Warum sollte ich mich um Cyberrisiken kümmern?

Der Begriff Cyberrisiko wird oft verwendet, um die allgemeine Cybersicherheitslage eines Unternehmens zu beschreiben, d. h. wie hoch das Risiko für dieses Unternehmen angesichts der Maßnahmen ist, die es ergriffen hat, um sich zu schützen. Es wird oft mit der Idee einer Cyber-Versicherung gekoppelt, der notwendigen Deckung zwischen dem, was ein Unternehmen in Bezug auf die Sicherheit tun kann, und den Cyber-Bedrohungen, denen es Tag für Tag ausgesetzt ist.

Cybersicherheit gehörte früher ausschließlich in den Bereich der Informationstechnologie, eines von vielen Geschäftssilos, die zwar wichtig waren, aber nur einen kleinen Teil des Geschäfts ausmachten und als solche oft an einen C-Level-Manager delegiert wurden, der bei Bedarf mit anderen Führungskräften zusammenarbeitete.

Die heutigen Unternehmen sind aus diesem Modell herausgewachsen, da das, was früher als Informationstechnologie galt, gewachsen ist und das Geschäft selbst umfasst, jeden Aspekt davon durchdringt und seine Geschwindigkeit, seine Reichweite und seine Möglichkeiten bestimmt. Als CEO oder CFO spiegelt die Art und Weise, wie Ihr Unternehmen mit Informationstechnologie umgeht und beginnt, Cyber-Resilienz zu fördern, die Art und Weise wider, wie Sie über Ihr Unternehmen und seinen Platz auf dem heutigen Markt denken.

Ein kürzlich veröffentlichter Nasdaq-Bericht ergab, dass "91 % der Vorstandsmitglieder in den am stärksten gefährdeten Unternehmen einen Cybersicherheitsbericht nicht interpretieren können. "Angesichts der Verdoppelung der Sicherheitsverletzungen im Jahr 2016 muss die Wissenslücke zwischen Führungskräften und IT überbrückt werden. Der erste Schritt, um diese Lücke zu schließen, besteht darin, herauszufinden, warum Cyberrisiken für jede Führungskraft eine geschäftliche Priorität sein sollten.

Das Ziel ist nicht, CEOs, CFOs und andere Führungskräfte zu Technologen zu machen, sondern dass sich Unternehmen an die digitale Landschaft anpassen, in der sie existieren. Dies erfordert Anstrengungen sowohl vom Management als auch von der IT, um einen Mittelweg in einer Beziehung zu finden, die oft schwierig war, aber die Vorteile gehen weit über die Verhinderung größerer Sicherheitsverletzungen hinaus und wirken sich auf die täglichen Geschäftsprozesse aus, damit Manager und IT-Experten mit angemessenen Erwartungen und fundiertem Wissen über die Bedürfnisse des anderen zusammenarbeiten können.

Fünf Gründe, sich über Cyberrisiken Gedanken zu machen

1. Kundenschutz

Wenn wir über Cyberrisiken sprechen, sind die persönlichen Daten der Kunden am häufigsten gefährdet. Unabhängig davon, ob es sich um Kreditkarteninformationen, Krankenakten, Adressen und Telefonnummern oder andere Arten von sensiblen Informationen handelt, besteht das Ziel einer Datenschutzverletzung darin, diese Informationen so zu erlangen und zu nutzen, dass sie schwerwiegende Auswirkungen auf das Leben der Menschen haben können, denen sie gehören. Bevor Sie sich überhaupt mit den geschäftlichen Überlegungen befassen, denken Sie daran, dass echte Menschen betroffen sind, wenn ihre Daten kompromittiert werden, und dass der Prozess, diesen Schaden wiedergutzumachen, mühsam, stressig und teuer sein kann.

2. Finanzielle Kosten

Das sollte das Offensichtliche sein. Datenschutzverletzungen sind teuer. Es gibt so viele Vektoren, die finanziell von einer schwerwiegenden Datenschutzverletzung betroffen sind, dass es schwierig sein kann, sie alle aufzuzählen, aber dazu gehören: fallende Aktienkurse, investigative und forensische Bemühungen, Identitätsschutzdienste für betroffene Kunden, PR-Initiativen und Medien sowie Rechtsberatung und Gebühren (ganz zu schweigen von möglichen Maßnahmen). Zu den indirekten finanziellen Kosten gehören der Verlust von Kunden, sowohl aktueller als auch potenzieller, akuter, reaktionärer Cybersicherheitsabhilfe und etwaige Ausfallzeiten, die während der Untersuchung/Behebung entstehen.

Selbst weniger schwerwiegende Angriffe wie Ransomware können ein Unternehmen Zehntausende von Dollar kosten, wenn es nicht darauf vorbereitet ist, sich damit auseinanderzusetzen. Ransomware wie WannaCry ist zwar klein im Vergleich zu den mehreren Millionen, die durch groß angelegte Datenschutzverletzungen verloren gehen, aber sie trifft große und kleine Unternehmen gleichermaßen, und die finanziellen Auswirkungen können beträchtlich sein, ganz zu schweigen von peinlich.

Da Cyber-Versicherungen immer mehr zur Norm werden, wird die Preisgestaltung für Policen von der Sicherheitslage abhängen. Die Tarife für Unternehmen mit weniger Sicherheitsmaßnahmen werden höher sein, und Vorfälle wie Verstöße, die Ansprüche gegen die Versicherung nach sich ziehen, werden die Tarife noch weiter erhöhen, z. B. wenn Sie einen verschuldeten Unfall mit Ihrem Auto haben. Um den Preis von Cyber-Versicherungen erfolgreich zu verwalten, benötigen Unternehmen eine proaktive Cyber-Risikostrategie, um sowohl die Sicherheitslage zu dokumentieren als auch kostspielige Vorfälle zu verhindern.

