How To Develop a Cyber Security Strategy

So entwickeln Sie eine Cybersicherheitsstrategie für Ihr Unternehmen

Eine unternehmensweite Cybersicherheitsstrategie sollte auf die individuellen Sicherheitsbedürfnisse einer Organisation zugeschnitten sein. Kleine, mittlere und große Unternehmen in unterschiedlichen Branchen und Standorten können sehr unterschiedlichen Bedrohungen ausgesetzt sein und unterschiedliche Sicherheitsanforderungen haben. Hier haben wir sechs Schritte zusammengestellt, die Sie auf Ihrem Weg zur Entwicklung und Umsetzung einer effektiven Cybersicherheitsstrategie begleiten.

#1. Verstehen Sie die Cyber-Bedrohungslandschaft

Jedes Unternehmen ist mit einer einzigartigen Cyber-Bedrohungslandschaft konfrontiert, die von verschiedenen Faktoren abhängt. Von Jahr zu Jahr konzentrieren Cyber-Bedrohungsakteure ihre Bemühungen auf verschiedene Arten von Angriffen, wie zum Beispiel den jüngsten Anstieg von Ransomware- Kampagnen. Die Branche und der Standort einer Organisation spielen eine wichtige Rolle, da bestimmte Bedrohungsakteure bestimmte Branchen oder geografische Gebiete ins Visier nehmen. Die Gefährdung eines Unternehmens durch Cyber-Bedrohungen kann auch von anderen Faktoren beeinflusst werden, etwa davon, ob es über Cloud-basierte Infrastruktur verfügt, ob IoT-Systeme mit dem Unternehmensnetzwerk verbunden sind oder welche Arten von Daten darüber im Internet und im Dark Web verfügbar sind.

Eine wirksame Cybersicherheitsstrategie erfordert ein klares Verständnis der Cyberbedrohungen , denen ein Unternehmen wahrscheinlich ausgesetzt sein wird.  Unternehmen können Einblicke in potenzielle Bedrohungen aus verschiedenen Quellen gewinnen, darunter:

• Frühere Angriffe gegen das Unternehmen
• Angriffe gegen andere Unternehmen der Branche
• Bedrohungsinformationen-Feeds

Nachdem eine Organisation die Bedrohungen identifiziert hat, denen sie voraussichtlich ausgesetzt sein wird, kann sie Strategien zur Prävention und zum Schutz vor ihnen entwickeln. Anschließend können Cybersicherheitslösungen, -prozesse und -verfahren eingesetzt werden, um ihre Auswirkungen auf die Risikoexposition des Unternehmens zu maximieren.  Beispielsweise sollte der Einsatz von Abwehrmaßnahmen gegen Ransomware in der aktuellen Cyber-Bedrohungslandschaft höchste Priorität haben.

#2. Bewerten Sie Ihren Reifegrad im Bereich Cybersicherheit

Das durchschnittliche Unternehmen wendet etwa 21 % seines IT-Budgets für Cybersicherheit auf, daher unterscheiden sich die für das Sicherheitsprogramm eines SMBverfügbaren Ressourcen erheblich von denen eines Fortune-500-Unternehmens. Das Alter des Unternehmens, die Ressourcenverfügbarkeit, behördliche Anforderungen und andere Faktoren können sich alle auf die Cybersicherheitsreife einer Organisation auswirken. Diese unterschiedlichen Reifegrade beeinflussen die Wahrscheinlichkeit, dass ein Unternehmen einen erfolgreichen Angriff erleidet, und dessen Auswirkungen auf das Unternehmen.

Eine Reifegradbewertung der Cybersicherheit beginnt mit einer Bestandsaufnahme der IT-Infrastruktur eines Unternehmens. Wenn Sie wissen, welche IT-Ressourcen das Unternehmen besitzt und welche Arten von Daten es sammelt, speichert und verarbeitet, erhalten Sie Einblick in die Arten von Sicherheitsrisiken, die das Unternehmen bewältigen muss. Beispielsweise muss eine Organisation, die hochwertige Finanz- oder Gesundheitsdaten verarbeitet, strengere Datenschutz- und Klassifizierungssicherheitskontrollen implementieren als eine Organisation mit weniger sensiblen Daten. Außerdem sind unterschiedliche Arten von IT-Geräten und Infrastruktur unterschiedlichen Sicherheitsrisiken ausgesetzt, die gemanagt werden müssen.

