Security-Lifecycle
Nachhaltige IT-Sicherheit
Fortsetzung des Artikels von Teil 3
Phase 4: Reaktion und Training
In der Vergangenheit lag im Hinblick auf den Security Lifecycle der Schwerpunkt der Tätigkeit von IT-Verantwortlichen in den Phasen 2 und 3. Das greift aber zu kurz, denn 100-prozentige IT-Sicherheit kann es nicht geben. Also muss sich jedes Unternehmen bereits im Vorfeld auf einen möglichen Sicherheitsvorfall vorbereiten. Eine Incident-Response-Strategie ist deshalb zwingend erforderlich, das heißt, es muss ein Incident-Response-Verfahren etabliert sein, das im Gefahrenfall abgerufen werden kann und mit dem ein ungewollter Datenabfluss unterbunden wird.
Die Realität sieht aber vielfach noch ganz anders aus. So hat der NTT Security Global Threat Intelligence Report ergeben, dass drei Viertel der Unternehmen nur unzureichend für diese Situation – den Incident – gewappnet sind. Essenzielle Bestandteile einer Incident-Response Strategie sind detaillierte Vorgehensweisen und Maßnahmen bei der Behandlung von Sicherheitsvorfällen mit dedizierten Ablauf- und Notfallplänen. Konkret sollten beispielsweise Verantwortlichkeiten festgelegt, Aufgaben definiert, Schadensfälle klassifiziert oder Kommunikationsmaßnahmen – auch im Hinblick auf die zentralen Ansprechstellen Cybercrime der Bundesländer oder Strafverfolgungs-behörden – geregelt werden. Ferner sollten spezialisierte Incident-Response-Tools genutzt werden, beispielsweise eine zentrale Incident-Response-Plattform zur systematischen und koordinierten Be-arbeitung von Sicherheitsvorfällen mit fertig ausgearbeiteten Handlungsplänen. Schließlich bedarf es regelmäßiger „Trainings“, also der durchgespielten Simulation eines Virenausbruchs oder eines Rechenzentrumseinbruchs, um bestehende Schwächen zu erkennen, die Ablaufpläne weiter zu optimieren und Erfahrungen für den Ernstfall zu sammeln. In vielen Fällen ist nicht zuletzt auch eine spezielle Schulung, Zusatzausbildung oder Zertifizierung der Incident-Response-Teams sinnvoll.
Mitarbeiterschulung und -sensibilisierung ist ohnehin ein nach wie vor vernachlässigtes Thema in vielen Unternehmen. Eine umfassende und effiziente Informationssicherheit erfordert aber den Einbezug aller Unternehmensmitarbeiter – sie liegt nicht nur in der Verantwortung des Sicherheitsteams oder der IT-Abteilung. Sogar die besten Richtlinien und technischen Kontrollen können ineffektiv sein, wenn ein Mitarbeiter sorglos agiert oder schlecht informiert ist. Ein ganzheitliches Sicherheitskonzept muss somit immer auch den Faktor Mensch berücksichtigen. Die Minimierung dieser potenziellen Schwachstelle durch die Förderung von Awareness und Trainingsmaßnahmen ist ein wichtiger Baustein einer präventiven Cyber-Sicherheitsstrategie.
Mögliche Bestandteile der Phase 4
Bedrohungsabwehr:
- Identifizierung von Sicherheitslücken
- Analyse von Sicherheitsvorfällen
- Mitarbeiterschulung
Incident Response:
- Incident Management und Recovery
- Identifizierung und Isolierung von Incidents
Insgesamt sollte jede Cyber-Sicherheitsstrategie – ausgehend von der Ermittlung des individuellen Risikoprofils – sukzessive umgesetzt werden. Das in vier Phasen gegliederte Security-Lifecycle-Modell weist eine mögliche Richtung.
Patrick Schraut ist Director Consulting & GRC DACH bei NTT Security
- Nachhaltige IT-Sicherheit
- Phase 2: Design und Bereitstellung
- Phase 3: Management und Betrieb
- Phase 4: Reaktion und Training
Lesen Sie mehr zum Thema
