3. Gefühlte und reale Bedrohungen sind nicht dasselbe
Zwischen den Ihrer Meinung nach größten Bedrohungen für Ihr Unternehmen und den Exploits, die Sie tatsächlich treffen, klafft in der Regel eine erhebliche Lücke. IT-Security-Fachkräfte, die diesen Unterschied verstehen, sollte man in Gold aufwiegen.
Jedes Jahr erscheinen zwischen 5000 und 7000 neue Exploits, von denen ungefähr ein Drittel bis ein Viertel als höchst kritisch eingestuft wird. Wenn Sie jetzt eine Software einsetzen, um Schwachstellen zu scannen oder sich einen Patch-Management-Report ansehen, stehen einfach immer zig Punkte mit höchster Priorität auf der To-Fix-Liste. Konzentrieren können Sie sich aber nicht auf alle gleichzeitig. Wie lösen Sie also dieses Dilemma?
Am besten kümmern Sie sich erst einmal um die kritischen Probleme, die gerade den größten Schaden in Ihrem Netzwerk anrichten - dabei kann es durchaus vorkommen, dass von einigen der vermeintlich größten Bedrohungen aktuell gar keine tatsächliche Gefahr ausgeht. Ihr Ranking basiert nämlich auf dem Risikopotenzial. Und zwar dem realen und dem erwarteten, zukünftigen Risiko.
- Glauben Sie ...
... an die Möglichkeit, ihre Systeme gründlichst verteidigen zu können und versuchen Sie daher, alles dafür zu tun, alle Bereiche des Unternehmens jeden Tag ein bisschen besser zu schützen? - Schauen Sie ...
... sich nach neuen Instrumenten um, die Funktionsumfang und -tiefe der bestehenden Security-Werkzeuge verbessern? - Überwachen Sie ...
... alle Sensoren Ihres Netzes - sowohl visuell als auch mit technischen Mitteln? - Suchen Sie ...
... kontinuierlich nach neuen Wegen, um Sensordaten besser zu untersuchen und zueinander in Beziehung setzen zu können? - Widmen Sie ...
... der Sicherheit Ihrer geschäftskritischen Anwendungen samt der dort verarbeiteten vertraulichen Daten erhöhte Aufmerksamkeit? - Versuchen Sie ...
... Tag für Tag, Ihr Business besser zu verstehen, damit Sie die IT-Risikoanalyse dem anpassen und stetig verbessern können? - Behalten Sie ...
... Ihre Zulieferer im Blick, damit der Zugriff von Dritten auf vertrauliche und sensible Daten kontrolliert werden kann? - Arbeiten Sie ...
... eng mit den Geschäftsentscheidern zusammen, um die Aufmerksamkeit für das Thema IT-Sicherheit konstant hoch zu halten und über das gesamte Unternehmen hinweg eine Awareness zu erzeugen? - Bewegen Sie ...
... sich in neuen Geschäftsfeldern, in denen disruptive Technologien zum Einsatz kommen und in denen Sie Ihr Security-Wirken schon entfalten können, bevor es richtig ernst wird? - Verlieren Sie ...
... nie die Security-Grundlagen aus den Augen - wie beispielsweise das regelmäßige Patchen?
4. Firewalls und Antivirus-Software sind gar nicht so wichtig
Die meisten Cyber-Bedrohungen für Unternehmen gehen vom Endpunkt aus und werden von Benutzern verursacht. Wenn die Schadsoftware dort ankommt, bedeutet das aber auch, dass sie sich zuvor bereits erfolgreich ihren Weg bis zum Rechner des Endbenutzers bahnen konnte. Und ist der Exploit erst einmal angekommen, bringt eine Firewall herzlich wenig.
Der Hauptzweck einer traditionellen Firewall ist es, nicht autorisierte Verbindungsversuche zu Schwachstellen-behafteten Services zu verhindern. Wenn Ihr Service aber gar nicht verwundbar ist, bringt eine Firewall keinen entscheidenden Mehrwert. Das soll nicht heißen, dass Firewalls per se keine gute Idee wären: Das Gegenteil ist der Fall, insbesondere wenn es um intelligente DPI-Lösungen geht. Das Problem ist nur, dass die meisten der heutigen Bedrohungen von einer Firewall nicht aufzuhalten sind, weswegen sie nicht mehr den großen Mehrwert in Unternehmen bringen.