3. Produktschutz

Abgesehen von Kundendaten oder möglicherweise Finanzdaten von Unternehmen sind ein weiteres Hauptziel von Cyberangriffen proprietäre Geschäftsdaten wie Pläne, Code und anderes geistiges Eigentum oder Strategie und Kommunikation wie E-Mail, Voicemail und gemeinsam genutzte Dokumente.

Für viele Unternehmen sind diese Daten ihr Geschäft. Wenn es an die Börse geht oder an Wettbewerber oder eine staatliche Stelle verkauft wird, könnte die Rentabilität des angegriffenen Unternehmens stark beeinträchtigt werden. Digitale Dokumente sind das Lebenselixier der meisten Unternehmen, und ihre Offenlegung ist ein Geschäftsproblem, kein IT-Problem. Selbst externe Partner können gemeinsam genutzte Daten gefährden, was die Bedeutung von Fragebögen zur Risikobewertung von Anbietern bei der Auswahl solcher Drittfirmen unterstreicht.

4. Ruf des Unternehmens

Datenschutzverletzungen erhalten viel Aufmerksamkeit in den Medien, was sie angesichts ihrer Auswirkungen wahrscheinlich auch sollten. Für ein Unternehmen kann dies (bestenfalls) eine schwierige Zeit bedeuten, in der es darum geht, einen Sturm aus Kritik, Spott und mangelndem Vertrauen zu überstehen. Wenn Personen Ihren Markennamen mit einer Datenschutzverletzung in Verbindung bringen, ist es unwahrscheinlich, dass sie sich zu einem späteren Zeitpunkt für die Nutzung Ihrer Dienstleistungen oder Ihres Produkts entscheiden, unabhängig davon, welche Maßnahmen Sie seitdem ergriffen haben.

Bestehende Kunden können motiviert sein, zu einem Konkurrenten zu wechseln, wenn sie das Gefühl haben, dass sie einem Unternehmen ihre Informationen nicht mehr anvertrauen können. Darüber hinaus kann ein Unternehmen mit einer bekannten Sicherheitsverletzung ein Leuchtturm für andere Cyberangreifer sein, die davon ausgehen, dass das Unternehmen über eine schwache Sicherheit verfügt. Die Zunahme der Angriffe könnte zu einem ganz neuen Vorfall führen, wenn die Probleme, die den ursprünglichen Verstoß ermöglicht haben, nicht sofort behoben werden.

5. Schaden für die Karriere

Das Reputationsproblem erstreckt sich über die Unternehmenseinheit hinaus auf die Führungskräfte, die sie leiten. Klagen von Aktionären gegen Privatpersonen, die ein Unternehmen führen, sind nicht nur möglich, sondern nach einem größeren Verstoß an der Tagesordnung. Nachlässigkeit in Bezug auf die Cybersicherheit kann einen CIO oder CTO ihren Job kosten, aber sie kann einen CEO ihren Lebensunterhalt und ihre Karriere kosten, wenn sie, wie das Unternehmen, mit einer weithin gemeldeten Datenschutzverletzung in Verbindung gebracht wird. Der Grund dafür ist einfach: Die Kunden kümmern sich nicht um die inneren Spaltungen zwischen Management und IT, zwischen Führungskräften und Technologen. Der Schwarze Peter liegt beim CEO, und das ist es, was Kunden, Aktionäre und Journalisten erwarten werden.

Die Ursachen für Cybersicherheitsvorfälle mögen technologischer Natur sein, aber ihre Auswirkungen sind rein geschäftliche Auswirkungen, und als solche wird das Unternehmen daran gemessen und beurteilt. Aus diesem Grund und aus den oben genannten Gründen ist es von entscheidender Bedeutung, dass Führungskräfte Cyberrisiken in ihre Geschäftsstrategien einbeziehen, auch mit externen Partnern über Lieferantenrisikobewertungen, und damit beginnen, sie als den wichtigen, integrierten Geschäftsbetrieb zu betrachten, der sie sind. Um dies zu erreichen, ist ein noch nie dagewesenes Maß an Transparenz innerhalb und außerhalb des Rechenzentrums erforderlich.

IT-Experten benötigen die Transparenz, um zu wissen, was in ihren Systemen vor sich geht, welche Konfigurationen sich wo befinden, welche Systeme konform sind und welche behoben werden müssen. Draußen braucht die Geschäftsleitung die Transparenz, um die Cybersicherheitslage des Unternehmens zu verstehen, ohne selbst zu Technologen zu werden. Dies ist die Essenz der Cyber-Resilienz, die Risikominderung. UpGuard bietet einen einzigen Bereich, um diese beiden Ziele zu erreichen. Unsere Konfigurationsüberwachung und kontinuierlichen Tests stellen sicher, dass die Systeme sichtbar und inventarisiert sind und dass Änderungen überwacht, protokolliert und die entsprechenden Personen benachrichtigt werden. Unsere Suchmaschine und die einfach zu bedienende Oberfläche bedeuten, dass keine Zeit mit dem Erlernen des Tools verschwendet wird und mehr Zeit für den Schutz von Vermögenswerten aufgewendet wird.

UpGuard bietet auch CSR, die erste allumfassende Bewertung des Sicherheitsstatus und eine Zusammenfassung, die die interne und externe Sicherheit eines Unternehmens in einer Zahl visualisiert, ähnlich wie eine Kreditwürdigkeit. Bei Cyberrisiken geht es darum, genügend Sicherheit zu schaffen, um Ihr Unternehmen angemessen zu schützen, und gleichzeitig genügend Transparenz zu schaffen, um größere Vorfälle abzuwenden und das Management und die Versicherer über den Zustand der IT auf dem Laufenden zu halten.