Was ist Cyber-Hygiene und warum ist sie wichtig?

Cyber-Hygiene ist das Cybersicherheitsäquivalent zum Konzept der persönlichen Hygiene in der Literatur des öffentlichen Gesundheitswesens.

Die Agentur für Netz- und Informationssicherheit (ENISA) der Europäischen Union erklärt, dass "Cyber-Hygiene auf die gleiche Weise wie persönliche Hygiene betrachtet werden sollte und, sobald sie richtig in eine Organisation integriert ist, einfache tägliche Routinen, gutes Verhalten und gelegentliche Überprüfungen sein werden, um sicherzustellen, dass die Online-Gesundheit der Organisation in optimalem Zustand ist".

Der Bericht stellte jedoch fest, dass es keinen Konsens darüber gab, was Cyberhygiene bedeutete oder überhaupt mit sich brachte. Verschiedene Nationen haben ihre eigenen Empfehlungen und Ratschläge, wie z. B. das NIST Cybersecurity Framework, aber es gibt keinen einheitlichen Standard oder allgemein vereinbarten Mechanismus für eine Organisation, um Cyberhygiene zu bewerten, zu bewerten oder nachzuweisen.

Wir bei UpGuard sind der Meinung, dass gute Cyber-Hygienepraktiken eine starke Sicherheitslage schaffen, die anhand einer Sicherheitsbewertung gemessen wird. Je höher Ihre Sicherheitsbewertung, desto besser sind Ihre Sicherheitspraktiken und desto besser können Sie Datenschutzverletzungen, Cyberangriffe, Phishing, Malware, Ransomware, die Offenlegung personenbezogener Daten und andere Cyberbedrohungen verhindern.

Kurz gesagt, Cyber-Hygiene umfasst Ihre Hardware, Software, IT-Infrastruktur, Schulungen zum Thema Cybersicherheit und zunehmend auch die eigenen Geräte Ihrer Mitarbeiter.

Warum ist Cyber-Hygiene wichtig?

In der sich ständig verändernden Bedrohungslandschaft von heute ist es wichtiger denn je, eine Cybersicherheitsroutine zu schaffen, die Cyberkriminelle daran hindern kann, Sicherheitsverletzungen zu verursachen, verschiedene Arten von Malware zu installieren und persönliche Informationen von Ihnen und Ihren Kunden zu stehlen.

Viele Unternehmen verlassen sich fast ausschließlich auf Cybersicherheitsexperten, um alltägliche Aufgaben zu erledigen, die darauf abzielen, sich selbst und die sensiblen Daten ihrer Endbenutzer zu schützen.

Das ist ein Fehler. Jeder Mitarbeiter muss die grundlegenden Praktiken der Cybersicherheit und ihre Rolle beim Schutz und der Wartung Ihrer IT-Systeme und -Geräte verstehen. Dies ermöglicht eine bessere Reaktion auf Vorfälle und bietet eine sofortige und effektive Abwehr von Cyberangriffen.

Es spielt keine Rolle, ob Sie 10 oder 10.000 Mitarbeiter haben, die Welt wird immer vernetzter, und das Ausmaß und die Auswirkungen von Datenschutzverletzungen nehmen zu. Zum Vergleich: Es gab mindestens 34 Datenschutzverletzungen, von denen mehr als 55 Millionen Menschen betroffen waren.

Und es sind nicht nur die großen Datenschutzverletzungen, die Geld kosten: Laut dem Cost of Data Breach Report des Ponemon Institute und IBM Security sind die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung in den letzten fünf Jahren um 12 Prozent auf 3,92 Millionen US-Dollar gestiegen.

Neben der Verbesserung der Sicherheit kann die Cybersicherheit auch dazu beitragen, dass Ihre Hardware und Software mit maximaler Effizienz ausgeführt wird. Ohne Wartung können Dateien fragmentiert und Programme veraltet sein. Das Patchen verringert nicht nur das Risiko ausnutzbarer Schwachstellen, sondern kann auch neue Funktionen einführen oder bestehende Funktionen verbessern.

Was sind häufige Probleme bei der Cyberhygiene?

