Cybersicherheitsbereitschaft: Schlüsselfragen und Checkliste

Die Verwaltungsräte (Boards of Directors, BODs) tragen eine treuhänderische Verantwortung gegenüber den Aktionären und müssen eine aktive Rolle beim Management des Geschäftsrisikos übernehmen, wozu auch das Stellen der richtigen Fragen gehört. Die Harvard Business Review führte eine Umfrage durch, um zu verstehen, wie Vorstände mit Cybersicherheit umgehen. Es stellte sich heraus, dass nur 68 % der Befragten regelmäßig oder ständig über Cybersicherheit diskutierten, während 9 % überhaupt nicht darüber diskutierten. Bezüglich der Rolle des Vorstands im Bereich Cybersicherheit gab es unterschiedliche Reaktionen. 50 % erwähnten Diskussionen über die Rolle des Vorstands, es bestand jedoch kein Konsens darüber, welche Rolle diese Rolle haben sollte. Noch besorgniserregender ist, dass 23 % angaben, dass es keinen Vorstandsplan oder keine Strategie gebe.

Für BODs ist es wichtig, Cybersicherheit in ihren Risikomanagementprozess für Unternehmen einzubeziehen. Cybersicherheit sollte auf die gleiche Weise bewertet und verwaltet werden wie andere Geschäftsrisiken. Anstatt sich auf die Kapitalrendite zu konzentrieren, sollte die Frage nach dem potenziellen Verlust gestellt werden, wenn Cybersicherheitsmaßnahmen nicht wirksam umgesetzt werden. Beispielsweise musste Hilton wegen einer Datenschutzverletzung mit einer Geldstrafe von 700.000 US-Dollar rechnen, mit der Einführung der DSGVO könnte die Strafe jedoch auf bis zu 420 Millionen US-Dollar ansteigen, Rufschädigung und andere Kosten nicht eingerechnet. Kurz gesagt: Kompromisse bei der Cybersicherheit sind keine praktikable Option.

Nachfolgend finden Sie eine Liste der entscheidenden Fragen zur Cybersicherheit, die sich jedes Unternehmen stellen sollte.

Wie gefährdet sind Sie?

Das Cybersicherheitsrisiko wird in der Regel dadurch gemessen, dass beurteilt wird, wie anfällig Ihr Unternehmen und seine Drittanbieter für Angriffe oder Sicherheitsverletzungen sind. Es ist wichtig, ein Gleichgewicht zwischen Ihrer Risikobereitschaft und Ihrem Grad an Verletzlichkeit zu finden und auf dieser Grundlage geeignete Maßnahmen zu ergreifen. Wenn Sie das Gefühl haben, dass Sie einem größeren Risiko ausgesetzt sind, als Ihnen lieb ist, ist es wichtig, zusätzliche Maßnahmen zur Minderung von Cybersicherheitsrisiken zu ergreifen.

Wie bleiben Sie über neue Bedrohungen auf dem Laufenden?

Es ist wichtig, ein klares Verständnis der Fähigkeit Ihres Unternehmens zu haben, sich gegen neu auftretende Schwachstellen und Exploits zu verteidigen. Durch die Einbeziehung der Bedrohungsüberwachung in Ihre Cybersicherheitsmaßnahmen können Sie aufkommende Cyberbedrohungen effektiv erkennen und bekämpfen.

Sind Sie sich sowohl der digitalen als auch der physischen Sicherheitsbedrohungen bewusst?

Mit der Digitalisierung von Prozessen und Abläufen, der Anbindung von Industriekomplexen an Fernverwaltungssysteme und der Verknüpfung von Lieferketten mit automatischen Bestell- und Erfüllungsprozessen hat Cybersicherheit noch mehr an Bedeutung gewonnen. Eine mangelhafte Aufsicht kann nicht nur zu Bußgeldern wegen unzureichenden Datenschutzes führen. Direktoren müssen das volle Ausmaß der physischen und digitalen Bedrohungen verstehen, denen ihr Unternehmen ausgesetzt ist.

Kennen Sie die verfügbaren Risikomanagement-Frameworks?

