1. Häufig gestellte Fragen zum Thema Informationssicherheit
Was ist Informationssicherheit?
Informationssicherheit umfasst Verfahren, Prozesse, Tools und Ressourcen, die zu Datenschutzzwecken entwickelt und eingesetzt werden. Dies kann sowohl physische Informationen (z. B. in Druckform) als auch elektronische Daten betreffen.
Informationssicherheit – häufig als „InfoSec“ bezeichnet – umfasst eine Reihe von Datensicherheits- und Datenschutzverfahren, die weit über die Datenverarbeitung hinausgehen. Mitunter wird Informationssicherheit auch Datensicherheit genannt.
Einige Beispiele für Datentypen, die Gegenstand der Informationssicherheit sein können, sind unter anderem: personenbezogene Gesundheitsdaten (Personal Health Information, PHI); persönlich identifizierbare Informationen (Personally Identifiable Information, PII) wie etwa Namen, Adressen, Sozialversicherungsnummern und Geburtsdaten; Finanzdaten wie beispielsweise Bankkonten und Kreditkartennummern; Firmendaten wie beispielsweise interne Finanzdaten, Forschungs- und Entwicklungsdaten, Kundenlisten und -daten sowie Wettbewerbsdaten.
Das SANS Institute definiert Informationssicherheit als Prozesse und Methoden, die „konzipiert und implementiert werden, um vertrauliche, private und sensible Informationen oder Daten in Print-, elektronischer oder sonstiger Form vor unbefugter Nutzung, Missbrauch, Offenlegung, Zerstörung, Änderung oder Störung zu schützen“.
Oft wird irrtümlicherweise angenommen, Informationssicherheit betreffe ausschließlich PHI oder PII. Doch zahlreiche Unternehmen erstellen, speichern, pflegen und übermitteln eine Reihe von Datentypen, die durch Verfahren der Informationssicherheit abgedeckt sind. Ihr Unternehmen könnte beispielsweise Informationen wie Gesundheits- oder Gehaltsdaten von Mitarbeitern sowie Kundeninformationen, etwa über deren letzte Einkäufe, erstellen, abrufen oder speichern. Darüber hinaus können auch interne Daten Ihres Unternehmens, z. B. Wachstumspläne oder Forschungsdaten zu neuen Produkten, Gegenstand Ihrer Verfahren der Informationssicherheit sein.
Vor Jahren gingen viele Unternehmen das Thema Informationssicherheit möglicherweise noch aus einer Worst-Case-Perspektive an – beispielsweise implementierten sie Kontrollen, mit denen die Auswirkungen einer Sicherheitsbedrohung unter Umständen beschränkt werden könnten. Doch heutzutage sind Unternehmen aus einer Vielzahl von Branchen mit einer zunehmenden Anzahl von Bedrohungen und immer komplexeren Umgebungen konfrontiert. Daher müssen moderne Verfahren der Informationssicherheit auch proaktive und flexible Ansätze beinhalten, um die Vertraulichkeit, Integrität und Verfügbarkeit von sensiblen und vertraulichen Daten zu schützen.
In der heutigen Zeit nehmen InfoSec-Bedrohungen nicht nur zu – sie sind persistent und lassen sich immer schwieriger erfassen und verhindern. Moderne Bedrohungen für die Informationssicherheit sind nicht nur auf bestimmte Technologietypen oder Standorte beschränkt. Sie betreffen ein umfassendes Spektrum an Technologien und sind auf der ganzen Welt verbreitet.
Erschwerend kommen bei Problemen der Informationssicherheit unsere sich weiterentwickelnden Arbeitsumgebungen hinzu: Immer mehr Unternehmen setzen inzwischen vollständig oder teilweise auf Remote-Teams, was die Abhängigkeit von Technologien wie E-Mails und SaaS-Anwendungen (Software as a Service) im Zusammenhang mit kritischen Funktionen des täglichen Geschäftsbetriebs erhöht.
E-Mails zählen zu den bevorzugten Angriffsvektoren von Angreifern. Sie hoffen darauf, dass ein Klick auf bösartige Links, ein Dateidownload oder eine erfolgreiche Phishing- oder Social Engineering-Kampagne zur Offenlegung von Zugangsdaten oder anderen wichtigen Informationen führt, mit denen sie dann in Systemen Fuß fassen und sich seitwärts durch das gesamte Unternehmen fortbewegen können – solche sogenannten Lateral Movements bleiben oftmals über Monate hinweg unbemerkt. Es handelt sich um einen bevorzugten Angriffsvektor zur Verbreitung von Malware (z. B. Ransomware) in Systemen, was eine Exfiltration, Beschädigung, missbräuchliche Verwendung oder Zerstörung von Daten zur Folge haben kann.
Eine gewisse grundlegende Cyberhygiene ist hilfreich. Doch wenn diese nicht Teil eines größeren Programms und entsprechender Schulungs- und Trainingsmaßnahmen ist, kann Ihr Unternehmen leider dennoch Angriffen zum Opfer fallen, die auf Informationssicherheit abzielen. Was früher als ein „gutes“ Passwort galt, reicht heute möglicherweise nicht mehr aus, um potenzielle Angreifer in Schach zu halten – insbesondere wenn Ihr Unternehmen keine zuverlässigen Best Practices implementiert hat, die die Dos and Don'ts einer effektiven Erstellung und Verwaltung von Passwörtern deutlich machen.
Noch komplexer werden InfoSec-Probleme durch die zunehmende Nutzung von Cloud Computing-Technologien, zu deren Verwaltung eine spezifische Reihe von Kompetenzen erforderlich ist, die sich häufig stark von den Verfahren für On-Prem-Informationssicherheit unterscheiden.
Die Nutzung der Cloud bringt eine ganze Reihe von Vorteilen für Unternehmen mit sich, doch durch diese Vorteile entstehen auch neue Informationssicherheitsrisiken. Dies gilt umso mehr, wenn Unternehmen Public Cloud- statt Private Cloud-Services einsetzen, denn durch ein erfolgreiches Eindringen von Angreifern an anderen Stellen innerhalb der Infrastruktur des Cloud Service Providers könnten ihre Daten zusätzlich gefährdet sein.
