5 wesentliche Fragen an Ihren Cybersicherheits-Experten

Fast wöchentlich hören wir von einem weiteren Unternehmen oder einer Organisation, die Opfer eines Cyberangriffs wurde. Wir wissen, dass Cyberkriminelle hartnäckiger werden und wir gewissenhafter beim Schutz von Informationen sein müssen.

Ich denke, in unserem Privatleben versuchen die meisten von uns, vorsichtiger zu sein. Die Zeiten, in denen wir alle Passwörter auf „123456“ setzten, sind (hoffentlich) vorbei. Doch ins Büro tragen wir scheinbar nicht dieselbe Sorge. Da unser IT-Profi die Cybersicherheit sicher im Griff hat, muss ich mir keine Sorgen machen… oder?

Tatsache ist: Wir als Mitarbeiter spielen eine entscheidende Rolle beim Schutz unseres Unternehmens, und ein einziger falscher Klick kann ein Geschäft kompromittieren. Eine aktuelle Studie von Willis Towers Watson ergab, dass 90 % der Cyber-Vorfall-Schadensfälle auf irgendeine Form menschlichen Fehlverhaltens oder Verhaltens zurückzuführen sind. Hier sind fünf Fragen und Antworten, die Sie auf Ihrem Weg zu mehr Sicherheit im Unternehmen leiten sollen.

1. Was sind die größten Cyber-Risiken für mein Unternehmen?

Das Risiko eines Unternehmens variiert erheblich je nach seiner einzigartigen Betriebsumgebung – es gibt vieles zu bewerten und zu berücksichtigen.

Haben Sie viele Mitarbeiter, die E-Mail nutzen? Spear Phishing könnte ein Top-Risiko für Sie sein. Ist jedes Gerät mit einer IP-Adresse auf Ihrem Shopfloor gesichert? Wenn nicht, könnten bösartiger Code, unbefugter Zugriff und Nutzung oder Datenexfiltration Top-Risiken sein.

Cybersicherheits-Risikobewertungen sollten ein zentraler Bestandteil Ihres Informationssicherheits-Managementprogramms sein. Jeder weiß, dass ein gewisses Risiko für kritische und sichere Daten, Informationswerte und Einrichtungen besteht. Aber wie quantifiziert und bereitet man sich auf dieses Cybersicherheitsrisiko vor? Der Zweck einer IT-Sicherheits-Risikobewertung ist es, zu bestimmen, welchen Sicherheitsrisiken die kritischen Assets Ihres Unternehmens ausgesetzt sind und wie viel Finanzierung und Aufwand in ihren Schutz fließen sollte.

Der NIST Risk Management Framework (RMF) ist eine hervorragende Ressource für den Einstieg. Der RMF bietet einen strukturierten, aber flexiblen Ansatz für das Management des Risikoanteils, der von Systemen resultiert, die Ihr Unternehmen kontrollieren kann, und von Geschäftsprozessen Ihrer Organisation.

2. Ist die Nutzung eines Passwort-Managers okay?

Während ein Passwort-Manager für private Online-Konten eine hervorragende Möglichkeit ist, sicher zu bleiben, prüfen Sie vor der Nutzung jeglicher Software am Arbeitsplatz die Richtlinien Ihres Unternehmens.

Passwort-Manager helfen, Passwörter zu speichern und einzigartige für jede Seite zu generieren. Doch alle Passwörter an einem Ort zu speichern, ist riskant. Es ist wichtig zu verstehen, wie Ihre Passwörter geschützt sind und ob sie verschlüsselt sind. Es gibt diverse kommerzielle Produkte, die mit mehreren Geräten und Browsern funktionieren – recherchieren Sie, um eines zu finden, das Ihren Bedürfnissen am besten entspricht.

3. Entspricht mein Unternehmen führenden Informationssicherheits-Frameworks oder -Standards – und muss es das?

Ihr geistiges Eigentum und sensible Kunden- und Mitarbeiterdaten zu schützen, gibt Ihnen und Ihren Kunden Sicherheit. Es ist auch eine gute Geschäftspraxis, wenn man den finanziellen Impact, Produktivitätsverlust und Vertrauensverlust betrachtet, den ein Cyberangriff kosten kann.

Für Unternehmen in der Lieferkette des Verteidigungsministeriums (DoD) ist ein solcher Schutz zwingend. Diese Unternehmen müssen die Mindestsicherheitsstandards des Defense Federal Acquisition Regulation Supplement (DFARS) erfüllen oder riskieren, ihre DoD-Verträge zu verlieren.