- Splash Screens
Viele scheinbar normale Online-Transaktionen werden heutzutage von reißerischen Splash-Screens begleitet. Meldungen wie 'Securely getting your account details' oder 'setting up a secure connection' sollen ein Gefühl von gesteigerter Sicherheit vermitteln. Tun sie vielleicht sogar in manchen Fällen. Sicherer wird die Transaktion dadurch eher nicht. - Antivirus Software
Antivirus-Software alleine reicht heutzutage nicht mehr aus, um Unternehmensnetzwerke zu schützen, da sie gegen aktuelle Bedrohungen wie Ransomware oft nur wenig ausrichten kann. Negative Auswirkungen haben die Virenschutz-Programme hingegen oft auf die Performance. - Perimeter Security
Firewalls und sonstige Perimeter-Security-Maßnahmen können ebenfalls theatralische Qualitäten aufweisen, denn sie alleine sind der wachsenden Bedrohungslage - insbesondere im Unternehmensumfeld - ebenfalls nicht gewachsen. - Alarm-Ermüdung
Permanente Security-Alerts führen häufig dazu, dass die IT-Abteilung aufgrund hoher Fehlalarmquoten in den Ignoranz-Modus schaltet. Ohnehin können nur circa fünf Prozent der Alerts wirklich tiefgehend untersucht werden. - Ignoranz
Investitionen in Sicherheitsmaßnahmen sind eine gute Sache. Allerdings sollten Unternehmen die Daten, die ihr Security-Equipment sammelt, auch auswerten und analysieren. Ein Haken auf der To-Do-Liste reicht nicht aus. - Passwort-wechsel-dich
Ein Passwort alleine genügt nicht. Insbesondere dann, wenn es sich dabei um bewährte Security-Fails wie "123456" handelt. Und welchen Sinn macht es eigentlich, dass man sein Kennwort alle 30 Tage ändern muss? - Security Training
Die Mitarbeiter simulierten Phishing-Attacken auszusetzen, ohne ihnen vorher entsprechende Schulungsmaßnahmen zuteil werden zu lassen hat in der Regel wenig Effekt. - Harte Worte
Viele Security-Anbieter preisen ihre Lösungen mit militanten PR-Botschaften an. Ob die dadurch noch sicherer werden? Schreien hat jedenfalls noch nie viel geholfen. - Mauer-Fetisch
Wenn die IT-Abteilung lieber mauert statt Lösungen zu suchen, trägt das nicht zur Sicherheit bei. - Sharing
Der Austausch von Daten über aufgedeckte Sicherheitslücken und erfolgte Angriffe ist grundsätzlich eine gute Sache. Dennoch hilft sie Unternehmen nicht dabei, die Angriffsvektoren in ihrem Netzwerk aufzudecken. - Schadens-PR
"Uns liegt die Sicherheit unserer Nutzer am Herzen" heißt es allzu oft, nachdem Unternehmen Opfer einer Hacker-Attacke geworden sind. Gegenfrage: Wie konnte es dann überhaupt erst dazu kommen?
Ähnliches gilt auch für Antivirus-Software: Jedes AV-Produkt tut sich schwer, hundertprozentigen Schutz gegen jede neue Art von Malware zu bieten. Wenn Sie also so ein "100%-Siegel" irgendwo sehen, fallen Sie nicht darauf herein. Schließlich entstehen diese Testsiegel meist unter Laborbedingungen, die mit Cyberbedrohungen in der echten Welt nichts zu tun haben. Denn dort ist die erste Malware die Ihnen begegnet wahrscheinlich ein einfacher Downloader, der nicht nur darauf ausgelegt ist, sämtliche Antivirus-Maßnahmen zu umgehen, sondern auch neue, weitere Exploits herunterzuladen.
5. Zwei Probleme vereinen fast 100% Risiko auf sich
Schon seit mehr als zehn Jahren sind die zwei häufigsten Gründe für einen Hackerangriff mangelhaftes Patch-Management oder Social Engineering. Diese beiden Hacker-Praktiken vereinen nahezu 100 Prozent allen Risikopotenzials auf sich. Anders ausgedrückt: Wer sich um die drängendsten Probleme nicht kümmert, bei dem ist der Rest auch schon egal. Eine einzige ungepatchte Software kann zeitweise 90 Prozent aller webbasierten Exploits ausmachen. Und Social Engineering "kümmert" sich dann um den Rest. Vergewissern Sie sich also, dass Sie sich um die richtigen Probleme kümmern.
Dieser Artikel basiert auf einem Beitrag unserer US-Schwesterpublikation CSO Online.