für den Erfolg. Sobald der Kampf (oder der Cyberangriff) beginnt, ist der Plan hinfällig. Man agiert nun aus dem Muskelgedächtnis heraus. Diese gut einstudierte Agilität und dieses Gedächtnis inmitten eines echten Sicherheitsvorfalls zu haben, ist unerlässlich. Deshalb geht es bei der risikobasierten Reaktion in der Cybersicherheit darum, sicherzustellen, dass man die Zeit und die Ressourcen, die am wichtigsten sind, dort einsetzt, wo sie die größte Wirkung erzielen.
Vor Jahren, als ich noch bei einem anderen Unternehmen arbeitete, saß ich in meinem Büro und dachte über die Herausforderungen der ERP-Sicherheit nach. Ich schaute auf einen Drucker und hatte einen Aha-Moment. Mir wurde klar, dass dieses Unternehmen – und die meisten Unternehmen – einen größeren Teil ihres Sicherheitsbudgets für das Patchen von Druckern ausgaben als für die Sicherung ihrer ERP-Systeme. Mit anderen Worten: Sie kümmerten sich um die einfachen Dinge und ignorierten die schwierigen. Wenn es um die Planung der Reaktion auf Vorfälle geht, sind nicht alle Ihre Ressourcen gleichwertig. Wenn beispielsweise ein PC in Brand gerät, hat das bei weitem nicht die gleichen Auswirkungen auf Ihr Unternehmen wie der Ausfall Ihres ERP-Systems oder einer anderen geschäftskritischen Anwendung. Deshalb ist es unerlässlich zu verstehen, welche Ressourcen die wichtigsten Geschäftsfunktionen Ihres Unternehmens unterstützen. Und wenn bei einer dieser Ressourcen ein Sicherheitsvorfall auftritt, müssen Sie darauf vorbereitet sein, Ihre schnellste und umfassendste Reaktion – alles, was Sie in Ihrem Sicherheits-Toolkit haben – einzusetzen, um die Dienste auf diesem kritischen System so schnell wie möglich wiederherzustellen. Das ist ein risikobasierter Ansatz.
Viele Unternehmen erstellen Vorfallreaktionsleitfäden, die sich nach der Art des Angriffs richten, etwa DDoS oder Malware. Das ist zwar gut und schön, doch wenn es um die Reaktion auf einen Sicherheitsvorfall geht, der auf ein geschäftskritisches System abzielt, ist das ein ganz anderer Kampf. Die Herausforderung besteht darin, Ihre Umgebung zu verstehen und Cybersicherheits-Playbooks für kritische Infrastrukturen und Anwendungen zu erstellen. Und genau deshalb macht Übung den Meister – egal, ob Sie boxen, Klavier spielen oder daran arbeiten, defend Unternehmen vor Cyberangriffen defend . Die folgende Folie zeigt einen Best-Practice-Ansatz für eine effektive Sicherheitsplanung.
Die mangelnde Bereitschaft, Zeit für die Einübung der Reaktion auf Sicherheitsvorfälle aufzuwenden, ist einer der Hauptgründe dafür, dass Unternehmen scheitern, wenn sie plötzlich auf einen Sicherheitsvorfall reagieren müssen. Eine unzureichende Leistungsmessung der Reaktion auf Sicherheitsvorfälle ist ein weiterer Schwachpunkt. Deshalb sollten Sie im Rahmen dieser Planungsübungen Scorecards veröffentlichen, aus denen hervorgeht, wie gut – oder wie schlecht – Sie auf einen Vorfall vorbereitet sind.
Vier wichtige Erkenntnisse
- Cyberangriffe sind zwar schmerzhaft, doch eine durchdachte und präzise Planung und Vorbereitung auf der Grundlage eines risikobasierten Ansatzes kann den Zeitaufwand minimieren und die Wirksamkeit Ihrer Reaktion maximieren.
- Statten Sie Ihren Werkzeugkasten schon jetzt mit den nötigen Fähigkeiten aus, damit Sie über Optionen und Vorteile verfügen, wenn Sie auf einen Vorfall reagieren müssen.
- Entwickeln und testen Sie Vorgehensanleitungen, um ein automatisiertes Reaktionsverhalten bei der Bewältigung von Vorfällen zu etablieren.
- Eine proaktive Planung der Reaktion auf Vorfälle gibt Führungskräften und Vorstandsmitgliedern die Gewissheit, dass das Unternehmen bestens vorbereitet ist, um die Auswirkungen von Vorfällen so gering wie möglich zu halten.