Als Chief Information Security Officer (CISO) bei Arctic Wolf verfüge ich über eine große Anzahl von Sicherheitsexperten, die ich nutzen kann, um dem Unternehmen ein solides Risiko-Management, die Erkennung von Bedrohungen, Schulungen zum Sicherheitsbewusstsein und Incident Response zu bieten.
Das ist ein Vorteil, den kleine Unternehmen oft nicht haben. Und das ist schade, denn kleine Unternehmen stehen vor den gleichen Herausforderungen im Bereich der Cybersecurity wie große, etablierte Unternehmen – einschließlich der ständigen Bedrohung durch Cyberkriminelle und der Schwierigkeit, erstklassige Sicherheitskräfte zu finden, einzustellen und zu halten. Zusätzlich zu diesen Herausforderungen müssen sich Führungskräfte in kleinen und mittleren Unternehmen voll und ganz auf den Betrieb und das Wachstum ihres Unternehmens konzentrieren, so dass nur wenig Zeit bleibt, sich um die Cybersecurity zu kümmern.
Bedrohungsakteure wissen das, weshalb 34 % der von Arctic Wolf befragten Kleinunternehmen angeben, dass sie in den letzten 12 Monaten einen Malware-Angriff erlebt haben. Die gute Nachricht? Aus der gleichen Umfrage geht hervor, dass 62 % der Unternehmen planen, ihr Budget oder ihre Ausgaben für Cybersecurity in den nächsten 12 Monaten zu erhöhen.
Die Frage ist, wie können KMU diese Mittel am besten einsetzen? Die Zeiten, in denen Tools zum Einrichten und Vergessen ausreichten, um Ihr Unternehmen zu sichern, sind längst vorbei. KMU müssen sich heute darüber im Klaren sein, dass Cyberrisiken Geschäftsrisiken sind, und dass sie ohne einen Plan zur Bewältigung ihrer einzigartigen Risiken Gefahr laufen, Opfer eines lähmenden Cyberangriffs zu werden, von dem sie sich möglicherweise nicht mehr erholen können.
Die Entwicklung eines Risiko-Managementplans ist eine Aufgabe, die alle Organisationen – von kleinen, aufstrebenden Unternehmen bis hin zu großen, etablierten Betrieben – übernehmen müssen. Die gute Nachricht für KMU ist, dass dies einfacher und weniger zeitaufwändig ist, als Sie vielleicht denken.
Was ist Risiko-Management?
Die wachsende Angriffsfläche erhöht die Cyberrisiken für Unternehmen aller Größen. Die Umsetzung neuer digitaler Initiativen, die Einführung des Internets der Dinge (IoT) und der fortgesetzte Wechsel in die Cloud tragen zur Innovationsförderung bei, jedoch auf Kosten einer erhöhten Bedrohungslage. Risiko-Management ist das beste Mittel zur Bekämpfung dieses Problems.
Risiko-Management ist der kontinuierliche Zyklus der Erkennung, Bewertung und Beseitigung von Risiken in Ihrer Cybersecurity-Umgebung. Risiko-Management sollte der Blickwinkel sein, durch den jede Organisation, unabhängig von ihrer Größe, mit Cybersecurity umgeht. Das bedeutet, dass Entscheidungen darüber, welche Tools dem Technologie-Stack hinzugefügt werden sollen, welche Positionen besetzt werden sollen und wo die Zeit der Mitarbeiter eingesetzt werden soll, von Ihrem Risiko-Managementplan beeinflusst werden sollten.
Unsere kürzlich durchgeführte Umfrage unter KMU zeigt, dass 67 % der Unternehmen “risikobasiert” als ihre primäre Methode für die Budgetierung der Cybersecurity angeben. Dies ist eine ermutigende Nachricht, aber es gibt keine allgemeingültige Meinung über die richtige Art des Risikomanagements – sie variiert je nach Region, Branche und Organisation. Die gute Nachricht ist, dass es Standardschritte gibt, die jede Organisation unternehmen kann und sollte, um einen Risiko-Managementplan zu erstellen.
