Cybersicherheitsrisiken erkennen: Praktischer Leitfaden für Ihr Unternehmen

Dieser Artikel erschien ursprünglich auf IndustryWeek. Gastbeitrag von Traci Spencer, Grant Program Manager für TechSolve, Inc., den südwestlichen Regionalpartner des Ohio MEP, Teil des MEP National Network™.

Dieser Artikel ist der erste Teil einer fünfteiligen Serie, die Best Practices für „Cybersicherheit für Hersteller“ beschreibt. Diese Empfehlungen folgen dem Cybersecurity Framework des National Institute of Standards and Technology (NIST), das zum Standard für den US-Fertigungssektor geworden ist.

Laut einer 2018 von IBM gesponserten Studie des Ponemon Institute beträgt der globale Durchschnitt eines Datenschutzverstoßes 3,86 Millionen $. Das sind fast 150 $ pro gestohlenem Datensatz. Wenn Sie ein kleiner oder mittlerer Hersteller sind, denken Sie vielleicht, dass Statistiken wie diese nicht auf Sie zutreffen. Aber von 17 in dem Bericht vertretenen Branchen waren die am stärksten betroffenen Sektoren Finanzwesen, Dienstleistungen und – warten Sie – Fertigung.

Weil Hersteller oft weniger Ressourcen in Informationssicherheit investieren, sind sie ein beliebtes Ziel für Cyberkriminelle. Und es braucht nur einen Cyberangriff, um das gesamte Betriebssystem eines kleineren Herstellers zu verwüsten. Vernetzte Maschinen, Lieferanten, Distributoren oder sogar Kunden könnten alle über einen Computer/eine Gerät in einer Fertigungsanlage gehackt werden.

Weitere Risiken umfassen:

• Verlust von Informationen, die für den Geschäftsbetrieb kritisch sind
• Negative Auswirkungen auf das Kundenvertrauen
• Regulatorische Bußgelder und resultierende Anwaltskosten
• Verringerte oder gestoppte Produktivität.

Glücklicherweise können Sie lernen, Ihre Abläufe mit Hilfe des National Institute of Standards and Technology (NIST) zu schützen, das einen fünfstufigen Rahmen für Cybersicherheit entwickelt hat, der von einem Unternehmen jeder Größe implementiert werden kann. Der NIST Cybersecurity Framework ist online verfügbar und kann von Ihrem lokalen Vertreter des MEP National Network, den Experten für die Förderung der US-Fertigung, weiter erläutert werden. Sie können auch den Manufacturers Guide to Cybersecurity (Link hinzufügen, sobald der Dokumentenspeicherort bekannt ist) einsehen, der Herstellern grundlegende Praktiken und Werkzeuge bietet, die zur Entwicklung eines Cybersicherheitsprogramms erforderlich sind.

Bereit, den ersten Schritt zur Datensicherheit zu tun? Der Prozess beginnt mit der Identifizierung Ihrer Risiken.

Kontrollieren Sie, wer Zugriff auf Ihre Informationen hat

Erstellen Sie eine Liste der Mitarbeiter mit Computerzugriff und führen Sie alle Ihre Geschäftskonten, die Art des Zugriffs (physisch oder Passwörter) auf, und sichern Sie alle Laptops und mobilen Geräte physisch, wenn sie nicht in uso sind. Lassen Sie Ihre Mitarbeiter einen Sichtschutz verwenden oder den Computerbildschirm so positionieren, dass vorbeigehende Personen die angezeigten Informationen nicht sehen können, und lassen Sie sie die Bildschirmsperre so einstellen, dass sie aktiviert wird, wenn der Computer nicht in uso ist.

Erlauben Sie keinen physischen Zugriff auf Computer oder Systeme durch unbefugtes Personal, wie z. B.:

• Reinigungsteams oder Wartungspersonal
• Unbeaufsichtigte Computer- oder Netzwerk-Reparaturpersonal, das an Systemen oder Geräten arbeitet
• Unbekannte Personen, die in Ihr Büro oder auf den Shopfloor gelangen, ohne von einem Mitarbeiter befragt zu werden

Es dauert nur Sekunden, bis ein Krimineller auf eine ungesicherte Maschine zugreift. Machen Sie es ihnen nicht leicht, Ihre sensiblen Informationen zu stehlen.

