5 wichtige Faktoren für die Unternehmensresilienz, die jeder CISO, CIO und CTO kennen sollte

IT-Sicherheit ist eine Aufgabe für eine bestimmte Abteilung im Unternehmen? Nicht ganz. Oder besser gesagt: nicht mehr. Denn wer heute für Cybersicherheit sorgen will, muss sie als Querschnittsaufgabe anlegen, ganzheitlich betrachten und von Grund auf verstehen. Die IT durchzieht inzwischen das ganze betriebliche System. Und genauso muss auch ein neues Security-Denken umfassend auf allen Ebenen integriert werden. Denn Cyberangriffe kommen auf jedes Unternehmen zu – egal wie viele Sicherheitsvorkehrungen man vorher getroffen hat. Und dann ist vor allem eins wichtig: Die Fähigkeit, Störungen so schnell wie möglich erkennen, analysieren und beheben zu können.

Wissen um Cyber-Resilienz wappnet gegen Angriffe

Man sagt „Wissen ist Macht“. Ich sage: „Wissen macht resilient“. Und deswegen haben wir euch ein kompaktes Whitepaper zusammengestellt, das erklärt, warum Cyber-Resilienz die Grundlage für ein resilientes Unternehmen ist (es ist in Kürze auch hier auf Deutsch verfügbar).

• Ihr findet darin anschauliche, ausführliche und nachvollziehbare Antworten auf diese Fragen:
• Wie sieht Cybersicherheit heute und in absehbarer Zukunft aus, und mit welchen massiven digitalen Risiken werden Unternehmen und Organisationen zu kämpfen haben?
• Was genau bedeutet in diesem Zusammenhang Cyber-Resilienz? (Spoiler-Alarm: Das Konzept geht deutlich über herkömmliche Sicherheitsmaßnahmen hinaus.)
• Welche Faktoren sind für CISOs, CIOs und CTOs erfolgskritisch, wenn sie nachhaltige IT-Sicherheit im Sinne wirksamer Cyber-Resilienz gewährleisten sollen?

Cyber-Resilienz ist das Immunsystem eures Business

Ist „Resilienz“ mehr als bloß ein weiteres Buzzword? – Eindeutig: Ja! Denn wie immer man es nennt – Widerstandsfähigkeit, Robustheit, Standhaftigkeit, Widerstandskraft – es ist die zentrale Antwort auf gravierende Entwicklungen, die – oft unerwartet – ganze Gesellschaften in schwere Turbulenzen werfen. Einzelne Unternehmen natürlich erst recht. Darauf hat zuletzt Petra Jenner in einem Blog-Beitrag über Business-Resilienz hingewiesen und dabei auch die Bedeutung fundierter Prognosen betont.

Was ist Cyber-Resilienz? 

Das BSI beschreibt Resilienz grundsätzlich als:

Die Fähigkeit einer Institution, auf Veränderungen zu reagieren und sich daran anzupassen. Je “resilienter” eine Institution ist, umso besser kann sie Risiken und Chancen aus plötzlichen und allmählichen internen und externen Veränderungen erkennen sowie flexibel darauf reagieren.

Und im Zusammenhang mit Cybersicherheit bezeichne Resilienz laut BSI:

Die Widerstandsfähigkeit von IT-Systemen gegen Sicherheitsvorfälle oder Angriffe. Die Resilienz von Systemen ergibt sich aus einem komplexen Zusammenspiel von organisatorischen und technischen Präventivmaßnahmen wie zum Beispiel Fachpersonal, IT-Sicherheitsbudget, verfügbare technische Infrastrukturen oder Ähnliches.

Ganz konkret wird das US National Institute of Standards and Technology. Dieses beschreibt Cyber-Resilienz als:

Die Fähigkeit, nachteilige Bedingungen, Belastungen, Angriffe oder Kompromittierungen von Systemen, die Cyber-Ressourcen nutzen oder durch sie ermöglicht werden, zu antizipieren, ihnen standzuhalten, sich von ihnen zu erholen und sich an sie anzupassen. 

Cyber-Ressourcen bezeichnen dabei Quellen für Informationen in elektronischer Form, die sie speichern, verarbeiten, verwalten, übertragen oder entsorgen und den Netzwerkzugriff darauf ermöglichen.

Weiter mit Business as usual?

Nein! Business as usual ist beim Thema IT-Sicherheit nicht einmal mehr ansatzweise akzeptabel – es sei denn, ihr wollt euch dem Vorwurf grober Fahrlässigkeit aussetzen. Dazu haben sich die Dinge zu rasant entwickelt: von flächendeckendem Homeoffice bis zu Supply-Chain-Unterbrechungen, komplexen Hybrid-Cloud-Strukturen, deren Integration mit On-premises-Systemen und, und, und. 

Jede dieser Entwicklungen hat hochgradig relevante Sicherheitsaspekte im Schlepptau. Diese Aspekte zu durchleuchten und fit zu werden für jederzeit mögliche Gefährdungen, ist ausschlaggebend für echte Cyber-Resilienz.

