So viel muss sicher sein Mindeststandards für die IT-Security

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Leitlinien für ein Minimum an Cybersicherheit sollen es insbesondere kleinen bzw. jungen Unternehmen ermöglichen, Schwachstellen in ihrer IT schnell zu erkennen und ihre Security-Maßnahmen zu verbessern.

Heute kann jeder von Hacker-Attacken betroffen sein. Deswegen sollten alle Organisationen sich angemessen darauf vorbereiten. Sollte es nun doch zu einem Angriff kommen, ist es unter anderem entscheidend, Datensicherungen zur Verfügung zu haben, um die Geschäftskontinuität sicherzustellen. Mindestanforderungen an IT-Security-Standards lassen sich in folgende Kategorien systematisieren, die von allen Organisationen und Unternehmen, die Compliance anstreben, erfüllt oder idealerweise übertroffen werden sollten:

Identifizierung von Bedrohungen

Die Identifizierung von Schwachstellen bzw. Bedrohungen sollte eine solide Basis jeder wirksamen IT-Security-Strategie darstellen, die sich wiederum in verschiedene Unterabschnitte einteilen lässt.

Im ersten Schritt geht es um die Einrichtung geeigneter Governance-Prozesse für die IT-Security. Diese Richtlinien müssen den benannten Personen klare Verantwortlichkeiten für den Schutz sicherer Informationen vorgeben. Zudem sind Risikobewertungen im Hinblick auf bestehende bzw. in Fachkreisen bekannte Bedrohungen der internen Sicherheitsstrukturen durchzuführen. Ferner sollten immer auch die Sicherheitsprozesse von Partnern aus den Lieferketten überprüft werden.

In einem nächsten Schritt müssen die gespeicherten sensiblen Daten identifiziert und katalogisiert werden. Dabei sind unter anderem folgende Fragen zu klären:

• Welche sensiblen Daten werden verarbeitet?

• Warum sind diese Daten relevant?

• Wo werden sensible Daten gespeichert?

• Welche Systeme werden für die Verarbeitung verwendet?

• Welche potenziellen Auswirkungen hat der Verlust dieser Daten?

Daten schützen

Die Einrichtung angemessener Maßnahmen für den Datenschutz ist ein wesentlicher Bestandteil eines proaktiven IT-Security-Ansatzes. Dies lässt sich in drei entscheidende Phasen wie folgt unterteilen.

Zum einen der Zugriff auf sensible Daten und wichtige Services darf nur identifizierten, authentifizierten und autorisierten Usern oder Systemen gewährt werden. Systeme, die vertrauliche Daten oder wichtige Services verarbeiten, müssen vor Bedrohungen auf zumindest bekannte Schwachstellen geschützt werden. Dazu gehören vollständige Software-Audits, Validierungen, Verschlüsselungen und Patchings und so weiter.

Hochprivilegierte Daten dürfen nie anfällig für Hacker-Attacken sein. Sie sollten nicht nur komplexen Passwörtern unterliegen, die sich von Standardeingaben unterscheiden, und mit einer Multi-Faktor-Authentifizierung einhergehen, sondern auch nur Personen mit hohem Zugriffsrecht zugewiesen werden. Solche Daten dürfen daher niemals für „Hochrisikofunktionen“ wie beispielsweise Surfen im Internet oder einen E-Mail-Zugriff verwendet werden.

Bedrohungen rechtzeitig erkennen

Mit der Erkennung lässt sich sicherstellen, dass Risiken eindeutig erkannt werden, bevor ein Schaden entstehen oder ein Verstoß auftreten kann. Die Abteilungen müssen für die Erkennung häufiger Hacker-Attacken folgende Maßnahmen ergreifen.

Neben der Definition, was geschützt werden muss und warum, sollten Ereignisse erfasst werden, die mit gängigen Quellen für Bedrohungsinformationen kombiniert werden können, um bekannte Bedrohungen zu erkennen.

Hacker, die versuchen, gängige Cyber-Angriffe durchzuführen, sollten nicht in der Lage sein, unentdeckt auf Technologiedienste zuzugreifen. Für digitale Services, die für Hacker attraktiv sind, sollten Techniken zur Transaktionsüberwachung implementiert werden.

Gezielte Reaktionen

Nach einer Kompromittierung müssen die betroffenen Organisationen in der Lage sein, angemessene und unverzügliche Maßnahmen einzuleiten.

Die Verantwortlichen sollten für den Fall eines Hacker-Angriffs über definierte, geplante und vor allem auch getestete Reaktions- und Managementpläne verfügen, die sich auf sensible Daten oder wichtige Services auswirken.

Effiziente Wiederherstellung

Für einen fortlaufenden Geschäftsbetrieb ist eine schnelle und effiziente Wiederherstellung der betroffenen Daten und Services unabdingbar.

Die Organisationen müssen über klar definierte und getestete Prozesse verfügen, um die Kontinuität wichtiger Services im Falle eines Ausfalls oder einer Kompromittierung sicherzustellen. Dafür sollten Geschäftskontinuitätspläne bzw. Notfallmechanismen eingerichtet und getestet werden, um die Kontinuität wichtiger Betriebsabläufe sicherzustellen.

Mindeststandards weiterentwickeln

Diese Mindeststandards bieten im Hinblick auf Bedrohungen jedoch nur einen rudimentären Schutz. Da sich die Bedrohungen kontinuierlich weiterentwickeln und verschärfen, müssen die Organisationen Möglichkeiten in Betracht ziehen, Best Practices für die Sicherheit bereitzustellen, die über diese Mindestanforderungen deutlich hinausgehen.

Das bedeutet, es muss eine noch robustere Security-Strategie etabliert werden, die für Hacker noch schwieriger zu überwinden ist. Organisationen sollten dabei folgende Kriterien beachten:

Schutz besonders sensibler Daten: Es müssen beispielsweise Regelungen im Hinblick auf die Arbeit im Homeoffice aufgestellt werden. Gerade hier taucht eine Vielzahl von Sicherheitsfragen auf. Mithilfe ein paar spezifischer Sicherheitsrichtlinien und VPN-Schutzmaßnahmen ist es bereits möglich, die Sicherheit deutlich zu erhöhen.

Schutz vor allen Arten von Bedrohungen: Mindeststandards legen die Notwendigkeit fest, sich vor allgemeinen Risiken zu schützen, aber der Anstieg der Cyber-Kriminalität in den letzten Jahren drehte sich oftmals um neue und sich entwickelnde Bedrohungen. Dazu zählen immer schwieriger zu handhabende Ransomware- und Phishing-Angriffe. Hier empfehlen sich unter anderem ein verstärkter Fokus auf Schulungen und reaktionsfähige Sicherheitspläne.

Penetrationstests: Maßnahmen wie beispielsweise Penetrationstests außerhalb der bestehenden Compliances ermöglichen es Unternehmen, technische Risikoniveaus zu identifizieren, die in diesen Standards nicht unbedingt berücksichtigt werden. Dadurch ist es möglich, auftretende Bedrohungen bei der Konfiguration von Sicherheitszielen zu berücksichtigen und eine Schutzbarriere mit dem Potenzial für weitaus umfassenderen Sicherheitswiderstand zu schaffen.

(ID:49732805)