Es ist jedoch wichtig zu wissen, dass ein Risiko-Managementplan zwar dazu beitragen kann, das Risiko zu verringern, es aber nicht völlig ausschließen kann. Die Wahrheit ist, dass die Führung eines Unternehmens immer ein gewisses Risiko birgt, es sei denn, man ist bereit, alles auszustecken, die Türen zu verschließen und die Sache ad acta zu legen. Die Aufgabe besteht darin, einen Plan für das Risiko-Management zu erstellen, damit das verbleibende Cyberrisiko mit der Risikobereitschaft Ihres Unternehmens übereinstimmt – also mit dem Risiko, das Sie bereit sind, für den Betrieb Ihres Unternehmens einzugehen. Für KMU besteht die Aufgabe auch darin, sicherzustellen, dass die Art und Weise, wie Sie Ihr Budget einsetzen, den größten Return on Investment (ROI) im Hinblick auf die Risikominderung bietet.
Außerdem handelt es sich nicht um einen einmaligen Vorgang. Echtes Risiko-Management ist ein ständiger Kreislauf durch diese Schritte, der sicherstellt, dass der von Ihnen erstellte Plan und die von Ihnen getroffenen Entscheidungen und Investitionen weiterhin den Bedürfnissen Ihres Unternehmens entsprechen.
Erster Schritt: Wählen Sie ein Framework
Der erste wichtige Schritt für jedes KMU, das einen Plan für das Risiko-Management erstellt, ist die Annahme eines Rahmens für die Cybersecurity, der Ihnen hilft, das aktuelle Sicherheitsniveau Ihres Unternehmens zu bewerten und Ihr Risiko richtig einzuschätzen.
Weit verbreitete Frameworks wie die des Center for Internet Security (CIS) und des National Institute of Standards and Technology (NIST) eignen sich hervorragend, um das Sicherheitsniveau Ihres Unternehmens zu bewerten, Schwachstellen zu identifizieren und zu bewerten und einen Plan zur Verbesserung zu entwickeln.
Zweiter Schritt: Machen Sie eine Bestandsaufnahme
In der Cybersecurity gibt es ein Sprichwort: Sie können nicht schützen, was Sie nicht sehen. Für jede Organisation, die ein wirksames Risiko-Management anstrebt, ist eine gründliche Bestandsaufnahme der Assets ein entscheidender Schritt. Die gute Nachricht für kleine und mittelständische Unternehmen ist, dass dies leichter zu bewerkstelligen ist, da sie weniger Mitarbeiter, weniger Benutzerkonten, weniger Geräte und einen kleineren physischen Fußabdruck zu sichern haben.
Das CIS bietet einen kostenlosen Hardware und Software Asset Tracker, der den Inventarisierungsprozess noch einfacher macht. Mit diesem einfachen Tool können Sie Ihre Hardware, Software und vertraulichen Daten in einem einzigen, gemeinsam nutzbaren Arbeitsblatt erfassen.
Dritter Schritt: Vermitteln Sie die Grundlagen
Es gibt kostengünstige Maßnahmen, die KMU sofort ergreifen können, um ihr Cyberrisiko drastisch zu reduzieren. Der 2023 Data Breach Investigations Report von Verizon fand heraus, dass 74 % der Datenschutzverstöße in irgendeiner Form Menschen eine Rolle spielten. Ein wichtiger erster Schritt ist daher, die Anmeldedaten und Posteingänge der Mitarbeiter besser zu schützen. Wie? Implementieren Sie eine Multi-Faktor-Authentifizierung (MFA) und ein solides Schulungsprogramm für das Sicherheitsbewusstsein.
