Cyber-Resilienz beschreibt die angestrebte Widerstandskraft eines Unternehmens gegen jede Art von Cyber-Angriffen. Das bedeutet, inwieweit sie in der Lage sind, trotz einer Cyber-Attacke ihre Geschäftsprozesse, Kernaufgaben und allgemeine Integrität aufrechtzuerhalten. So stellt sich IT-Security als ein Teilbereich der Cyber-Resilienz dar. Resiliente Unternehmen sind strategisch ganzheitlich auf jede Form eines Angriffs oder IT-Ausfalls vorbereitet. Das bedeutet nicht, dass sie isoliert, hinter einer Sicherheitsmauer existieren, sondern dass sie gelernt haben, auch bei Störungen geschäftsfähig zu bleiben.
Bestenfalls entwickelt sich die Resilienz aus den Geschäftsprozessen. So zeigt der Bericht des Security-Unternehmens, dass fast alle hochresilienten Unternehmen (ca 95 %) der Best Practice folgen, bei der die Verantwortung eines digitalen Assets beim Owner liegt. Ab diesem Moment sind Einzelne oder Abteilungen für einen klar definierten Teil des Sicherheitsprozesses verantwortlich.
Im Detail bedeutet eine übergreifende, interdisziplinäre Betrachtung der Cybersicherheit, dass alle Bereiche des Unternehmens mit eingebunden sein müssen. Exemplarisch von der Haus-EDV über Krisenmanagement, Unternehmenskommunikation, Management und Kundendienst sollten alle den Cyber Security Incident-Plan kennen und leben. Schließlich gilt auch für die Cyber-Resilienz, dass die Abwehrkraft „des Immunsystems“ des gesamten Unternehmens nur so sicher ist, wie ihr schwächstes Glied.
Fortlaufender Lernprozess
Der erste Schritt auf dem Weg zur Resilienz besteht zumeist darin, zu akzeptieren, dass Fehler passieren – sowohl auf menschlicher als auch auf technischer Seite. Entscheidend ist, dass man offen mit ihnen umgeht und eine proaktive Fehler-Kultur entwickelt. Denn schließlich ist der Mensch nach wie vor die größte Schwachstelle in Unternehmen, weil Mitarbeiter aller Bereiche auf Phishing-Angriffe und Social Engineering hereinfallen oder Schadsoftware herunterladen können. Grundsätzlich betrifft Cyber-Resilienz immer alle Bereiche einer Organisation und ist im Management zu verankern. Sie ist Bestandteil aller Prozesse und muss allen Mitarbeitern nachvollziehbar vermittelt werden.
Schwachstellen-Management
Sämtliche Risiken lassen sich aber auch mit der besten Sicherheitstechnologie nie komplett vermeiden, sondern nur managen. Um Resilienz zu erreichen, müssen Unternehmen Risiken anerkennen, sie bewerten und angemessene Maßnahmen ergreifen, um sie zu reduzieren. Deshalb bedeutet Resilienz auch, Sicherheits-Kultur und Prozesse zu entwickeln, um aus Fehlern neue Methoden zu entwickeln, um mit zukünftigen Cyberattacken besser umzugehen. Das Immunsystem des Unternehmens wird so beim nächsten Data Breach besser reagieren können.
Nur wenn Unternehmen alle drei Dimensionen Menschen und Kultur, Prozesse und Organisation sowie Technologie und Infrastruktur berücksichtigen, kann es gelingen, nachhaltige Resilienz zu erreichen. Die Basis bilden die Maßnahmen zur Abwehr von Bedrohungen. Darüber hinaus sind Abläufe zum Disaster Recovery und zur Wiederherstellung des Betriebs nach erfolgreichen Angriffen zu verankern.
(Quelle: SecurityInsider.de)