Angesichts der verrückten Sicherheitslage, in der wir uns befinden, mag es seltsam erscheinen, zu behaupten, ein Technologieunternehmen sei zu gut in Sachen Sicherheit. Wie kann man bei etwas, das für die Sicherheit und operative Widerstandsfähigkeit von Unternehmen und Staaten entscheidend ist, zu gut sein?
Sicherheit ist in dieser Hinsicht seltsam. Ich bin in der Sicherheitsbranche aufgewachsen – meine Familie besaß, als ich ein Kind war, eines der größten Sicherheitsunternehmen der Technologiebranche. Ich arbeitete verdeckt für Pinkerton’s Security, als Deputy eines Sheriffs. In einigen Positionen bei Entwicklungs- und Analystenhäusern unterstanden mir Sicherheitsteams und Analysten. Ich arbeitete als Sicherheitsprüfer. Kurz gesagt: Ich kenne mich mit Sicherheit aus und nehme sie sehr ernst. Das Problem im Fall von HP ist, dass Käufer Sicherheit nicht ernst genug nehmen – und das lässt sich wahrscheinlich allgemein über Hardwarekäufer sagen.
Bei Sicherheit geht es immer um zwei Dinge: gut genug zu sein, damit man im Problemfall nicht fahrlässig wirkt, und besser als vergleichbare Unternehmen zu sein, damit Angreifer diese und nicht Sie angreifen. Nun gibt es unterschiedliche Sicherheitsniveaus. Finanzinstitute, das Gesundheitswesen, die Pharmaindustrie, Behörden und kritische Infrastruktur erfordern häufig ein hohes Sicherheitsniveau, aber selbst dann handelt es sich nur um eine andere Stufe von „gut genug“ – obwohl „gut genug“ im Zeitalter von Advanced Persistent Threats und Angriffen auf die Software-Lieferkette wahrscheinlich bedeutet, dass deutlich mehr Sicherheit erforderlich ist als früher.
HPs Sicherheitsinvestitionen
Die meisten Technologieanbieter begnügen sich mit demselben „gut genug“. HP sticht jedoch hervor und glänzt in Sachen Sicherheit. Hinter dem scheinbaren Irrsinn steckt eine Methode, und obwohl ich HPs außerordentliche Anstrengungen respektiere und schätze, gehen HPs Sicherheitsmaßnahmen – abgesehen von einigen erwähnenswerten Ausnahmen – weiter, als die meisten Käufer es für nötig halten, obwohl für mich und viele andere klar ist, dass die Messlatte viel zu niedrig angesetzt wurde.
HP hat mit Wolf Security ein Unternehmen im Unternehmen geschaffen, das als eigenständige Einheit auf einzigartige Weise Sicherheitsprobleme umfassend angeht. Das Unternehmen verfügt über eine einzigartige KI-Implementierung, die nach Verhaltensänderungen beim Nutzer oder in der Umgebung sucht und Unregelmäßigkeiten stoppt, was eine relativ robuste Zero-Day-Abwehr ermöglicht. In seine kommerzielle Hardware hat HP einen einzigartigen Sicherheitschip integriert, der ein derzeit unerreichtes Maß an Hardwaresicherheit bietet. Auch die Implementierung des Sicherheitsbildschirms ist derzeit marktführend (bei aktivierter Funktion sind die Informationen nur sichtbar, wenn man direkt auf den Bildschirm blickt). HP veröffentlicht sogar eine eigene, hochmoderne Cybersicherheitsforschung.
Das Problem ist, dass IT-Käufer all das nicht zu schätzen wissen und den entsprechenden Funktionen nur selten ihre volle Aufmerksamkeit widmen. Das führt dazu, dass Sicherheitsfunktionen zu wenig genutzt und unterschätzt werden – und es bedeutet außerdem, dass HP-Investoren nicht die volle potenzielle Rendite ihrer Investition erhalten.
