Voller Einsatz für die IT-Sicherheit von Unternehmen

Die neue Richtlinie formuliert schärfere Sicherheitsanforderungen für vernetzte Produkte in Unternehmen und im privaten Umfeld – Security by Design wird zur Vorschrift. Allerdings lässt sich wirksame Gefahrenabwehr nur realisieren, wenn Zwecke und Ziele aller Maßnahmen einer Sicherheitsstrategie bekannt sind. Das bezieht neben den Security-Experten auch alle Mitarbeiter und die verwendeten Technologien ein. Ein Leitfaden von Kudelski Security soll Unternehmen helfen, ihre Prioritäten richtig zu setzen.

1. Definieren eines Leitbildes für Cybersicherheit

Der Arbeitsalltag einer IT-Sicherheitsabteilung ist oftmals mit zahlreichen Tätigkeiten gefüllt, die nichts mit der Kernaufgabe der Mitarbeiter zu tun haben. Damit sich das Team auf die Ziele der Cybersicherheit konzentrieren, eine Strategie entwickeln und einen Fahrplan festlegen kann, braucht es ein Leitbild, an dem sich die Kollegen orientieren können. Es ermöglicht allen Beteiligten, Prioritäten unter konkurrierenden Zielen zu setzen und die eigenen Erwartungen danach auszurichten. Folgende vier Fragen bieten den Rahmen für ein Leitbild: Welchen Zweck erfüllt das Team im Unternehmen? Für wen arbeitet es vorwiegend? Welche Assets im Unternehmen sind besonders schützenswert? Worauf sollten sich die Bemühungen um Schutz konzentrieren?

2. Konkrete Sicherheitsziele formulieren

Sobald ein Leitbild formuliert ist, lassen sich spezifische Ziele für das Cybersicherheitsteam fixieren. Sie beinhalten beispielsweise spezifische und nachverfolgbare Zeitpläne und Zahlen, mit denen sich der Fortschritt verfolgen lässt. Um diese zu messen, bieten sich zahlreiche Modelle an – insbesondere SMART-Ziele. Als fixe Orientierung helfen sie den Anwendern, sich auch im größten Trubel nicht vom Weg abbringen zu lassen.

3. Sicherheitsstrategie und Geschäftsziele harmonisieren

Damit das Sicherheitsteam profitabel arbeitet und auf die Ziele des Unternehmens einzahlt, müssen die Sicherheitsstrategie und die Unternehmensziele aufeinander abgestimmt werden. Im ungünstigsten Fall arbeiten Unternehmen und IT-Abteilung in unterschiedliche Richtungen, anstatt kohärent und strategisch gemeinsam zu wirken. Vonseiten des Managements gilt es daher sicherzustellen, dass die Aktivitäten des Sicherheitsteams das Unternehmen unterstützen.

4. Fokus auf die größten Bedrohungen richten

Für effiziente Gefahrenabwehr müssen die wichtigsten Bedrohungen ermittelt werden, auf die sich das Sicherheitsprogramm im Rahmen seiner Ziele konzentrieren sollte. Das klingt leichter, als es ist, erfordert Zeit und ein tiefes Verständnis der Unternehmensorganisation selbst sowie der Cyberbedrohungslandschaft, die es umgibt. Daher ist es sinnvoll, einen Partner heranzuholen, der sich in der Branche auskennt und über Erfahrung mit ähnlichen Unternehmen verfügt. Wenngleich die Liste für jedes Unternehmen anders ist, sind einige Bedrohungen im heutigen Geschäftsklima und in der Bedrohungslandschaft allgegenwärtig. Wahrscheinlich sind mindestens zwei der folgenden Bedrohungen auf jeder Top-Five-Liste zu finden: Insider-Bedrohungen, Cyberkriminalität und Drittanbieterrisiken oder Kompromittierung der Lieferkette.

5. Übersetzung in konkrete Maßnahmen

Zu guter Letzt sollten die Cyberbedrohungen für das Unternehmen in konkrete Maßnahmen zur Zielerreichung übersetzt werden. Zum Glück für alle Sicherheitsverantwortlichen unternehmen Angreifer mit einem konkreten Motiv relativ vorhersehbare Schritte, um ihre Ziele zu erreichen. Allerdings heißt das nicht, dass Angreifer neue Wege außer Acht lassen, die sie noch nie zuvor beschritten haben. Die Folge: Verteidiger sind ihnen immer ein paar Schritte hinterher. Gerade deshalb dient der Prozess der Erstellung eines Leitbilds, der Bestimmung der wichtigsten Cyberbedrohungen für das Unternehmen und der Zuordnung dieser Bedrohungen zu den Zielvorhaben dazu, organisch tiefere Einsichten in potenzielle Vorgehensweisen bei einem Angriff zu gewinnen.

Bildquelle: Getty Images / iStock / Getty Images Plus