Vier Pfeiler bieten Schutz vor Cyberbedrohungen

Lange galten in der öffentlichen Wahrnehmung vor allem grosse Konzerne und Banken als typische Ziele für Hackerattacken. Dabei warnen IT-Security-Experten schon lange auch andere Unternehmen davor, sich zu sehr in Sicherheit zu wiegen. Auch MELANI, die Melde- und Analysestelle Informationssicherung des Bundes, warnt immer wieder vor Cyberangriffen. War in den letzten Jahren diesbezüglich wenig geschehen, hat sich das Bild 2019 drastisch geändert: Seit Jahresbeginn vermelden die Medien immer mehr aufsehenerregende, gezielte Hacking-Attacken auf hiesige Firmen. Die tatsächliche Anzahl betroffener Unternehmen ist jedoch weitaus grösser. Ziele wurden schon Spitäler, Gebäudetechnikspezialisten und nicht zuletzt diverse Grossisten.

Als Outsourcing-Anbieterin von Informatiklösungen für Schweizer Kranken- und Unfallversicherer war die Centris schon immer um die Sicherheit ihrer Systeme besorgt. Schliesslich beherbergt und verarbeitet das Unternehmen Daten von diversen Kunden auf seinen Plattformen. Um sich der ständig wandelnden Bedrohungslage anzupassen, überprüft und erweitert die Centris deshalb kontinuierlich ihr Sicherheitsdispositiv.

2017 formulierte die Geschäftsleitung ihre Ziele für eine Überarbeitung der Sicherheitsstrategie. Das neue Dispositiv sollte umfassend sein und sowohl die Geschäftsstrategie als auch alle technischen und betrieblichen Aspekte beinhalten. Das unvermeidbare Restrisiko sollte durch eine geeignete Versicherungspolitik abgedeckt werden.

Aufgrund dieser Vorgaben hat die Centris eine integrale Sicherheitslösung ausgearbeitet, die auf vier Pfeilern beruht:

Das technische Dispositiv für den Schutz der Systeme und Daten sieht eine frühzeitige Erkennung von möglichen Angriffen vor. Dazu wurden verschiedene Sensoren in die Infrastruktur eingebaut, die den Traffic laufend auf Auffälligkeiten hin untersuchen. Überwacht werden die Analysedaten der Sensoren von einem Security-Operation-Center (SOC), das sich aus IT-Sicherheits- und Netzwerkspezialisten zusammensetzt. Schlagen die Sensoren aufgrund verdächtiger Vorgänge in den untersuchten Parametern Alarm, wird das SOC aktiv und analysiert diese. Darauf leitet es als Reaktion Abwehrmassnahmen ein, um die Auswirkungen des Angriffs auf das Unternehmen einzudämmen und Schäden zu verhindern.

Damit es bei einem Angriff zu keinem Stillstand kommen kann, hat die Centris einen Business-Continuity- Service aufgebaut, der bei einem Ausfall die Möglichkeit bietet, auf alternative Systeme und Standorte auszuweichen. Heutige Angriffe haben oft noch lange negative Auswirkungen, weil befallene Systeme identifiziert, gesäubert und wieder neu aufgesetzt werden müssen. Bei komplexen Systemen kann dies Wochen und Monate dauern. Eine Business-Continuity-Lösung vermag es, solche unproduktive Downtime weitgehend zu vermeiden.

Kann das SOC den Angriff nicht eindämmen und es kommt zum Schadensfall, wird der Vorfall eskaliert und eine Taskforce oder gar eine Krisenorganisation übernimmt im Rahmen der Business-Continuity die Leitung. Eine krisenerprobte Führung, bei der interne Abläufe und externe Kommunikation eingeübt sind, ist absolut zentral bei der Bewältigung von Cyberattacken. Das SOC wird in diesem Fall in das nun zuständige Gremium integriert und steht diesem beratend zur Seite. Für den Ernstfall stehen Notfallpläne bereit, in denen festgehalten wird, wie vorgegangen werden muss und wer welche Rolle zu übernehmen hat. Um dabei einen reibungslosen Ablauf zu garantieren, müssen alle Teilnehmer intensiv geschult und die Pläne immer wieder geübt werden.