Tatsache ist: Im Zusammenhang mit Informationssicherheit kommt es ständig zu einer Reihe neuer Bedrohungen, die ausgenutzt werden und auf die sich InfoSec-Experten in Gänze einstellen müssen. Und warum? Weil Angreifer bereit sind, den schwächsten Punkt in Ihrem Unternehmen auszunutzen – häufig ohne dass Sie es merken.
Wie lauten die drei Grundprinzipien der Informationssicherheit?
Die meisten Unternehmen erstellen Informationen auf Basis von drei Grundprinzipien: Vertraulichkeit, Integrität und Verfügbarkeit. Wenn Sie beispielsweise für eine Gesundheitsorganisation tätig sind oder mit einer solchen zusammenarbeiten, dürften Ihnen diese Begriffe bekannt vorkommen, denn sie sind in den Vorgaben des Health Insurance Portability and Accountability Act (HIPAA) aus dem Jahre 1996 enthalten.
Wenn wir an dieser Stelle auf die drei Grundprinzipien der Informationssicherheit eingehen, beschränken sich diese Konzepte nicht auf das Gesundheitswesen, doch es kann Überschneidungen geben.
Vertraulichkeit:
Im Hinblick auf Informationssicherheit bezieht sich der Begriff „Vertraulichkeit“ auf die Datennutzung. Das bedeutet, dass Ihr Unternehmen Richtlinien und Verfahren implementiert hat, um zu gewährleisten, dass Daten weder gegenüber unbefugten Personen oder Einrichtungen offengelegt noch von diesen missbraucht bzw. ganz allgemein für unbefugte Zwecke verwendet werden. Wenn ein Mitarbeiter beispielsweise ein Dokument mit vertraulichen personenbezogenen Gesundheitsdaten (PHI) ausdruckt und dann auf einem Tisch im Pausenraum liegen lässt, kann die Vertraulichkeit dieser Informationen gefährdet sein.
Integrität:
Bei Integrität geht es darum, sicherzustellen, dass die Daten Ihres Unternehmens vollständig und genau sind – dass also Datenintegrität gegeben ist. Wenn Ihr Unternehmen Datenintegrität gewährleistet, hat es Kontrollen implementiert, die eine unbefugte Modifizierung von Daten verhindern. Nehmen wir zum Beispiel an, Mitarbeitern ist es gestattet, BYOD-Geräte (Bring Your Own Device) bei der Arbeit einzusetzen: Wenn Mitarbeiter aus dem Unternehmen ausscheiden und Sie es versäumen, die entsprechenden Zugangsberechtigungen von ihren Geräten zu entfernen, könnten Sie ihnen die Tür geöffnet haben, um Daten auf unzulässige Weise zu modifizieren.
Verfügbarkeit:
Im Zusammenhang mit Informationssicherheit besteht die Erwartung, dass die Daten Ihres Unternehmens je nach Bedarf verfügbar sind. Zum Beispiel kann es sein, dass ein Mitarbeiter der Personalabteilung das Einstellungsdatum eines Mitarbeiters nachschlagen muss. Folglich wird erwartet, dass diese sensiblen Daten bei Bedarf verfügbar sind.
Welche Beispiele gibt es für Informationssicherheit?
Es gibt eine Reihe verschiedener Informationssicherheitstypen und -prozesse: Anwendungssicherheit, Cloud-Sicherheit, Kryptografie, Infrastruktursicherheit, Incident Response und Schwachstellen-Management zählen hier zu den bekannteren Bereichen.
Anwendungssicherheit umfasst sämtliche Prozesse, die im Rahmen des gesamten Softwareentwicklungszyklus (SDLC) mit der Erstellung, Entwicklung, Aktualisierung und Modifizierung von Anwendungen verbunden sind und eingesetzt werden, um Sicherheitsprobleme (idealerweise im Vorfeld der Bereitstellung) zu identifizieren und zu beheben, bevor es zu einer erfolgreichen Ausnutzung durch Angreifer kommt.
Cloud-Sicherheit steht für sämtliche Prozesse, Tools und Ressourcen, mit denen Ihr Unternehmen all seine Cloud-Assets kontinuierlich bewertet, um Schwachstellen, Fehlkonfigurationen und sonstige Sicherheitslücken ausfindig zu machen und zu beheben.
Kryptografie umfasst Prozesse zur Absicherung von Daten und stellt sicher, dass unbefugte Benutzer durch Kommunikations- und Verarbeitungsverfahren daran gehindert werden, geschützte Daten auszulesen oder darauf zuzugreifen.
Infrastruktursicherheit geht über konventionelles Netzwerk-Monitoring hinaus. Stattdessen wird ein umfassender Ansatz zum Schutz komplexer Unternehmensumgebungen verfolgt, der Informationstechnologie (IT), die Cloud, operative Technologie (OT) sowie das Internet der Dinge (Internet of Things, IoT) und das industrielle Internet der Dinge (Industrial Internet of Things, IIoT) einschließt.
Incident Response – auch Vorfallsreaktion genannt – ist ein kritischer Bestandteil der Informationssicherheit. Sie umfasst die vorhandenen Pläne und Ressourcen, mit denen Ihr Unternehmen sicherstellt, dass Teams effektiv auf Störungen und andere Sicherheitsprobleme reagieren und zu Wiederherstellungsmaßnahmen übergehen können.
Schwachstellen-Management (Vulnerability Management) ist ein gängiges Verfahren der Informationssicherheit, das Unternehmen jeder Größe in einer Vielzahl verschiedener Branchen einsetzen. Schwachstellen-Management ist ein kontinuierlicher Prozess, der eine proaktive Erfassung aller Assets Ihres Unternehmens, kontinuierliches Monitoring von Sicherheitsproblemen sowie Eindämmungs-, Behebungs- und Verteidigungstaktiken umfasst, mit denen Ihre Umgebungen vor Bedrohungen geschützt werden.
Welche häufigen Bedrohungen gibt es im Hinblick auf Informationssicherheit?
Die Liste von Bedrohungen für die Informationssicherheit verändert sich zwar ständig, doch es gibt einige allgemeine Infosec-Bedrohungen. Hacker sind gängige und schlagzeilenträchtige Sicherheitsbedrohungen, aber nicht die einzigen Informationssicherheitsrisiken, mit denen Unternehmen heutzutage konfrontiert sind.
