Incident Response – der Schlüssel zur Cyber Security

Durch die fortschreitende Digitalisierung von Geschäftsprozessen sind IT-Systeme essentiell für ein Unternehmen. Der Schutz von Netzwerken und Unternehmenswerten wird aber immer schwieriger; insbesondere vor anspruchsvollen Attacken, die durch herkömmliche Sicherheitssysteme nicht mehr erkannt werden. Daher muss heutzutage davon ausgegangen werden, dass die eigenen Systeme bereits infiltriert sind ‒ oder, dass man nächstens Opfer einer Attacke wird.

Ein Sicherheitsvorfall (engl. Security Incident) kann das betroffene Unternehmen empfindlich treffen und liegt vor, wenn die Vertraulichkeit, Integrität oder Verfügbarkeit eines Informationswertes verletzt wird. Finanzieller Schaden und Reputationsverlust gehören dabei noch zu den «leichteren» Folgen. Und so gilt es, die eigenen Abwehrkräfte gegen Cyberattacken gezielt zu stärken.

Cyber Resilience bedeutet aber nicht, Risiken gänzlich auszuschliessen. Das ist heutzutage ohnehin unmöglich. Umso mehr ist der Aufund Ausbau zielgerichteter Massnahmen zur Stärkung der Widerstandskraft gegen Cyberattacken unabdingbar. Den Fokus nur auf präventive Massnahmen zu legen, ist definitiv zu kurz gegriffen. Ein systematischer Sicherheitsansatz, der sowohl das Risikomanagement, den Schutz der Informationen, die Erkennung und Reaktion auf Sicherheitsvorkommnisse sowie die Wiederherstellung und Optimierung berücksichtigt, ist das A und O einer erfolgreichen Cyber Security-Strategie. Unternehmen können und müssen sich auf Cyberattacken vorbereiten. Dabei kann man sich aber nicht mehr nur auf (immer) höhere ICT-Sicherheitsmauern verlassen. Der Trend geht klar in Richtung einer intensiveren Überwachung von Sicherheitssystemen und der Erkennung von Vorfällen, wie es auch das NIST Cyber Security Framework empfiehlt. Es braucht neue Sicherheitsansätze, bei welchen die Detektion im Vordergrund steht und die Reaktion auf Angriffe (Incident Response) ein wesentlicher Bestandteil der IT-Prozesse ist – und zwar mit einem anderen Ansatz als dem herkömmlichen. Nämlich mit agieren, statt reagieren.

Da sich Sicherheitsvorfälle nicht mehr ausschliessen lassen, wird Incident Response immer wichtiger. Als Incidents sind dabei Voroder Störfälle gemeint, die sich bei nicht angemessenen Reaktionen zu einem Desaster entwickeln können. Dazu gehören Datensicherheitsverletzungen, DoS-/DDoS-Attacken, Lücken oder Schwachstellen in IT-Systemen, Ausbrüche von Viren oder Malware sowie Bedrohungen durch Insider. Diese Aufzählung ist jedoch bei weitem nicht abschliessend. Kommt es im Unternehmen zu einem solchen Sicherheitsvorfall, muss man dies so schnell wie möglich erkennen. Die Einschätzung der Art und des Schweregrads ist unabdingbar, damit angemessen darauf reagiert werden kann.

Bahnt sich beispielsweise ein Virus den Weg in das Unternehmensnetzwerk, würde man dies anfänglich wohl als einen Vorfall behandeln. In dem Fall nimmt man an, dass sich das Problem schnell mithilfe entsprechender Software-Tools und Security-Techniken adressieren lässt. Sollte der Virus Ursache für einen gross angelegten DoS-Angriff sein, wird der Vorfall schnell zu einem Desaster. Wahrscheinlich wäre die Geschäftstätigkeit sogar komplett unterbrochen. Ein gut organisiertes Incident Response-Team mit einem detaillierten Plan kann helfen, die Auswirkungen einer solch ungeplanten Situation zu minimieren.

Ohne ein entsprechendes CSIRT (Cyber Security Incident Response-Team) entdecken Unternehmen Angriffe möglicherweise gar nicht oder zu spät. Somit können sie nicht angemessen auf die Bedrohungen reagieren. Ein dediziertes Incident Response-Team mit den entsprechenden Hilfsmitteln ist
deshalb unabdingbar. Aber auch die Wiederherstellung nach einem Vorfall ist ohne einen Incident Response-Plan oftmals problematisch. Die Security Incident Response kann durch einen generischen, aus sechs Phasen bestehenden Prozess erfolgen. Auch Organisationen wie SANS oder NIST empfehlen diesen Ansatz:

Cyberattacken lassen sich nicht verhindern. Deshalb ist die Erkennung, Analyse und Abwehr von Cyberangriffen umso wichtiger. Ein dediziertes Incident Response-Team in einem Cyber Defence Center hilft einem Unternehmen, die Dauer eines Sicherheitsvorfalls und den dadurch verursachten Schaden zu minimieren sowie den Business Impact drastisch zu reduzieren. Cyber Defence ist eine anspruchsvolle Arbeit – und geht weit über Netzwerk-Monitoring hinaus. Deshalb empfiehlt es sich, professionelle Hilfe beizuziehen. So sind Unternehmen den Cyber Security Incidents nicht schutzlos ausgeliefert und profitieren gleichzeitig von der Erfahrung und den Erkenntnissen aus anderen Sicherheitsvorfällen. Dies hilft schlussendlich, die Cyber Resilience zu stärken sowie den Schutz der Unternehmenswerte zielgerichtet und nachhaltig zu verbessern.