5 Schlüsselfaktoren – Wo setzen Unternehmen an, um wirksame Cyber-Resilienz zu schaffen?

Typische Ansatzpunkte zum Aufbau von Cyber-Resilienz sind z. B. Datensilos, in denen sich etwa veraltete und anfällige Anwendungen stapeln. Der berüchtigte Log4J-Vorfall aus dem Jahr 2021 gehört dazu: Es dauerte Monate, bevor der Hackerangriff überhaupt entdeckt wurde. 

Ein weiterer, ebenso wichtiger Punkt ist die immer komplexere IT-Architektur insgesamt. Laut einer aktuellen Einschätzung von Gartner werden bis zum Jahr 2025 an die 95 % der Sicherheitsmängel in der Cloud darauf zurückzuführen sein, dass Kunden die Cloud-Risiken nicht angemessen verwalten – weil zu komplex.

In unserem Whitepaper findet ihr noch weitere wichtige „IT-Sicherheit-Hotspots“. Letztlich aber sind es 5 Schlüsselfaktoren, die euch und euer Unternehmen cyber-resilient machen:

1. Sichtbarkeit: Es gilt, maximale Transparenz bei immer mehr Endgeräten, Anwendungen, Cloud-Services etc. zu gewinnen, um zu verhindern, dass Schwachstellen missbraucht werden, die für euch gar nicht oder nur schwer lokalisierbar sind. Gerade in den letzten Jahren ist es hier durch die starke Zunahme neuer Remote- und Hybrid-Arbeitsmodellen zu einem erheblichen Wildwuchs gekommen.

2. Erkennung: Dass alle relevanten Bereiche überhaupt im Monitoring erfasst sind und kontinuierlich überwacht werden, ist die Grundbedingung dafür, dass ein Sicherheitsvorfall schnellstmöglich identifiziert werden kann. Ausschlaggebend sind dann selbstverständlich auch dem jeweiligen Sicherheitslevel angepasste Warnmeldungen und Benachrichtigungen.

3. Untersuchung: Der erste Schritt nach der Erkennung ist die Priorisierung der Events nach Schweregrad und Dringlichkeit. Hier werden die Warnmeldungen, unterstützt durch fortschrittliche Tools und KI, in weiteren Kontext gestellt, klassifiziert usw. Dies ist die Voraussetzung für weitere, konkrete Maßnahmen.

4. Reaktion: Bei einem Vorfall – egal ob absichtlicher, böswilliger Angriff oder versehentlicher Ausfall – ist rasche Reaktion entscheidend. Es geht letztlich darum, den Geschäftsbetrieb aufrechtzuerhalten. Das ist heute eine Frage von Minuten und Sekunden statt von Stunden oder gar Tagen. Möglich ist dies nur mithilfe automatisierter Prozesse. Die aber wiederum müssen kontinuierlich angepasst werden.

5. Zusammenarbeit: Cyber-Resilienz erstreckt sich auch auf Menschen und Prozesse. Unternehmen brauchen meist einen deutlichen Kulturwandel, damit aus der Zusammenarbeit von Teams aus den Bereichen IT, Security und DevOps Unternehmensresilienz entstehen kann. IT-Sicherheit ist schon heute nicht mehr als Aufgabe nur eines zuständigen Teams erreichbar – diesen Job müssen alle in eurem Unternehmen auf dem Schirm haben.

Die Herausforderung IT-Sicherheit bleibt euch erhalten

60 % der Unternehmen bestätigen, dass die Sichtbarkeit von Anwendungen und Datenbeständen ihre Cyber-Resilienz verbessert hat. 57 % dieser Unternehmen nutzen zudem eine Kombination aus Automatisierung, KI und Machine Learning, um ihre Business-Resilienz zu optimieren. Dies und eine Reihe weiterer Punkte in unserem Whitepaper machen deutlich: Die Aufgabe, IT-Sicherheit nachhaltig zu gewährleisten, stellt sich jeden Tag neu. Das bestätigen uns regelmäßig sowohl unsere Kunden als auch diverse unabhängige IT- und Sicherheitsfachleute.

Um unvorhergesehenen Störung zu widerstehen und im Wettbewerb zu bestehen müssen Unternehmen resilient werden. Von Angriffen im digitalen Raum, der inzwischen praktisch alle betrieblichen Bereiche umfasst, wird niemand gänzlich geschützt sein. Der entscheidende Unterschied ist, wie gut vorbereitet, wie reaktionsschnell und wie widerstandsfähig gegenüber den Folgen von Cyberattacken und anderen digitalen Störungen ihr seid.

Das aktuelle Whitepaper „Warum Cyber-Resilienz die Grundlage für ein resilientes Unternehmen ist“ bekommt ihr ohne Anmeldung kostenfrei zum Download (hier in Kürze auf Deutsch verfügbar).

Bis zum nächsten Mal!

Euer Matthias

PS: Vielen Dank auch an meinen Kollegen Daniel Krieger für die Unterstützung bei der inhaltlichen und grafischen Erstellung dieses Blogs.