Cybersecurity: Vereinfachung als Ausweg?

Die zunehmende Komplexität in der IT birgt Gefahren von Schwachstellen, die durch Cyberangriffe erfolgreich ausgenutzt werden können. Vier Fragen, die im Unternehmensalltag häufig zu kurz kommen, aber in puncto IT-Sicherheit erhebliche Vorteile bringen können

Cyberangriffe werden immer raffinierter, Systeme und Netzwerke werden laufend nach Schwachstellen abgesucht – leider immer öfter mit Erfolg. Noch nie war für Unternehmen die Wahrscheinlichkeit höher, digital angegriffen zu werden, wie derzeit, so die KPMG-Studie „Cyber Security in Österreich 2021“

Den Unternehmen ist bewusst, dass die Risiken im Bereich Cybersicherheit steigen. Home-Office, E-Commerce, Cloud Computing – zahlreiche Geschäftsprozesse finden durch die Coronapandemie in der digitalen Welt statt. Die Cyber Resilience, also die Fähigkeit, Angriffen standzuhalten, hat dadurch noch mehr an Bedeutung gewonnen. Sieben von zehn heimischen Unternehmen (72 Prozent) planen gesteigerte Investitionen in die IT-Sicherheit, so die PwC-Studie „Global Digital Trust Insights 2022“

Ein möglicher Erfolgsfaktor, um die Widerstandsfähigkeit zu erhöhen: Vereinfachung der IT-Sicherheit, aber auch allgemeiner Unternehmensprozesse.

IT-Sicherheit: Immer komplexere Netze

Von den meisten Unternehmen in Österreich wird die IT-Sicherheit als geschäftskritisch bewertet. Rund 75 Prozent der Unternehmen sehen sie als einen wichtigen Wettbewerbsvorteil. Cybersicherheit schützt nicht nur die eigene IT-Landschaft eines Unternehmens, sondern auch die eigene Marke, indem sie Vertrauen aufbaut – eine im Geschäftsleben entscheidende Ressource. Fabriken, in denen die Produktion fast von selbst abläuft, das Büro, das dank Kollaborationstools überall sein kann: Durch die digitale Transformation können zahlreiche Aufgaben über Distanzen und mit nur wenigen Befehlen ausgeführt werden (siehe auch: Mit Vollgas die digitale Transformation meistern).

Im Zuge der Digitalisierung entstehen aber immer komplexere Netze, die mit jeder neuen Technologie noch vielschichtiger werden.

Dutzende Cybex-Security-Lösungen

Auch die Landschaften der Cyber-Security-Lösungen sind gewachsen. Die Prozesse, die zur Verwaltung und Aufrechterhaltung dieser erforderlich sind – einschließlich der Cybersicherheit – werden immer komplizierter. Unternehmen kämpfen oft mit weitschichtigen Strukturen:

Der Einsatz vieler technischer Lösungen, die nicht aufeinander abgestimmt sind. In vielen Unternehmen bestehen die Security-Landschaften aus Dutzenden von Lösungen und diversen Anbietern. Laut einer IDC-Studie hat etwa jedes sechste deutsche Unternehmen (17 Prozent) mit bis zu 500 Mitarbeitern mehr als 20 Anbieter im Einsatz. Diese Landschaften zu überblicken und sinnvoll zu betreiben, wird immer schwieriger.
Fehlende Koordinierung der Arbeit verschiedener Funktionen in Bezug auf Ausfallsicherheit oder Risikomanagement für Dritte.
Fehlende Prozesse für den Umgang mit Daten (Governance).

Oder vereinfacht dargestellt: Aufgrund übermäßiger Komplexität kann es leicht passieren, dass die linke Hand nicht weiß, was die rechte tut.

„Besorgniserregende“ Komplexität

Etwa 75 Prozent der befragten Führungskräfte halten die Technologie, Daten und Betriebsumgebungen in ihren Unternehmen bereits für unnötig komplex, so die PwC-Studie „Global Digital Trust Insights 2022“. Fast ebenso viele gaben an, dass die Komplexität in 11 Schlüsselbereichen „besorgniserregende“ Cyber- und Datenschutzrisiken für ihre Unternehmen darstelle. An erster Stelle stehen dabei die Datenverwaltung und die Dateninfrastruktur. Die meisten befürchten durch die hohe Komplexität aber nicht nur fehlende Resilienz, sondern auch finanzielle Verluste und mangelnde Innovationsfähigkeit.

Leitfaden zur Vereinfachung: Vier zentrale Fragen

Die Global Digital Trust Insights Survey 2022 rät Unternehmen, sich auf vier Fragen zu konzentrieren, die im Geschäftsalltag zu kurz kommen, aber erhebliche Vorteile bringen können. Diese Fragen sind nicht technologieorientiert. Denn Technik an sich ist nicht unbedingt der Schlüssel zu mehr Cybersecurity.

1.Wie können Führungskräfte etwas für die Cybersecurity bewirken?

