Wege zur digitalen Widerstandskraft So erreichen Unternehmen Cyber-Resilienz

Anbieter zum Thema

Cohesity GmbH

ALE Deutschland GmbH

IT-Sicherheit allein reicht nicht mehr. Entscheidend ist Cyber-Resilienz: Unternehmen müssen Angriffe verkraften, schnell reagieren und den Betrieb sichern. Wir zeigen, welche Prinzipien, Prozesse und Technologien dafür notwendig sind – und wie Führungskräfte sie erfolgreich umsetzen.

In Zeiten zunehmender Cyberangriffe bietet IT-Sicherheit allein keinen ausreichenden Schutz mehr. Cyber-Resilienz – die Fähigkeit, trotz eines Angriffs den Geschäftsbetrieb aufrechtzuerhalten – wird zur entscheidenden Kompetenz. Aber: Cyber-Resilienz können Unternehmen nicht so einfach kaufen wie ein Produkt oder eine Versicherungspolice.

Cyber-Resilienz entsteht, wenn die Unternehmensführung gemeinsam mit kompetenten Mitarbeitern die richtigen Prozesse und Technologien aufsetzt. Im Kern geht es um die Fähigkeit einer Organisation, einem Cyberangriff mit minimaler Beeinträchtigung standzuhalten. Dazu müssen drei grundlegende Prinzipien erfüllt werden.

• 1. Die Organisation ist auf einen Cyberangriff vorbereitet, der ihre Abläufe massiv beeinträchtigt.

• 2. Sie ist in der Lage, auf einen Cyberangriff adäquat zu reagieren, einschließlich Untersuchung der Ursachen sowie Behebung von Schwachstellen, Kontrolllücken und Restbedrohungen.

• 3. Es gelingt nach einem Cyberangriff, einen sicheren Zustand wiederherzustellen.

Viele Diskussionen über Datensicherung und -wiederherstellung konzentrieren sich nur auf den letzten Punkt. Aber wenn Unternehmen nicht berücksichtigen, welche Rolle eine Datenmanagementlösung bei der Vorbereitung auf Cyberangriffe und bei der Reaktion darauf spielt, kann der gesamte Ansatz zur Cyber-Resilienz scheitern. Gleiches gilt, wenn sie die damit verbundenen Arbeitsabläufe nicht beherrschen.

Cyber-Resilienz ist eine Kette

Insgesamt gilt: Cyber-Resilienz ist wie eine Kette. Das schwächste Glied beeinträchtigt die gesamte Cyber-Resilienz. Es hat deshalb keinen Sinn, sich auf die Perfektionierung eines Aspekts der Widerstandsfähigkeit zu konzentrieren, wenn andere unterstützende Bereiche nicht funktionieren. Aus diesem Grund hat Cohesity das Destructive Cyberattack Resilience Maturity Model (Reifegradmodell für die Resilienz gegenüber zerstörerischen Cyberangriffen) eingeführt. Es definiert fünf Stufen (siehe Bild).

Schritte zur Cyber-Resilienz

Der erste Schritt jeder Abwehrstrategie sollte mit dem Kennenlernen des Gegners beginnen: Dazu stehen zahlreiche Open-Source- und kommerzielle Ressourcen zur Verfügung, die verschiedene Ransomware- und nationalstaatliche Akteure, die zerstörerische Cyberangriffe starten, detailliert beschreiben. Wer die Schwachstellen, auf die sie abzielen, und ihre Vorgehensweisen kennt, kann Prioritäten für Patches festlegen und sicherstellen, dass die entsprechenden Kontrollen geeignete Regeln zur Erkennung und Verhinderung enthalten.

Im nächsten Schritt geht es darum, auch die späteren Phasen des Angriffs zu verstehen, falls die Kontrollen für Prävention und Erkennung versagen. Dies erfolgt durch die Prüfung der Maßnahmen, die während der Exfiltrations- und Folgephasen des MITRE ATT&CK-Frameworks ergriffen werden. So können Unternehmen sicherstellen, dass sie die notwendigen Schritte unternommen haben, um ihre Reaktions- und Wiederherstellungsfähigkeit zu schützen. Die Clean-Room-Lösung von Cohesity und DataHawk trägt beispielsweise dazu bei, diese Voraussetzungen zu erfüllen. Darauf basierend lassen sich Erkennungsfunktionen entwickeln, die nicht umgangen werden können, und entsprechende Maßnahmen ergreifen, um die gesetzlichen Vorschriften einzuhalten.

Ein weiterer wichtiger Punkt besteht darin, die eigene Infrastruktur und Daten zu verstehen und zu wissen, wie diese die Organisation unterstützen. Dies liefert den Kontext für die Festlegung, was geschützt werden soll, sowie für die Priorisierung von Reaktions- und Wiederherstellungs­maßnahmen. Die Identifizierung und Klassifizierung der Daten mithilfe von Cohesity DataHawk und der Data Security Alliance-Integration in Standardlösungen für das Data Security Posture Management (DSPM) kann in diesem Kontext hilfreich sein.