MFA
MFA ist eine Form der Zugangskontrolle, die als zusätzliche Sicherheitsmaßnahme für eine Benutzeranmeldung dient. Sie ist definiert als zwei oder mehr Formen von Überprüfungsfaktoren, die erforderlich sind, damit ein Benutzer Zugang zu einer Anwendung oder einem Netzwerk erhält. In der Regel geht es um etwas, das Sie sind, etwas, das Sie wissen, und etwas, das Sie haben. So müssen Sie beispielsweise ein Passwort eingeben und dann die Verifizierung auf Ihrem Mobiltelefon bestätigen. Oder Sie müssen die oben genannten Schritte ausführen und dann einen eindeutigen Code eingeben. Es hilft sicherzustellen, dass der Benutzer derjenige ist, der er durch seine ursprünglichen Anmeldedaten zu sein vorgibt.
Sicherheitsbewusstseins-Schulung
Ihre Mitarbeiter – ob Sie nun einen, 10 oder 10.000 haben – sind sowohl Ihre erste Verteidigungslinie als auch das bevorzugte Ziel von Bedrohungsakteuren. Die Investition in ein Programm zur Managed Security Awareness kann Ihre Mitarbeiter in die Lage versetzen, Social Engineering zu erkennen und zu neutralisieren und so dazu beitragen, Cyberangriffe zu beenden, bevor sie beginnen können.
Vierter Schritt: Holen Sie sich proaktiven Schutz
Für einen robusten, ganzheitlichen Plan zur Risikoverwaltung sollten Führungskräfte kleiner Unternehmen die Zusammenarbeit mit einem verwalteten Anbieter von Sicherheitslösungen in Erwägung ziehen, der eine robuste, umfassende Erkennung von Bedrohungen und ein Vulnerability Management über eine Cloud-native Sicherheitsplattform bereitstellen kann. Diese Anbieter bieten von Menschen geleitete Rund-um-die-Uhr-Überwachung, Erkennung und Reaktion und helfen KMU im Wesentlichen dabei, ein externes Security Operations Center (SOC) einzurichten – zu einem Bruchteil der Kosten einer internen Version.
Ein SOC identifiziert Bedrohungen in Echtzeit mithilfe der Analyse von Protokolldaten aus unzähligen Datenquellen innerhalb des Unternehmens. Diese sekundengenaue Analyse der Protokolldaten ist für die Aufrechterhaltung eines starken Sicherheitsniveaus unerlässlich. Wenn Sie in Managed Security Operations investieren, erhalten Sie alle Vorteile eines internen SOC und zusätzlich ein Team von Sicherheitsexperten, das Ihre Umgebung rund um die Uhr überwacht. Sie können Ihre Umgebung entdecken, bewerten und gegen die einzigartigen digitalen Risiken absichern, denen Sie ausgesetzt sind, sowie moderne Cyberangriffe schnell erkennen, darauf reagieren und sich davon erholen.
Vierter Schritt: Übertragen Sie das Risiko, das Sie übertragen können
Aufgrund der weiten Verbreitung von Sicherheitsverletzungen und Angriffen, ihrer drastischen Zunahme und der nationalen und internationalen Schlagzeilen, die sie machen, sind die schmerzhaften Folgen von Cyberangriffen für Unternehmen jeder Größe deutlich geworden. Daher ist es nur logisch, dass Führungskräfte nach Möglichkeiten suchen, einen Teil des Cyberrisikos, dem sie ausgesetzt sind, vom Unternehmen weg zu verlagern.
Auch wenn Sie niemals in der Lage sein werden, den Rufschaden, den eine Sicherheitsverletzung verursachen kann, zu übertragen, können Sie den finanziellen Schaden übertragen, indem Sie eine Cyberversicherungspolice abschließen. Mit einer Cyber-Versicherungspolice können Unternehmen die Kosten für die Behebung von Cybervorfällen übertragen. Im Falle von Datenschutzverstößen kann Ihre Cyber-Versicherung die Kosten für Schäden an Dritten, entgangene Gewinne bei einem Ausfall Ihres Netzwerks und die Kosten für die Bekämpfung von Ransomware abdecken.
