Wie können sich KMU gegen Cyber-Angriffe schützen?

Bereits grundlegende Maßnahmen verbessern die Sicherheit

Allgemein sollte jedes Unternehmen seine spezifischen Risiken identifizieren und die Sicherheits-Maßnahmen entsprechend anpassen, sowohl in technischer wie auch organisatorischer Hinsicht, wie Plüss dazu in seinem Fachbeitrag auf computerworld.ch ausführte.

Die Geschäftsleitung muss die allgemeine Bedrohungslage regelmäßig prüfen und entsprechende Aktivitäten zur Prävention, Detektion und Reaktion einleiten. Weitere grundlegende Maßnahmen sind:

• der physische Schutz
• Netzwerksicherheit durch Firewalls
• Unterteilung in Zonen
• die Härtung und Aktualisierung von Systemen
• Malware-Schutz
• Datenverschlüsselung
• konsequente Zugriffsverwaltung

„Risiko“ Mitarbeiter

Mit diesen grundlegenden Maßnahmen kann ein gezielter Angriff zwar nicht in jedem Fall abgewehrt, aber das Risiko zumindest gesenkt werden. Dabei sind nicht nur technische Vorkehrungen wichtig: Auch die Mitarbeitenden müssen über den sicheren Gebrauch der IT-Mittel sensibilisiert werden, beispielsweise mit klaren Richtlinien für die Datennutzung oder mit regelmäßigen Schulungen. Denn nur schon ein unbedachter Klick auf einen Link in einem E-Mail mit augenscheinlich vertrauenswürdigem Absender und schon kann sich die Tür für Betrug, Datendiebstahl und Sabotage öffnen.

Vertiefende und maßgeschneiderte Lösungen für den Mittelstand

Um personelle und finanzielle Aufwände zu reduzieren, können auch externe Fachleute beauftragt werden und Unternehmen mit maßgeschneiderten und vertiefenden Maßnahmen gezielt unterstützen. Die Dienstleistungen setzen sich aus einzelnen Bausteinen zusammen und reichen bis zu Full Service-Lösungen:

• Passende Sicherheitsvorgaben zum Umgang mit IT-Mitteln und Daten definieren
• Pragmatische Schutzkonzepte für die kritischen Werte des Unternehmens entwickeln und implementieren
• Aufgaben und Verantwortlichkeiten festlegen sowie Schulung der betroffenen Mitarbeitenden (Management, Fachapplikationsverantwortliche, Systemadministratoren)
• Sensibilisieren der Benutzer und aufzeigen von korrektem Verhalten
• Aufsetzen und Betreiben von Firewalls, Netzwerkzonen, Fernwartungsgateways, verschlüsselte Datenleitungen, Virenschutz und weitere technische Schutzeinrichtungen
• Sichere Konfiguration von Servern, Clients und Anwendungssoftware sowie regelmäßige Aktualisierung der Software (insbesondere Betriebssystem und Browser)
• Regelmäßige Überprüfung des Ist-Zustands der Systeme und zeitnahes Beurteilen und Initiieren von (Sofort-)Maßnahmen bei neuen Schwachstellen oder Bedrohungen
• Überwachung und Aufzeichnung von Daten zur Erkennung und Prüfung von verdächtigen Ereignissen
• Notfallmanagement im Ereignisfall um den Schaden möglichst zu begrenzen (inkl. Vor-Ort-Support Team)

Oftmals übersteigt die Einführung eines zertifizierten Informationssicherheitsmanagements nach ISO 27001, die Ressourcen von mittelständischen Unternehmen. Dann kann ein Sicherheitscheck, welcher sich am ISO 27001-Standard orientiert, einen guten Überblick über die aktuelle Sicherheits-Lage der IT geben. Dieser ist in wenigen Tagen gemacht und kann als Basis für eine allfällige spätere Zertifizierung dienen.

Attraktive Lösung: „Mieten“ von Sicherheits-Experten

Interessant und attraktiv kann auch der Bezug eines «Security Operation Centers» (SOC) Service oder das „mieten“ eines „Chief Information Security Officer“ (CISO) sein. Diese Lösungen sind insbesondere bei Unternehmen mit 500 bis 2'000 Mitarbeitenden bereits erfolgreich im Einsatz und haben sich bewährt.

Das Security Operation Center überwacht zentral bestimmte IT-Ressourcen und Daten, sucht nach Anzeichen für Angriffe und steuert die Reaktion auf IT-Bedrohungen. Mit automatisierten Verfahren wird die Vielzahl der Sicherheitsmeldungen analysiert und die relevanten Meldungen für die zu schützenden IT-Systeme behandelt. Je nach Vereinbarung bespricht ein SOC dies zuerst mit dem Kunden, bevor die Abwehr beginnt oder das SOC leitet direkt den kompletten Prozess von der Erkennung über die Bewertung bis hin zur Abwehr der Attacken ein. SOC-Leistungen sind bei vielen IT-Dienstleistern als Services erhältlich.

Der „gemietete CISO“ kann als Übergangslösung oder im längerfristigen Mandat unterstützen. Mögliche Tätigkeiten sind:

• Entwickeln einer Sicherheitsstrategie
• Aufbau eines Informationssicherheits-Managementsystem (ISMS)
• Beurteilen von stetig ändernden Geschäftsprozessen und Technologien
• Neue Regulatorien bewerten
• Bewertung von Cyber-Gefahren und erarbeiten von Lösungen für Prävention, Detektion und Reaktion (sofern nicht durch SOC Service abgedeckt)
• Verfassen von Stellungnahmen zur Wirksamkeit von aktuell implementierten Schutzkonzepten
• Vertreten von firmenpolitischen Interessen gegenüber internen oder externen Stakeholdern
• Dringende Risikoentscheide fällen
• Führung von Spezialisten (bei Bedarf)

Wichtig für die Wahl des richtigen Partners ist, dass dieser die IT-Umgebung und die (Sicherheits-)Kultur des Unternehmens kennt und sich mit der Geschäftsleitung laufend zur Risikosituation austauscht. Der Partner wird so zur Anlaufstelle bei Fragen und Ereignissen und die Maßnahmen können individuell und proaktiv auf das Unternehmen angepasst werden.