Zur Bewertung Ihres Risikoprofils und der Wirksamkeit Ihrer Cybersicherheitsstrategie stehen mehrere Risikomanagement-Frameworks zur Verfügung. Eine Option ist das Cybersecurity Framework des National Institute of Standards and Technology, das Best Practices zum Erkennen, Reagieren und Verhindern von Cyberangriffen sowie zur Wiederherstellung nach einem Angriff bietet. Zu den weiteren Rahmenwerken gehören das Cybersecurity Framework des United States Computer Emergency Readiness Team und Richtlinien von Organisationen wie der Cloud Security Alliance, dem Open Web Application Security Project, ISACA und dem Federal Financial Institutions Examination Council. Diese Frameworks dienen als Roadmaps zur Gewährleistung einer umfassenden Umsetzung von Cybersicherheitsmaßnahmen und können zur Einhaltung der Compliance beitragen.

Kommunizieren die BODs und das Sicherheitsteam effektiv?

Die Ziele von Cybersicherheitsexperten und dem Vorstand unterscheiden sich: Cybersicherheitsexperten konzentrieren sich auf Vertraulichkeit, Integrität und Verfügbarkeit von Systemen und Daten, während sich der Vorstand auf Risiko, Reputation und Geschäftskontinuität konzentriert. Die in den einzelnen Bereichen verwendete Sprache kann zu Unklarheiten im Verständnis führen und die Bewältigung von Cyber-Risiken erschweren. Das Stellen fundierter Fragen kann helfen, diese Lücke zu schließen. Das Ziel besteht darin, beide Parteien darauf auszurichten, die Sicherheit der Organisation zu gewährleisten und die Betriebskontinuität sicherzustellen. Stellt fest, dass Führungskräfte und Manager der obersten Führungsebene sich aktiv mit der Cybersicherheit befassen sollten, nicht nur diejenigen aus der IT. Es reicht nicht aus, die Geschäftsleitung einmal im Jahr über Cybersicherheitspraktiken zu informieren.

Konzentrieren Sie sich ausreichend auf Insider-Bedrohungen?

Während externe Cybersicherheitsbedrohungen bekannt sind und ausführlich diskutiert werden, ist es ebenso wichtig, sich auf Cybersicherheitsbedrohungen zu konzentrieren, die von innerhalb Ihres Unternehmens ausgehen. Solche Bedrohungen entstehen, wenn Personen mit autorisiertem Zugriff auf Netzwerke, Systeme oder Daten diesen Zugriff aus irgendeinem Grund missbrauchen. Die Bedeutung der Bekämpfung von Insider-Bedrohungen liegt in der Tatsache, dass Insider über Kenntnisse über die Infrastruktur, den Betrieb und die sensiblen Informationen einer Organisation verfügen. Ob absichtlich oder unabsichtlich, ihre Handlungen können zu erheblichen finanziellen Verlusten, Markenschäden, kompromittierten Daten oder sogar zur Unterbrechung wichtiger Dienste führen. Durch die Priorisierung der Identifizierung und Abwehr von Insider-Bedrohungen können Unternehmen ihre allgemeine Sicherheitslage verbessern und das Vertrauen ihrer Stakeholder aufrechterhalten.

Bieten Sie Ihren Mitarbeitern eine angemessene Schulung an?

Laut einer Studie der Stanford University werden die meisten Cybersicherheitsprobleme durch Fehler von Mitarbeitern verursacht. Daher ist es von entscheidender Bedeutung, dass alle Mitarbeiter, nicht nur das Cybersicherheitsteam, über Cybersicherheitsbedrohungen und Best Practices informiert sind. Dies erfordert die Schaffung einer Cybersicherheitskultur, in der die Mitarbeiter gute Cybersicherheitshygiene verstehen und dieser Priorität einräumen. Das bedeutet nicht, dass jeder Mitarbeiter ein Experte werden sollte, sondern vielmehr, dass er dafür verantwortlich gemacht wird, jedes Verhalten zu erkennen und zu melden, das von Hackern ausgenutzt werden könnte. Führungskräfte, einschließlich des Vorstands, spielen eine entscheidende Rolle dabei, den Ton anzugeben und der Cybersicherheit innerhalb der Organisation Priorität einzuräumen.

Haben Sie versucht, wie ein Hacker zu denken?