Hier sind mehrere Beispiele für Sicherheits-Frameworks oder -Standards, die helfen, Ihr Risiko zu verstehen und zu mindern: NIST Cybersecurity Framework, NIST SP 800-53 – Security and Privacy Controls for Information Systems and Organizations, das NIST MEP Cybersecurity Self-Assessment Handbook und der Payment Card Industry Data Security Standard (PCI DSS). Es ist leicht, sich zu verwirren, welches Dokument man referenzieren sollte – hier sind mehr Details zu jedem:

• Das Framework ist hochwertiger (und prägnanter) als NIST SP 800-53, das ein Katalog von Sicherheits- und Datenschutzkontrollen ist. Das Framework ist für Führungskräfte und Entscheidungsträger ohne technischen Hintergrund besser handhabbar. Es fokussiert auch darauf, wie Sicherheitsfunktionen bewertet und priorisiert werden, und referenziert bestehende Dokumente wie NIST SP 800-53, das am besten von technischem Personal genutzt wird, das Sicherheit implementiert und die detaillierteren Informationen zu Auswahl und Implementierung von Kontrollen verstehen kann.
• Das NIST MEP Cybersecurity Self-Assessment Handbook hilft Ihrem Unternehmen, konform mit NIST SP 800-171 Security Requirements in Response to DFARS Cybersecurity Requirements zu sein. Das Handbuch bietet eine Schritt-für-Schritt-Anleitung zur Bewertung der Informationssysteme eines kleinen Herstellers anhand der Sicherheitsanforderungen in NIST SP 800-171 rev 1, „Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations.“

• Der Payment Card Industry Data Security Standard (PCI DSS) ist ein weit akzeptierter Satz von Richtlinien und Verfahren zur Optimierung der Sicherheit von Kredit-, Debit- und Bargeldkartentransaktionen. Der PCI DSS wurde 2004 von Visa, MasterCard, Discover und American Express erstellt. Zahlungssicherheit ist für alle Unternehmen verpflichtend, die Kartendaten speichern, verarbeiten oder übertragen. Der Verstoß oder Diebstahl von Kartendaten betrifft das gesamte Zahlungskarten-Ökosystem. Beispiele für Auswirkungen auf Ihr Unternehmen: Vertrauensverlust bei Kunden, Umsatzeinbußen, Betrugsverluste, Rechtskosten, Bußgelder und Entzug der Fähigkeit, Zahlungskarten zu akzeptieren. PCI DSS Compliance ist vital für den langfristigen Erfolg eines Unternehmens, das Kartenzahlungen abwickelt und Cyberabwehr gegen Angriffe auf Kartendaten bereithält. Die meisten kleinen Unternehmen können ein Selbstvalidierungstool nutzen, um ihr Kartendaten-Sicherheitsniveau zu bewerten.

4. Was ist Zwei-Faktor-Authentifizierung und wie aktiviere ich sie? Warum reichen Passwörter nicht?

Zwei-Faktor-Authentifizierung (2FA) ist eine zusätzliche Sicherheitsebene, um sicherzustellen, dass Sie sind, wer Sie vorgeben zu sein. Das Problem: Benutzernamen und Passwörter allein sind leicht zu erraten, und Menschen nutzen dieselben Passwörter für mehrere Seiten. Öffentlich bekannt gewordene Vorfälle zeigen, dass jede Minute 5.518 Datensätze geleakt werden.

2FA verhindert, dass andere leicht auf Ihre Konten zugreifen. Wenn 2FA aktiviert ist, geben Sie Benutzernamen und Passwort auf der Login-Seite ein. Statt sofort Zugriff zu erhalten, müssen Sie eine weitere Information bereitstellen. Dieser zweite Faktor könnte sein:

• Etwas, das Sie wissen – eine persönliche Identifikationsnummer (PIN), Passphrase oder Antworten auf Geheimfragen.
• Etwas, das Sie haben – eine Kreditkarte, Schlüsselkarte, Smartphone, Hardware- oder Software-Token oder Benachrichtigung von der Seite.
• Etwas, das Sie sind – ein biometrisches Muster wie Fingerabdruck, Iris-Scan oder Stimmabdruck.

Wenn Sie unsicher sind, ob Ihre Seiten oder Apps 2FA haben, besuchen Sie TwoFactorAuth.org.

Aktivieren Sie 2FA für alle Konten. Siehe Telesigns Schritt-für-Schritt-Anleitung zur 2FA-Aktivierung: https://www.turnon2FA.com.

5. Gibt es einen Genehmigungsprozess für den Kauf von Anwendungen, die ich für meine Arbeit nützlich finde?

Die meisten Unternehmen haben Richtlinien dazu, wie Software gekauft werden darf (entweder boxed/online oder extern in der Cloud gehostet). Es ist wichtig zu wissen, welche Anwendungen Sie sofort nutzen können und welche weiterer Prüfung bedürfen, um sicherzustellen, dass sie für Ihren Gebrauch und die darin verarbeiteten/gespeicherten Daten sicher genug sind. Wissen Sie, was erforderlich ist, und arbeiten Sie mit Ihrem Cybersicherheits-Experten zusammen, um die erforderlichen Prozesse durchzugehen und sicherzustellen, dass die Informationen ordnungsgemäß gesichert werden.

Wenn Sie Ihr Cybersicherheitsrisiko besser verstehen möchten, können Sie das MEP National Network™ Cybersecurity Self-Assessment Tool nutzen. Wenn Sie Fragen haben oder mit einem Cybersicherheits-Experten sprechen möchten, kontaktieren Sie Ihr lokales MEP National Network Center.