Thought Leadership
Mit der DSGVO, DORA und der derzeit in der Luft hängenden NIS2 werden immer mehr Vorschriften und Richtlinien eingeführt, die Unternehmen beachten müssen.
Dies hat dazu geführt, dass einige Unternehmen der Meinung sind, dass die Einhaltung der Vorschriften eher eine Belastung als ein Anfang zur Verbesserung ihrer Sicherheitsmaßnahmen ist. Das birgt das Risiko, dass die Security zwar angegangen werden muss, aber es bedeutet nicht, dass es die eigene Cybersicherheit auf ein höheres Level hebt. Stattdessen besteht die Gefahr, dass die Vorschriften zu einer Reihe von Checklisten verkommen. Sie dienen lediglich dem Zweck nur für den Auditor bereit zu stehen, der ab und zu vorbeikommt und um die Einhaltung der Compliance zu überprüfen. Oftmals unternimmt er dieses Unterfangen, weil das Unternehmen weiterhin Aufträge mit sicherheitsbewussteren Partnern schließen will. Damit wird die gute und notwendige Absicht, die mit der Einhaltung der Vorschriften verfolgt wird, ins Lächerliche gezogen. Im Gegensatz dazu wollen die Regulierungsbehörden die Unternehmen darauf ausrichten die Cybersicherheit zu erhöhen, Risiken zu erkennen und zu verringern.
Die Gefahr, Opfer von Cyber-Bedrohungen zu werden, wächst seit Jahren. Die Zahl der Unternehmen, die gehackt werden, zeigt, dass die Cybersicherheit immer noch nicht überall Priorität hat. Immerhin zeichnen sich in letzter Zeit leichte Veränderungen zum Besseren ab. Um den wachsenden Cyberrisiken durch KI-gestützte Cyberkriminelle und staatliche Akteure zu begegnen, müssen alle Unternehmen in proaktive Cybersicherheitsmaßnahmen investieren. Diese müssen den gesamten Lebenszyklus von Cyber-Bedrohungen in 360 Grad und 24 / 7 angehen und verwalten und dabei auch KI-gestützte Cybersicherheitslösungen und -tools nutzen.
Unternehmen müssen nach wie vor in die Cybersicherheit investieren, und um dies richtig zu tun, wurden Normen und Vorschriften priorisiert, um Unternehmen dabei zu unterstützen. Sie sollen Best Practices befolgen und gute Entscheidungen treffen, indem sie die Einfluss von Menschen, Prozessen und Technologie (People, Process and Technology, PPT) nutzen.
Die Umsetzung des Dreiklangs von PPT erhöht die Effektivität der Einhaltung von Vorschriften und wird somit ihrer wahren Bedeutung gerecht. Eine Bewertung des Risikomanagements ist ein erster Schritt zur Aufdeckung von Risiken innerhalb der Organisation. Es bedeutet, die folgenden Aufgaben mit einer Plattform durchzuführen, die es ermöglicht:
- Alle Geräte zu sehen, Hardware (OT, IT, IoT, IoMT), virtuell, Cloud, Software, verwaltet und nicht verwaltet,
- die mit diesen Geräten verbundenen Risiken wie Schwachstellen zu identifizieren und
- einen Plan zu entwickeln, um das Risiko und die Gefährdung zu mindern.
Unternehmen sollten diese Erkenntnisse nutzen, um ihre Risiken im Rahmen ihrer Cybersicherheitsstrategie zu priorisieren und die vollständige Einhaltung der gesetzlichen Vorschriften zu gewährleisten. Die zunehmende Bedeutung gesetzlicher Rahmenbedingungen auf nationaler und europäischer Ebene unterstreicht den entscheidenden Bedarf an umfassenden Informationen und Berichten über alle Geräte im Netzwerk eines Unternehmens hinweg. Dazu gehören verwaltete, nicht verwaltete, OT-, IomT- und IoT-Geräte, unabhängig von ihrer Verbindungsmethode – sei es kabelgebunden, Wi-Fi, Bluetooth oder andere Peer-to-Peer-Protokolle.
Die sich entwickelnden Standards unterstreichen die Bedeutung einer vollständigen Gerätetransparenz und -verwaltung, einer zentralisierten Erkennung von Bedrohungen und der Erkennung von Schwachstellen, um diese zu priorisieren und zu beheben. Auf diese Weise können sie sowohl die Einhaltung gesetzlicher Vorschriften erreichen als auch proaktive Sicherheitsmaßnahmen stärken.
Hier können Lösungen wie Armis Centrix helfen. Sie unterstützen Unternehmen dabei, ein klares Verständnis für das Management von Cyber-Bedrohungen zu erlangen: Erkennung und Verwaltung von Assets, Frühwarnsystem zur Erkennung von Bedrohungen, Erkennung von Schwachstellen, Priorisierung und Behebung von Problemen. Durch die Einführung solcher Lösungen erreichen Unternehmen nicht nur eine kontinuierliche Einhaltung der Vorschriften, sondern sie versetzen Sicherheitsteams auch in die Lage, die gesamte Angriffsfläche zu schützen und die Cybersicherheit insgesamt gegen bestehende und neue Bedrohungen zu stärken.