Bedrohungen für die Informationssicherheit können auch in Form von Insider-Bedrohungen auftreten – beispielsweise wenn ein verärgerter Mitarbeiter Firmendaten beschädigt oder modifiziert. Zunehmende Risiken entstehen darüber hinaus durch die wachsende Zahl der von Unternehmen verwalteten Assets, die unter Umständen Zugriff auf sensible Daten haben. Ob Geräte in Firmenbesitz, z. B. Laptops, Tablets oder Computer, oder BYOD-Geräte (Bring Your Own Device) wie Smartphones – auch verlorene, verlegte oder ungesicherte technische Geräte sind auf der immer längeren Liste der heutigen Bedrohungen für die Informationssicherheit zu finden.
Doch nicht nur Technologie kann die Informationssicherheit gefährden, auch Mitarbeiter können dazu beitragen. Angenommen, Ihr Unternehmen teilt sich in demselben Gebäude Büroflächen mit anderen Unternehmen und zwei Kollegen unterhalten sich über ein wichtiges Thema, während sie die allgemein zugängliche Empfangshalle betreten. Dabei tauschen sie Informationen über die Entwicklung eines neuen Produkts aus, was ein Mitarbeiter eines anderen Unternehmens mitbekommt. Dies ist ein Beispiel für ein gängiges Informationssicherheitsrisiko.
Weitere Beispiele sind: eine E-Mail mit sensiblen Daten an die falsche Person zu versenden, versehentlich einen Anhang zu einer E-Mail hinzuzufügen, auf den der Empfänger nicht zugreifen darf, sich beim Versand sensibler Daten per SMS bei der Eingabe der Handynummer zu vertippen oder einen ungeschützten Laptop geöffnet und unbeaufsichtigt zu lassen.
Welche häufigen Angriffsvektoren gibt es im Hinblick auf Informationssicherheit?
Durch alle der zuvor genannten Informationssicherheitsrisiken könnten Einfallstore für einen Angriff entstehen, doch im Bereich der Informationssicherheit gibt es weitere gängige Angriffsvektoren, die sich auf eine Reihe verschiedener Begleitumstände und Umgebungen beziehen. Hier einige Beispiele:
Ausnutzung von Fehlkonfigurationen und nicht gepatchten Systemen
Malware:
Malware-Angriffe werden immer zahlreicher und komplexer und Ransomware zählt hier zu den beliebtesten Angriffsvektoren. Wenn bösartige Software auf einem Gerät installiert wird, beispielsweise durch den Download einer infizierten Datei, durch einen Klick auf einen bösartigen Link oder den Besuch einer infizierten Website, können sich Angreifer häufig lateral durch ein Netzwerk fortbewegen – in der Regel unbemerkt über lange Zeiträume. Dies kann weitreichende Schäden verursachen und eine Exfiltration, Zerstörung oder Beschädigung von sensiblen Daten zur Folge haben. Zusätzlich zu Ransomware können Angreifer Geräte auch mit Trojanern, Viren oder sogar mit Spyware infizieren.
Phishing-Kampagnen oder Social Engineering:
Im Kern werden mit Phishing-Kampagnen und Social Engineering gemeinsame Ziele verfolgt: arglose Benutzer dazu zu bewegen, bösartige Links anzuklicken, bösartige Dateien herunterzuladen oder Informationen wie Zugangsdaten preiszugeben, um sich Zugriff auf Systeme und Daten zu verschaffen. Phishing hat in den letzten Jahren erheblich zugenommen und unlängst den Spitzenplatz unter den häufigsten Angriffsvektoren eingenommen.
Denial of Service (DoS) und Distributed Denial of Service (DDoS):
Diese Flooding-Angriffe lasten die Bandbreite und CPU-Ressourcen komplett aus, sodass Systeme nicht mehr auf legitime Dienstanforderungen reagieren können.
Cross-Site-Scripting (XSS):
Bei dieser Angriffsmethode wird Schadcode in Websites eingebunden, der auf Besucher abzielt.
Man-in-the-Middle-Angriffe (MitM):
Bei dieser Art von Angriffen werden Benutzer über unsichere Netzwerke wie öffentliche WLAN-Netze kompromittiert.
SQL-Injektion (Structured Query Language):
Bei dieser Art von Angriff wird auf einem Server Schadcode eingeschleust und dann mithilfe von SQL auf vertrauliche Informationen zugegriffen, die ansonsten nicht zugänglich wären.
Zero-Day-Exploits:
Bei dieser Art von Angriff wird eine Schwachstelle in einem System nach Bekanntwerden einer Bedrohung, aber vor Veröffentlichung eines Patches oder anderen Fixes ausgenutzt.
Unbefugter Zugriff:
Hierzu kann es durch einen erfolgreichen Übergriff kommen, doch unbefugter Zugriff kann auch daraus resultieren, dass Mitarbeiter oder Auftragnehmer Zugriffsrechte für Systeme oder Daten missbrauchen oder missbräuchlich verwenden.
Advanced Persistent Threats (APTs):
Hierbei handelt es sich im Allgemeinen um laufende und gezielte Angriffe, bei denen sich Angreifer zunächst Zugang zu Unternehmen verschaffen und dann in der Regel über längere Zeiträume unerkannt bleiben, um beispielsweise Netzwerkaktivitäten auszuspähen und Daten und andere sensible Informationen zu entwenden.
Warum ist Informationssicherheit wichtig?
Informationssicherheit ist aus einer Reihe von Gründen wichtig. Mithilfe von Informationssicherheit:
- Kann sichergestellt werden, dass Ihr Unternehmen alle zwingend erforderlichen Compliance-Anforderungen, behördlichen Vorgaben und sonstigen gesetzlichen Vorschriften zum Schutz sensibler Daten erfüllt
- Kann Vertrauen in die Fähigkeiten Ihres Unternehmens aufgebaut werden, seinem Tagesgeschäft ohne signifikante Störungen nachzugehen
- Können sensible Daten, die Ihr Unternehmen erstellt, überträgt, verarbeitet oder speichert, sowohl bei der Übertragung als auch im Ruhezustand geschützt werden
- Können Ihre kritischen Assets, Systeme, Daten und Kernfunktionen geschützt werden
- Kann die Vertraulichkeit, Integrität und Verfügbarkeit von Daten geschützt werden
- Können Wettbewerbsvorteile geschaffen werden
- Die Ziele Ihres IT- und Cybersecurity-Teams auf Ihre geschäftlichen Ziele und Vorgaben abgestimmt werden
Gibt es häufige Herausforderungen im Hinblick auf Informationssicherheit?
