Die gefährlichsten Bedrohungen für Firmen und Behörden

CW: Welche Bedrohungen halten Sie für Firmen und Behörden für am gefährlichsten?

Pistone: Diebstahl geistigen Eigentums auf Unternehmensseite, Ausspionieren von Geheimnissen, um Staaten damit zu erpressen.

Solari: Heute werden außerdem immer mehr Systeme zugänglich, die früher vom Internet isoliert waren. Nehmen Sie zum Beispiel Kraftwerke. Stuxnet und andere auf elektronische Steuerungen gerichtete Viren und Trojaner sind Beispiele für die gestiegene Zugänglichkeit von früher isolierten Einheiten.

CW: Welche Rolle spielt das Topmanagement in Sachen Security?

Solari: Bis vor kurzem fragte es nicht nach IT-Sicherheit. Der "C-Level" wollte nur wissen, wie schnell er die neuen Systeme bekommt und wann sich damit Geld verdienen lässt. Das liegt in der Natur des Business. Aber langsam verändert sich das. Die großen Sicherheitsvorfälle der letzten Zeit, zum Beispiel bei Sony, verändern das Bewusstsein. Wenn so etwas vorkommt, muss nämlich der Vorstand dafür gerade stehen. Deshalb werden auch in Vorstandssitzungen inzwischen häufiger Fragen nach der Sicherheit gestellt. Damit das noch öfter geschieht, muss es der Security-Community gelingen, das Topmanagement für dieses Thema stärker zu sensibilisieren. Der C-Level muss begreifen, dass das Thema Cybersecurity strategisch wichtig ist.

CW: Das haben schon viele versucht. Aber wenn nicht gerade ein Security-Skandal in der Öffentlichkeit diskutiert oder eine neue Vorschrift erlassen wurde, waren diese Bemühungen meistens vergeblich.

Solari: Ich habe das bei meinen Vorgesetzten ganz erfolgreich mit einer kleinen Grafik versucht. Sie zeigt vier Geraden - drei steil ansteigende und eine relativ flach verlaufende: Die Erste beschreibt die stark zunehmende Raffinesse der Bedrohungen. Die Zweite zeigt die stark steigende Anzahl von regulatorischen Vorgaben in Sachen Betriebssicherheit, Security und Privacy. Die dritte steil ansteigende Linie verdeutlicht die wachsende Abhängigkeit von der IT. Die vierte Linie schließlich, die, die relativ flach verläuft, dokumentiert die Verbesserung unserer Sicherheitsvorkehrungen, die leider bei Weitem nicht mithalten kann mit der Entwicklung der Bedrohungen, der Vorschriften und auch nicht mit der Interdependenz von IT-Systemen. Damit konnte ich die Aufmerksamkeit des Managements gewinnen. Vor allem wenn man Cloud Computing und Mobility mit ins Spiel bringt, wird jedem deutlich, dass sich die Sicherheitslücke künftig noch stark vergrößern wird.