Cyber Security: „Es ist wichtig, die Schwachstellen im eigenen System zu kennen“

Dr. Carola Rinker und Manuel Dinis zeigen im aktuell erschienenen Buch „Cyber Security in der Risikoberichterstattung“, worauf es bei der Bewertung, Darstellung und Vermeidung von Cyber-Risiken ankommt.

Das Thema Cyber Security ist allgegenwärtig und gewinnt weiter an Bedeutung. Das zeigt aktuell der Hackerangriff auf die US-Firma Kaseya, durch den weltweit vorübergehend Tausende Firmen lahmgelegt wurden. Erklären Sie uns kurz, was genau passiert ist.

Manuel Dinis: Hackern ist es gelungen, bei einer Reihe von Partnerfirmen von Kaseya einzudringen und Teile von deren Software zu kompromittieren. Kaseya ist ein amerikanisches Softwareunternehmen, das Software für die Verwaltung von Netzwerken und Systemen entwickelt. Statt jede der Firmen einzeln zu attackieren, wozu man technische Sicherheitslücken und menschliche Schwächen nutzen kann, erreichten sie damit einen Multiplikator-Effekt. Das ist übrigens ein Fallbeispiel, was ich häufiger in meiner beruflichen Praxis erlebe: Hacker gehen nicht den direktesten Weg, sondern gelangen oftmals über Dienstleister in die Systeme des eigentlichen Zielobjekts.

Sind die Unternehmen hinreichend für das Thema sensibilisiert? Das betrifft ja nicht nur die IT-Verantwortlichen, sondern sämtliche Mitarbeitende.

Carola Rinker: Richtig. Und viele Unternehmen unterschätzen auch die Auswahl und Steuerung ihrer Dienstleister. Aus diesem Grund kommen der Auswahl und Steuerung von Dienstleistern enorme Bedeutung zu. Unternehmen sind daher gefordert, Kriterien für die Auswahl von Dienstleistern festzulegen, damit die sich den steigenden Ansprüchen ihrer Kunden anpassen. Außerdem bedarf es weiterer Sensibilisierungen von Mitarbeitern und Management.

Woran hapert es vielerorts noch, sich gegen mögliche Cyberattacken hinreichend zu schützen? Sind es vor allem die Kosten, die viele abschrecken?

Manuel Dinis: Eine fehlende Sensibilisierung ist nur schwer an einem Punkt festzuhalten. Neben der Budgetsituation sind weitere Gründe wie fehlendes Bewusstsein bei Mitarbeitern und Management, Komplexität des Themas und fehlende personelle Ressourcen ausschlaggebend.

Inwiefern ist Cyber-Security kein reines IT-Problem, sondern eine Herausforderung für das Risikomanagement?

Carola Rinker: Die 100-prozentige Sicherheit gibt es nicht. Es ist aber wichtig, die Schwachstellen im eigenen System zu kennen und anhand eines vernünftiges Risikomanagements abzuschätzen, ob Handlungsbedarf besteht. Mit der richtigen Priorisierung der Themen lässt sich auch mit geringem personellem Aufwand eine angemessene Sicherheit erreichen. Das Zauberwort beim Aufbau eines Informationssicherheitsmanagementsystems heißt: risikoorientiertes Vorgehen.

Lesen Sie hier den zweiten Teil des Interviews auf ComplianceDigital.

(ESV/fab)

Cyber Security in der Risikoberichterstattung Herausgegeben von: Dr. Carola Rinker Beiträge von Helmut Brechtken, Manuel Dinis, Dr. Dominique Hoffmann, Patrick Król, Chris Lichtenthäler, Dr. Carola Rinker, Thomas Zimmerer Der digitale Wandel und die Vorteile unternehmensübergreifender Vernetzung haben die Gefahren von Hackerangriffen und vergleichbaren Bedrohungen massiv erhöht. Auch bei den Methoden von Cyberkriminellen ist eine kritische Professionalisierung zu beobachten, der sich jedes Unternehmen stellen muss. Wie Sie Cyber-Risiken überzeugend bewerten und darstellen, erfahren Sie in diesem Buch mit Fokus auf die Risikoberichterstattung. Carola Rinker und ihr hoch spezialisiertes Expertenteam beleuchten die wichtigsten aktuellen Praxisthemen: Typische Risikoszenarien und wirksame Schutzmaßnahmen IT-Risikomanagement-Systeme im praktischen Einsatz Cyber Security Controls und ihre Relevanz für die Berichterstattung Internes Kontrollsystem und Cyber-Risiken, wichtige Key-Performance-Indikatoren zur Erfolgskontrolle Aufdeckung und forensische Untersuchungen von Vorfällen, kompromittierten Daten, Systemen und Netzwerken Pflichtlektüre mit vielen Umsetzungstipps für alle, die sich bei der Verbesserung und Absicherung der Unternehmens-IT erfolgreich einbringen.

Programmbereich: Management und Wirtschaft