Angesichts der allgegenwärtigen Gefahr von Datenpannen müssen Unternehmen bewährte Verfahren einführen, die helfen, Datenschutzverletzungen zu verhindern und bei deren Auftreten darauf zu reagieren, um mögliche Schäden zu begrenzen. Und Datenpannen wird es geben – schließlich verdienen Kriminelle ihren Lebensunterhalt damit, Wege zu finden, bewährte Sicherheitsverfahren zu umgehen.
Im Folgenden finden Sie einige bewährte Maßnahmen zur Vermeidung und Reaktion auf Datenpannen sowie eine Liste von Ressourcen verschiedener Anbieter, die Ihnen helfen können, Ihre eigenen Fähigkeiten in den Bereichen Cybersicherheit und Reaktion auf Sicherheitsvorfälle zu verbessern.
Direkt zu:
- Datenschutz priorisieren
- Reaktionsprozess dokumentieren
- Benutzer in den Prozess einbeziehen
- Geschäftskontext verstehen
- Gründlich vorgehen
- Daten proaktiv erfassen und organisieren
- Netzwerkanalyse nicht vergessen
- Schulen und üben
- Externe Hilfe hinzuziehen
- In die Offensive gehen
- 1. Datenschutz priorisieren
- 2. Reaktionsprozess dokumentieren
- 3. Benutzer in den Prozess einbeziehen
- 4. Geschäftskontext verstehen
- 5. Gründlich vorgehen
- 6. Daten proaktiv erfassen und organisieren
- 7. Netzwerkanalyse nicht vergessen
- 8. Schulen und üben
- 9. Externe Hilfe hinzuziehen
- 10. In die Offensive gehen
- Fazit: Effektive Verhinderung von Datenpannen
1. Datenschutz priorisieren
Der Schwachpunkt vieler Sicherheitsstrategien ist, dass sie zu allgemein und zu breit gefächert sind. Wenn Sie die wichtigsten Vermögenswerte Ihres Unternehmens priorisieren, kann das Ihre Sicherheitsstrategie effektiver machen und dazu beitragen, Datenpannen in Ihren kritischen Systemen zu verhindern.
Das bedeutet nicht automatisch, dass Sie bestimmte Systeme nicht schützen. Es hilft Ihnen jedoch festzustellen, welche Datensätze, Speichersysteme und Anwendungen am wichtigsten und am anfälligsten sind. Ein Fertigungsunternehmen verfügt beispielsweise wahrscheinlich über:
- Stücklisten zur Erfassung aller Produktteile
- Software zur Übersicht über den Warentransport (z. B. zur Überwachung von Lkw-Fahrten und Fahrerprotokollen)
- Customer-Relationship-Management-Software (CRM) zur Verwaltung der Beziehungen zu allen Kunden, die manchmal personenbezogene Daten einzelner Personen enthält
Sind all diese Daten wichtig? Ja. Sie erfordern jedoch unterschiedliche Sicherheitsstufen. Das Unternehmen könnte zunächst den Schutz der Daten in seinem CRM priorisieren, da diese besonders sensibel sind. Danach könnte es die BOM-Dokumente priorisieren, denn obwohl deren Verlust niemanden durch die Offenlegung personenbezogener Daten gefährdet, könnten sie von einem Wettbewerber gestohlen werden und zu finanziellen Verlusten führen. Schließlich sind auch die Daten zur Transportverwaltung weiterhin schützenswert, aber möglicherweise weder finanziell noch rechtlich so kritisch wie die anderen Daten.
Ein wichtiges Datenschutzkonzept für alle Unternehmen ist Zero Trust: Indem Sie den Zugriff und privilegierte Konten begrenzen und Ihre kritischsten Vermögenswerte mit Tools wie Mikrosegmentierungabschotten, muss ein Eindringen in das Netzwerk nicht zu einer medienwirksamen Datenpanne werden. Cyberangriffe treffen fast alle Unternehmen; ihre Auswirkungen zu begrenzen ist daher von entscheidender Bedeutung.
