Das Weltwirtschaftsforum (WEF) lieferte kürzlich einen Report zu relevanten Fragestellungen innerhalb der Corona-Krise ab. Aus dem Bericht wird deutlich, dass Cybersecurity inzwischen zu einem Thema von höchster Relevanz geworden ist. Wir studieren den Report genauer und folgen der Fragestellung, vor welche neuen Herausforderungen uns die Krise konkret gestellt hat.
Neue Ansprüche an Cybersecurity
Die vollständige Studie steht im WEF-Forum zum Download bereit. Vorab fand ein zugehöriger “Outlook” statt, der sich mit den Risiken und somit Ängsten befasste, vor die uns die Corona-Krise stellt. Zu den am meisten gefürchtetsten Folgen zählen:
- globale Rezession
- Konkurs-Gefahr
- Unterbrechung von Lieferketten
- Konsolidierung innerhalb ganzer Branchen
Ganze 350 Spezialisten stellten weitreichende Analysen sowie direkte Umfragen an. Der WEF Projektleiter im Bereich Cybersecurity sagte, dass COVID-19 nicht nur die allgemeine Angst, sondern leider auch die Kriminalität entsprechend erhöhte. So kam es beispielsweise seit Beginn der Krise zu einem Drittel mehr Betrugsfällen im Internet.
Mit einem Informationsfluss kommt also auch immer eine gewisse Gefahr einher. In unseren diversen themenbezogenen Blog-Beiträgen haben wir Sie unter anderem bereits über die Risiken von Phishing, Malware und Erpressungstrojanern informiert.
Hauptgrund für die geänderten Ansprüche an Cybersecurity ist allerdings das veränderte Arbeitsmuster. Wo digitale Sicherheitsstrukturen unternehmensintern meist noch relativ gut schützen, gelten oft nicht dieselben Massnahmen für die Arbeit im Homeoffice. Die Studie zeigt ausserdem, dass auch die Mitarbeiterzufriedenheit ein wesentlicher Faktor sein kann, sobald es um die Bereitschaft geht, betriebsinterne Daten an Unbefugte weiterzugeben.
Komplexes Arbeitsumfeld
Oft existieren bis auf ein paar grundlegende Vorgaben zur Arbeitsplatzgestaltung im Homeoffice keine erweiterten Sicherheitsbestimmungen. Viele Unternehmen verlassen sich so darauf, dass die bisherigen betrieblichen Regelungen vom Mitarbeiter auch in der Heimarbeit unverändert eingehalten werden. Die WEF-Studie zeigt insbesondere drei Trends, die automatisch neue Massstäbe an die Cybersecurity mitbringen.
- E-Commerce: Aufgrund örtlicher Geschäftsschliessungen boomte der Online-Handel. Unzählige Firmen planen entsprechende Schritte bereits fest in ihre Marketing-Strategien ein.
- Digitalisierung: Betriebe steigen um von “starren” auf mobile Anwendungen. So finden Dienstleistungen und Angebote von Desktops auch auf Endgeräte wie Smartphones.
- Cloud: Wer viel elektronisch verarbeitet, hat entsprechend erhöhten Speicherbedarf. Daher wechseln diverse Unternehmen von der internen Datenspeicherung vermehrt zu Cloud-Diensten.
Cybersecurity “Leadership Principles”
Mit den “Lessons learnt” will das WEF uns dabei unterstützen, zur Normalität zurückzufinden. Fünf Schritte sollen dazu dienen, sowohl neue Ansprüche an die eigene Cybersecurity zu setzen als auch diese effizient in die Realität umzusetzen.
1. Cyber-Resilience
WEF empfiehlt, eine Kultur für Cyber-Widerstandsfähigkeit zu erschaffen und zu fördern. So soll Cybersecurity ein fester Bestandteil von Unternehmen und dessen Geschäftspraktik werden. Dazu gehört unter anderem, Risiken und Bedrohungen zu überwachen und aufzuzeichnen (Monitoring). Auch die Einplanung eines eigenen Budget-Postens für Cybersecurity fällt darunter.
“Employees make decisions that can have as much impact on security…” lautet ein Zitat aus dem WEF-Report. Es besagt, dass Mitarbeiter auch im Themenfeld Cybersecurity relevante – und somit potenziell folgenschwere – Entscheidungen treffen. Das bedeutet allerdings nicht, den Mitarbeitern Befugnisse oder Rechte zu entziehen. Im Gegenteil: Alle Personen sollen fest in die Prozesse der Sicherheit eingebunden werden. Das macht zudem wieder einmal das Stichwort Sensibilisierung deutlich.
2. Focus on protecting
Dieser Abschnitt dreht sich insbesondere darum, kritische Strukturen, Dienste und Kapazitäten fachgerecht zu schützen. Es geht darum, Schwachstellen in der IT-Struktur aufzudecken und gezielt zu beheben. Auch der Zugriff ist von Belang. So sind Remote-Zugriffe beispielsweise besonders sicher zu gestalten, z.B. durch eine entsprechende Nutzer-Authentifizierung.
Die Automatisierung von bestimmten Prozessen ist ebenfalls ein Thema. Um bestehende Ressourcen und Budget so gezielt wie möglich einzusetzen, empfiehlt das WEF, künstliche Intelligenz (KI) und maschinelles Lernen (ML) genau dort zu platzieren, wo menschliches Versagen die grössten schädlichen Folgen haben könnte.
3. Balance der Cybersecurity
Für die Versorgungskette sollte laut WEF das sogenannte Zero-Trust-Modell gelten. Im dritten Absatz werden die Erschwernisse durch beispielsweise Open Source und die hohen Ansprüche an Cloud-Plattformen deutlich. Jede Entscheidung ist danach zu fällen, ob die erforderlichen Ansprüche erfüllt werden – und zwar bestenfalls ohne Abstriche.
Diese “decisions during the crisis and beyond” sollen helfen, sowohl während, aber auch nach der Krise ein sicheres Auftreten in Sachen Cybersecurity zu gewährleisten.
4. Update and practice
Aktualisierung und Übung – diese beiden Faktoren stehen für Kontinuitätsmanagement. Im Englischen auch kurz als “BCM” bekannt, befasst sich das Management damit, Kernprozesse auch in Krisenzeiten oder Notfällen am Laufen zu halten. Darunter fällt auch das Ziel, sich vom Ernstfall so schnell wie möglich wieder zu erholen.
Am besten funktioniert ein gutes BCM durch vorherige praktische Übungen. Das kann beispielsweise über Testfälle oder aber auch “Testpersonen” für Homeoffice-Arbeit geschehen.
5. Zusammenarbeit
Sowohl der öffentliche als auch der private Sektor sollen gemäss WEF ihre “collaboration”, also Zusammenarbeit, stärker ausbauen. “Nur zusammen sind wir stark” lautet ein altes Sprichwort, das es auch in Sachen Cybersecurity zu beherzigen gilt. Wenn eine Sensibilisierung (Awareness) ansteht, sollte die also für das gesamte Kollektiv und nicht nur einzelne Individuen gelten.
Nicht nur auf die “subscription” (Unterschrift), vor allem auf die aktive Beteiligung kommt es demnach an. Durch unsere alltägliche Arbeit sind wir ohnehin in der Regel schon weitreichend vernetzt. Als Beispiel entstanden in der Corona-Krise schon einige grosse Unternehmens-Zusammenschlüsse, die sich mit Cybersecurity befassen und ihre Erkenntnisse mit der Welt teilen.
