Websense: Sicherheitsstrategien für CSOs
Malware, Hacker, Datendiebstahl, Wirtschaftsspionage: Neue und immer ausgefeiltere Methoden der Cyber-Kriminalität zwingen CSOs (Chief Security Officer), ihre Konzepte zu überdenken. Sicherheitsexperte Websense nennt vier Strategien für einen wirkungsvollen neuen Ansatz in Sachen Security.
1. Bedrohungsmodelle verwenden
Die Bedrohungsmodellierung ist eines der wirkungsvollsten Werkzeuge, das CSOs zur Verfügung steht, wird aber noch sehr selten genutzt. Bei dieser Methode geht es darum, zu analysieren, welche Angriffe auf die zu schützenden Assets – etwa bestimmte Daten – möglich sind. Dabei wird jede einzelne Phase, die eine Bedrohung durchläuft („Cyber Kill Chain“), berücksichtigt – von der Zielidentifizierung durch die Cyber-Kriminellen über das Auslegen des Köders, das Zustellen von Trägerprogrammen sowie die Installation von Exploit-Kits bis hin zum Abschöpfen vertraulicher Daten.
Das Bedrohungsmodell sollte dann für all diese Phasen aufzeigen, wie wahrscheinlich ein Angriff ist, welcher Schaden dabei entstehen kann und ob dieser Angriff nach aktuellem Stand abgewehrt werden kann. Die großen Vorteile dieser Methode: Sie offenbart Sicherheitslücken, die durch herkömmliche Risiko-Modelle nicht aufgedeckt werden. Außerdem ermöglicht sie es den CSOs, Bedrohungen und ihre Auswirkungen in nicht-technischer Sprache zu beschreiben und so unternehmensintern leichter zu kommunizieren.
2. Bedrohungsdaten teilen
Auch wenn es für viele CSOs zunächst selbst wie eine Bedrohung klingen mag: Sie sollten Informationen zu Angriffen teilen – beispielsweise die Taktik einer erfolgten Attacke sowie die verwendeten IP-Adressen und DNS-Server. Wenn sich die CSOs mit ihren Kollegen aus anderen Unternehmen, Behörden und Institutionen austauschen, entsteht ein Informationspool, mit dessen Hilfe sich alle besser vor Ködern, Phishing-Attacken und Schadsoftware schützen können.
3. Führungskräfte einbinden
Wollen CSOs mit ihren Strategien erfolgreich sein, müssen sie unbedingt die Führungskräfte des Unternehmens für sich gewinnen. Das Problem: Diese sehen das Thema Sicherheit häufig als reinen Kostenfaktor. Deshalb ist es ganz entscheidend, ihnen die Bedeutung des Themas zu demonstrieren und aufzuzeigen, wie es dem Unternehmen dabei hilft, seine Ziele zu erreichen.
Dies lässt sich beispielsweise bewerkstelligen, indem die CSOs mit Security-Business-Plänen darstellen, wie die Sicherheitsziele für das laufende und die kommenden Jahre aussehen. In festen, regelmäßigen Sitzungen mit Verantwortlichen aus sämtlichen Bereichen des Unternehmens sollten sie das Feedback der Führungskräfte einholen und deren Priorisierungen mit den eigenen abgleichen. Da die Führungskräfte nur Programme unterstützen werden, die sie auch verstehen, sollte ihr Nutzen dabei in nicht-technischen Worten verdeutlicht werden.
4. Mitarbeiter einbinden
Mindestens ebenso wichtig wie die Führungskräfte sind die Mitarbeiter. Sie werden noch viel zu häufig als höchstes Sicherheitsrisiko im Unternehmen betrachtet und auch dementsprechend behandelt. Stattdessen sollten CSOs sie aber als Unterstützung sehen und versuchen, sie für einige Minuten pro Tag zu Sicherheitsmitarbeitern zu machen.
Eine Möglichkeit dazu können spezielle Programme sein, die beispielsweise Mitarbeiter belohnen, die entdeckte Bedrohungen wie Phishing-Mails an den CSO melden. Eine andere Option – neben vielen weiteren – sind interne Unternehmensblogs, in denen die Mitarbeiter ihre Erfahrungen in Sachen Security an ihre Kollegen kommunizieren können.
„Neue Bedrohungen erfordern neue Strategien“, sagt Michael Rudrich, Regional Director Central Europe & Eastern Europe bei Websense in München. „Ein ganz entscheidender Aspekt ist dabei die enge Zusammenarbeit der CSOs mit allen Beteiligten – Kollegen aus anderen Unternehmen, Führungskräften und Mitarbeitern.“
