Cyber-Resilienz aus Sicht von Microsoft

Nach den jüngsten Ransomware-Ausbrüchen wollte ich wissen, wie sich in betroffenen Firmen die Einstellung zur Planung und Umsetzung von Maßnahmen geändert hat, die die Cyber-Resilienz verbessern. Daher bat ich das Detection and Response Team von Microsoft, mir von seinen Erfahrungen zu berichten. Dieses Team unterstützt unsere Kunden sowohl proaktiv als auch in Echtzeit dabei, auf Cyber-Angriffe zu reagieren und beeinträchtigte Geschäftsabläufe und Daten wiederherzustellen. Ich habe in diesen Post einige anonymisierte Kundenszenarien aufgenommen, von denen mir das Team erzählt hat und die darauf hindeuten, dass ein Plan für Cyber-Resilienz unerlässlich ist.

Warum Cyber-Resilienz wichtig ist

Organisationen rund um den Globus sind in hohem Maße von Technik abhängig. Zum Ende des ersten Quartals des laufenden Jahres 2017 gab es mehr als 3,7 Milliarden Internet-Nutzer weltweit, und diese Zahl wächst stetig. Mit zunehmender Verbreitung des Internets wächst auch die Angriffsfläche. Die aktuelle Bedrohungslage in puncto Cyber-Sicherheit ist eine ernsthafte Gefahr für Menschen und Vermögenswerte. Daher sollten Organisationen die Balance dabei finden, sowohl den Zugang zu Daten und Internet zu ermöglichen als auch das Risiko zu kontrollieren. Üblicherweise wählen Unternehmen für die Cyber-Sicherheit einen Ansatz, bei dem sie Tools und Technologien implementieren und Mitarbeiter für den Schutz und die Reaktion auf Vorfälle bereitstellen. Dies ist zweifelsohne wichtig. Die Umsetzung von Tools und Technologien für Cyber-Sicherheit dient aber vor allem dem Zweck, die Geschäftskontinuität zu gewährleisten. Unternehmen sollten sich auch auf strategischer Ebene zur Gesamtsituation Gedanken machen, wie sich ihre kritischen Systeme, die IT-Infrastruktur und die Rechenzentren so verstärken lassen, dass sie im Falle menschlichen Versagens und bei Cyber-Bedrohungen, die zu Ausfallzeiten führen, widerstandsfähig bleiben. An diesem Punkt kommt eine Strategie für Cyber-Resilienz ins Spiel: Organisationen müssen eine solche Strategie ausarbeiten und ein zugehöriges Programm umsetzen, das speziell auf ihre geschäftlichen Anforderungen zugeschnitten ist, um bei einem Sicherheitsvorfall die Geschäftskontinuität zu gewährleisten.

In der Studie „State of Cybersecurity and Digital Trust“ von Accenture sagen zwar 75 Prozent der Befragten, sie wären hinsichtlich ihrer Abwehrkraft sehr zuversichtlich. Allerdings geben nur 37 Prozent an, sie hätten Vertrauen in die Fähigkeit ihres Unternehmens, Verstöße aufzudecken. 36 Prozent der Befragten geben an, dass sie der Fähigkeit ihres Unternehmens vertrauen, Unterbrechungen zu minimieren. Laut Gartner belaufen sich die durchschnittlichen Kosten bei Ausfallzeiten auf 5.600 US-Dollar pro Minute – mehr als 300.000 US-Dollar pro Stunde. Menschliches Fehlverhalten führt am häufigsten zu Ausfallzeiten. Einige Studien gelangen zu der Schlussfolgerung, dass menschliches Fehlverhalten für 75 Prozent aller Ausfallzeiten ursächlich ist.

Angesichts der Tatsache, dass Unternehmen mehr denn je von IT abhängig sind, ist Business Continuity and Disaster Response (BCDR) eine wichtige Komponente des gesamten Unternehmens – und kein Problem, das nur IT-Teams betrifft. Jedes Unternehmen muss für den Umgang mit Ausfällen vorbereitet sein, die durch unvorhergesehene Ereignisse verursacht werden. Ein Ausfall kritischer Anwendungen und Dienstleistungen könnte zu einem Produktions- und Betriebsstopp, Einnahmeausfällen und einem Vertrauensverlust der Kunden in das Unternehmen führen. Ein durchdachter, effektiv umgesetzter Cyber-Resilienzplan kann dazu beitragen, dass die Computersysteme, die IT-Infrastruktur und die Rechenzentren von Unternehmen den Auswirkungen von Cyber-Angriffen und von menschlichem Fehlverhalten widerstehen können.

Cyber-Resilienz-Szenarien

Immer wieder hört man von Unternehmen, die Cyber-Angriffe und/oder Datenverluste erlitten haben. Wer eine Strategie entwickelt und Maßnahmen zum Ausbau der Cyber-Resilienz ergreift, ist eher in der Lage, Schäden durch derartige Vorfälle gering zu halten und Kosten zu reduzieren, die für die Wiederherstellung anfallen.

