"Wer sich nicht vorbereitet, bereitet sich auf das Scheitern vor".
Die Vorbeugung eines Cyberangriffs ist kosteneffizienter als die Reaktion auf einen Angriff. So ist es beispielsweise kostengünstiger, zunächst eine oder mehrere Cybersicherheitslösungen zu implementieren, als auf Sicherheit zu verzichten und am Ende ein saftiges Lösegeld zu zahlen. Daher ist es hilfreich, Cybersicherheit nicht als Kostenfaktor, sondern als Investition zu betrachten, die Ihnen hilft, die höheren Kosten eines Cyberangriffs und die damit verbundenen Folgen, wie die Beeinträchtigung des Rufs Ihres Unternehmens, zu vermeiden.
Das IoT ist mehr als nur ein mit dem Internet verbundenes Gerät; es umfasst die gesamte Datenlieferkette, vom Gerät, welches die Daten sammelt, über das drahtlose Netzwerk, das für die Übertragung der Daten verwendet wird, die Back-End-Infrastruktur, die die Daten analysiert/verarbeitet, bis hin zu den Daten selbst und der App, die Sie verwenden, um die Daten des Geräts zu steuern oder anzuzeigen.
Die Cybersicherheit ist heute eine sehr reale, allgegenwärtige Bedrohung, die nicht ignoriert werden kann. Keine Organisation, unabhängig von ihrer Größe oder ihrem Geschäftsfeld, ist vor einem Angriff sicher, der möglicherweise ihr gesamtes Unternehmen zu Fall bringen könnte. Es gibt viele verschiedene Arten von Angriffen mit unterschiedlichem Grad der Spezifität, aber wir können sie im Allgemeinen wie folgt zusammenfassen:
Die erste Art von Angriffen ist die bekannte Ransomware, bei der es einem Angreifer gelingt, in einen Computer einzudringen, eine bösartige Software zu installieren, die alle Daten verschlüsselt, und dann ein Lösegeld zu verlangen, das in der Regel mit nicht nachweisbaren Methoden wie Kryptowährungen wie Bitcoin bezahlt wird. Der Benutzer hat dann keine andere Wahl, als das Lösegeld zu zahlen, in der Hoffnung, dass der Hacker die Vereinbarung zur Freigabe des Entschlüsselungsschlüssels einhält und ihm den Verschlüsselungsschlüssel zur Verfügung stellt, damit er alle seine Daten entschlüsseln und wiederherstellen kann.
Die zweite Art des Angriffs ist der bekannte Phishing-Angriff, bei dem Millionen von E-Mails oder SMS-Nachrichten wahllos verschickt werden und nur ein kleiner Prozentsatz von Personen, die bereit (oder unvorsichtig genug) sind, auf einen Link zu klicken, einen erfolgreichen Angriff starten muss. Bei diesen E-Mails handelt es sich nicht um die typischen Spams, die die meisten Menschen erkennen können oder die ihnen verdächtig vorkommen, sondern um gut gemachte E-Mails, die aussehen, als kämen sie von einem seriösen Unternehmen, z. B. einem Cloud-Dienstanbieter. Der Benutzer wird dann dazu verleitet, seine Daten - in der Regel Anmeldedaten oder Kreditkartennummern - anzugeben, die direkt in die Hände einer böswilligen Partei gelangen, die sie später für kriminelle Handlungen wie den Diebstahl persönlicher Daten, Betrug usw. verwenden.
Aufbauend auf dem Erfolg der beiden vorangegangenen Betrügereien, die wahllos durchgeführt werden, ist die dritte Art des Angriffs die Datenexfiltration, bei der böswillige Akteure einen Plan entwickeln können, der auf Ihr spezifisches Unternehmen abzielt. Dies wird von Hackern durchgeführt, die über ein hohes Maß an Fachwissen in den Bereichen IT und Cybersicherheit verfügen. Dieses Fachwissen ermöglicht es den Hackern, Voruntersuchungen durchzuführen, wie z. B. Social Engineering oder Schwachstellen in der IT-Infrastruktur, was ihnen dabei hilft, einen Einstiegspunkt zu finden, um in die Infrastruktur einzudringen und unbemerkt eine Schadsoftware zu installieren und eine Datenexfiltration durchzuführen, ohne dass die betroffene Partei dies merkt, bevor es zu spät ist.
Das Herzstück des IoT-Ökosystems ist die Konnektivität der Geräte, d. h., dass diese Geräte eine Verbindung zum Internet herstellen können und einen Weg haben, ihre Nutzlast zu übermitteln. Es gibt drei allgemeine Netzwerkarchitekturen für die Verbindung von IoT-Geräten: Punkt-zu-Punkt, Mesh-Netzwerk oder Stern-Netzwerk, je nach der für die Verbindung verwendeten Technologie. Es gibt Dutzende von Protokollen für die Verbindung von IoT-Geräten. Allerdings hat nur eine Handvoll von ihnen eine kritische Masse erreicht, die ihnen eine breitere Akzeptanz ermöglicht (z. B. Bluetooth, NFC/RFID usw.).
In unseren kommenden Blog-Beiträgen zum Thema "Entmystifizierung der Technologie" werden wir verschiedene IoT-Anwendungsfälle und -Szenarien erörtern, damit wir besser verstehen, wie wir ein robustes und sicheres IoT-Ökosystem einrichten können, das bei Bedarf den Zugriff auf Daten gewährleistet.
Die Auswirkungen auf die betroffenen Unternehmen hängen von Faktoren wie der Anzahl der betroffenen Endpunkte (1 vs. 1.000), den dort gespeicherten Daten (insbesondere Back-End-Systeme) und der Art des Angriffs (verschlüsselte Daten vs. exfiltrierte Daten, gestohlene Anmeldeinformationen) ab.