Ja, im Zusammenhang mit Informationssicherheit bestehen eine Reihe von Herausforderungen. Diese mögen individuell verschieden sein – je nach der spezifischen Struktur und den entsprechenden Anforderungen von Unternehmen. Doch da sich die moderne Bedrohungslandschaft ständig weiterentwickelt, gibt es einige gemeinsame Herausforderungen, die über sämtliche Branchen und Komplexitätsstufen von Unternehmen hinweg bestehen. Und parallel dazu werden auch die meisten Unternehmen immer komplexer.
Je verflochtener Unternehmen werden, desto stärker verlassen sie sich bei der Abwicklung von Geschäften auf (interne wie auch durch Dritte bereitgestellte) Technologien – und umso mehr Herausforderungen bestehen im Hinblick auf das Management der Informationssicherheit (Information Security Management, ISM).
Wenn Sie eine Geschäftsbeziehung mit einem Public Cloud-Anbieter eingehen, werden Sie vermutlich ein Service Level Agreement (SLA) oder einen sonstigen Vertrag unterzeichnen, aus dem hervorgeht, wer für welche Sicherheitskomponenten verantwortlich ist. Vergewissern Sie sich, dass sich beide Parteien über die Erwartungen im Klaren sind, und stellen Sie sicher, im Zuge der Geschäftsbeziehung sowie bei der Unterzeichnung von weiteren Verträgen oder Verlängerungen regelmäßig nachzufassen. Wenn Sie auf einen Public Cloud-Anbieter setzen, der die für Ihr Unternehmen geltenden gesetzlichen Vorschriften erfüllt, sollten Sie sich die Dokumentation des Compliance-Audits vorlegen lassen.
Infolge der Zunahme von Angriffsvektoren und der Bereitstellung von immer mehr Technologien, Assets, Anwendungen und Services in Unternehmen treten auch immer mehr Schwachstellen und Sicherheitsprobleme auf. Viele Teams haben einfach nicht die Zeit, Ressourcen oder Erfahrung, um sie in Gänze zu bewältigen. Dies ist eine Herausforderung, die durch den weitreichenden Mangel an qualifizierten Fachkräften für Informationssicherheit weltweit noch erschwert wird. Und die Pandemie hat eine zunehmende Anzahl qualifizierter Fachkräfte dazu veranlasst, beruflich neue Wege in Betracht zu ziehen: Konkret dachten laut des Work Trend Index von Microsoft im vergangenen Jahr über 40 % aller Arbeitnehmer weltweit über einen Arbeitgeberwechsel nach.
Wer ist für Informationssicherheit verantwortlich?
Einige mögen den Standpunkt vertreten, Informationssicherheitsprogramme seien die Verantwortung des Chief Information Security Officer (CISO) oder von IT-Leitern. Doch Tatsache ist, dass Informationssicherheit nicht nur die IT-Abteilung etwas angeht. Jeder Mitarbeiter Ihres Unternehmens ist für Datensicherheit, Datenschutz und Sicherheit im Allgemeinen verantwortlich. Und das gilt nicht nur für Mitarbeiter im operativen Geschäft. Der Führungsebene, wichtigen Stakeholdern sowie Anbietern entlang der gesamten Supply Chain kommt ebenfalls Verantwortung für Informationssicherheit und die Erfüllung der spezifischen Compliance- und behördlichen Auflagen zu, die für Ihre Branche und/oder Ihr Unternehmen gelten.
Welche Technologien sind im Bereich der Informationssicherheit gängig?
Im Bereich der Informationssicherheit gibt es immer mehr Technologien, die Ihr Unternehmen bei der Verwaltung der Datensicherheit unterstützen können. Hier einige Beispiele:
Cloud-Sicherheit:
Durch eine Bewertung all Ihrer Cloud-Ressourcen wird sichergestellt, dass keine Fehlkonfigurationen oder Richtlinienverstöße vorliegen, damit Sie Probleme identifizieren, Bedrohungen eindämmen und Behebungsmaßnahmen einleiten können, bevor ein potenzieller Übergriff eintritt.
Data Loss Prevention (DLP):
Mithilfe von DLP-Tools (Data Loss Prevention) können Sie gewährleisten, dass Ihrem Unternehmen keine Daten verloren gehen. DLP kann in unterschiedlicher Form erfolgen, etwa durch Backups und Monitoring von Daten.
Endpoint Detection and Response (EDR):
EDR-Tools (Endpoint Detection and Response) helfen dabei, eine Reihe von Endbenutzer-Aktivitäten zu überwachen. Ähnlich wie bei den bereits erwähnten Intrusion-Tools können Sie mit ihrer Hilfe ermitteln, ob Aktivitäten auf Endgeräten verdächtig sind, und dann entsprechend auf diese Probleme reagieren. Ein Vorteil der Einbindung von Endpoint Detection in Ihr Informationssicherheitsprogramm besteht darin, dass es dazu beiträgt, Sicherheitsprobleme auf Endgeräten zu erfassen, bevor diese in Ihre Netzwerke übergehen oder eine Übertragung oder Exfiltration von Daten ermöglichen.
Firewalls:
Firewalls sind gängige Tools zum Schutz von Netzwerken. Sie können Firewalls konfigurieren und Richtlinien festlegen, um Netzwerkverkehr zuzulassen, zu überwachen und zu filtern und sich bei verdächtigen Aktivitäten und Richtlinienverstößen benachrichtigen zu lassen.