Nachdem die Vermögenswerte einer Organisation und die damit verbundenen Bedrohungen und Risiken identifiziert wurden, kann ein Unternehmen damit beginnen, die vorhandenen Sicherheitskontrollen mit dem zu vergleichen, was zum Schutz dieser Vermögenswerte erforderlich ist. Bei der Bewertung der Sicherheitsreife können Compliance-Standards, Frameworks und Benchmarks nützliche Werkzeuge sein.

#3. Nutzen Sie Sicherheits-Benchmarks und Compliance-Standards

Die Entwicklung einer wirksamen Sicherheitsstrategie kann überwältigend sein. Organisationen müssen jedoch nicht bei Null anfangen. Es gibt viele Ressourcen, die Anleitungen zur Implementierung bewährter Sicherheitspraktiken und zur Entwicklung einer effektiven Sicherheitsstrategie für ein Unternehmen bieten.

Die Sicherheitsmaßstäbe, -standards und -rahmenwerke, die eine Organisation übernehmen kann, hängen von den Zielen ihres Sicherheitsprogramms ab. In vielen Fällen unterliegen Unternehmen verschiedenen Vorschriften, die vorschreiben, wie sie sensible Daten schützen sollen. Beispielsweise sind Gesundheitsinformationen in den Vereinigten Staaten durch den Health Insurance Portability and Accessibility Act (HIPAA) geschützt, die Daten von Zahlungskarteninhabern unterliegen der Zuständigkeit des Payment Card Industry Data Security Standard (PCI DSS) und anderen Datenschutzbestimmungen Gesetze wie die Datenschutz-Grundverordnung (DSGVO) der EU schützen andere Bevölkerungsgruppen oder Arten von Daten.

Unternehmen können sich auch dafür entscheiden, Compliance eines optionalen Standards wie ISO 27001 oder SOC2 anzustreben.  Wenn eine Organisation diesen Vorschriften unterliegt, sind die in den Standards festgelegten erforderlichen Sicherheitskontrollen ein guter Ausgangspunkt für eine Cybersicherheitsstrategie.

Wenn die Sicherheitsrichtlinie einer Organisation intern gesteuert wird, gibt es zahlreiche Standards und Frameworks, die dabei helfen und auch Compliance-Bemühungen unterstützen können. Einige Beispiele sind das NIST Cybersecurity Framework (NIST CSF) und die Top 20 Controls des Center for Internet Security (CIS). Diese Standards umfassen Best Practices für die Cybersicherheit und ermöglichen es einem Unternehmen, seine Sicherheitsstrategie auch an Vorschriften wie HIPAA und PCI DSS auszurichten.

#5. Nutzen Sie sowohl Präventions- als auch Erkennungsmethoden

Mit einer auf Erkennung ausgerichteten Sicherheitsstrategie setzt ein Unternehmen Cybersicherheitslösungen ein, die darauf ausgelegt sind, eine potenzielle Bedrohung zu identifizieren und eine Reaktion auf Vorfälle auszulösen. Obwohl die Bedrohungserkennung ein nützlicher Bestandteil einer Cybersicherheitsstrategie ist, ist sie von Natur aus reaktiv. Wenn eine Organisation Maßnahmen ergreift, ist die Bedrohung bereits vorhanden und möglicherweise auf den Systemen einer Organisation vorhanden. Dies bietet einem Angreifer die Möglichkeit, Daten zu stehlen, Schaden anzurichten oder andere böswillige Aktionen durchzuführen.

Eine wirksame Cybersicherheitsstrategie konzentriert sich eher auf die Bedrohungsprävention als auf die Bedrohungserkennung. Durch die Identifizierung der verschiedenen Möglichkeiten, mit denen eine Organisation angegriffen werden kann, und das Schließen dieser Sicherheitslücken eliminiert eine Organisation das potenzielle Risiko und die Kosten eines Angriffs für die Organisation. Wo immer möglich sollten Lösungen zur Bedrohungsprävention eingesetzt werden, um Bedrohungen zu beseitigen, und sie sollten durch Detektivtechnologien unterstützt werden, die es einem Unternehmen ermöglichen, Angriffe, die sich durch Lücken schleichen, zu erkennen und darauf zu reagieren.

