Immer wenn es bei einem wichtigen Unternehmen einen neuen Sicherheitsvorfall gibt, geht man davon aus, dass er aus folgenden Gründen erfolgreich war: entweder aufgrund der technischen Raffinesse der Attacke oder weil die Angreifer ihr Opfer über einen langen Zeitraum durch Footprinting ausspionierten und das schwächste Glied in der Sicherheitskette gefunden hatten.
Tatsächlich sind Sicherheitsvorfälle eine direkte Folge eines schlecht konfigurierten Cloud-Gateways zwischen den lokalen und den öffentlichen Cloud-Infrastrukturen und mangelnder Authentifizierungsmethoden. Teilweise treten sie sogar auf, weil jemand in der Organisation beschlossen hat, dass das Unternehmen „nicht wichtig genug“ sei, um von Angreifern als wertvolles Ziel betrachtet zu werden.
Es gibt ein paar häufige Missverständnisse bei der Unternehmenssicherheit, die oft schlimme Folgen sowohl für die Privatsphäre des Kunden als auch für Unternehmensdaten haben. Wenn Sie unter den folgenden sieben Trugbildern zumindest eines erkennen, für das Sie selbst anfällig sind, dann ist es vielleicht Zeit, Ihre Unternehmenssicherheit, Praktiken und Überzeugungen zu überprüfen.
- Sie sind nicht wichtig genug, um angegriffen zu werden
Dies ist wahrscheinlich einer der häufigsten Gedanken, an dem sich Unternehmen festhalten: Sie glauben, dass ihre Daten nicht wertvoll genug seien, um den Aufwand eines Angriffs zu rechtfertigen. Nichts könnte weiter von der Wahrheit entfernt sein, denn jede Art von Daten – von HR-Einträgen bis zu Abrechnungsbelegen und sogar Telemetrieinformationen – könnte möglicherweise in größeren Spearphishing-Attacken oder Social-Engineering-Konzepten verwendet werden.
Die bisherigen Gewohnheiten ändern sich aufgrund der aktuellen Berichterstattung zu Cyberangriffen und Datenverlusten bei Firmen. So haben kleine Unternehmen begonnen, Bedenken über ihre aktuellen Sicherheitsmechanismen zu äußern. Rund 60 Prozent haben sich laut aktuellen Veröffentlichungen ernsthafte Maßnahmen zur Minderung potenzieller Bedrohungen vorgenommen.
- Öffentliche Cloud leichter zu verletzen – Cloud-Anbieter für die Sicherheit verantwortlich
Die öffentliche Cloud wird als unsicher und als anfällig für eine Vielzahl von Angriffen, die auf den Diebstahl von persönlichen und sensiblen Daten zielen, betrachtet. Die Wahrheit ist jedoch, dass es oft an den Sicherheitsexperten liegt, dass die Cloud-Umgebungen und -Anwendungen nicht richtig konfiguriert werden. So sind diese potenziellen Angriffen ausgesetzt.
Obwohl es immer einfacher ist, jemand anderen für Sicherheitsmängel zu beschuldigen, sind es in der Regel die öffentlichen Cloud-Anbieter, die für Schwachstellen verantwortlich gemacht werden – trotz der breiten Palette an Sicherheitswerkzeugen und -lösungen, die sie anbieten. Ihre Verantwortung liegt vor allem darin, sicherzustellen, dass die IT-Infrastruktur und -Applikationen mit einem Minimum an Stillstandzeiten immer betriebsbereit sind.
Der Endnutzer (oder in diesem Fall das Unternehmen), der die öffentliche Cloud verwendet, sollte alles Mögliche tun, um diese Daten zu sichern und zu schützen, wobei auch Sicherheitsmechanismen zur Verhinderung von unerlaubtem Zugriff einzurichten sind.
- Passwortstärke ist entscheidend
Mehr als 44 Prozent der Verbraucher nutzen das gleiche Passwort für mehrere Konten. Studien haben sogar gezeigt, dass sie auch doppelte Kennwörter für fast drei Viertel ihrer Konten einsetzen. Obwohl in der Unternehmenswelt eine starke Authentifizierung oft als eine bewährte Sicherheitspraxis betrachtet wird, können die Zugangsdaten auf kritische Systeme ohne mehrstufige Authentifizierung leicht verloren gehen.
Zu glauben, dass ein einziges, genügend starkes Passwort Eindringlinge fernhalten kann, ist wiederum ein weiteres Missverständnis für die ausreichende Sicherheit von Daten. Im Zusammenhang mit der Sicherung von Cloud-Daten ist die Passwortstärke gemeinsam mit der mehrstufigen Authentifizierung unerlässlich bei der Härtung des Zugangs zu unverzichtbaren Systemen, Anwendungen und kritischen Ressourcen.
- Antivirus und Firewalls sind kugelsicher
Mehr als 62 Prozent der IT-Experten glauben, dass herkömmliche Sicherheitslösungen zu viele False Positive-Meldungen erzeugen, und 38 Prozent, dass zu viele unbestätigte Daten gesammelt werden, laut dem Marktforschungsunternehmen Enterprise Management Associates (EMA).