Infrastructure as Code (IaC):
Infrastructure as Code kann Sie während des gesamten DevOps-Lebenszyklus beim Schutz Ihres Cloud Native Stack unterstützen – angefangen bei Code über die Produktionsumgebung bis hin zur Nutzung. Dies umfasst Erkenntnisse, mit deren Hilfe Sie Mängel, Sicherheitsschwächen, Richtlinienprobleme oder Angriffspfade vor der Bereitstellung in der Cloud erfassen.
Intrusion Detection:
Intrusion Detection-Tools können Ihr Unternehmen dabei unterstützen, Netzwerkverkehr automatisch zu überwachen, und Sie bei potenziell böswilligen Aktivitäten benachrichtigen. Sie kommen häufig in Verbindung mit einem Intrusion Prevention-System (IPS) zum Einsatz.
Intrusion Prevention:
Mithilfe dieser Tools können Sie auf ungewöhnliche Netzwerkaktivitäten reagieren. Durch ein Intrusion Prevention-Tool sind Sie beispielsweise in der Lage, eine verbundene Sitzung zu beenden oder Traffic-Anfragen zu blockieren. Diese Tools kommen häufig in Verbindung mit einem Intrusion Detection-System (IDS) zum Einsatz und sind auf die Sicherheitsrichtlinien und -pläne Ihres Unternehmens abgestimmt.
Security Information and Event Management (SIEM):
SIEM-Tools können Sie bei der Sammlung und Bewertung von Informationen aus dem gesamten Unternehmen unterstützen, damit Sie Bedrohungen effektiver aufspüren können. Die meisten SIEM-Tools bieten Ereignis- und Intrusion Detection-Warnungen sowie Ereignisprotokollierung, um Ihre Teams bei der Automatisierung von einigen gängigen Verfahren der Informationssicherheit zu unterstützen. SIEM-Tools können das Compliance-Management effektiv unterstützen und zudem bei der Identifizierung von Schwachstellen helfen, sodass Sie Verbesserungen planen und Sicherheitslücken beheben können, bevor es zu einem Datenschutzvorfall kommt.
Nutzeranalysen:
Tools für Nutzeranalysen unterstützen Sie bei der Protokollierung und Bewertung des Nutzerverhaltens, sodass Sie verdächtige oder ungewöhnliche Aktivitäten, bei denen es sich unter Umständen um potenzielle Bedrohungen handelt, einfacher erkennen können. Wenn ein Nutzer beispielsweise nur selten große Dateien oder hohe Datenmengen herunterlädt und Sie plötzlich auf ungewöhnliche Übertragungen stoßen, könnte ein Problem hinsichtlich der Informationssicherheit vorliegen, das ihre Aufmerksamkeit erfordert.
Was ist InfoSec?
InfoSec ist ein geläufiger Begriff, der sich aus den englischen Wörtern „Information“ und „Security“ zusammensetzt. InfoSec steht für die Richtlinien, Pläne, Prozesse, Tools und Ressourcen, mit denen Ihr Unternehmen Daten schützt und absichert, um Übergriffe, unbefugten Zugriff und andere Probleme hinsichtlich der Datensicherheit zu verhindern.
Sind Cybersecurity und Informationssicherheit dasselbe?
Nein. Cybersecurity und Informationssicherheit sind nicht dasselbe. Die Begriffe werden jedoch häufig miteinander verwechselt und synonym verwendet. Die Unterschiede lassen sich am einfachsten anhand des jeweiligen Programmumfangs darlegen. InfoSec beispielsweise bezieht sich im Allgemeinen speziell auf Prozesse im Zusammenhang mit Datensicherheit. Der Cybersecurity-Bereich ist hingegen breiter gefasst und beinhaltet eine Reihe von Praktiken, darunter auch Informationssicherheit.
Wie kann ich ein Informationssicherheitsprogramm aufbauen?
Viele Unternehmen suchen auf Anhieb nach Technologien, mit deren Hilfe sie Informationssicherheitsprogramme aufbauen, implementieren und verwalten können. Dabei lassen sie jedoch einige wichtige erste Schritte außer Acht.
Wie bei vielen Prozessen zur Implementierung von Programmen beginnt echter Erfolg häufig damit, Führungskräfte einzubinden und sich die Zustimmung wichtiger Stakeholder zu sichern. An dieser Stelle sollte Ihr Programmverantwortlicher sich darum bemühen, Beziehungen zu einem Executive Sponsor aufzubauen. Diese Person versteht Ihr Programm und damit verbundene Anforderungen, unterstützt Sie bei der Abstimmung Ihres Informationssicherheitsprogramms auf die geschäftlichen Ziele Ihres Unternehmens und stellt sicher, dass Sie über die für den Erfolg notwendigen Mitarbeiter, Ressourcen und finanziellen Mittel verfügen.
Führungskräfte und Stakeholder spielen eine entscheidende Rolle dabei, Ihre Strategie für Informationssicherheit – einschließlich Risikoprofilen und -schwellen – zu genehmigen, und tragen weitere Aufsichtspflichten hinsichtlich Governance. Auch in Compliance-Fragen können sie wichtige Beiträge leisten und Sie dadurch bei der Entwicklung Ihres Programms unterstützen.
Während Sie an der Beziehung zu Ihrem jeweiligen Executive Sponsor arbeiten, sollten Sie auch Ihr Informationssicherheitsteam zusammenstellen. Zur Erinnerung: Informationssicherheit betrifft nicht nur die IT – deshalb sollte Ihr gesamtes Unternehmen in Ihrem Team repräsentativ vertreten sein. Es könnte sinnvoll sein, leitende Mitarbeiter der oberen und mittleren Unternehmensebenen aus den Bereichen Compliance, Cybersecurity, Risikomanagement, Business Continuity, Disaster Response und Krisenmanagement hinzuziehen, um sich ein Bild von Überschneidungen zwischen Programmen und gemeinsamen Zielsetzungen zu machen.
Sobald Sie Ihr Team aufgebaut haben, benötigen Sie umfassenden Einblick in die Assets, Systeme und Daten Ihres Unternehmens. Denken Sie daran: Was Ihnen nicht bekannt ist, kann auch nicht geschützt werden.
Zahlreichen Unternehmen zufolge ist dies ein großer Stolperstein, der dem Erfolg des Programms im Wege steht: Viele wissen einfach nicht, wie viele Assets sie haben, wo diese sich befinden, wie sie verwendet werden oder wer Zugriff darauf hat. Ein noch wichtigerer und häufig übersehener Schritt besteht darin, diese Assets mit kritischen Prozessen, Produkten und Services in Verbindung zu bringen.
