Resilienz im Kontext von Cybersicherheit bedeutet nicht nur die Fähigkeit, einen Schadensfall präventiv zu vermeiden. Sie bedeutet auch die Fähigkeit, einen einmal eingetretenen Schadensfall zu begrenzen und so das Überleben der Organisation zu sichern.
The ability of a system, community or society exposed to hazards to resist, absorb, accommodate to and recover from the effects of a hazard in a timely and efficient manner, including through the preservation and restoration of its essential basic structures and functions.
Definition der UNDRR – UN Office for Disaster Risk Reduction
Schritte zur Stärkung organisationaler Resilienz im Kontext von Cybersicherheit
- Cybersicherheit als elementaren Baustein der Unternehmenssicherheit verstehen und als Kernaufgabe der Unternehmensleitung definieren. Die IT-Abteilung und IT-Dienstleister können ein Unternehmen unterstützen und mit ihrer Fachexpertise begleiten, verantwortlich bleibt immer die Geschäfts- und Unternehmensleitung. Diese klare Verantwortlichkeit ist sowohl im BSIG, wie in der DSGVO verankert.
- Eine systematische Risikoanalyse durchführen und mögliche Schwachstellen identifizieren. Nur wer seine Prozesse, Anwendungen, IT-Systeme und Räume kennt, kann eine realistische Risikoanalyse vornehmen und Entscheidungen in Bezug auf notwendige Investitionen priorisieren und treffen.
- Notwendige Maßnahmen priorisieren und Mittel zur Verfügung stellen. Die Risikoanalyse ist eine zentrale Aufgabe und muss alle relevanten Assets einbeziehen. In der Risikoanalyse sind die Variablen der möglichen Schadenshöhe eines Schadensereignisses und die Eintrittswahrscheinlichkeit von zentraler Bedeutung. Begrenzte Mittel sind möglichst optimal zur Risikoreduktion einzusetzen.
- Maßnahmen einführen, die geeignet sind, die Auswirkungen eines Schadensfalles zu begrenzen. Es ist ein fataler Fehler, davon auszugehen, dass die eigene Organisation zu klein, zu unbedeutend oder ausreichend geschützt ist, um jeglichen Schadensfall präventiv zu vermeiden. Auch kleine und Kleinstunternehmen können schon aufgrund ihrer Kontakte, Kundenbeziehungen und Fähigkeiten zu einem lohnenswerten Ziel für Angreifer werden. Selbst gut geschützte Unternehmen wurden schon Opfer erfolgreicher Cyberangriffe. Erst der Gesamtverbund von Maßnahmen zur Prävention, Detektion, Intervention (im Schadensfall) und Reflexion (nach Bewältigung eines Schadensfalles) stärkt die Resilienzfähigkeit einer Organisation.
Cybersicherheit ist ein Kernbestandteil organisationaler Resilienz
Das strukturelle Ungleichgewicht zwischen einem Angreifer und der zu schützenden Organisation fällt immer zugunsten des Angreifers aus. Dieser benötigt lediglich die Kenntnis einer einzigen Schwachstelle in der Organisation, um zum Erfolg zu kommen, der Verteidiger muss alle möglichen und denkbaren Angriffsvektoren in Betracht ziehen und geeignete Maßnahmen zur Förderung der organisationalen Resilienz treffen.
Sie benötigen Hilfe bei der Umsetzung der Rechtspflichten nach NIS2/BSIG?
Wir beraten und betreuen eine Reihe mittelständischer Unternehmen und Organisationen in den Bereichen Datenschutz und Datensicherheit. Gern evaluieren wir in einem kostenfreien Erstgespräch den Bedarf in Ihrer Organisation. Sie erreichen uns unter info@prisecon.de oder unter den unten angegebenen Geschäftsdaten.