Wahrscheinlich haben Sie mehrere Angriffsvektoren, die Cyberhygiene erfordern. Die gesamte Hardware (Computer, mobile Geräte, vernetzte Geräte, Festplatten und Cloud-Speicher), Softwareprogramme und SaaS-Anwendungen müssen wahrscheinlich regelmäßig und kontinuierlich gewartet werden. Jedes dieser Systeme kann im Laufe der Zeit anfällig werden, wenn neue Schwachstellen auf CVE aufgelistet werden. Zu den häufigsten Problemen bei der Cyberhygiene gehören:

• Datenverlust: Festplatten, Online-Cloud-Speicher und SaaS-Apps, die sensible Daten speichern, die nicht gesichert oder gepflegt werden, können anfällig für Hackerangriffe, Korruption, Datenlecks und Datenschutzverletzungen sein. Um zu erfahren, wie Sie dieses Problem beheben können, lesen Sie unseren Leitfaden zur Verhinderung von Datenverlust.
• Verlegte Daten: Schlechte Cyberhygiene kann auf andere Weise zum Verlust von Daten führen, auch wenn sie nicht beschädigt oder für immer verschwunden sind, kommt es aufgrund der unzähligen Orte, an denen sie gespeichert werden können, immer häufiger vor, dass Daten verlegt werden. Aus diesem Grund ist eine robuste Datenklassifizierung wichtig.
• Sicherheitsverletzungen: Datenschutzverletzungen werden immer häufiger und kostspieliger. Spear-Phishing, Whaling-Angriffe, mangelndes Konfigurationsmanagement und schlechte Netzwerksicherheit können zur Offenlegung von Geschäftsgeheimnissen, personenbezogenen Daten und PHI führen. Dies kann Identitätsdiebstahl von Kunden, Industriespionage und den Verlust der Marktposition zur Folge haben.
• Veraltete Software: Für Softwareanwendungen müssen regelmäßig Sicherheitspatches angewendet werden, um bekannte Schwachstellen zu verhindern. Der Erfolg des Ransomware-Computerwurms WannaCry ist ein gutes Beispiel dafür, warum das Patchen von Betriebssystemen ein wichtiger Bestandteil einer guten Cyberhygiene ist. Um mehr zu erfahren, lesen Sie unseren Leitfaden zum Schwachstellenmanagement hier.
• Alte Sicherheitssoftware: Antivirensoftware und andere Sicherheitssoftware müssen auf dem neuesten Stand gehalten werden, um mit der sich ständig verändernden Bedrohungslandschaft Schritt zu halten. Darüber hinaus kann es hilfreich sein, in eine kontinuierliche Sicherheitsüberwachung zu investieren.
• Schlechtes oder fehlendes Risikomanagement von Anbietern: Vorbei sind die Zeiten, in denen Sie sich ausschließlich um die Sicherheitslage Ihres Unternehmens kümmern konnten. Es besteht die Möglichkeit, dass eine Reihe Ihrer Drittanbieter und Dienstanbieter Zugriff auf Ihre Wi-Fi-Netzwerke haben oder sensible Daten in Ihrem Namen verarbeiten. Aus diesem Grund ist das Risikomanagement von Anbietern so wichtig. Darüber hinaus besteht möglicherweise die gesetzliche Anforderung, sich auf das Risikomanagement von Drittanbietern zu konzentrieren, z. B. FISMA, CPS 234, GLBA, SOX, PCI DSS und HIPAA. Lesen Sie hier unseren Leitfaden zum Risikomanagement von Anbietern.

Was sind Best Practices für Cyber-Hygiene?

Best Practices für die Cybersicherheit sind eigentlich nur Best Practices für die Cybersicherheit. Das Center for Internet Security (CIS) Controls for Effective Defense ist ein guter Ausgangspunkt.

Die CIS Controls for Effective Defense lassen sich in drei Gruppen unterteilen:

1. Grundlegende CIS-Kontrollen
2. Grundlegende CIS-Kontrollen
3. CIS-Kontrollen der Organisation

Was sind die grundlegenden CIS-Kontrollen?