Beispiel 1 – Ransomware infiziert zahlreiche Unternehmen weltweit:

Jüngste Ransomware-Attacken in der ersten Hälfte des Jahres 2017 haben gezeigt, wie wichtig es ist, auf kritische IP, Systeme und Infrastruktur selbst dann zugreifen zu können, wenn sie durch Ransomware gesperrt werden. Die WannaCry-Ransomware hatte Auswirkungen auf zahlreiche Branchen und Unternehmen in aller Welt, sogar auf Werke der Automobilindustrie, die für eine gewisse Zeit die Produktion ruhen lassen mussten. Die Motivation für die Angriffe mag ganz unterschiedlich gewesen sein – unbestritten ist, dass sie zu Ausfallzeiten für die betroffenen Unternehmen geführt haben, und die Wiederherstellung war kostspielig.

Ransomware kann also jede Art von Unternehmen treffen. Um das Ausmaß der Schäden bei einem solchen Vorfall zumindest zu begrenzen, empfiehlt es sich, Computersysteme kontinuierlich zu patchen und auf dem neuesten Stand zu halten, Daten regelmäßig zu sichern, umfassend getestete Notfallpläne anzulegen und sowohl die eigenen Mitarbeiter als auch die Auftragnehmer zum Thema Cyber-Angriffe (wie Phishing und Ransomware) zu schulen.

Beispiel 2 – Datenverluste beeinträchtigen nach wie vor die US-amerikanische Gesundheitsbranche:

Cyber-Angriffe beeinträchtigen weiterhin messbar die Gesundheitsbranche, da Cyber-Kriminelle medizinische Daten, zu denen sie sich Zugang verschafft haben, nutzen könnten, um daraus durch Betrug oder Identitätsdiebstahl Gewinn zu schlagen. Auch enthalten personenbezogene Daten häufig Informationen zur Krankengeschichte des Patienten, die für gezielte „Spear Phishing“-Angriffe genutzt werden könnten. Mit Stand vom 9. August 2017 wurde auf der – häufig als „Wall of Shame“ (Schandmauer) bezeichneten – Website des HIPAA Breach Reporting Tools des US-Gesundheitsministeriums die Zahl der Datenschutzverletzungen seit dem Jahr 2009 mit 2.018 beziffert. Die Zahl der von Datenschutzverletzungen im Gesundheitswesen Betroffenen ist in den letzten Jahren explosionsartig gestiegen: von 31,5 Millionen am 30. Mai 2014 auf rund 175 Millionen am 9. August 2017.

Aus diesen Trends und Statistiken lassen sich drei wesentliche Erkenntnisse ableiten: Zunächst einmal müssen Mitarbeiter und Patienten im Gesundheitswesen auf verdächtige Kommunikation (wie betrügerische oder Phishing-E-Mails) achten und ihre IT-Organisation darüber in Kenntnis setzen. Sie sollten Identitätsdiebstahl nach Möglichkeit erkennen können. Auch sollten personenbezogene Gesundheits- und Identifikationsdaten nur dann offenbart werden, wenn eine ausdrückliche Notwendigkeit dafür gegeben ist (beispielsweise wenn Patienten für eine medizinische Untersuchung oder einen Eingriff einen Identitätsnachweis erbringen müssen). Und schließlich lassen sich die Auswirkungen einer Exposition besser in Schach halten, wenn Datenklassifizierungs- und -schutzlösungen eingesetzt werden, die sensible Informationen während ihres gesamten Lebenszyklus absichern.

Beispiel 3 – Menschliches Versagen führte zur Offenlegung von Kundendaten bei einem Finanzdienstleister:

Zwar ergreift die Branche für Finanzdienstleistungen und das Bankwesen im Vergleich zu anderen Branchen deutlich strengere Überwachungs- und Kontrollmaßnahmen, was ihre Infrastruktur und ihre Daten angeht, aber trotzdem ist auch diese Branche immer wieder von Datenverlust betroffen. Anfang 2017 machte ein Finanzdienstleistungsunternehmen versehentlich eine Datenbank mit sensiblen Informationen Tausender seiner Kunden öffentlich zugänglich. Das Unternehmen gab an, der Vorfall sei auf menschliches Versagen eines externen Anbieters zurückzuführen gewesen.

Das zeigt deutlich, dass Unternehmen unbedingt allen Auftragnehmern, die Zugang zu ihrem Netzwerk und zu ihren Daten haben, streng Rechenschaftspflicht auferlegen müssen. Diese Problematik trat beispielsweise beim Ausbruch der Petya-Ransomware zutage, denn eine der Ursachen der Krise war, dass sich externe Auftragnehmer nicht an die Cyber-Sicherheitsrichtlinien des Unternehmens gehalten hatten.