Lesen Sie auch: Netzwerkschutz: So sichern Sie ein Netzwerk
2. Reaktionsprozess dokumentieren
Selbst mit der bestmöglichen Strategie zur Vermeidung von Datenpannen kann es zu einer Datenpanne kommen. In diesem Fall muss Ihr Sicherheitsteam zur Reaktion auf den Sicherheitsvorfall übergehen. Bewährte Verfahren für die Reaktion auf Sicherheitsvorfälle verlangen, dass Sie einen dokumentierten Prozess erstellen und befolgen. Während eines Angriffs steigt der Stresspegel, und Sie werden wahrscheinlich in viele Richtungen gezogen, sodass wichtige Maßnahmen ausgelassen werden können. Organisationen wie SANS bieten kostenlose Checklisten zur Reaktion auf Sicherheitsvorfälle an, mit denen Unternehmen beginnen können, ihre Verfahren für Sicherheitsvorfälle zu dokumentieren.
Dokumentieren Sie unbedingt:
- Welche Schritte in einer bestimmten Reihenfolge erfolgen. Ein Sicherheitsadministrator könnte beispielsweise allen Teammitgliedern eine Nachricht senden und anschließend einen Systemscan durchführen.
- Welche Personen für welche Schritte verantwortlich sind. In diesem Beispiel ist der Sicherheitsadministrator dafür verantwortlich, sein Team zu benachrichtigen.
- Was Ihr Team nach der Behebung des Vorfalls gut und falsch gemacht hat. Dies kann Ihrem Unternehmen auch dabei helfen, einen detaillierteren Plan zur Reaktion auf Sicherheitsvorfälle für die Zukunft zu entwickeln.
Lesen Sie mehr in unserem ultimativen Leitfaden zur Reaktion auf Sicherheitsvorfälle.
3. Benutzer in den Prozess einbeziehen
Ein häufig vergessener Aspekt der Vermeidung von Datenpannen besteht darin, Endbenutzer zu informieren. Ihre Stakeholder im Unternehmen – insbesondere die Mitarbeiter – sollten die Strategien kennen, die Ihr Sicherheitsteam zur Vermeidung von Datenpannen einsetzt. Außerdem sollten sie einfache Möglichkeiten kennen, wie sie helfen können, etwa durch den Schutz von Passwörtern, das Nichtanklicken schädlicher Links oder Dateien und das Erkennen von Phishing-Angriffen.
Wenn eine Datenpanne außerdem Kundendaten betrifft, sollten die Kunden unverzüglich informiert werden. Das schafft nicht nur Vertrauen zwischen Ihnen und Ihren Kunden, sondern kann auch gesetzlich vorgeschrieben sein. Einige Datenschutzbestimmungen, darunter HIPAA und CCPA, verlangen von Unternehmen, Kunden zu informieren, wenn ihre personenbezogenen Daten kompromittiert wurden.
Siehe die Top-Schulungsprogramme für Cybersicherheit für Mitarbeiter
4. Geschäftskontext verstehen
Während einer Untersuchung kann es erforderlich sein, Systeme und Anwendungen zur Analyse offline zu nehmen. Bei der Untersuchung eines Systems auf eine mögliche Kompromittierung ist es entscheidend zu wissen, wo vertrauliche Daten gespeichert sind oder das System durchlaufen, und die geschäftlichen Auswirkungen zu berücksichtigen. Das hilft Ihnen auch zu verstehen, welche Daten und Anwendungen Sie schützen müssen.
Eine weitere bewährte Maßnahme besteht darin, ein Recovery Point Objective (RPO) und ein Recovery Time Objective (RTO) festzulegen:
- Ein Recovery Point Objective bezeichnet die Datenmenge, die verloren gehen kann, bevor standardmäßige Finanz- oder Betriebsprozesse erheblich beeinträchtigt werden.
- Ein Recovery Time Objective bezeichnet den Zeitraum, über den eine Anwendung ausfallen kann, bevor standardmäßige Betriebsprozesse erheblich beeinträchtigt werden.
