CISO Insider: 1. Ausgabe

COVID-19 hat Unternehmen dazu veranlasst, verstärkt auf Flexibilität am Arbeitsplatz zu setzen und die digitale Transformation zu beschleunigen – und diese Veränderungen haben natürlich auch einige Änderungen bei den Sicherheitskonzepten erforderlich gemacht. Der Perimeter hat sich ausgeweitet, er ist zunehmend hybrid und erstreckt sich über mehrere Clouds und Plattformen. Neue Technologien haben sich zwar für viele Unternehmen als Segen erwiesen, da sie Produktivität und Wachstum auch in schwierigen Zeiten ermöglichen, doch eröffnen diese Veränderungen auch neue Möglichkeiten für Cyberkriminelle, die darauf abzielen, Schwachstellen in immer komplexeren digitalen Umgebungen auszunutzen.

Für die Sicherheitsfachleute mit denen ich spreche, ist die Zunahme von Phishingangriffen im Zusammenhang mit Telearbeit ein großes Problem – und das spiegelt sich auch in unseren Untersuchungen wider. Im Rahmen einer von Microsoft im Jahr 2020 durchgeführten Umfrage unter Sicherheitsverantwortlichen gaben 55 Prozent an, dass ihre Organisationen seit Beginn der Pandemie eine Zunahme von Phishingangriffen festgestellt haben, und 88 Prozent sagten, dass Phishingangriffe ihre Organisationen beeinträchtigt haben. Außerdem höre ich immer wieder, dass Ransomware-Angriffe zunehmen, dass Malware weiterhin eine konstante Bedrohung darstellt und dass Identitätsdiebstahl nach wie vor eine große Herausforderung für Sicherheitsteams ist.

Wir wissen auch, dass staatlich gesteuerte Angriffe immer aggressiver und hartnäckiger werden. Der NOBELIUM-Angriff auf die Lieferkette, bei dem die SolarWinds-Plattform eingesetzt wurde, war nur einer von vielen neuartigen Angriffen, die im vergangenen Jahr Schlagzeilen machten. Zwar beherrschen neue, auffällige Techniken oft die Nachrichten, doch CISOs sagen mir immer wieder, dass selbst diese raffinierten Bedrohungsakteure wie die meisten Cyberkriminellen dazu neigen, sich auf kostengünstige, aber sehr einträgliche Gelegenheitsangriffe zu konzentrieren.

Ein weiteres Beispiel zu diesem Punkt: Wir haben einen Anstieg der Zahl staatlich unterstützter Akteure beobachtet, die Kennwortsprayangriffe durchführen. Sicherheitsverantwortliche müssen Risiken managen und Prioritäten setzen, und viele von ihnen sagen mir, dass die Verbesserung ihrer Cyberhygiene zur Verhinderung der häufigsten Angriffstaktiken, insbesondere in ihren wachsenden digitalen Beständen, für sie oberste Priorität hat. Unsere Daten und Untersuchungen stützen diese Auffassung: Wir schätzen, dass grundlegende Sicherheitshygiene immer noch vor 98 Prozent der Angriffe schützt (siehe Seite 124 des  Microsoft-Berichts über digitale Abwehr, Oktober 2021).

Vielleicht denken Sie, dass es einfach ist, über grundlegende Sicherheitsmaßnahmen zu sprechen, aber viel schwieriger, sie in die Praxis umzusetzen, insbesondere wenn ein Team überlastet und unterbesetzt ist. Aber ich würde argumentieren, dass Sicherheitsverantwortliche sowohl Risikomanagement betreiben als auch Prioritäten setzen müssen – und dabei ist die Fokussierung auf grundlegende Sicherheitsmaßnahmen ein äußerst pragmatischen Ansatz. Allzu oft ist die Frage nicht OB, sondern WANN ein Sicherheitsvorfall eintritt. Es gibt hunderte von  alarmierenden Statistiken zur Cybersicherheit,  wie zum Beispiel, dass allein in den USA jeden Tag rund 4.000 Cyberangriffe verübt und weltweit täglich mehr als 30.000 Websites gehackt werden.

Ich glaube, dass die beste Verteidigung darin besteht, einen ausgewogenen Ansatz zu verfolgen und neben der Prävention auch in die Erkennung von und Reaktion auf Vorfälle zu investieren.

Auch wenn es schwierig erscheinen mag, in neue Präventionsebenen zu investieren und gleichzeitig mit den ständig steigenden Anforderungen im Bereich der Erkennung und Reaktion Schritt zu halten, ist es wichtig und von Vorteil, das richtige Gleichgewicht zwischen diesen beiden Ansätzen zu finden. Eine Studie des Ponemon Institute und IBM Security aus dem Jahr 2021 ergab, dass die durchschnittlichen Kosten von Datenpannen bei Unternehmen ohne Incident-Response-Team oder einen entsprechenden Plan um 55 Prozent höher ausfallen. Sicherheitsteams, die in der Lage sind, eine solide Prävention mit einer Strategie für die Reaktion auf Sicherheitsvorfälle und Investitionen in Tools für Erkennung und Abhilfe zu kombinieren, sind gut aufgestellt, um das Unvermeidliche zu überstehen.

