Cybersecurity-Grundlagen für Hersteller: Einblicke von Pat Toth

Die Zahl der Cyberangriffe steigt weiter, und Cyberkriminelle werden entschlossener. Unternehmen bleiben zurück, wenn sie versuchen, verwirrende technische Leitfäden in einer sich rasch wandelnden digitalen Landschaft zu navigieren. Kleine Hersteller denken oft, ihre Unternehmen seien nicht gefährdet. Schließlich, warum sollte jemand ein kleines, ländliches Herstellerunternehmen angreifen, wenn es größere Ziele gibt?

Um zu verstehen, was los ist und was Hersteller wirklich über Cybersicherheit wissen müssen, sprach ich mit Pat Toth. Pat ist Computer Scientist bei der NIST Manufacturing Extension Partnership mit über 30 Jahren Cybersicherheitserfahrung und hat an zahlreichen NIST-Cybersicherheits-Leitfäden mitgearbeitet.

Frage: Sind Hersteller wirklich stärker von Cyberangriffen bedroht als andere Branchen? Wenn ja, warum?

Pat: Laut dem U.S. Department of Homeland Security ist die Fertigungsindustrie basierend auf der Zahl gemeldeter Cyberangriffe die zweithäufigste Zielbranche.

Ich denke, kleine Hersteller sind besonders verwundbar, weil sie als einfache Einfallstore in größere Lieferketten gesehen werden. Stellen Sie es sich so vor: Wenn Sie ein Krimineller sind und in ein Gebäude einbrechen wollen – versuchen Sie es bei einem Gebäude mit Überwachung, Alarmanlage und Wachpersonal, oder zielen Sie eher auf eines ohne diese Sicherheitsmerkmale? Typischerweise das Letztere – deshalb zielen Cyberkriminelle gezielt auf Hersteller. Leider haben viele kleine Unternehmen keine angemessenen Sicherheitsmaßnahmen, weil sie nicht glauben, Ziele zu sein.

Cyberkriminelle könnten an Ihrem geistigen Eigentum (IP) interessiert sein oder auf Informationen über Ihre Partner oder Mitarbeiter zugreifen wollen. Der Target-Datenschutzverstoß 2013 ist ein bekanntes Beispiel: Der HLK-Anbieter von Target wurde gezielt angegriffen, weil die Hacker wussten, dass sie über diesen Zugang zu Targets Systemen erhalten. Millionen Kreditkartendaten wurden gestohlen.

Frage: Da kleine und mittlere Hersteller (SMMs) oft Hauptziele sind, aber begrenzte Ressourcen haben – was können diese SMMs tun?

Pat: Es mag kompliziert und überwältigend erscheinen, aber es gibt Dinge, die SMMs tun können, die wenig bis gar nichts kosten und einfach umzusetzen sind.

Es kommt darauf an, Richtlinien zu etablieren und Mitarbeiter zu schulen. Verschiedene Studien zeigen, dass Mitarbeiter einer der verwundbarsten Punkte in der Sicherheit jedes Unternehmens sind. Die meisten Mitarbeiter wissen schlicht nicht, worauf sie achten müssen und wie sie einen potenziellen oder tatsächlichen Cybervorfall erkennen – bis es zu spät ist. Unternehmen müssen regelmäßig kommunizieren, um Mitarbeitern die Taktiken von Cyberkriminellen und ihre entscheidende Rolle bei der Verhinderung von Cybervorfällen verständlich zu machen.

Beispiel: Ihr Unternehmen sollte eine Richtlinie zur Nutzung sozialer Medien am Arbeitsplatz haben. Manche Mitarbeiter erwarten, während der Arbeitszeit auf soziale Medien zugreifen zu können. Unternehmen stehen vor einem Balanceakt – soziale Medien zulassen und Systeme schützen. Wie geht man damit um? Man setzt eine Richtlinie. Die könnte lauten: Keine Nutzung sozialer Medien auf Unternehmenssystemen. Oder man stellt ein separates, halböffentliches Netzwerk für den Social-Media-Zugang bereit, das das Unternehmen nicht gefährdet. Was auch immer die Richtlinie ist – stellen Sie sicher, dass Mitarbeiter sie kennen, verstehen, warum sie existiert und welche Konsequenzen ein Verstoß hat.

Frage: Gut zu hören, dass es Low- und No-Cost-Lösungen gibt. Wenn ein Unternehmen bereit ist, seine Cybersicherheit zu verbessern – wo sollte es anfangen?

Pat: Beginnen Sie mit dem NIST Cybersecurity Framework und NISTIR 7621 Small Business Information Security: The Fundamentals. Der Cybersecurity Framework besteht aus Standards, Leitlinien und Best Practices zum Management cybersicherheitsbezogener Risiken. Er bietet einen priorisierten, flexiblen und kosteneffektiven Ansatz zum Schutz von Systemen. Small Business Information Security: The Fundamentals basiert auf dem Framework und bietet Entscheidungsträgern ohne technischen Hintergrund einen übersichtlicheren Überblick. Es fokussiert auch darauf, wie Sicherheitsfunktionen bewertet und priorisiert werden.

Hier ist eine kurze Zusammenfassung der fünf Framework-Schritte:

Der erste Schritt ist Identifizieren. Identifizieren Sie die wertvollsten Informationen für Ihr Unternehmen – jene, deren Verlust oder Veränderung Ihren Betrieb zum Stillstand brächte. Beispiel: Sie sind ein Lebensmittelhersteller und backen Schokoladen-Chip-Cookies nach Omas Rezept. Dieses Rezept ist vital für Ihr Geschäft und muss vor Diebstahl oder Veränderung geschützt werden.