Aus diesem Grund ist die Erstellung eines umfassenden und aktualisierten Asset-Bestandsverzeichnisses ein wichtiger Bestandteil der Entwicklung Ihres Informationssicherheitsprogramms. Auch Dinge wie SaaS-Anwendungen oder Cloud-Services dürfen nicht vergessen werden und sollten in Ihrem Asset-Bestandsverzeichnis enthalten sein.
Sobald Sie Ihr Verzeichnis zusammengestellt haben und nachvollziehen können, wie Assets verwendet werden und wem sie zugeordnet sind, kann es hilfreich sein, den Bestand auf eine für Ihr Unternehmen möglichst sinnvolle Weise zu kategorisieren. Beispielsweise könnten Sie die Assets in einer Gruppe zusammenfassen, die notwendig sind, um den Normalbetrieb im Falle eines Übergriffs oder einer sonstigen Störung aufrechtzuerhalten.
Die Asset-Bestandsaufnahme sollte nicht als einmaliger Prozess betrachtet werden. Aktualisieren Sie Ihr Bestandsverzeichnis regelmäßig. Durch Automatisierung der Asset-Bestandsaufnahme stellen Sie sicher, dass Sie Kenntnis von jedem winzigen Asset-Detail haben und dass der gesamte Bestand aktuell ist, sodass Sie Bedrohungen und Risiken erkennen können, bevor diese Schäden anrichten.
Sobald Sie wissen, wo sich Ihre Assets befinden und wie sie verwendet werden, können Sie sich ein besseres Bild davon machen, wo Risiken vorliegen und wo Sie mit Bedrohungen für die Informationssicherheit konfrontiert sind. Bestehen im Zusammenhang mit Ihren Assets beispielsweise spezifische Bedrohungen oder Schwachstellen, die behoben werden sollten? Sind Patches oder Updates erforderlich? Welche Arten von Bedrohungen gelangen durch diese Assets in Ihr Unternehmen?
Wenn Sie sich einen guten Einblick in Bedrohungen verschafft haben, ist es wichtig, Risiken zu bewerten und Bedrohungen anhand ihrer Wahrscheinlichkeit und Auswirkung einzustufen. Gibt es Bedrohungen, die die Risikotoleranz Ihres Unternehmens überschreiten? Liegen Pläne zur Eindämmung oder Behebung dieser Risiken vor? Wie priorisieren Sie, welche Risiken zuerst angegangen werden müssen – und in welcher Reihenfolge?
Genau wir Ihre Asset-Bestandsaufnahme dürfen auch Risikomanagementprozesse keine einmalige Angelegenheit sein. Was Informationssicherheit betrifft, könnte Ihr Unternehmen besser geschützt sein, wenn Sie kontinuierliche Risikomanagementverfahren einsetzen. Dadurch wissen Sie immer, wo Risiken vorliegen, selbst wenn sich Ihre Umgebung verändert, und Sie können Risiken miteinander vergleichen und Pläne zur Priorisierung und Behebung ausarbeiten.
Was das Thema Risikomanagement im Zusammenhang mit Informationssicherheit betrifft, sind vier zentrale Fragen zu beantworten:
- Möchten Sie das Risiko eindämmen?
- Möchten Sie das Risiko übertragen (z. B. an Dritte)?
- Möchten Sie das Risiko akzeptieren?
- Möchten Sie das Risiko vermeiden?
An diesem Punkt sind Sie sich über Ihre Assets sowie deren Funktionen, Schwachstellen und Risiken vollständig im Klaren. Nun ist es an der Zeit, Reaktions- und Wiederherstellungsmaßnahmen für potenzielle Probleme der Informationssicherheit zu planen. Dabei könnten Sie sich auch dazu entscheiden, ein Management-Framework für Informationssicherheit oder spezifische Kontrollen zu implementieren, die auf die jeweiligen Anforderungen und Voraussetzungen Ihres Unternehmens abgestimmt sind.
Sobald Sie diese Pläne entwickelt und sich auf Frameworks und Kontrollen festgelegt haben, ist es Zeit für die Implementierung. Da Sie inzwischen ein klares Verständnis Ihrer kritischen Assets und Funktionen haben sollten, kann es von Vorteil sein, sich zunächst auf diese zu konzentrieren und die Implementierung weiterer Kontrollen für einen späteren Zeitpunkt zu priorisieren. Dies ist eine großartige Möglichkeit, Ihr Programm im Laufe der Zeit zu verbessern.
In dieser Phase kann es außerdem hilfreich sein, Ihr derzeitiges Informationssicherheitsprofil zu bewerten. Wie schneidet Ihr Informationssicherheitsprogramm zum Beispiel im Hinblick auf Ihre verschiedenen Compliance- und behördlichen Anforderungen sowie auf sonstige Verpflichtungen und Ziele ab? Gibt es Bereiche, in denen es zu wünschen übrig lässt? Handelt es sich dabei um Defizite, die sofort zu korrigieren sind, oder um längerfristige Ziele, denen Sie sich zu einem späteren Zeitpunkt widmen können?
Nachdem Sie Ihr derzeitiges Informationssicherheitsprofil ermittelt haben, können Sie dieses mit Ihrem Zielprofil vergleichen – also mit dem Status, den Sie erreichen möchten. Die aus dieser Bewertung anhand des Zielprofils hervorgehenden Informationen können als Orientierungshilfe dienen, um Ihr Informationssicherheitsprogramm im Laufe der Zeit zu optimieren.
Ausgehend von diesem Verständnis Ihres derzeitigen Profils müssen Sie als Nächstes Ihre Kontrollen für Informationssicherheit testen, damit sichergestellt ist, dass diese wie vorgesehen funktionieren und Sie Probleme zum Zeitpunkt ihrer Erkennung beheben. Dies kann Ihnen helfen, Angreifern immer einen Schritt voraus zu sein, und einen Übergriff oder eine Ausnutzung von Schwachstellen in der Praxis möglicherweise verhindern.