Um Ihr Unternehmen effektiv zu schützen, ist es wichtig, die Taktiken zu verstehen, die diejenigen anwenden, die versuchen, die Sicherheit Ihres Unternehmens zu verletzen. Dies erfordert eine Änderung der Denkweise von der bloßen Erfüllung von Sicherheitsanforderungen hin zu einem ganzheitlichen Denken über Sicherheit. Indem Sie die Perspektive eines Cyberkriminellen einnehmen, können Sie Bereiche in Ihrem Netzwerk identifizieren, in denen der Schutz unzureichend ist.

Haben Sie das Worst-Case-Szenario in Betracht gezogen?

Eine entscheidende Frage der Cybersicherheit bezieht sich auf das schlimmstmögliche Ergebnis eines Cyberangriffs. Vermeiden Sie eine einfache Antwort wie „wir verlieren alle unsere Daten“ und denken Sie über die Auswirkungen nach. Stellen Sie sich zum Beispiel vor, dass der Angreifer vertrauliche Informationen preisgibt, was zu hohen Geldstrafen für das Unternehmen führt. Das Nachdenken über Worst-Case-Szenarien und deren Auswirkungen auf das Unternehmen, Kunden und Partner wird bei der Ermittlung notwendiger Schutzmaßnahmen hilfreich sein.

Gibt Ihnen die Einhaltung von Vorschriften ein falsches Sicherheitsgefühl?

Regulierungsvorschriften wie HIPAA und PCI priorisieren die Cybersicherheit, aber die Einhaltung garantiert keine echte Sicherheit. Beispielsweise hielten viele Gesundheitsorganisationen, die Datenschutzverletzungen erlitten hatten, immer noch die HIPAA-Vorschriften ein. Compliance sollte als Mindestanforderung angesehen werden, und Unternehmen sollten mehr tun, um ihre IT-Ressourcen zu schützen.

Wie oft überprüfen, testen und aktualisieren Sie Ihren Plan zur Reaktion auf Vorfälle?

Sie müssen sicherstellen, dass Ihr Vorfallreaktionsplan verschiedene Angriffsszenarien abdeckt, einschließlich häufiger Cyberangriffe, und geeignete Reaktionen für jede Situation beschreibt. Überlegen Sie, wann Sie die Strafverfolgungsbehörden einbeziehen müssen, wie Sie Benutzer und die Öffentlichkeit im Falle eines Verstoßes benachrichtigen, welche Möglichkeiten es gibt, den Schaden während eines Cyberangriffs zu begrenzen, und welche spezifischen Rollen und Verantwortlichkeiten die einzelnen Akteure haben. Denken Sie daran, dass es sich bei Ihrem Incident-Response-Plan nicht um ein einmaliges Dokument handelt. Sie müssen Ihren Plan kontinuierlich testen und aktualisieren, um aufkommende Bedrohungen und Änderungen im Geschäftsbetrieb zu berücksichtigen

Bewerten Sie die Sicherheit Ihrer Lieferanten und anderer Dritter?

Bei der Zusammenarbeit mit externen Unternehmen ist es wichtig, die Sensibilität der von Ihnen weitergegebenen Informationen und die Zugriffsebene, die Sie ihnen gewähren, zu berücksichtigen. Um Sicherheitsrisiken zu mindern, empfiehlt es sich, mit Anbietern zusammenzuarbeiten, die über entsprechende Sicherheitszertifizierungen wie ISO27001 oder SOC2 verfügen.

Wie stehen Sie in Bezug auf die Cybersicherheitsvorsorge im Vergleich zu anderen Unternehmen da?

Sowohl offline als auch online suchen Diebe nach einfachen Zielen. Wenn Ihre Konkurrenten über bessere Sicherheitsmaßnahmen verfügen, sind Sie wahrscheinlich die erste Wahl. Durch die Implementierung strenger Cybersicherheitsrichtlinien wird Ihr Unternehmen für Angreifer weniger attraktiv.

Wenn Sie sehen möchten, wie die Lepide Data Security Platform Ihnen bei der Optimierung Ihrer Risikomanagementstrategie helfen kann, vereinbaren Sie eine Demo mit einem unserer Ingenieure oder starten Sie noch heute Ihre kostenlose Testversion.