Der zweite Schritt ist Schützen. Sie haben mit Managern und Mitarbeitern gesprochen und die wichtigsten Informationen identifiziert. Jetzt entscheiden Sie, was nötig ist, um diese Informationen angemessen zu schützen. Dieser Schritt hängt stark von den spezifischen Bedrohungen und Schwachstellen Ihres Unternehmens ab. Kleine Unternehmen, die nur Face-to-Face oder telefonisch mit Kunden arbeiten, haben weniger zu schützen als solche, die über E-Mail und Webportale Geschäfte abwickeln. Es hängt ganz von Ihrer Betriebsumgebung ab.

Der dritte Schritt ist Erkennen. Sie müssen in der Lage sein, einen Cybervorfall zu detektieren. Sie sollten aktuelle Anti-Spyware, Antivirus und Intrusion Detection Systeme haben. Berücksichtigen Sie auch Ihren physischen Raum – z. B. ob Sie alarmiert werden müssen, wenn Unbefugte Bereiche betreten. Ob digital oder physisch – es ist wichtig zu wissen, wann der Vorfall geschah und worauf die Person(en) Zugriff erhielten.

Der vierte Schritt ist Reagieren. Bei einem Cybervorfall muss Ihr Unternehmen schnell reagieren, um potenziellen Schaden zu mindern. Sie brauchen einen Plan, bevor etwas passiert. Der Plan sollte festlegen, wer verantwortlich ist und wen man kontaktiert. Mitarbeiter müssen wissen, wie sie den Plan während und außerhalb der Geschäftszeiten abrufen.

Erinnern Sie sich an die Feuerübungen in der Grundschule? Genau wie diese sollte Ihr Unternehmen seinen Cyber-Incident-Response regelmäßig üben, damit Mitarbeiter genau wissen, was bei einem Cybervorfall zu tun ist.

Der fünfte und letzte Schritt ist Wiederherstellen. Sie sollten regelmäßige Backups durchführen, um Ihre Systeme wiederherstellen zu können. Backups sollten an einem separaten Ort oder in der Cloud gespeichert werden. Sie müssen Ihre Backups testen. Wenn Sie Backups nicht testen, können Sie nicht sicher sein, dass Sie sich vollständig von einem Ereignis erholen können. Wie oft Sie testen, sollte davon abhängen, wie vital die Informationen für den Betrieb sind.

Das ist keine „One-Size-Fits-All“-Situation – Sie müssen entscheiden, was für Ihr Unternehmen und seine Kultur funktioniert. Für ein Unternehmen reicht vielleicht ein Test pro Jahr. Für ein anderes kann wöchentlicher Test nötig sein. Es gibt keine einfache Antwort, aber es erfordert, Ihre Systeme zu prüfen, wo Sie verwundbar sind, die Bedrohungen zu kennen und zu entscheiden, wie Sie ihnen begegnen.

Frage: Angenommen, mein Unternehmen hat Sicherheitsmaßnahmen und einen Reaktionsplan – was kommt als Nächstes?

Pat: Das ist keine „Einmal-und-fertig“-Aktivität. Sie können keinen Reaktionsplan schreiben und ins Regal stellen. Das sollte ein lebendiges Dokument sein. Jeder muss Ihre Cybersicherheitshaltung kennen und wie Sie sie kontinuierlich verbessern können.

Jedes Mal, wenn Sie neue Ausrüstung kaufen oder einen neuen Mitarbeiter einstellen, müssen Sie darüber nachdenken, wie diese Aktivitäten Ihre Sicherheit beeinflussen. Für kleinere Unternehmen kann das schwer sein. Oft sehe ich, dass Unternehmen schnell wachsen und vergessen, dass nicht jeder Zugriff auf alle Informationen braucht. Es braucht Zeit, aber das Management muss die Mitarbeiterliste durchgehen und prüfen, wer worauf Zugriff haben sollte. Jemand am Shopfloor braucht keinen Zugriff auf Gehaltsdaten. Rollen zu definieren und die Trennung dieser Rollen umzusetzen kann schwierig sein, ist aber notwendig, um Ihr Unternehmen vor Cyberbedrohungen zu schützen.

Ich denke, Cybersicherheit und Qualität haben viele Parallelen in der Adoption. Viele Unternehmen zögerten lange, Qualitätsysteme wie ISO 9000 einzuführen. Ein Hauptbestandteil von Qualität ist die Denkweise im Unternehmen. Cybersicherheit ist nicht nur Aufgabe des IT-Menschen oder Cyber-Verantwortlichen – jeder Mitarbeiter auf jeder Ebene trägt Verantwortung. Cybersicherheit muss Teil der Unternehmenskultur werden – genau wie Qualität – um wirksam zu sein.

Frage: Wo finde ich Informationen, um meine Mitarbeiter in Dingen zu schulen, die das Cyberrisiko des Unternehmens reduzieren?

Pat: Gehen Sie auf die NIST MEP Cybersecurity Resource Webseite. Dort finden Sie diverse Ressourcen, darunter ein einfaches Selbstbewertungstool (basierend auf NISTs Cybersecurity Framework), mit dem Sie das Cyberrisiko Ihres Unternehmens selbst einschätzen können. Die Selbstbewertung hilft, Schwachstellen zu identifizieren und Ressourcen gezielt einzusetzen. Wir tracken Ihre Daten nicht und speichern keine Ergebnisse. Nach der Bewertung erhalten Sie einen Score, der zeigt, wo Ihre Schwächen in Ihren Cybersicherheitsbemühungen liegen. Sie können auch eines der 51 MEP Center kontaktieren – in allen 50 Bundesstaaten und Puerto Rico –, die Teil des MEP National Network™ sind, für Fragen oder Unterstützung.