Dies ist auch ein guter Zeitpunkt, um Schulungs- und Trainingsprozesse für Mitarbeiter festzulegen. Der Schlüssel zum Erfolg Ihres Schulungsprogramms besteht darin, Mitarbeiter zu inspirieren, ihnen die nötigen Kenntnisse zu vermitteln und ihnen zu verdeutlichen, dass jeder in Ihrem Unternehmen für Informationssicherheit verantwortlich ist.
All das sind großartige erste Schritte, um in das Thema Informationssicherheit einzusteigen, doch dies ist stets ein fortlaufender Prozess. Da sich Ihre Umgebung und die Bedrohungslandschaft kontinuierlich verändern, muss Ihr Informationssicherheitsprogramm als kontinuierlicher Zyklus konzipiert sein. Wie effektiv ist es? Wo besteht Verbesserungsbedarf? Interne Prüfungen können dazu beitragen, dass Sie bei Ihren Strategien zum Schutz der Informationssicherheit immer am Ball bleiben.
Was ist ein Managementsystem für Informationssicherheit?
Ein Managementsystem für Informationssicherheit wird auch als Information Security Management System (ISMS) bezeichnet. Der Begriff bezieht sich auf alle Pläne, Richtlinien und Prozesse, durch die Ihr Unternehmen in der Lage ist, Probleme hinsichtlich der Datensicherheit zu erkennen, entsprechend darauf zu reagieren und zu Wiederherstellungsmaßnahmen überzugehen.
ISO 270001 beispielsweise umfasst eine international anerkannte Reihe von Best Practices, die Sie beim Management der Informationssicherheit unterstützen. Insgesamt werden mehr als 12 Standards behandelt, mit deren Hilfe Ihr Unternehmen sämtliche Anforderungen hinsichtlich der Informationssicherheit besser managen kann.
ISO 270001 deckt sechs wichtige Bereiche der Informationssicherheit ab: Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung.
Wenn Ihr Unternehmen Konformität mit ISO 27001 anstrebt, gibt es bestimmte Anforderungen, die in diesen sechs Bereichen zu erfüllen sind. Die Zertifizierung ist nicht zwingend erforderlich, in einigen Branchen jedoch vorgeschrieben.
Auch wenn die Konformität mit ISO 27001 für Ihr Unternehmen nicht erforderlich ist, könnte die Einführung von Best Practices nach ISO 27001 dennoch nützlich sein, um Ihre Verfahren der Informationssicherheit zu verbessern.
Was ist eine Richtlinie für Informationssicherheit und welchen Zweck erfüllt sie?
Eine Richtlinie für Informationssicherheit legt fest, wie Unternehmen mit ihren Assets verfahren sollten, um Schwachstellen zu erfassen und Pläne zu deren Schutz auszuarbeiten. Zahlreiche Unternehmen entwickeln eine Richtlinie für Informationssicherheit, um zu gewährleisten, dass Vertraulichkeit, Integrität und Verfügbarkeit ihrer sensiblen Daten geschützt werden. Diese Richtlinie wird häufig von Führungskräften und wichtigen Stakeholdern genehmigt.
Sie können Ihre Richtlinie anhand der spezifischen Anforderungen Ihres Unternehmens anpassen. Doch es gibt einige Schlüsselbereiche, die Sie in Ihrer Richtlinie für Informationssicherheit berücksichtigen sollten: Programmvorgaben, Umfang, Ziele und Verantwortlichkeiten.
Gibt es ein Framework für Informationssicherheit?
Ja. Es gibt eine Reihe von Frameworks, die Ihr Unternehmen einsetzen kann, um ein Informationssicherheitsprogramm zu entwickeln. Hier einige Beispiele, die für Sie hilfreich sein könnten:
- Federal Information Security Modernization Act (FISMA)
- Datenschutz-Grundverordnung (DSGVO)
- HIPAA
- HITRUST
- ISO 27001
- NERC-CIP
- NIST 800-53
- NIST 800-171
- NIST Cybersecurity Framework
- SOC2
Wie hoch sind die Kosten einer Sicherheitsverletzung?
Sicherheitsverletzungen sind kostspielig. Dem Cost of a Data Breach Report 2021 von IBM zufolge belaufen sich die Kosten einer Datenpanne im Durchschnitt auf über 4,2 Millionen USD, was einer Steigerung von 10 % gegenüber dem Vorjahr entspricht. Interessanterweise hat sich gezeigt, dass die mit einer Datenpanne verbundenen Kosten im Falle pandemiebedingter Telearbeit im Durchschnitt um mehr als 1 Million USD höher waren als in Umgebungen ohne Telearbeit.
Zum elften Jahr in Folge belegt das Gesundheitswesen in diesem Bericht den Spitzenplatz: Mit Kosten in Höhe von über 9 Millionen USD fielen in dieser Branche die höchsten durchschnittlichen Kosten für eine Datenpanne an.
Der Bericht nennt auch Kosten von 180 USD pro Datensatz mit persönlich identifizierbaren Informationen (PII), die in nahezu der Hälfte aller Übergriffe anfielen (44 %).
Im Jahr 2021 waren kompromittierte Zugangsdaten der häufigste primäre Angriffsvektor, gefolgt von Phishing und Cloud-Fehlkonfigurationen. Weitere Angriffsvektoren waren böswillige Insider, Schwachstellen in Drittanbieter-Software, Kompromittierungen der physischen Sicherheit, unbeabsichtigter Datenverlust/Geräteverlust, Social Engineering, Systemfehler sowie Kompromittierungen von geschäftlichen E-Mail-Adressen.
Doch Datenpannen sind nicht nur im Hinblick auf Reaktions- und Behebungsmaßnahmen kostspielig. Ferner drohen beträchtliche Geldbußen und Strafen von Compliance-Organisationen sowie zivil- und strafrechtliche Probleme, die es zu lösen gilt. Darüber hinaus besteht ein großes Risiko, dass es zu Marken- und Reputationsschäden kommt, die ebenfalls berücksichtigt werden müssen.