Schliesslich kann trotz intensivster Vorbereitung und Planung ein Restrisiko nie ausgeschlossen werden. Viele Unternehmen glauben noch immer, dass die Schäden durch Hackerattacken mit ihren herkömmlichen Versicherungen gedeckt seien. Das ist ein Irrtum, der schnell ins Geld gehen kann. In Zusammenarbeit mit der Funk Insurance Brokers AG hat die Centris einen Versicherungsschutz für alle Cyberrisiken abgeschlossen. Dazu hat der Broker zunächst ein eingehendes Assessment aller Risiken durchgeführt und anschliessend ein Portfolio mit geeigneten Versicherungsprodukten massgeschneidert.

Beim Aufbau des neuen Schutzdispositivs wählte die Centris ein pragmatisches Vorgehen. Zunächst wurden die vier wichtigsten Anwendungsfälle definiert und die für diese relevanten Systeme identifiziert und ins Dispositiv eingebunden. Nach den ersten Erfahrungen wurden schrittweise weitere Anwendungsfälle und Systeme einbezogen. Aufgrund dieser Vorgehensweise konnte die Centris ihren Kunden früh konkrete Ergebnisse und Resultate – etwa ein Dashboard, Statistiken zu den Events und ähnliches – präsentieren und sie damit von der Lösung überzeugen.

Erleichtert hat die Umsetzung der Umstand, dass die Centris bereits grossen Wert auf eine gründliche «Systemhygiene» gelegt hat: Sämtliche Assets (Systeme und Daten) wurden schon früher genau dokumentiert und in Sicherheitszonen eingeteilt. Dadurch konnten die besonders kritischen und schützenswerten Systeme schnell identifiziert und priorisiert werden. Der Aufbau der neuen Sicherheitslösung erfolgte deshalb rasch und mit wenigen Personen. Gleichfalls können bei einem Angriff die relevantesten Systeme mit wenigen Verteidigern geschützt oder wiederhergestellt werden.

Die grösste Herausforderung bei der Umsetzung der neuen Sicherheitsstrategie stellte denn auch die Verfügbarkeit von IT-Sicherheits- und Netzwerkspezialisten dar. Die Centris entschied sich deshalb für eine Partnerschaft mit dem Baarer Security-Dienstleister InfoGuard. Dank dieser Partnerschaft stehen jederzeit Experten mit dem aktuellsten Know-how und internationaler Vernetzung zur Verfügung. Im Notfall, wenn jede Minute über riesige Verluste entscheidet, kann zudem schnell eine grosse Zahl von Spezialisten eingesetzt werden. Für die Centris allein wäre der Unterhalt einer kritischen Masse von Cyber-Experten wirtschaftlich nicht tragbar.

Als Sicherheitspartner wurde InfoGuard auch von Beginn weg in die Umsetzung einbezogen. Auf diese Weise konnten die Experten gleich die Gegebenheiten kennenlernen und Feedback geben. Das zusammen erarbeitete Wissen und das daraus entstandene Vertrauen sind Grundlage für die gemeinsame Arbeit im Security-Operation-Center.

Im Juli 2019 nahm das SOC der Centris den Betrieb auf. Seither hat es jeden Monat diverse Sicherheitsmeldungen und Alarme bearbeitet. Die dabei angehäufte Erfahrung wird dazu genutzt, die Abläufe und Prozesse zwischen den Partnern weiter zu verbessern und die Widerstandsfähigkeit des Services insgesamt zu steigern. Zudem wird das Dispositiv kontinuierlich der sich weiterhin wandelnden Bedrohungslage angepasst und erweitert.

Herkömmliche Sicherheitslösungen beschränken sich in der Regel auf die Systemüberwachung und lassen die Anwender bei einem erfolgreichen Angriff auf sich alleine gestellt. Die neue Sicherheitsstrategie der Centris mit den vier Pfeilern Schutz, Reaktion, Überlebensfähigkeit und Mitigation hingegen bietet einen umfassenden Schutz, der über den markt- und branchenüblichen Standard hinausgeht.