Es gibt sechs Steuerelemente in den grundlegenden CIS-Kontrollen, nämlich:

1. Inventarisierung und Kontrolle von Hardwareressourcen: Diese Kontrolle erfordert, dass Organisationen Hardwaregeräte in ihrem Netzwerk verwalten, um sicherzustellen, dass nur autorisierte Geräte Zugriff auf sensible Bereiche haben.
2. Inventarisierung und Kontrolle von Software-Assets: Diese Kontrolle mindert dieses Risiko, indem sie von Unternehmen verlangt, die gesamte Software im Netzwerk aktiv zu verwalten, damit nur autorisierte Software installiert und ausgeführt werden kann.
3. Kontinuierliches Schwachstellenmanagement: Diese Kontrolle erfordert, dass Unternehmen kontinuierlich neue Informationen erfassen, bewerten und Maßnahmen ergreifen, um Schwachstellen zu identifizieren, zu beheben und das Zeitfenster zu minimieren.
4. Kontrollierte Verwendung von Administratorrechten: Das Prinzip der geringsten Rechte und andere Zugriffssteuerungsmethoden, wie z. B. die Zwei-Faktor-Authentifizierung oder die Multi-Faktor-Authentifizierung, dienen dazu, Prozesse und Tools zu erstellen, um die Verwendung, Zuweisung und Konfiguration von Administratorrechten zu verfolgen, zu kontrollieren, zu verhindern und zu korrigieren.
5. Sichere Konfiguration von Hardware und Software auf mobilen Geräten, Laptops, Workstations und Servern: Unternehmen müssen die Sicherheitskonfiguration von mobilen Geräten, Laptops, Servern und Workstations mithilfe von Konfigurationsmanagement- und Änderungskontrollprozessen einrichten, implementieren und aktiv verwalten, um zu verhindern, dass Angreifer anfällige Dienste und Einstellungen ausnutzen. Dies sollte die Verwendung komplexer Passwörter beinhalten. Um zu erfahren, wie Sie sichere Passwörter erstellen, lesen Sie unsere Checkliste für die Passwortsicherheit.
6. Wartung, Überwachung und Analyse von Überwachungsprotokollen: Unternehmen müssen Überwachungsprotokolle von Ereignissen sammeln, verwalten und analysieren, um die Erkennung, Identifizierung und Wiederherstellung nach Angriffen zu unterstützen.

Was sind die grundlegenden CIS-Kontrollen?

Es gibt zehn Steuerelemente in den grundlegenden CIS-Steuerelementen, nämlich:

1. Schutz von E-Mails und Webbrowsern: Diese Kontrolle kann die Angriffsfläche und die Möglichkeiten für Angreifer minimieren, menschliches Verhalten durch ihre Interaktion mit Webbrowsern und E-Mail-Systemen zu manipulieren. Lesen Sie unseren Leitfaden zur E-Mail-Sicherheit, um weitere Informationen zu erhalten.
2. Malware-Abwehr: Unternehmen müssen die Installation, Verbreitung und Ausführung von bösartigem Code kontrollieren und gleichzeitig den Einsatz von Automatisierung optimieren, um eine schnelle Aktualisierung der Abwehr, Datenerfassung und Korrekturmaßnahmen zu ermöglichen.
3. Einschränkung und Kontrolle von Netzwerkports, -protokollen und -diensten: Diese Kontrolle muss die fortlaufende betriebliche Nutzung von Ports, Protokollen und Diensten auf vernetzten Geräten verwalten, um die für Angreifer verfügbaren Schwachstellenfenster zu minimieren. Um mehr zu erfahren, lesen Sie unseren Leitfaden zu offenen Ports.
4. Datenwiederherstellungsfunktionen: Unternehmen müssen Prozesse und Tools einsetzen, um kritische Informationen mit einer bewährten Methodik für eine zeitnahe Wiederherstellung ordnungsgemäß zu sichern.
5. Sichere Konfiguration von Netzwerkgeräten, wie z. B. Firewalls, Routern und Switches: Unternehmen müssen die Sicherheitskonfiguration von Netzwerkinfrastrukturgeräten mithilfe von Konfigurationsmanagement- und Änderungskontrollprozessen einrichten, implementieren und aktiv verwalten, um zu verhindern, dass Angreifer anfällige Dienste und Einstellungen ausnutzen.
6. Boundary Defense: Boundaries Defense Controls erkennen, verhindern und korrigieren den Informationsfluss, der über Netzwerke unterschiedlicher Vertrauensebenen übertragen wird, wobei der Schwerpunkt auf sicherheitsschädigenden Daten liegt.
7. Datenschutz: Sensible Daten befinden sich an vielen Orten. Der Schutz dieser Daten wird am besten durch die Kombination von Verschlüsselungs-, Integritätsschutz- und Datenverlustpräventionstechniken erreicht.
8. Kontrollierter Zugriff basierend auf dem Need-to-know-Bedarf: Unternehmen müssen über Prozesse und Tools verfügen, um den sicheren Zugriff auf kritische Assets gemäß den Zugriffskontrollrechten von Personen, Computern und Anwendungen auf der Grundlage eines zuvor klassifizierten Bedarfs oder Rechts zu verfolgen, zu kontrollieren, zu verhindern und zu korrigieren. Lesen Sie hier mehr über die Zugriffskontrolle und das Prinzip der geringsten Rechte.
9. Drahtlose Zutrittskontrolle: Drahtlose Zutrittskontrollen sind Prozesse und Werkzeuge, um die sichere Nutzung von drahtlosen lokalen Netzwerken (WLANs), Access Points und drahtlosen Client-Systemen zu verfolgen, zu kontrollieren, zu verhindern und zu korrigieren.
10. Kontoüberwachung und -kontrolle: Diese Kontrolle erfordert eine aktive Verwaltung des gesamten Lebenszyklus von System- und Anwendungskonten - deren Erstellung, Nutzung, Ruhezustand und Löschung -, um die Möglichkeiten für Angreifer zu minimieren.

