Nur weil ein Unternehmen noch keine Sicherheitslücke oder einen Ausfall aufgrund eines Cyberangriffs erlebt hat, heißt das nicht automatisch, dass die Sicherheitsinfrastruktur up to date ist. Die Cyber-Resilienz sollte fortlaufend aktualisiert werden. Wenn Unternehmen aufhören in ihre Resilienzbestrebungen zu investieren, laufen sie Gefahr, hinter die Angreifer zurückzufallen. Immerhin erwarten laut einer aktuellen Studie knapp zwei Drittel der Unternehmen in Deutschland in den nächsten zwölf Monaten ein signifikantes Ausfallszenario.
Dabei wurden weltweit 1700 IT-Führungskräfte zum Thema Cyber-Resilienz befragt. In Deutschland gaben 45 Prozent davon an, ihre Cyber-Resilienz-Strategie seit mehr als sechs Monaten nicht mehr geprüft zu haben. Gerade im Zeitalter der künstlichen Intelligenz (KI) aber entwickeln sich Malware und sonstige Angriffe rasend schnell weiter. Die Angreifer schlafen nicht und Unternehmen müssen mitziehen, wenn sie nicht Gefahr laufen wollen, erheblichen Schaden durch einen Cyberangriff zu erleiden.
Von der Prävention zur Reaktion
Das Ziel der IT-Sicherheit muss es sein, bedeutsame Sicherheitsverletzungen und materielle Verluste zu vermeiden. Doch neben Vertraulichkeit und Integrität der Daten ist auch die Verfügbarkeit eine der wichtigsten Eigenschaften der Cyber-Resilienz. Unternehmen sollten auf das Versagen von Präventivmaßnahmen vorbereitet sein und über Tools verfügen, mit denen sie den Schaden nach einem Cybervorfall begrenzen können. Zu viele Unternehmen konzentrieren sich mit ihren Maßnahmen auf die Prävention, sind aber überfordert, wenn es um die Reaktion auf einen erfolgten Angriff geht. Mehr Budget für die Reaktionsfähigkeit und Wiederherstellung ist entscheidend, um die Resilienz zu stärken. Wenn sich ein Unternehmen nahezu ohne Ausfallzeit erholen kann, ist das für Angreifer äußerst frustrierend. Echte Cyber-Resilienz bedeutet daher, dass ein Unternehmen in der Lage ist, nach einem Vorfall wieder reibungslos in die Ausgangslage zurückzukehren. Eine intelligente Vorgehensweise besteht darin, die Resilienz so zu gestalten, dass sich ein Ausfall also lediglich wie ein Schlagloch anfühlt und nicht wie ein Abgrund.
Eine gute Cyber-Resilienz-Strategie muss das C-Level einbeziehen
Laut der Studie sind die drei größten Hindernisse auf dem Weg zu mehr Cyber-Resilienz die Komplexität der IT-Sicherheitsinfrastruktur, Probleme mit herkömmlichen Systemen und ein Mangel an Ressourcen. Zudem glaubt nur ein Drittel der IT-Führungskräfte hierzulande, dass ein robuster Cyber-Resilienz-Ansatz oberste Priorität ihres Managements ist. Auch das Budget für die notwendigen Strategien sehen viele als zu gering an. Dies sind eigentlich nur Symptome für ein grundlegendes Problem. Die Cyber-Resilienz ist zu wenig auf den Geschäftsbetrieb ausgerichtet. Die meisten Unternehmen behandeln das Thema Cybersicherheit traditionell so, wie Investitionen in die IT. Wenn ein Prozess nicht funktioniert, muss das IT-Team die Ursache ermitteln und beheben durch eine einmalige Investition. Der Gegner in der Welt der Cybervorfälle ist jedoch hochintelligent und ständig in Bewegung mit innovativen Angriffsmustern. Das bedeutet, dass Bestrebungen der Cyber-Resilienz ebenfalls nicht zu einem Innovationsstillstand kommen dürfen.
Das Risiko muss laufend neu bewertet werden und gegebenenfalls ebenso kontinuierlich in neue Maßnahmen investiert werden. Das ist es, was die Führungsebene eines Unternehmens verstehen sollte: Auch ein noch so ausgereiftes Sicherheitskonzept ist niemals fertig, sondern muss ständig angepasst werden, um dem Cyberkriminellen mindestens ebenbürtig, wenn nicht sogar einen Schritt voraus zu sein. Fast die Hälfte der IT-Entscheider gaben im Zuge der Umfrage allerdings an, dass der CISO nicht aktiv an der Resilienz-Planung beteiligt ist. Wird aber die Sicherheitsspitze nicht aktiv in das Vorgehen einbezogen, fehlt die Funktion, um dem Vorstand die Bedeutung einer kontinuierlichen Investition in die Cyber Resilienz-Strategie näherzubringen.
Vorbereitung auf den nächsten Vorfall
Unternehmen müssen ein Verständnis dafür entwickeln, dass Cyber-Resilienz bedeutet, sich auf den nächsten Cybervorfall vorzubereiten. Der Fokus muss weg von reiner Prävention, hin zu einer ausgewogenen Strategie inklusive solider Reaktionsfähigkeit auf den erfolgten Angriff verlagert werden. Die Wahrscheinlichkeit für den nächsten Angriff ist hoch, aber es kann noch viel zur Schadensbegrenzung unternommen werden. Dazu gilt es, die Führungsebene stärker in die Planung einzubeziehen und die Cyber-Resilienz als einen fortlaufenden Prozess zu betrachten. Ein erster Schritt dazu ist die Infrastruktur ‘Resilient by Design’ zu gestalten.
#Zscaler
powered by Borlabs Cookie 