Firewalls und Sicherheits-Software sind die nötigsten Maßnahmen für den Schutz Ihres Netzwerks und Ihrer Daten. Glauben Sie aber nicht, dass nur deren Einsatz auf Ihrer Infrastruktur ausreicht, um alle komplexen Bedrohungen oder Angriffe abzuwehren. Die heutigen Bedrohungen sind weitaus komplexer und die Angriffsfläche wurde erweitert, um alles von einfachen Daten-stehlenden Malware-Trojanern bis zu Ransomware und Advanced Persistent Threats zu umfassen, die über jede Art von Gerät, das an das Firmennetz angeschlossen ist, eindringen können.
Neue Bedrohungen weisen nicht nur Morphismus-Funktionen auf, die es höchst unwahrscheinlich machen, dass die traditionellen Sicherheitslösungen den Schadcode entdecken, sondern sie nutzen auch ungepatchte Sicherheitslücken in der Software, um kritische Systeme zu befallen. Ein mehrschichtiger Ansatz zur Sicherheit sollte viel mehr Sicherheitsanalytik enthalten, um neue oder unbekannte Bedrohungen zu entdecken oder darauf entsprechend zu reagieren.
- Eine Universallösung gegen gezielte Angriffe
Dies geht Hand in Hand mit dem bislang oft falschen Glauben, dass alles, was Unternehmen tun müssen, einfach die Einhaltung von Best Practices ist, damit die Unternehmensdaten sicher sind. Obwohl es sehr ratsam ist, bewährte Vorgehensweisen zu beachten, lässt sich die Abwehr und Abmilderung heutiger Bedrohungen nur durch die Einführung mehrerer Sicherheitsmechanismen und die Korrelation aller relevanten Informationen erreichen.
Es gibt keine einzelne Lösung, die vor gezielten Angriffen schützen kann, denn Hacker verbringen einen großen Teil der Zeit damit, den idealen Punkt zu entdecken, an dem die Sicherheitskette am schwächsten ist. Daher sollte das Konzept der Universallösung eher auf eine Vielzahl von Lösungen erweitert werden. Dies bedeutet, dass zahlreiche und vielfältige Sicherheitstechnologien zusammenwirken müssen, um die Kosten eines Angriffs zu erhöhen.
- Software-Updates und Patches verhindern Angriffe
Obwohl für mehr als 35 Prozent der Sicherheitsexperten die Installation von Software-Updates eine ihrer Top-Sicherheitspraktiken ist, laut Google Research, nutzen gezielte Angriffe in der Regel Software-Schwachstellen aus, für die bereits seit einiger Zeit Patches veröffentlicht wurden.
Auch wenn die Installation der neuesten Updates und Patches die potenziellen Risiken reduziert, dass Angreifer bekannte Schwachstellen ausnutzen, gibt es doch auch andere Herausforderungen, zum Beispiel den Aspekt der rechtzeitigen Bereitstellung dieser Updates im gesamten Unternehmen – nicht erst nach ein paar Monaten – sowie das Risiko, dass Angreifer noch nicht bekannte Schwachstellen – so genannte Zero-Day-Schwachstellen – ausnutzen, um ein bestimmtes Unternehmenssystem oder einen Endpunkt zu kompromittieren.
- Fehlende Sicherheitsfunktionen
Während einige Unternehmen vielleicht argumentieren, dass Sicherheitslösungen nicht die richtigen Funktionen für die Gewährleistung und Durchsetzung des Angriffsschutzes besitzen, gilt das Problem der Untergrabung durch unbedachte Mitarbeiter als einer der Gründe, warum interne Unternehmensdaten geschmuggelt werden und die innere Sicherheit verletzt wird. Wenn nicht die passenden Beschränkungen und Richtlinien eingesetzt wurden, um Benutzer von der Installation oder Verwendung von Werkzeugen abzuhalten, die nicht von der IT genehmigt wurden, kann das zu Sicherheitsvorfällen führen oder sogar die Tür für Angreifer öffnen.
Anbieter von Sicherheitssoftware zu beschuldigen, ist oft die gängige Praxis bei der Schuldzuweisung für sicherheitsrelevante Zwischenfälle, obwohl das Problem in der Regel bei den internen Verfahren und Praktiken liegt. BYOD-Strategien sind besonders anfällig für Sicherheitsverstöße, wenn man berücksichtigt, dass mehr als 74 Prozent der Organisationen den Mitarbeitern erlauben, ihre persönlichen Geräte an das Netzwerk und die Ressourcen des Unternehmens anzuschließen, oder dies planen, so eine Studie von Tech Pro.
Zusammenfassung
Obwohl es schwer zu akzeptieren ist, müssen Unternehmen Verantwortung für Sicherheitslücken übernehmen, das Paradigma von Schuldzuweisungen zu einer proaktiven Gestaltung von Incident Response-Plänen verändern und herausfinden, welche ihre wichtigsten Assets sind, die geschützt werden müssen.
Die benötigte geistige Disziplin, um zu vermeiden, dass man den oben genannten Sicherheits-Missverständnissen zum Opfer fällt, sollte nicht so schwer aufzubringen sein, vor allem, wenn Sie den Wert sowohl Ihrer Kunden- als auch Ihrer Unternehmensdaten schätzen.