#5. Entwerfen Sie eine Cybersicherheitsarchitektur

Ein Verständnis der Cyber-Bedrohungslandschaft und der aktuellen Sicherheitsreife eines Unternehmens bietet Einblick in die Probleme, die eine Sicherheitsstrategie angehen sollte. Cybersicherheitsstandards, die im Rahmen eines präventionsorientierten Ansatzes umgesetzt werden, bieten dabei Orientierung. Mit diesen Informationen kann ein Unternehmen mit dem Entwurf einer Cybersicherheitsarchitektur beginnen.

Eine Cybersicherheitsarchitektur sollte auf der Grundlage bewährter Sicherheitspraktiken entworfen werden. Zu den Schlüsselkonzepten, die es zu integrieren gilt, gehören:

• Zero Trust Security: Im Rahmen eines Zero-Trust-Sicherheitsmodells wird jede Anfrage nach Zugriff auf Unternehmensressourcen von Fall zu Fall bewertet. Rollenbasierte Zugriffskontrollen und andere Risikofaktoren werden ausgewertet, um zu bestimmen, ob die Anfrage gewährt oder abgelehnt werden sollte. Durch die Implementierung von Zero Trust reduziert ein Unternehmen das Cyberrisiko, indem es es einem Bedrohungsakteur erheblich erschwert, ein kompromittiertes Konto oder eine kompromittierte Software zu nutzen, um seine Ziele unentdeckt zu erreichen.
• Tiefenverteidigung: Keine Sicherheitslösung ist perfekt und ein Angreifer kann möglicherweise eine einzelne Verteidigungslinie umgehen, umgehen oder außer Gefecht setzen. Die Implementierung mehrerer Verteidigungslinien erhöht die Wahrscheinlichkeit, dass ein Unternehmen eine Bedrohung erkennen und darauf reagieren kann, bevor sie dem Unternehmen Schaden zufügt.

#6. Konsolidieren Sie die Sicherheitsinfrastruktur

Eine der häufigsten Herausforderungen für Sicherheitsteams ist Überlastung und Burnout aufgrund einer unzusammenhängenden Architektur eigenständiger Sicherheitslösungen. Jede unabhängige Lösung, die eine Organisation in ihrem Netzwerk bereitstellt, muss konfiguriert, gewartet und überwacht werden, um effektiv zu sein. Bei begrenztem Personal führt der damit verbundene Mehraufwand zu fehlenden Erkennungen und Sichtbarkeit sowie zu Sicherheitslücken.

Eine wirksame Sicherheitsstrategie wird durch eine konsolidierte Sicherheitsarchitektur unterstützt. Mit einer integrierten Sicherheitsarchitektur können Sicherheitsanalysten ihre Sicherheitsinfrastruktur von einem einzigen Standort aus überwachen und verwalten. Dies bietet zahlreiche Vorteile, darunter:

• Verbesserte Sichtbarkeit: Eine konsolidierte Sicherheitsarchitektur bietet Einblick in jeden Teil der Sicherheitsarchitektur einer Organisation über ein einziges Dashboard. Dadurch werden die Transparenzlücken beseitigt, die durch die Aufteilung der Sicherheitsüberwachung und -verwaltung auf die Dashboards mehrerer Lösungen entstehen.
• Bessere Leistung: Eine konsolidierte Sicherheitsarchitektur bietet Sicherheitsanalysten ein einziges Dashboard zur Verwaltung der gesamten Sicherheitsarchitektur. Dadurch werden die Ineffizienzen beseitigt, die mit dem Kontextwechsel zwischen mehreren Tools und der manuellen Aggregation und Analyse von Daten aus verschiedenen Quellen verbunden sind.
• Effiziente Abdeckung: Eine konsolidierte Sicherheitsarchitektur soll eine umfassende Abdeckung der Sicherheitsrisiken eines Unternehmens bieten. Dadurch werden Sicherheitslücken oder redundante, überlappende Funktionen beseitigt, die durch eigenständige Sicherheitslösungen entstehen.
• Niedrigere Gesamtbetriebskosten: Die Sicherheitskonsolidierung erhöht die Effizienz des Sicherheitsteams und der Sicherheitsarchitektur. Dies führt zu geringeren Gesamtbetriebskosten (TCO) durch die Beseitigung von Redundanz und Ineffizienzen.
• Erhöhte Automatisierung: Eine konsolidierte Sicherheitsarchitektur verbindet alle Komponenten der Sicherheitsinfrastruktur eines Unternehmens. Dies ermöglicht eine stärkere Automatisierung, was eine verbesserte Bedrohungserkennung und koordinierte Reaktionen auf potenzielle Angriffe ermöglicht.