Überlegungen zu einem Cyber-Resilienz-Programm

Damit Computersysteme, IT-Infrastruktur und Rechenzentren Beschädigungen aufgrund von menschlichem Versagen, Cyber-Bedrohungen und Cyber-Angriffen besser widerstehen können, empfehlen wir Unternehmen, ein Cyber-Resilienz-Programm zu erarbeiten, das sich auf eine Kombination aus Menschen, Prozessen und Cloud-Diensten stützt.

Menschen:

Jede Person, die Zugang zum Unternehmensnetzwerk hat, vom Vollzeitmitarbeiter bis zum Berater und Auftragnehmer, sollte regelmäßig geschult werden, um eine cyber-resiliente Einstellung zu entwickeln. Hierzu gehört nicht nur die Einhaltung der IT-Sicherheitsrichtlinien im Zusammenhang mit einer identitätsbasierten Zugangskontrolle. Die Betreffenden müssen auch die IT bei verdächtigen Ereignissen und Infektionen schnellstmöglich warnen, um die Zeit bis zur Wiederherstellung nach Kräften zu minimieren.

Prozesse:

Unternehmen sollten die Umsetzung mehrerer Prozesse erwägen, um sich cyber-resilient aufzustellen. Einige davon können als IT-Sicherheitsrichtlinien implementiert werden. In der nachstehenden Tabelle werden derartige Prozesse vorgeschlagen.

Cloud-Dienste:

Um die Cyber-Resilienz aufrechtzuerhalten, müssen die vorgeschlagenen Prozesse regelmäßig durchgeführt werden. Dabei sollte einerseits die Risikobereitschaft des Unternehmens berücksichtigt werden, andererseits seine Fähigkeit, die Prozesse durch eine Kombination aus menschlichen Anstrengungen und technologischen Produkten und Dienstleistungen umzusetzen.

Glücklicherweise können cloud-basierte Architekturen verwendet werden, um eine lokale Infrastruktur schnell wiederherzustellen oder ein Failover zu einer gespiegelten Infrastruktur durchzuführen. Bei der Entscheidung zugunsten von Cloud-Diensten sollte unbedingt geprüft werden, wie der Provider seine Bewertungen durchführt. Audits und Zertifizierungen Dritter können ein Zeugnis zu seiner Leistung abgeben.

Cloud-Dienste wie Microsoft Azure und Office 365 können zumindest als erster Schritt dienen, um Unternehmen in puncto Cyber-Resilienz auf Vordermann zu bringen.

Partnerschaftliche Zusammenarbeit von Microsoft mit dem Ökosystem

Cyber-Resilienz ist kein Thema, das wir alleine angehen können. Unser Anliegen ist es sicherzustellen, dass unsere Produkte zu der Technologie passen, die unsere Kunden bereits verwenden. Microsoft fördert ein lebhaftes Partner-Ökosystem, das uns hilft, die Standards der ganzen Branche hochzuschrauben. Über unser Technologiepartner-Netzwerk können wir unseren Kunden proaktive Tools zur Bekämpfung von Sicherheitsrisiken bieten sowie Lösungen mit einer Vielzahl von Features wie Anwendungsfirewall und Bedrohungserkennung. Wir arbeiten auch eng mit Kunden und Normungsgremien der Industrie zusammen, um die konkreten Cyber-Resilienz-Bedürfnisse der Kunden besser erfüllen und Branchenbestimmungen einhalten zu können. Microsoft arbeitet bereits seit geraumer Zeit mit dem Center for Internet Security (CIS) zusammen, um nachzuweisen, dass seine Betriebssysteme und in jüngster Zeit auch seine Cloud-Plattform Azure vor Cyber-Bedrohungen geschützt sind. Microsoft arbeitet aktuell darauf hin, dass Azure die Benchmark-Anforderungen des CIS erfüllt. CIS-Benchmarks sind die einzigen konsensbasierten, bewährten Leitfäden zur Sicherheitskonfiguration, die von Politik, Wirtschaft, Industrie und Wissenschaft entwickelt wurden und akzeptiert werden. Darüber hinaus arbeitet Microsoft aktiv daran, seine Angebote an den Empfehlungssatz der SANS Critical Security Controls anzupassen, der von Unternehmen verwendet wird, um sich gegen die wichtigsten realen Bedrohungen der heutigen Internetwelt zu wappnen.

Zusammenfassung

Ein Cyber-Resilienz-Programm zu entwickeln und umzusetzen ist kein leichtes Unterfangen – kein Ziel, sondern ein Prozess. Einem Unternehmen wird dabei Fokussierung und stetes Engagement abverlangt. Wenn Sie weitere, ausführlichere Orientierung zu diesem Thema wünschen, sei auf ein diesbezügliches Weißbuch verwiesen, das noch dieses Jahr veröffentlicht werden soll.