Sehen wir uns HPs Dilemma bei den Sicherheitsinvestitionen an – und was es uns über den IT-Markt im Allgemeinen verrät.
Lesen Sie auch: Die besten Lösungen für Endpoint Detection & Response (EDR)
HPs Sicherheit wird von IT-Käufern nicht wertgeschätzt
Ich bezeichne HPs hohe Sicherheitsstandards als „Problem“, weil sie sich negativ auf das Geschäftsergebnis des Unternehmens auswirken. Aber eigentlich handelt es sich auch um ein öffentliches Problem, denn wir alle sind Angriffen ausgesetzt. Obwohl Nationalstaaten und andere Akteure massive Anstrengungen unternehmen, um unsere Cyberinfrastruktur zu stören und zu beschädigen, nehmen wir die Gerätesicherheit noch immer nicht ernst genug. CSOs (Chief Security Officers) sind nur selten an der Festlegung von Gerätespezifikationen beteiligt, und selbst wenn dies ausnahmsweise der Fall ist, werden ihre Anforderungen häufig nicht vollständig erfüllt.
Ich traf mich vergangene Woche mit HPs Sicherheitsteam, und die Mitglieder äußerten ihre Frustration darüber, dass ihr intensiver Fokus auf Sicherheit bei den unternehmensweiten RFQs (Request for Quotes, Angebotsanfragen) nicht zu einer besseren Platzierung führte. Wenn CSOs einbezogen wurden, legten sie zwar die Spezifikationen fest, stellten aber nicht sicher, dass diese auch erfüllt wurden. Die konkurrierenden Anbieter kreuzten einfach das Kästchen an, dass sie konform seien, obwohl sie es nicht waren.
Angesichts der immer umfangreicheren Versuche Chinas, Russlands, Nordkoreas und einer wachsenden Zahl krimineller Organisationen, auf globaler Ebene Daten zu stehlen oder den Betrieb zu stören, sollten wir Sicherheit sehr viel ernster nehmen. Doch Geräte und Mitarbeiter sind weiterhin Angriffen ausgesetzt, die von Phishing bis zur Einschleusung von Malware reichen.
Die daraus resultierenden Sicherheitsverletzungen werden als unvermeidbar dargestellt, obwohl sie alles andere als das sind. Der Grund: Sicherheit hat noch immer keine ausreichend hohe Priorität – nicht nur, um sicherzustellen, dass Systeme besser geschützt sind, sondern auch, damit die IT beim Reimaging dieser Systeme vor der Bereitstellung nicht deren Sicherheitsfunktionen entfernt.
Das Problem von HP (und eigentlich das Problem von uns allen, weil wir den Angriffen ausgesetzt sind) besteht also darin, dass Einkauf und CSOs die Gerätesicherheit nicht ernst genug nehmen. Da die Bedrohungen weiter zunehmen, sind wir dadurch gefährlich ungeschützt, und HPs Produkte können ihr Potenzial nicht ausschöpfen.
Das „Sicherheitsproblem“ von HP ist unser Problem
Angesichts des aktuellen globalen Cyberkriegs, in dem wir leben, liegt die Messlatte für Gerätesicherheit zu niedrig. Unternehmen, Mitarbeiter und Privatpersonen sind gefährdet, weil wir Sicherheit einfach nicht ernst genug nehmen. CSOs sollten bei vernetzter Hardware einbezogen werden, um sicherzustellen, dass die Hardware den aktuellen Bedrohungen standhalten kann.
Für mich geht es dabei weniger um HPs finanzielle Leistung als darum, mich und die Menschen, die mir wichtig sind, zu schützen. HPs umfassender Schutz sollte der Standard sein, ist es aber nicht. Deshalb ist HPs großes Sicherheitsproblem ein noch größeres Problem für uns alle.
IT-Käufer müssen beginnen, HPs Sicherheitsinvestitionen zu schätzen – und andere Anbieter sollten diesem Beispiel folgen.
Lesen Sie als Nächstes: Die beste Antivirensoftware 2022