Unternehmen, deren Führungsebene sich im Bereich Cybersicherheit engagiert und diesen für geschäfts- und vertrauensrelevant hält, haben in den letzten zwei Jahren signifikant häufiger Fortschritte bei der Digitalisierung gemacht. Die Führungsebene hat die Möglichkeit, im Unternehmen auf allen Ebenen ein Sicherheitsbewusstsein zu schaffen. Sie gibt in den Bereichen IT-Sicherheit und Datenschutz die Richtung für die ganze Organisation vor. CEO & Co. sollten daher ein ausdrückliches Grundprinzip erstellen, das Sicherheit und Datenschutz zu einem geschäftlichen Gebot und Ziel macht. Ein weiterer wichtiger Schlüssel ist ein Umdenken bei der Wahrnehmung von Security: Weg vom reinen Zweck der Absicherung, hin zu Cybersecurity als kritische Voraussetzung für eine erfolgreiche digitale Transformation und damit modernes digitales Business.

2. Ist das Unternehmen zu komplex, um es zu sichern?

Die PwC-Studie zeigt, dass Unternehmen, die ihre Abläufe unternehmensweit rationalisiert haben, in den letzten zwei Jahren deutlich bessere Cybersicherheit-Ergebnisse erzielt haben als andere. Denn Cybersecurity war immer schon ein Thema, das alle Bereiche des Unternehmens umfasst. Unternehmen sollten Abläufe und Prozesse bewusst vereinfachen. Technologie und Daten neigen dazu, sich zu vermehren, ineffizient und unsicher zu werden, wenn sie sich selbst überlassen werden. Der Datenüberschuss sollte daher mit Blick auf die Sicherheitsziele reduziert werden. Was ist notwendig, was nicht? Eine zentrale Frage, die im Unternehmensalltag oft zu kurz kommt, bezüglich Cybersicherheit aber erhebliche Vorteile bringen kann. Es braucht außerdem Sicherheitsmodelle für den gesamten Digitalisierungsprozess – von der Prävention über die Erkennung bis hin zur Reaktion.

3. Woher wissen Unternehmen, ob sie gegen die wichtigsten Risiken abgesichert sind?

Daten gelten im digitalen Zeitalter grundsätzlich als wichtige Ressource im Geschäftsleben – etwa, um mehr über das Kundenverhalten zu erfahren. Eine auf Daten und Informationen basierte IT-Sicherheit wird in Österreich aber immer noch zu wenig eingesetzt. Während mehr als 80 Prozent der weltweiten Cybersecurity-Vorreiter beispielsweise Logdaten aus vergangenen Angriffen erfolgreich für ihre strategischen Entscheidungen nützen, greifen in Österreich weniger als ein Drittel der befragten Unternehmen auf verfügbare Daten und Erkenntnisse zurück. Spitzenreiter bei der Cybersecurity sagen 18-mal häufiger als andere, dass Daten und Threat-Analysen Grundlage ihrer Maßnahmen seien.

4. Wie gut kennen Unternehmen die Risiken durch Dritte und die Lieferkette?

Dienstleister und Lieferanten werden kaum in die eigene Risikobetrachtung eingebunden. Sie sind oft eine Schwachstelle im Bereich der Cyberrisiken. Dabei werden im Zuge immer weitreichender Vernetzung von Partner- und Lieferantenbeziehungen auch Dritte für die Cybersicherheit eines Unternehmens immer relevanter. Ein Beispiel: Wie gehen die Geschäftspartner mit Kundendaten um? In Österreich wird grundsätzlich immer noch zu sehr auf Lieferanten vertraut, ohne sich etwa durch eine umfassende Due-Diligence-Prüfung ein unabhängiges Bild zu machen. Satte 80 Prozent erachten diese als nicht erforderlich. Und nur 35 Prozent erheben das Risiko von Datenschutzverletzungen durch Dienstleister und Lieferanten. Die Unternehmen mit den besten Ergebnissen bei der Cybersicherheit wissen 11-mal eher darüber Bescheid als andere.

IT-Basishygiene

Auch wenn sich mit zunehmend fortschreitender Digitalisierung die Cyberrisiken für Unternehmen laufend ändern, lassen dich dennoch viele der Hackerangriffe, die Unternehmen erleben, mit bewährten Maßnahmen der Cybersicherheit und mit einer engmaschigen Überwachung verhindern (siehe auch: Cyber Security: 1×1 für Unternehmen.

Laut Microsoft können mit einer Kombination aus fünf Schutzmaßnahmen 98 Prozent der Angriffe verhindert werden. Vor allem gegen die breite Masse an Attacken stellen folgende Maßnahmen einen wirksamen Schutzschild dar:

Multi-Faktor-Authentifizierung: Mehrere Faktoren zur Identifizierung von Nutzern sollten standardmäßig zum Einsatz kommen, um durch Phishing oder Diebstahl erhaltene Zugangsdaten nicht so leicht ausnutzbar zu machen.
Zugriffsberechtigungen der Nutzer einschränken: Dies erschwert Angreifern die Ausbreitung im Netzwerk.
Immer auf dem neuesten Stand sein: Sicherheitsrelevante Updates sollten zeitnah installiert werden. Wer bekannte Lücken schließt, reduziert die Verwundbarkeit.
Anti-Malware nutzen: Die Installation von Virenschutz-Programmen auf allen Endgeräten hilft bei der Erkennung von Schadsoftware.
Daten sichern: Welche Daten sind die wirklich sensiblen? Wo sind sie gespeichert und wie werden sie gesichert? Unternehmen sollten die geeigneten Antworten auf diese Fragen finden. Ebenfalls wichtig: Ein sicheres Daten-Backup haben.

Foto-Credit: Monster Ztudio-Adobe.stock.com