„Erhebliche Beeinträchtigung“ ist ein weit gefasster Begriff, den Ihr Unternehmen individuell definieren muss. Natürlich ist jeder Schaden unerwünscht, aber ab welchem Punkt gerät das Unternehmen in Schwierigkeiten? Das ist von Unternehmen zu Unternehmen unterschiedlich. RTO und RPO unterscheiden sich außerdem je nach Anwendung und Speichersystem, sodass Sie möglicherweise zahlreiche Ziele festlegen müssen. Ein CRM-System bei einem großen Finanzdienstleister könnte ein RTO von 15 Minuten haben, während das Speicherarchiv für selten benötigte Daten ein RTO von 12–24 Stunden haben kann.
5. Gründlich vorgehen
Bei einem Angriff ist es allzu leicht, die offensichtliche Quelle der Malware zu finden, sie zu beseitigen und es dabei zu belassen. Dabei können weitere Spuren auf anderen Systemen übersehen werden. Einige hochentwickelte Viren und Hacker bewegen sich nach dem Eindringen in Netzwerken seitlich weiter und kompromittieren bei einem lang anhaltenden Angriff mehrere Systeme. Verwenden Sie Tools für Threat Intelligence und Verhaltensanalysen, um alle Systeme Ihres Unternehmens auf anomales Verhalten und Hinweise auf eine Kompromittierung (IoCs) zu untersuchen.
Forensiktools sind ebenfalls hilfreich. Sie führen erweiterte Datensuchen durch und verwenden Hashes, um Beweise für mögliche Datenpannen zu sichern. Wenn Ihre Systeme durch Malware oder eine andere Bedrohung kompromittiert wurden, ist es wichtig, mit ausgefeilten Sicherheitstools nach zurückgebliebenem Code oder Dateien zu suchen. Das Erfassen dieser Daten kann eine spätere Datenpanne in anderen Systemen verhindern. Leider ist Malware inzwischen zu fortschrittlich und bewegt sich zu schnell, als dass Sicherheitsteams davon ausgehen könnten, sie mit einem einzigen Schritt vollständig gelöscht zu haben.
6. Daten proaktiv erfassen und organisieren
Da die Datenmengen in Unternehmen so groß sind, gibt es keinen günstigen Zeitpunkt für unorganisierte Daten. Irgendwann müssen Sie danach suchen – zu einem ungünstigen Zeitpunkt. Außerdem können Daten verloren gehen, wenn sie nicht ordnungsgemäß gekennzeichnet oder anderweitig kategorisiert sind.
Darüber hinaus sollten Ihre Speicher- und Sicherheitsteams im Laufe des Geschäftsjahres kontinuierlich Daten erfassen. Speichern Sie Protokolldateien aus Sicherheitsfeeds und sammeln Sie im Laufe der Zeit Verhaltensdaten aus allen UEBA-Lösungen.
Wählen Sie zur Organisation Ihrer Daten eine Lösung für unstrukturierte Datenmengen, die auch geeignete Metadaten- oder Kennzeichnungsverfahren unterstützt. Data Lakes müssen gepflegt werden, damit sie nicht zu Datensümpfen werden – so bezeichnet man große Speichersysteme, die derart unorganisiert sind, dass sich Daten nur schwer finden lassen. Unorganisierte Speichersysteme können außerdem zu langsameren Abfragen führen, weil der Computer so lange nach den Daten sucht, dass deren Abruf mehr Zeit beansprucht. Für einige leistungsintensive Sicherheitsanwendungen ist das nicht tragbar. Es ist wichtig, Daten im Speicher sauber und organisiert zu halten – und für die Sicherheitstools an vorderster Front ist dies besonders wichtig.
7. Netzwerkanalyse nicht vergessen
Die Paketanalyse bietet sicherlich den umfassendsten Einblick in den Netzwerkverkehr. Die Anzahl der erforderlichen Paketerfassungssonden, um alle potenziellen Ziele und Standorte abzudecken, kann sie jedoch umständlich und kostspielig machen. Hier kommen Flow-Technologien wie NetFlow ins Spiel, die Leistungsmetriken liefern und gleichzeitig mehr als 90 % der durch Paketanalyse verfügbaren Transparenz bieten. NetFlow-Erfassungssysteme verwalten Paketdaten, damit Sicherheitsteams diese bei Bedarf untersuchen und feststellen können, wo eine Datenpanne am wahrscheinlichsten auftritt.