Eine Police zu bekommen, ist auf dem derzeitigen Markt jedoch leichter gesagt als getan. Aufgrund der Zunahme von Remotearbeit und Ransomware-Angriffen reichen die Prämien der Vergangenheit einfach nicht aus, um die Zahl der Cyberschäden zu bewältigen, die derzeit eintreffen. Leider haben die Versicherungsgesellschaften daher keine andere Wahl, als ihre Tarife zu erhöhen.
Sie haben auch die Zahl der Anforderungen erhöht, die Organisationen erfüllen müssen, um eine Police zu erhalten. Versicherungsunternehmen und -makler schreiben häufig Sicherheitskontrollen vor oder empfehlen sie zumindest nachdrücklich, die von den Versicherungsnehmern zur Aufrechterhaltung ihrer Verträge durchgeführt werden müssen. Weltweit sind die fünf häufigsten Sicherheitskontrollen, die von Fluggesellschaften gefordert werden, folgende:
- Antivirus-Software
- Virtuelle private Netzwerke (VPN)
- Cloud-Überwachungssoftware
- Firewalls
- MFA
Darüber hinaus ist die E-Mail-Filterung, obwohl sie nicht auf der Liste der von den Versicherern für die Aufrechterhaltung des Versicherungsschutzes geforderten Kontrollen steht, eine der wichtigsten Sicherheitskontrollen, um das Risiko zu verringern und somit ein besserer Versicherungskandidat zu werden.
Zusammengenommen ergibt dies eine praktische To-Do-Liste für jedes KMU, das sein finanzielles Risiko übertragen möchte. Installieren Sie diese sechs Kontrollen, bevor Sie eine Police beantragen, und Sie haben eine größere Chance, eine zu erhalten.
Fünfter Schritt: Richten Sie einen Incident-Response-Plan ein
Bisher haben wir uns damit beschäftigt, was KMUs vor einem Cyberangriff tun können. Aber wenn der Notfall eintritt, ist es auch wichtig, dass KMU einen Plan haben, was nach dem Verstoß zu tun ist. Hier kommt die Incident Response ins Spiel.
Die Zusammenarbeit mit einem Incident-Response-Anbieter ermöglicht es Ihnen, schnelle und sorgfältige Untersuchungen durchzuführen, die Ursache für die Kompromittierung zu finden, den Vorfall zu dokumentieren und den Geschäftsbetrieb in einem Zustand vor dem Vorfall wiederherzustellen.
Der wichtigste Schritt: Machen Sie die Sicherheit zu einer Aufgabe für alle
Jede Organisation, unabhängig von ihrer Größe oder ihrem Reifegrad, sollte über eine Person verfügen, die die Sicherheitsmaßnahmen durchführt und verwaltet. Wenn Sie nicht über ein internes IT-Team verfügen, sollten Sie die Zusammenarbeit mit einem MSP in Betracht ziehen, der diese Funktionen zu geringeren Kosten als Vollzeitmitarbeiter bereitstellen kann. Viele MSPs arbeiten mit Anbietern von Managed-Security-Operations-Lösungen zusammen, was bedeutet, dass Sie Ihr Sicherheitsniveau drastisch verbessern und Ihr Cyberrisiko zu überschaubaren Kosten reduzieren können.
Das bedeutet jedoch nicht, dass die mit der Cybersecurity Ihres Unternehmens betrauten Personen die einzigen sind, die dafür verantwortlich sind. Cybersecurity ist die Aufgabe jedes einzelnen Mitarbeiters in Ihrem Unternehmen. Wenn Sie die oben beschriebenen Schritte befolgen, können Sie eine Kultur schaffen, in der jeder die Risiken kennt, seine Rolle bei der Verhinderung von Angriffen kennt und genau weiß, was zu tun ist, wenn es zu einem Angriff kommt.
Erkunden Sie die aktualisierten CIS-Kontrollen mit einem Arctic Wolf-Objektiv.
Lesen Sie unseren Umfassenden Leitfaden für Security Operations.
Entdecken Sie die Bedeutung von Asset Discovery und Klassifizierung
