Ganzheitliches Sicherheitskonzept für KMU’S

Längst stellt sich nicht mehr die Frage, ob ein Unternehmen Opfer einer Cyberattacke wird, sondern eher, wann dies der Fall ist – das gilt längst auch für KMUs. Nur mit einem ganzheitlichen Sicherheitskonzept können sie sich vor solchen Cyberattacken schützen.

Heutzutage sind technische IT-Infrastrukturen höchst komplex. Viele Geschäftsabläufe werden über Grenzen hinweg organisiert, Daten international bereitgestellt und genutzt. Gleichzeitig ist es im hart umkämpften Wettbewerb notwendig, immer effizienter zusammenzuarbeiten. Dadurch entstehen stetig neue Arbeits- und Produktionsweisen, die ein gigantisches Datenwachstum mit sich bringen. So prognostizieren die Marktforscher von IDC in einer von Seagate beauftragten Untersuchung, dass die digitale Datenmenge weltweit von 33 Zettabyte in 2018 auf 175 Zettabyte bis zum Jahr 2025 ansteigen soll. Viele dieser Daten sind unternehmens- und produktionsrelevant und sind bestmöglich zu schützen.

Allerdings haben Cyberkriminelle bei vielen Unternehmen ein leichtes Spiel, wie der Data Risk Report 2018 von Varonis belegt. Danach verwalten etwa drei Viertel aller Unternehmen über 1.000 veraltete sensible Dateien, was ein hohes Sicherheitsrisiko darstellt. 41 Prozent der Befragten gaben sogar an, dass sie über sensible Datensätze verfügen, wie beispielsweise Kreditkartennummern oder Gesundheitsakten, die überhaupt nicht geschützt sind. Daher ist es nicht verwunderlich, dass Unternehmen gemäß der Studie durchschnittlich rund 2,4 Millionen US-Dollar zahlen, um einen Schaden auf Basis einer Cyberattacke zu beheben. Besser ist es jedoch, Risiken zu vermeiden und in entsprechende Datensicherheitsmaßnahmen zu investieren. Viele Unternehmen sind sich dessen bewusst und haben bereits in entsprechende Lösungen und Services investiert.

Datenschutz und Informationssicherheit miteinander verzahnen

Damit das Datenwachstum und die daraus resultierenden Datenmengen sicher verwaltet werden können, müssen Datenschutz und Informationssicherheit ineinandergreifen. Während Datenschutz Bürgern das Recht auf informationelle Selbstbestimmung garantiert und vor einer missbräuchlichen Verwendung der persönlichen und personenbezogenen Daten schützt, beinhaltet Informationssicherheit die technischen Lösungen und organisatorischen Sicherheitsmaßnahmen, um Verwaltungs- und Unternehmensdaten sowie sensible Informationen zu schützen. 

Damit sensible Unternehmensinformationen (personenbezogene Daten, Entwicklungs-, Produktions- und Kundendaten) nicht in das Visier von Hackern geraten, muss Datensicherheit verschiedene Aspekte berücksichtigen. Es soll der Missbrauch von Informationen verhindert werden, beispielsweise durch eine Beschädigung oder Löschen der Daten oder durch Datendiebstahl. Gleichzeitig ist ein optimaler Schutz vor Cyberattacken zu gewährleisten. Darüber hinaus regelt Datensicherheit den Zugriff und die Rechte von Mitarbeitern und bietet somit einen achtsamen Schutz nach innen. Trotz sicherer Verwahrung ist zu gewährleisten, dass alle Informationen jederzeit erreichbar und verfügbar sind sowie ihre Echtheit sichergestellt ist. Letztendlich sorgt Datensicherheit auch für die Integrität der Daten.

Professionelle Konzepte und Maßnahmen 

Alle diese Maßnahmen und Ziele sind in einem ganzheitlichen Sicherheitskonzept in einer 360 Grad Betrachtung in Einklang zu bringen, das sowohl Network und Perimeter Security, Endpoint Security, Authentifizierungstechnologie, Schutz vor Datenverlust und Sicherheit sowie Datenaustausch umfasst. Zur Network oder Perimeter Security gehören unter anderem Sicherungssysteme, die einzelne Computer oder ganze Rechnernetze vor unerwünschten Netzwerkzugriffen schützen. Auch Verschlüsselungstechniken zählen zu dieser Ebene. Endpoint Security umfasst unternehmensinterne Passwort-, Viren- oder Spamschutzmaßnahmen, während Authentifizierungstechnologie dafür sorgt, dass alle Unternehmensdaten durch eine sichere Zugriffs- und Zugangskontrolle geschützt sind. Um einem Datenverlust durch Cyberattacken, Stromausfall, Kurzschluss oder Feuer vorzubeugen, sollten Sicherheitskopien von allen Daten existieren. Dies ist möglich durch Protokolle und Logdateien sowie verschiedene Backup-Lösungen.

Mitarbeiter fit machen

Allerdings gehen nicht alle Sicherheitsbedrohungen von Schadsoftware und Hackern aus. Nicht selten sind die eigenen Mitarbeiter Ursache für Datenverluste. Deshalb sollte ein umfassendes und professionelles Sicherheitskonzept auch die Schulung aller Mitarbeiter beinhalten. Denn jeder sollte verstehen, dass Informationssicherheit gerade in Zeiten des rasant steigenden Datenwachstums und der wachsenden Risiken ein zentraler Erfolgsfaktor ist. Dazu müssen Mitarbeiter alle Informationssicherheitstandards kennen und wissen, was bei einem sicherheitskritischen Vorfall zu tun ist.

Transparente IT-Infrastruktur 

Das Fundament gut funktionierender Informationssicherheitsmaßnahmen ist eine transparente Infrastruktur. Das gilt für die eigenen Server und Rechenzentren sowie Cloud-Lösungen, aber auch für Sicherheit, Ausfallschutz und Systemausfall. Darüber hinaus sind auch eine Risiko- und Schutzbedarfsanalyse, das Berechtigungsmanagement sowie Endgeräte-Sicherheitslösungen, Mobile Devise Control sowie die Netzwerksicherheit Teil einer transparenten IT.

Gute Vorbereitung für ein schnelles Handeln

Um im Fall des Falles schnell handeln zu können, sollten KMUs gut auf eine Cyberattacke vorbereitet sein. Dazu sind strategisch geplante Incident-Response-Prozesse zu etablieren. Dadurch lässt sich ein Angriff schneller entdecken und der entstandene Schaden eindämmen. Nach einer Cyberattacke, sowohl um diese einzudämmen und zu beheben als auch für die Phase „Lessons learned“, benötigen KMUs kompetente IT-Sicherheitsexperten. Diese sind in der Lage anhand forensischer Methoden und Mittel die Schwachstellen herauszufinden, die das Unternehmen in die missliche Lage gebracht haben. Darüber hinaus analysieren sie die befallenen Systeme, um den Weg des Angriffs nachzuvollziehen. Anschließend wird eine Strategie entwickelt, um die Informationen in Zukunft vor einem ähnlichen Angriff besser zu schützen. Auf Nummer sicher gehen KMUs, die alle Informationssicherheitsmaßnahmen und Systeme in regelmäßigen Abständen stichprobenartig untersuchen. So werden wertvolle Informationen nachhaltig besser geschützt und die aktuelle Sicherheitslage im Unternehmen kann jederzeit gut eingeschätzt werden.