Die primären Kosten sind nicht in erster Linie finanzieller Art, sondern könnten einer der höchsten Preise sein, die zu zahlen sind: die Kosten für den Ruf. Während einige Unternehmen in der Lage sein könnten, sich von einem Angriff zu erholen, indem sie ihn in den Medien totschweigen und/oder den Trick anwenden, ihren Namen und ihre Produkte umzubenennen, erholen sich andere Unternehmen möglicherweise nie von einem solchen Angriff. Wenn z. B. ein bekanntes Antiviren-Unternehmen betroffen ist, wer würde ihm dann noch zutrauen, sein Unternehmen zu schützen, da es anscheinend nicht in der Lage ist, sein eigenes Unternehmen sicher zu halten?
Zweitens zahlen die betroffenen Unternehmen den Preis für die Offenlegung von Daten, wenn diese beispielsweise von einer böswilligen Partei exfiltriert wurden. Bei internen Daten, insbesondere wenn es sich um geistiges Eigentum handelt, können die Auswirkungen für das Unternehmen dramatisch sein, da sie von betrügerischen Konkurrenten ausgenutzt werden könnten. Wenn es sich jedoch um Daten von Dritten handelt, z. B. von Partnern oder Kunden, kann es sogar noch schlimmer sein, da das Unternehmen vor dem Gesetz für diesen Verlust haftbar gemacht werden kann. Denken Sie an Organisationen wie Banken und Unternehmen des Gesundheitswesens, die mit einer Vielzahl sehr sensibler, persönlicher Daten umgehen.
Die dritte Kostenart, mit der die von einer Datenschutzverletzung betroffenen Unternehmen konfrontiert werden, sind die direkten Auswirkungen der Datenwiederherstellung auf die Finanzen. Große Unternehmen, die von einem Ransomware-Angriff betroffen waren, mussten am Ende Millionen von Dollar an Lösegeld zahlen, zusätzlich zu den Kosten für die Untersuchung, Identifizierung und Behebung der Datenverletzung.
Schließlich werden die Kosten für eine lange Ausfallzeit (Stunden, Tage, Wochen) zu Produktivitätseinbußen führen, da die Mitarbeiter nicht in der Lage sind, ihre Aufgaben zu erfüllen, was sich direkt auf den Umsatz und die Finanzen des Unternehmens auswirkt. Es kann nicht nur sein, dass Sie ein Lösegeld zahlen müssen, sondern Sie verlieren auch Geld durch entgangene Umsätze und alles, was Service-Ausfallzeiten mit sich bringen.
Die erste Maßnahme zur Verbesserung der Sicherheit besteht darin, eine vollständige Bewertung der aktuellen Infrastruktur des Unternehmens vorzunehmen, und zwar nicht nur aus technischer, sondern auch aus geschäftlicher Sicht. Das bedeutet, dass Sie untersuchen müssen, wo die Mitarbeiter arbeiten (im Büro, zu Hause, beides), welche Dienste geschäftskritisch sind und welche Sicherheitsmaßnahmen bereits vorhanden sind. Zusammenfassend lässt sich sagen, dass Sie sich ein Bild von der aktuellen Sicherheitslage machen sollten, um die Bereiche, in denen Handlungsbedarf besteht, besser identifizieren zu können. Jedes Unternehmen ist anders und hat andere Sicherheitsbedürfnisse, daher empfiehlt es sich, einen externen, zertifizierten Berater für Cybersicherheit zu beauftragen, um ein besseres, objektives Verständnis des aktuellen Zustands zu erhalten.
Ihre Sicherheitslage wird durch die Kombination aus den Bedürfnissen der Organisation und den Bedürfnissen der Endbenutzer bestimmt und durch die Unterstützung des Managementteams in Form von finanziellen Mitteln abgemildert. Ihre Gesamtsicherheit ist eine Teamleistung des gesamten Unternehmens. Die Endbenutzer müssen ihre Sicherheitspraktiken gewissenhaft anwenden, die Personalabteilung sollte jährliche Schulungen zur Cybersicherheit durchführen, die SOP des Betriebsteams sollten Cybersicherheitspraktiken enthalten, und das Managementteam muss Cyberangriffe als Bedrohung erkennen und die Bedürfnisse des Unternehmens unterstützen. Die Kosten für die Implementierung eines Sicherheitsprogramms verblassen oft im Vergleich zu dem Schaden für den Ruf, der Haftungsgefahr und den Umsatzeinbußen.
Es ist immer eine gute Idee, Ihre kritischen Infrastrukturen in regelmäßigen Abständen zu überprüfen und zu sehen, wo Sie Ihre Sicherheit verbessern und stärken können. In erster Linie sollten Sie sicherstellen, dass Ihre Mitarbeiter für die Reaktion auf einen Vorfall und die Wiederherstellung nach einem solchen geschult und vorbereitet sind, denn nur so können Sie die Sicherheit Ihrer Infrastruktur gewährleisten.
Umfassendere Informationen zur Verbesserung der Sicherheitslage finden Sie in unserem zweiteiligen Blogbeitrag über das "Security Maturity Model" (Teil 1 und Teil 2) sowie in unserem jüngsten Beitrag über Cybersicherheitsprodukte. Wenden Sie sich bei Fragen an das Team von ISEC7. Wir bieten Ihnen eine objektive Bewertung der Produkte, die den Anforderungen Ihres Unternehmens entsprechen, und/oder der Risikominderung, die zur Verbesserung Ihrer aktuellen Lösung erforderlich ist.
Erfahren Sie mehr über die Dienstleistungen und Lösungen von ISEC7.