Sichere Digitalisierung im Januar: Unsere Top 3 Lektionen aus 2022
Herzlich Willkommen zu unserem Newsletter!
Hier geben wir hier einen Überblick über geplante Aktivitäten und beleuchten einen Aspekt sicherer Digitalisierung.
Interessante Aktivitäten im Januar:
LinkedIn-Livestream am Dienstag, den 24.01.2023, 12:00h: „Happy birthday, secida! Unsere Wunschliste für 2023“ – mit Alpha Barry, CEO secida AG. Melden Sie sich hier an.
Sichere Digitalisierung im Januar: Ein Rückblick: Unsere Top 3 Lektionen aus 2022
Sie bevorzugen ein Video zum Thema? Unseren 30-Minuten-Talk zum Thema finden Sie hier. Für einen perfekten Start in das Jahr 2023, lohnt es sich noch einmal auf 2022 zurückzublicken. Hier sind unsere Top 3 Lektionen aus dem Jahr 2022:
1. „Zero Trust“ ist eines der beliebtesten Buzzwords der Cybersicherheits-Community in 2022. Das Zero-Trust-Konzept geht davon aus, dass Hacker sich schon im Unternehmensnetzwerk befinden: Zugriffsanfragen aus dem internen Netzwerk werden genauso wenig direkt freigegeben wie externe Anfragen.
Für unseren CEO Alpha Barry war zu Beginn des Jahres unklar, welche spezifischen Maßnahmen im Kontext Zero Trust getroffen werden sollten. Hilfreich war für ihn eine Analyse von Brian Krebs zum Thema: „Die Definition von Zero Trust ist abhängig vom Anbieter für Sicherheitstechnologie, mit dem Sie gerade sprechen“. Zero Trust ist somit eher ein fluider Marketingbegriff als ein feststehender Fachbegriff der Cybersicherheit. Hilfreich für die Entwicklung eines Zero Trust-Maßnahmenkatalogs ist das Buch „Zero trust security: An enterprise guide“ von: Jerry W. Chapman und Jason Garbis von 2021. Hier drei Basisprinzipien, die auch für den Mittelstand hilfreich sind:
- Zugriffskontrolle und eineindeutige Identifikation: Jeder Zugriff muss validiert werden. Ist der Zugreifende eineindeutig zu identifizieren und zu diesem Zugriff berechtigt? Bestehen die notwendigen Berechtigungen für die gewünschte Aktion? Besonderer Fokus sollte auf administrativen Konten und deren Zugriffen liegen. Privileged Access Monitoring ist für diese Konten die optimale Lösung.
- Monitoring: Auch nach validiertem Zugriff muss sichergestellt werden, dass die geplante Aktion wie erwartet durchgeführt wird. Deswegen sind die Überwachung aller Aktionen und die Option, Aktionen gegebenenfalls direkt zu unterbrechen, essenziell.
- Verschlüsselung: Jedes Unternehmen muss das Datenabschöpfungs-Risiko bestmöglich minimieren. Sollte es Hackern gelingen, unbemerkt in ein System einzudringen, können sie Daten abschöpfen und zu einem späteren Zeitpunkt analysieren bzw. weiterverwenden. Unternehmen müssen sichergehen, dass sämtliche Daten so verschlüsselt sind, dass ein Fremder mit abgeschöpften Daten nichts anfangen kann.
2. Gestiegener Fokus auf Cybersicherheit durch die Gesetzgeber in Deutschland und in der EU. Das Verständnis der Bedrohung durch Cyberattacken in der Politik steigt konstant. In Deutschland wurden in 2022 Gesetze entsprechend verschärft. Die EU überarbeitet die NIS-Richtlinie und wird eine zweite Version herausbringen. Als Folgebeschäftigen sich erneut mehr Unternehmen vertieft mit Cybersicherheit, da die Haftung auf mehr Branchen und Unternehmensgrößen ausgeweitet wird. Grundsätzlich das gut, aber: Verstärkte Haftung verschiebt den Fokus von der faktischen Steigerung der Cybersicherheit auf den Nachweis, dass alles notwendige getan wurde, um einen Angriff zu vermeiden. Für kleinere Unternehmen wird das schnell zum Problem: Konzerne haben die Kapazität, akkurat zu dokumentieren und Maßnahmen effektiv nachzuweisen. Kleinere Unternehmen haben oft weder Kapazität noch Fachwissen in einem Umfang, der parallel effektive Cybersicherheit und deren Dokumentation gestattet. Die Implementierung notwendiger Cybersicherheitstechnologie und Weiterentwicklung des notwendigen Sicherheitsverständnisses können somit durch die neuen Gesetze ins Hintertreffen geraten.
3. Keine Panik! Auch dieses Jahr hat wieder bewiesen: Das Schüren von Panik ist eine „Krankheit“ der Cybersicherheitsbranche. 2022 begann aus berechtigten Gründen mit dem lautstarken Warnen vor russischen Hackerangriffen auf die westliche Infrastruktur. In Retrospektive können wir sagen, dass gezielte, verstärkte Angriffe nicht im befürchteten Ausmaß gesehen wurden. Auch der Einsatz von neuen, verbesserten Cyberattack-Tools fand nicht im erwarteten Umfang statt. Cyberangriffe bleiben so profan wie in 2021: Suche nach einem Einfallstor, Fokus auf das Erreichen möglichst hoher administrativer Zugriffsrechte, möglichst weite Ausbreitung im Netzwerk und Zugriff/Angriff zu passender Zeit.
Die in der zweiten Jahreshälfte erfolgten Angriffe auf größere deutsche Unternehmen und Institutionen wie z.B. Metro und Enercity zeigen: Die Qualität der Angriffe steigt weiterhin, da hier viel Geld zu holen ist. Wir empfehlen zur Bekämpfung ein rationales Ergreifen von Maßnahmen. Unternehmen sichern sich seit Jahrhunderten gegen unbefugtes Betreten von Anlagen und Büros ab. Es wird sich rational mit der Bedrohungslage auseinandergesetzt und im Anschluss entsprechende Maßnahmen getroffen. Genauso sollte ohne Panik die aktuelle Cybersicherheitslage analysiert, eine passende Cybersicherheitsstrategie entwickelt und auch für 2023 weiterhin priorisiert werden.
Wir wünschen Ihnen einen erfolgreichen Start in ein gesundes, glückliches, erfolgreicher und hoffentlich Cyberattacken-freies Jahr 2023!