Was sind die organisatorischen CIS-Kontrollen?

Es gibt vier organisatorische CIS-Kontrollen, nämlich:

1. Implementieren Sie ein Sicherheitsbewusstseins- und Schulungsprogramm: Unternehmen müssen die spezifischen Kenntnisse, Sicherheitsfähigkeiten und -fähigkeiten identifizieren, die zur Unterstützung der Verteidigung des Unternehmens erforderlich sind, einen Plan zur Bewertung, Identifizierung von Lücken und zur Behebung durch Richtlinien-, Planungs-, Schulungs- und Sensibilisierungsprogramme entwickeln und ausführen.
2. Sicherheit von Anwendungssoftware: Unternehmen müssen die Sicherheit aller internen und erworbenen Software über ihren gesamten Lebenszyklus hinweg verwalten.
3. Incident Response und Management: Unternehmen müssen ihre Informationen und ihren Ruf schützen, indem sie eine Incident-Response-Infrastruktur (z. B. Pläne, definierte Rollen, Schulungen, Kommunikation, Managementaufsicht) entwickeln und implementieren, um Angriffe schnell zu erkennen und dann den Schaden einzudämmen, den Zugriff des Angreifers zu unterbinden und die Integrität des Netzwerks und der Systeme wiederherzustellen.
4. Penetrationstests und Red-Team-Übungen: Unternehmen müssen ihre gesamte Verteidigung (Technologie, Prozesse und Mitarbeiter) testen, indem sie die Ziele und Aktionen eines Angreifers simulieren. Dies kann Vor-Ort- und Offsite-Penetrationstests, Netzwerksicherheitsbewertungen und Tests der Implementierung von Informationssicherheitsrichtlinien umfassen.

Wie kann ich meine Cyber-Hygiene messen?

Sicherheitsbewertungen sind eine großartige und immer häufiger vorkommende Methode, um die Wirksamkeit Ihrer Cybersicherheit zu messen.

Sicherheitsbewertungen oder Cybersicherheitsbewertungen sind eine datengestützte, objektive und dynamische Messung der Sicherheitslage eines Unternehmens. Sie werden von einer vertrauenswürdigen, unabhängigen Sicherheitsbewertungsplattform erstellt, was sie als objektiven Indikator für die Cybersicherheitsleistung eines Unternehmens wertvoll macht.

So wie Ratings darauf abzielen, ein quantitatives Maß für das Kreditrisiko zu liefern, zielen Wertpapierratings darauf ab, ein quantitatives Maß für das Cybersicherheitsrisiko zu liefern.