Wir alle haben von der großen Kündigungswelle gehört. Mehr als 40 Prozent der Mitarbeiter weltweit denken darüber nach, ihren Job in diesem Jahr zu kündigen – und schon jetzt empfinden Sicherheitsverantwortliche und ihre Teams, dass ihre Abteilungen unterbesetzt sind. Ich unterhalte mich oft mit CISOs darüber, wie die Dinge insgesamt laufen, und die Finanzierung, Suche und Bindung von Spitzenfachkräften ist eine ihrer größten Sorgen. Und wenn Spitzenfachkräfte das Unternehmen verlassen, stehen sie vor der Herausforderung, entweder neue Fachkräfte zu finden oder die Kenntnisse und Fertigkeiten der verbleibenden Mitarbeiter weiterzuentwickeln. Effizientere, integrierte und automatisierte Technologien können helfen, reichen aber bei weitem nicht aus.

Mit den regelmäßigen Schlagzeilen über Cyberangriffe sind Sicherheits-Buzzwords in den alltäglichen Sprachgebrauch übergegangen, und diese Angriffe (und die Nachrichten darüber) können tiefgreifende Auswirkungen auf ein Unternehmen haben. Aber wissen Sie was? Das sind nicht nur schlechte Nachrichten. Da Cybersicherheit zu einem alltäglichen Thema in allen Bereichen einer Organisation geworden ist, gewinnt das Konzept "Sicherheit als Aufgabe geht alle an" in Unternehmen zunehmend an Bedeutung. Insbesondere vor dem Hintergrund der zunehmenden Verbreitung neuer hybrider Arbeitsmodelle und Sicherheitsperimeter, die sich in alle Richtungen ausweiten, setzen Sicherheitsverantwortliche zunehmend auf innovative Methoden, um die Sicherheit aller zu gewährleisten, auch wenn sie mit dem Mangel an Fachkräften und Qualifikationen konfrontiert sind. Nicht "mit weniger mehr erreichen", sondern "mit Anderem mehr erreichen", das ist es, was innovative Sicherheitsverantwortliche heute anstreben.

Der Mangel an Fachkräften, Kenntnissen und Fertigkeiten ist definitiv nicht positiv, aber es gibt einen kleinen Lichtblick: Die Schaffung einer Sicherheitskultur wird zunehmend Realität. Viele CISOs sagen uns, dass eine der effektivsten Methoden zur Bewältigung ihrer Herausforderungen im Bereich Sicherheit trotz Personalmangels darin besteht, eine Sicherheitskultur zu schaffen, in der Sicherheit die Aufgabe jedes Einzelnen ist. CISOs treten zunehmend für die Idee ein, dass die gesamte Organisation die Verantwortung für die Sicherheit übernehmen kann, insbesondere wenn sie mit Personal- oder Finanzierungsproblemen konfrontiert ist.

Entwicklerteams, Systemadministratoren und ja, auch die Endbenutzer müssen die für sie geltenden Sicherheitsrichtlinien verstehen. Der Informationsaustausch ist von grundlegender Bedeutung, und Sicherheitsteams finden zunehmend neue Wege der Zusammenarbeit mit Entwicklern, Administratoren und Geschäftsprozessverantwortlichen, um Risiken zu verstehen und Richtlinien und Verfahren auszuarbeiten, die dem gesamten Unternehmen zugute kommen.

Fachkräftemangel und Qualifikationsdefizite (insbesondere in dem sich ständig weiterentwickelnden Berufsfeld der Cybersicherheit) zwingen CISOs dazu, nach neuen und innovativen Wegen zu suchen, um Bedrohungsakteuren immer einen Schritt voraus zu sein. Eine Strategie, von der wir immer wieder hören, ist die zunehmende Übertragung von Aufgaben an Mitarbeiter außerhalb des Sicherheitsteams. CISOs versuchen, die gesamte Organisation einzubeziehen, mit besonderem Schwerpunkt auf der Schulung von Endbenutzern, damit sie Teil der Lösung werden, und auf der Förderung der Unterstützung durch verwandte Teams.

Das Wissen der Endbenutzer über Sicherheitsbedrohungen zu erweitern und zu verbessern – z. B. sicherstellen, dass sie Phishing und die Anzeichen subtiler Angriffe verstehen und erkennen – trägt wesentlich dazu bei, die Augen und Ohren des Sicherheitsteams zu "erweitern", insbesondere als "Speerspitzen"-Strategie, da Endbenutzer oft ein Einfallstor für Angriffe sind. Ich sage nicht, dass Endbenutzer auf magische Weise so geschult werden können, dass sie alles erkennen, aber durch vorbereitete und wachsame Nutzer kann die Belastung der Sicherheitsteams drastisch reduziert werden.

Eine andere Strategie besteht darin, die IT als Teil der Sicherheitsstrategie zu betrachten. Eine enge Verbindung zwischen IT- und Sicherheitsteam und die Gewährleistung, dass das IT-Team über Sicherheitsstrategien informiert ist, erleichtern es vielen CISOs, ihre Aufgabe auf alle Bereiche des Unternehmens auszudehnen.

Beratung und Unterstützung bei der Automatisierung und anderen Strategien für eine proaktive Workflow- und Aufgabenverwaltung sind wesentliche Mittel, mit denen CISOs ihre Teams erweitern und die IT nutzen können, um einen soliden Sicherheitsstatus zu gewährleisten.

Für alle genannten Forschungsprojekte von Microsoft wurden Sicherheitsexperten im Rahmen quantitativer und qualitativer Studien über unabhängige Forschungsunternehmen befragt. Dabei wurden sowohl Vertraulichkeit als auch analytische Genauigkeit gewahrt. Sofern nicht anders angegeben, sind die in diesem Dokument verwendeten Zitate ein Ergebnis aus Forschungsstudien von Microsoft.