Die jüngsten Fälle von Cyberkriminalität beim Anbieter Kaseya, bei dem mehr als 1.500 Firmen betroffen waren, und der aktuelle Fall der Comparis AG und von Matisa SA, wo offenbar auch persönliche Daten gestohlen wurden, zeigen deutlich, dass die Unternehmen nicht gut geschützt sind.

Cybersicherheit muss immer mehr zu einem strategischen und unverzichtbaren Element werden, daher ist es für Unternehmen wichtig, ein effektives Cybersicherheitsmanagement auf der Grundlage der richtigen organisatorischen Entscheidungen einzuführen.

Die Schaffung einer dedizierten Organisationsstruktur ist ein entscheidender Schritt hin zu einem bewussten und ausgereiften Cyber-Sicherheitsmanagement in Unternehmen. Um einen angemessenen und effektiven Schutz von Unternehmensinformationen zu gewährleisten, ist es für Unternehmen unerlässlich, einen gut definierten strategischen Plan innerhalb der Organisation zu haben. Aus diesem Bewusstsein heraus ergibt sich die Notwendigkeit, eine Organisation mit Führungs- und Lenkungsfunktionen zu strukturieren, die eine klar definierte Strategie entwickeln und diese mit den Geschäftsanforderungen in Einklang bringen kann.

Die Organisation als Basis für die Sicherheit

Eine korrekte Strategie für das Management der Cybersicherheit erfordert notwendigerweise eine klare und eindeutige Definition der Verantwortlichkeiten, und in dieser Hinsicht scheint der CISO (Chief Information Security Officer) das grundlegende Profil zu sein, das mit dem Management dieses Themas in Organisationen betraut werden sollte.

Cyberangriffe werden zunehmend erfolgreich sein, da die Organisatorische Voraussetzungen leider nicht gegeben sind. Grund dafür: in jeder Firma will man die Kosten der IT-Abteilung minimieren. Hingegen muss die Cybersecurity-Abteilung die Sicherheit maximieren. Somit ist die aktuelle Einbettung der Cyber-Abteilung in die IT-Infrastruktur als der falsche Ansatz wahrzunehmen, da ein klarer Interessenkonflikt herrscht. Nur mit einer Trennung der Rollen sind die Voraussetzungen für eine erhöhte Sicherheit gegeben.

Zero Trust Modell

Die Zero Trust-Architektur bietet eine effektive Methode für die Unternehmenssicherheit an. Sein Grundprinzip ist die Regulierung und Authentifizierung des privilegierten Zugriffs auf Daten und Systeme. Ihre Einführung ist jedoch eine sehr schwierige und komplexe Aufgabe, die sich über Rechenzentren, private und öffentliche Clouds und eine wachsende Anzahl von End-Geräten erstreckt. Die Komplexität des Datenflusses nimmt exponentiell zu und die Überwachung von Anomalien wird zu einer extremen komplexen Aufgabe. Das Prinzip ist seit über 10 Jahren vorhanden, wobei die erste praktische Anwendung wurde im Jahr 2014 von G.Moresi entwickelt: keine Zone in einem Netzwerk ist grundsätzlich sicher. Alle Zonen müssen als Untrust betrachtet werden.

Awareness ist sehr wichtig

In der Tat muss man auch feststellen, dass Technologie und Sicherheit zwei sehr unterschiedliche Dinge sind. Ersteres hängt davon ab, wie viel eine Person weiss, letzteres davon, wie eine Person reagiert. Nichtsdestotrotz ist eine Awareness-Kampagne notwendig und muss langfristig geplant werden.

Nur durch die Kombination verschiedenen Elementen wie Organisation, technische Lösungen und Bewusstsein werden die Firmen in der Lage sein, die Cyberangriffe erfolgreich abzuwehren. Deshalb muss die Cybersicherheit zu einem strategischen Element innerhalb jeder Firma werden.