Je höher Ihre Sicherheitseinstufung, desto besser sind die Cybersicherheitspraktiken Ihres Unternehmens. Im Gegensatz zu herkömmlichen Risikobewertungstechniken wie Penetrationstests, Sicherheitsfragebögen und Vor-Ort-Besuchen werden Sicherheitsbewertungen aus objektiven und extern überprüfbaren Informationen abgeleitet.

Erfahren Sie hier mehr über die Top-Fragebögen.

UpGuard ist eine der beliebtesten und vertrauenswürdigsten Plattformen für Sicherheitsbewertungen.

Mit UpGuard kann die Sicherheitsbewertung eines Unternehmens zwischen 0 und 950 liegen und setzt sich aus einem gewichteten Durchschnitt der Risikobewertung aller extern ausgerichteten Assets wie Webanwendungen, IP-Adressen und Marketing-Websites zusammen.

Um unsere Sicherheitsbewertungen auf dem neuesten Stand zu halten, berechnen wir die Wunden neu, wenn eine Website gescannt oder ein Sicherheitsfragebogen eingereicht wird. Im Allgemeinen bedeutet dies, dass die Sicherheitsbewertung eines Unternehmens mehrmals täglich aktualisiert wird, da die meisten Websites täglich gescannt werden.

Wir stützen unsere Bewertungen auf die Analyse von 70+ Vektoren, darunter:

• Anfälligkeit für Man-in-the-Middle-Angriffe
• Unsichere SSL/TLS-Zertifikate
• SPF-, DKIM- und DMARC-Einstellungen
• HTTP Streng Transport Sicherheit (HSTS)
• E-Mail-Spoofing und Phishing-Risiko
• Schwachstellen
• Anfälligkeit für Malware
• Netzwerksicherheit
• Unnötige offene Administrations-, Datenbank-, App-, E-Mail- und Filesharing-Ports
• Gefährdung durch bekannte Datenschutzverletzungen und Datenlecks
• Anfällige Software
• HTTP-Zugänglichkeit
• Sichere Cookie-Konfiguration
• Ergebnisse intelligenter Sicherheitsfragebögen

Wenn Sie andere Sicherheitsbewertungsdienste wie SecurityScoreCard oder BitSight Technologies in Betracht ziehen, lesen Sie hier unseren Leitfaden zu SecurityScorecard-Sicherheitsbewertungen im Vergleich zu BitSight-Sicherheitsbewertungen.

Unternehmen wie Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar und NASA nutzen die Sicherheitsbewertungen von UpGuard, um ihre Daten zu schützen, Datenschutzverletzungen zu verhindern und ihre Sicherheitslage zu bewerten.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Bewertung der damit verbundenen Informationssicherheitskontrollen und der Informationssicherheitskontrollen von Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und Vorlagen für Lieferantenfragebögen bereitstellt.

Wir können Ihnen helfen, die externen Sicherheitskontrollen Ihrer Anbieter kontinuierlich zu überwachen und eine unvoreingenommene Sicherheitsbewertung zu erstellen.

Wir können Ihnen auch dabei helfen, Ihre aktuellen und potenziellen Anbieter sofort mit ihrer Branche zu vergleichen, damit Sie sehen können, wie sie abschneiden.

Für die Bewertung Ihrer Informationssicherheitskontrollen kann UpGuard BreachSight Ihr Unternehmen auf 70+ Sicherheitskontrollen überwachen, eine einfache, leicht verständliche Sicherheitsbewertung bieten und automatisch kompromittierte Anmeldeinformationen und Datenoffenlegungen in S3-Buckets, Rsync-Servern, GitHub-Repositorys und mehr erkennen.

Der Hauptunterschied zwischen UpGuard und anderen Anbietern von Sicherheitsbewertungen besteht darin, dass es sehr öffentliche Beweise für unsere Expertise bei der Verhinderung von Datenschutzverletzungen und Datenlecks gibt.

Unsere Expertise wurde unter anderem in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und TechCrunch veröffentlicht.

Lesen Sie mehr darüber, was unsere Kunden in den Gartner-Bewertungen sagen, und lesen Sie hier unsere Kundenfallstudien.