Zum Verständnis der Infrastruktur gehört auch eine realistische Einschätzung, welcher Teil davon bei einem zerstörerischen Cyberangriff, etwa durch Ransomware oder einen Wiper-Angriff, betroffen wäre. Oft werden die Auswirkungen solcher Angriffe bei herkömmlichen Business-Impact-Analysen, die zu Zwecken der Geschäftskontinuität und Notfallwiederherstellung durchgeführt werden, völlig unterschätzt.

Wiederherstellung der Kernsysteme

Bei einem Cyberangriff bleiben zwar Gebäude und Rechenzentrum unbeschädigt, aber kritische Funktionen wie Zugangskontrollsysteme sind möglicherweise nicht mehr verfügbar. Eine Störung von Voice-over-IP- und E-Mail-Systemen behindert die Kommunikation mit den Beteiligten, einschließlich leitender Angestellter, Strafverfolgungsbehörden, Cyber-Versicherern, Drittanbietern, Aufsichtsbehörden, betroffenen Personen und der Presse. Unternehmen müssen prüfen, ob ihre Switching- und Router-Firmware sowie deren Konfigurationen auch im Falle eines Angriffs wirklich funktionieren. Denn sie sind darauf angewiesen, um Zugriff auf Ihr SaaS-basiertes IT-Betriebsmanagement oder Cloud-basierte Sicherheitstools zu erhalten.

Eine der ersten Recovery-Phasen besteht deshalb darin, diese zur Reaktion und sicheren Wiederherstellung erforderlichen Systeme wieder in einen funktionsfähigen, vertrauenswürdigen Zustand zu versetzen. Diese Fähigkeit heißt auch Minimum Viable Response Capability. Sie kann durch einen Digital Jump Bag, einen geschützten und vertrauensvollen Speicherort, schneller erreicht werden.

Disaster Recovery vs. Reaktion auf Cyberangriffe

In traditionellen Business-Continuity- und Disaster-Recovery-Szenarien wird der Grund für Ausfälle häufig auf eine der folgenden Ursachen zurückgeführt: Feuer, Wetter, Fehlkonfiguration, Geräteausfall oder Stromausfall. In diesen Fällen ist die Untersuchungszeit meist kurz und die Wiederherstellung recht einfach, wenn auch manchmal langwierig.

Ein Cyberangriff kann dagegen eine von Hunderten ATT&CK-Taktiken und -Techniken nutzen und sich durch eine Handvoll oder Hunderte Systeme bewegen. Mit effektiven und effizienten Reaktions- und Recovery-Fähigkeiten lässt sich die Zeit bis zur sicheren Wiederherstellung deutlich verkürzen. Dennoch wird sie in der Regel länger sein als bei herkömmlichen Business-Continuity- und Disaster-Recovery-Szenarien. Denn die ermittelten Bedrohungen und Angriffsflächen müssen gründlich untersucht und beseitigt werden. Wenn Führungskräfte hier falsche Erwartungen haben, setzen sie häufig ihre Teams unter Druck, die Analyse- und Abhilfeschritte zu verkürzen und die Wiederherstellung zu stark zu beschleunigen.

Dies führt unweigerlich zu einer erneuten Infektion oder einem weiteren Angriff. Persistenzmechanismen, Kontrolllücken und dieselben Schwachstellen, über die der Angreifer eingedrungen ist, werden wiederhergestellt. Bei zerstörerischen Cyberangriffen ist die Zeit für Reaktionsprozesse, einschließlich Untersuchung und Behebung, eine wichtige Investition in die Cyber-Resilienz, die weitere Ausfallzeiten und Unterbrechungen verhindert. Der Zeitaufwand für diese Aufgaben lässt sich jedoch minimieren, indem ein integrierter Arbeitsablauf mit gemeinsamer Verantwortung sowie Systeme für IT- und Sicherheitsprozesse geschaffen werden, die bei Reaktion und Wiederherstellung zusammenarbeiten.

Kontinuierliche Verbesserung bei Mitarbeitern, Prozessen und Technologien

Eine wirksame Abwehrstrategie beinhaltet außerdem, dass Prozesse, Mitarbeiter und Technologien kontinuierlich verbessert werden. Dazu sind die Bereiche zu ermitteln, in denen Automatisierung und Orchestrierung die größte Wirkung entfalten. Die Mitarbeiter sollten darüber hinaus ihre jeweilige Rolle gut kennen und sich bei einem Vorfall auf ihr Wissen verlassen können, ohne auf schriftliche SOP zurückgreifen zu müssen.

Cyber-Resilienz ist kein Produkt, sondern ein Zusammenspiel aus Governance, Prozessen und Technologien. Ein resilientes Unternehmen muss vorbereitet sein, um effektiv auf Angriffe reagieren und sich schnell erholen zu können. Dabei ist es entscheidend, alle Aspekte – von der Vorbereitung über die Reaktion bis zur Wiederherstellung – ganzheitlich zu betrachten.

Über den Autor

James Blake ist Global Cyber Resiliency Strategist bei Cohesity.

(ID:50617456)