Hintergrund- & Sicherheitsüberprüfungen für alle Mitarbeiter durchführen

Hintergrundüberprüfungen sind unerlässlich, um Ihre Cybersicherheitsrisiken zu identifizieren. Vollständige bundesweite Suchen sollten für alle potenziellen Mitarbeiter oder andere durchgeführt werden, die Zugriff auf Ihre Computer und die Systeme und Geräte Ihres Unternehmens haben werden.

Diese Überprüfungen sollten umfassen:

• Kriminelle Hintergrundüberprüfungen
• Sexualstraftäter-Überprüfungen
• Kreditprüfungen, wenn möglich (einige US-Bundesstaaten beschränken die Nutzung von Kreditprüfungen)
• Referenzen zur Verifizierung der Beschäftigungsdaten bei früheren Arbeitgebern
• Bildungs- und Abschlussverifizierung

Sie können auch in Erwägung ziehen, eine Hintergrundüberprüfung bei sich selbst durchzuführen, die Sie schnell warnen kann, wenn Sie unwissentlich Opfer von Identitätsdiebstahl geworden sind.

Individuelle Benutzerkonten für jeden Mitarbeiter verlangen

Wenn Sie Datenverlust oder unbefugte Datenmanipulation erleben, kann es ohne individuelle Konten für jeden Benutzer schwierig sein, dies zu untersuchen. Richten Sie für jeden Mitarbeiter und Auftragnehmer, der Zugriff benötigt, ein separates Konto ein. Verlangen Sie die Verwendung starker, einzigartiger Passwörter für jedes Konto.

Begrenzen Sie die Anzahl der Mitarbeiter, die administrativen Zugriff haben, insbesondere wenn dieser nicht für ihre täglichen Aufgaben erforderlich ist. Erwägen Sie Gastkonten mit nur Internetzugang für Besucher oder Kunden in Ihrer Anlage.

Cybersicherheitsrichtlinien & -verfahren erstellen

Während die Erstellung Ihrer ersten Cybersicherheitsrichtlinie wie eine entmutigende Aufgabe erscheinen mag, gibt es viele leicht verständliche Tipps vom MEP National Network, die Ihnen den Einstieg erleichtern können. Sie möchten möglicherweise auch einen Rechtsanwalt konsultieren, der mit Cyberrecht vertraut ist, um Ihre Richtlinien zu überprüfen und sicherzustellen, dass Sie lokale Gesetze und Vorschriften einhalten.

Ihre neue Cybersicherheitsrichtlinie sollte Folgendes umfassen:

• Ihre Erwartungen an Ihre Mitarbeiter zum Schutz von Unternehmensinformationen
• Wesentliche Ressourcen, die geschützt werden müssen, und wie Sie erwarten, dass Ihre Mitarbeiter diese Informationen schützen
• Eine unterzeichnete Vereinbarung jedes Mitarbeiters, die bestätigt, dass sie die Richtlinie gelesen und verstanden haben.

Bewahren Sie die unterzeichnete Vereinbarung in der Personalakte jedes Mitarbeiters auf. Überprüfen Sie die Richtlinie mindestens einmal jährlich und aktualisieren Sie sie, wenn Sie Änderungen an der Technologie Ihres Unternehmens vornehmen. Sie können Ihre Cybersicherheitsrichtlinie dann nutzen, um neue Mitarbeiter in ihren Informationssicherheitsverantwortlichkeiten zu schulen und akzeptable Praktiken für all Ihre Geschäftsabläufe festzulegen.

Nun, da Sie gelernt haben, wie Sie Ihre Risiken identifizieren und Ihre Ressourcen bewerten, ist es an der Zeit, über deren Schutz nachzudenken. Im zweiten Teil unserer fünfteiligen „Cybersicherheit für Hersteller“-Serie vom MEP National Network gehen wir die wichtigsten Schritte zum Schutz Ihrer wertvollen Daten und Informationen vor Cyberbedrohungen durch.