Die Analyse des Netzwerkverkehrs bietet Sicherheitsteams eine nützliche Grundlage, wenn sie sowohl unmittelbare Anomalien als auch langfristige Trends beobachten. Sie ist zwar teuer, vermittelt aber einen umfassenden Überblick über den Netzwerkbetrieb und hilft Teams, potenzielle Bedrohungen über einen längeren Zeitraum zu erkennen. Ihr Unternehmen muss selbst entscheiden, wie es NTA kostengünstig implementiert.
8. Schulen und üben
Die Verhinderung erster Datenpannen gelingt nicht immer, weshalb die Schulung für Sicherheitsvorfälle entscheidend ist. Niemand stellt während eines laufenden Vorfalls fest, dass er gut auf Sicherheitsvorfälle reagieren oder sie verwalten kann. Einsatzkräfte und Manager benötigen bereits vor dem Ereignis eine Schulung. Nach der Schulung sollten sie regelmäßig Übungen in ihrer eigenen Umgebung durchführen.
Eine Schulung zur Reaktion auf Sicherheitsvorfälle sollte Folgendes umfassen:
- Mehrere Beispiele dafür, wie Sicherheitsvorfälle aussehen
- Interaktive Gespräche über geeignete Reaktionsmöglichkeiten
- Die Weitergabe der Ergebnisse aller durchgeführten Penetrationstests
Eine Übung zur Reaktion auf Sicherheitsvorfälle sollte Folgendes umfassen:
- Das schrittweise Einüben von Maßnahmen zur Schadensbegrenzung
- Eine anschließende Nachbesprechung darüber, was gut und was falsch gelaufen ist
9. Externe Hilfe hinzuziehen
Verfügen Sie über interne Ressourcen, um Angriffe auf mobile Plattformen, eingebettete Systeme oder Geräte des Internets der Dinge zu bewältigen? Falls nicht, ist es möglicherweise an der Zeit, Ihre internen Fähigkeiten durch externe Hilfe zu ergänzen.
Sicherheitslösungen von Drittanbietern unterstützen Unternehmen mit wenigen oder unerfahrenen Mitarbeitern. Unternehmen lagern möglicherweise auch einfach einen Teil ihrer Cyberinfrastruktur aus, weil sie sich auf zu viele Dinge gleichzeitig konzentrieren. Eine zu dünn aufgestellte Sicherheitsinfrastruktur ist anfälliger für Datenpannen.
Beispiele für Managed Security Services sind:
10. In die Offensive gehen
Für Unternehmen reicht es nicht mehr aus, auf Cyberangriffe zu reagieren. Kriminelle sind erfahren und proaktiv, und Sicherheitsteams müssen es ihnen gleichtun, um Datenpannen erfolgreicher zu verhindern. Zu einem offensiven Sicherheitsansatz gehören:
- Bekannte Schwachstellen untersuchen
- Teamübungen durchführen
- Teammitglieder informieren, wenn eine neue Bedrohung in der Unternehmenslandschaft auftaucht
- Nach Anomalien oder ungewöhnlichem Benutzerverhalten suchen
Erfahrene Threat Hunter könnten auch in Erwägung ziehen, das Dark Web zu erkunden, um einen Einblick aus erster Hand in bestehende Bedrohungen zu erhalten. Je besser Ihr Team über gängige Angriffsmethoden und -varianten von Ransomware, desto besser können Sie sich vorbereiten.
Fazit: Effektive Verhinderung von Datenpannen
Eine effektive Verhinderung und Reaktion auf Datenpannen ist möglich – aber nur, wenn Sie über die richtigen Tools und einen Plan verfügen, um Cyberangriffe zu stoppen oder zu minimieren. Kennen Sie Ihr Unternehmen, Ihre wichtigsten Daten und die Arten von Angriffen, denen Sie ausgesetzt sein könnten, und üben Sie die erforderlichen Schritte, um Netzwerkeindringlinge einzudämmen, die sich zu großen Datenpannen entwickeln könnten. Einige wichtige Abwehrmaßnahmen und eine gute Vorbereitung könnten Ihr Unternehmen vor katastrophalen Datenpannen bewahren.
Siehe die besten Tools und Software zur Reaktion auf Sicherheitsvorfälle
Dies aktualisiert einen Artikel aus dem März 2015 von Drew Robb