Doch es gibt auch gute Nachrichten: Nicht jeder Übergriff muss zu immensen Kosten oder katastrophalen Auswirkungen führen. Und genau aus diesem Grund sind Best Practices der Informationssicherheit für Ihr Unternehmen so wertvoll. Sie ermöglichen es Ihnen, Sicherheitsprobleme vorherzusagen, Vorkehrungen zu treffen und entsprechend zu reagieren – stets mit dem Ziel, diese Probleme möglichst schnell zu beseitigen und ihre Auswirkungen zu minimieren.
Was ist ein SOC?
Ein SOC ist ein sogenanntes Security Operations Center. Viele Unternehmen nutzen SOCs als zentralen Ort, um Mitarbeiter, Prozesse und Technologien im Bereich der Informationssicherheit zu managen. Einige Unternehmen verfügen über ein SOC vor Ort, andere arbeiten mit externen Agenturen zusammen, die ein Cloud-Modell einsetzen und diese Abläufe für sie übernehmen. Wieder andere bevorzugen ein hybrides SOC-Modell, in das Elemente eines SOC vor Ort wie auch einige cloudbasierte Komponenten eingebunden sind. Ein SOC ist eine Art Kommandozentrale – ein Ort, der umfassenden Einblick in Ihr gesamtes Unternehmen hat, an dem laufendes, automatisches Monitoring stattfindet und von dem aus Warnmeldungen gesendet werden können, wenn Sicherheitsprobleme auftreten.
Was ist Social Engineering?
Viele denken bei Informationssicherheit an Daten und Technologien, doch dabei darf nicht vergessen werden, dass auch Mitarbeiter ein Informationssicherheitsrisiko darstellen können. Social Engineering ist ein häufiger Angriffsvektor. Im Rahmen einer Social Engineering-Kampagne versuchen Angreifer, Einzelpersonen zu manipulieren (per E-Mail, telefonisch oder über andere Wege wie SMS oder soziale Medien – oder sogar persönlich) und sie dazu zu verleiten, Zugangsdaten oder andere vertrauliche Informationen preiszugeben. Glaubhaftigkeit und Vertrauensaufbau stehen dabei im Vordergrund. Deshalb ist die Sensibilisierung Ihres gesamten Unternehmens im Hinblick auf Informationssicherheit, Bedrohungen und die jeweiligen Rollen und Verantwortlichkeiten von entscheidender Bedeutung für den Erfolg.
Was ist Ransomware?
Ransomware ist eine Form von Malware und ein zunehmend verbreiteter Angriffsvektor. Angreifer verteilen bösartige Software und verfolgen dabei das Ziel, den Zugriff auf Systeme so lange zu blockieren, bis sie dafür bezahlt werden, die Sperre aufzuheben oder verschlüsselte Daten zu entschlüsseln. Häufig zerstören, beschädigen oder veröffentlichen Ransomware-Angreifer sensible Daten (oder drohen damit), während sie Unternehmen aus ihren Systemen aussperren. Selbst wenn sich Unternehmen zur Zahlung von Lösegeld entschließen, bedeutet das nicht, dass die Entschlüsselung auch funktioniert oder dass Daten nicht beschädigt oder gelöscht werden.
Was ist Phishing?
Phishing ist eine Form von Social Engineering. Angreifer versuchen, Nutzer dazu zu bringen, eine E-Mail oder eine Nachricht zu öffnen, eine bösartige Datei herunterzuladen, einen bösartigen Link anzuklicken oder eine infizierte Website zu besuchen, um auf diesem Weg an sensible Daten zu gelangen und/oder Malware zu verteilen und Geräte zu infizieren.
Welche Best Practices gibt es für Informationssicherheit?
Es gibt eine Reihe von Best Practices der Informationssicherheit, die Ihr Unternehmen in Betracht ziehen sollte. Wenn Sie sich eingehender mit diesem Thema befassen möchten, finden Sie in ISO 270001 Empfehlungen für Kontrollen sowie Hilfestellungen zur Zertifizierung. Allgemeiner betrachtet ist es jedoch ein guter Grundsatz, Mitarbeiter zu folgenden Maßnahmen anzuhalten:
- Stets auf die eigene Umgebung achten und niemals vertrauliche Informationen an öffentlichen Orten besprechen
- Stets darauf achten, wo sich die eigenen Geräte befinden
- Sichere Passwörter und Multifaktor-Authentifizierung verwenden
- Daten verschlüsseln
- Den Datenzugriff basierend auf Rollen und Verantwortlichkeiten einschränken
- Niemals E-Mails öffnen oder Anhänge herunterladen, die von unbekannten Personen stammen
- Ein VPN verwenden und keine offenen WLAN-Verbindungen nutzen
- Das Informationssicherheitsteam über potenzielle Angriffe oder Datenpannen informieren
Was sind Beispiele von Daten, die als vertraulich gelten?
Im Allgemeinen sollten Informationen folgender Art als vertraulich behandelt werden: Informationen über Kunden und Mitarbeiter, interne Dokumente, Finanzdaten, Forschungs- und Entwicklungsdaten sowie Informationen zu sämtlichen anderen Bereichen, die Ihrem Unternehmen einen Wettbewerbsvorteil auf dem Markt verschaffen könnten.
Stellt der Verlust eines Laptops oder eines anderen Geräts (z. B. eines Smartphones oder Tablets) eine Verletzung der Informationssicherheit dar?
Grundsätzlich ja, doch wie schwerwiegend die jeweilige Sicherheitsverletzung ist, hängt von einer Reihe von Begleitumständen ab, unter anderem von der Art und Menge der auf dem Gerät gespeicherten Daten, der Verschlüsselung sowie dem Zugriff, der über das Gerät auf sensible Daten und Systeme erlangt werden kann. Melden Sie ein verlorenes oder kompromittiertes Gerät umgehend Ihrem IT-Team oder Vorgesetzten.
Tenable-Ressourcen zum Thema Informationssicherheit
- Was ist Schwachstellenbewertung? https://de.tenable.com/source/vulnerability-assessment
- Was ist Schwachstellen-Management? https://de.tenable.com/source/vulnerability-management
- Was ist Cloud-Sicherheit? https://de.tenable.com/source/cloud-security
- Was ist Infrastructure as Code (IaC)? https://www.tenable.com/webinars/introducing-tenable-cs-secure-every-step-from-code-to-cloud
