Während sich Unternehmen vollkommen auf die immer kürzer werdenden Geschäftszyklen konzentrieren müssen, gehört der Sicherheitsaspekte zunehmend nicht mehr zur Kernkompetenz. Vielmehr setzen Organisationen zunehmend auf externen Boxen-Crews, die das Funktionieren ihrer Rennteams absichern – Systemintegratoren mit höchster Kompetenz und Spezialisierung und dem Überblick über die Flut der angebotenen Lösungen.
Wie beim Formel-1-Rennen geht es auch im Business vor allem um eines: zu gewinnen. Dazu ist Sicherheit unverzichtbar. Entsprechend steht für alle Beteiligten die Cyber-Sicherheit an erster Stelle, um die Compliance mit den Regeln zu erfüllen: für Unternehmen, für Hersteller und für die Managed-Service-Provider. Dabei kann es nicht die Strategie sein, Ängste zu schüren und neue Wege zu vermeiden, nur weil sie risikobehaftet sein könnten.
Vielmehr kommt es darauf an, eine Struktur zu schaffen, in der die Sicherheitsmechanismen an den richtigen Stellen installiert sind, so dass ein Kunde sich zu jeder Zeit darauf verlassen kann – solange er sich nur an die Regeln hält.
Es gibt fünf Regeln, die die Cyber-Security-Branche von professionellen Rennteams lernen kann. Sie gilt es zu berücksichtigen und anzuwenden, anstatt lediglich auf der Welle der Angst zu verkaufen.
Lektion 1: Das Ecosystem. Sicherheit hängt davon ab, die richtigen Elemente zu wählen und das Zusammenspiel zu optimieren. Die IT muss nicht nur wissen, welche Security-Tools installiert sind, sondern auch, welche Ressourcen geschützt werden müssen – sei es geistiges Eigentum, digitale Zugangsdaten, personenbezogene Informationen, Kunden-Websites oder was auch immer. Einige Informationen müssen um jeden Preis bis zum maximal möglichen geschützt werden. Andere sind weniger kritisch und erfordern deshalb gegebenenfalls eine geringere Investition in die Sicherheit. Es geht also darum, das Geschäft als komplettes Ecosystem zu begreifen und den jeweils geeigneten Schutzmechanismus zu installieren, ohne Systeme zu komplizieren und dadurch an Flexibilität zu verlieren.
Lektion 2: Erkennen und reagieren. Bei Security geht es nicht nur um Schutz. Auf der Strecke entstehen unentwegt gefährliche Situationen – seien es Fehlfunktionen der Ausrüstung, Umwelteinflüsse oder ein Unfall. Diese Situation gilt es zu erkennen und darauf zu reagieren. Natürlich ist es ein Weg, die Unternehmen mit Firewalls, Antivirus und anderen Lösungen vollzustellen. Trotzdem ist damit die Sicherheit nicht garantiert. Ransomware, DDoS oder Insider-Diebstahl sind Beispiele dafür, dass die technische Gerätschaft ihre Grenzen findet. Notwendig ist die Ausstattung mit der Fähigkeit, Vorfälle zu erkennen und darauf zu reagieren. Dazu gibt es Monitoring- und Response-Services, die rund um die Uhr bereitstehen.
Lektion 3: Größer ist besser. Im Wettbewerb verfügen die großen Teams über Ressourcen, die den kleinen nicht zur Verfügung stehen – von der neuesten Technologie über das bessere Training bis zur erfahreneren Crew. Dies gilt auch in der Security. Ein größerer Service-Provider kann deutlich breitere Services anbieten, mit einer größeren Mannschaft, internem Training, Forschung und Entwicklung und der Nutzung von Erfahrungen, die durch den Schutz einer Vielzahl von Kunden gewonnen werden.
Lektion 4: Der Menschliche Faktor: Es liegt auf der Hand. Selbst das beste Rennauto nutzt nicht, wenn der Fahrer nicht taugt. Viele Probleme in der IT – insbesondere in der Sicherheit – gehen auf menschliche Fehler zurück: mangelnde Passwortpflege, fehlende Updates schwachstellenanfälliger Software, Klicken auf dubiose Anhänge in der E-Mail oder das reagieren auf gefälschte Anrufe aus der Personalabteilung, die nach einem Login fragen. Es gilt, alle erforderlichen Anstrengungen im Hinblick auf Training und Beratung zu unternehmen sowie Ratschläge zu erteilen, um technische Fallen zu umgehen. Das mag die Probleme nicht gänzlich verhindern, aber dennoch die Anzahl minimieren.
Lektion 5: Strategie und Technologie. Auch in der Cyber-Security-Branche müssen wir lernen, nicht lediglich fertige Konzepte umzusetzen, sondern vielmehr den Kunden und Anwender in die Strategie einzubeziehen. Es gilt, ihre Ziele, Business-Modelle und Ressourcen zu verstehen, und auf diesem Wissen die bestmögliche Beratung für die Entwicklung einer Security-Strategie zukommen zu lassen, die eine bestmögliche Balance zwischen Schutz, Flexibilität und Budget findet. Unternehmen benötigen einen vertrauensvollen Partner und nicht lediglich Hersteller oder Service-Provider.
Von Marco Barkmeijer, CEO von Securelink
