Von Paskal Desuert, Regionalleiter bei Jiliti Frankreich

Wir alle sind  uns der tödlichen Gefahr bewusst, die Cyberkriminalität für unsere Unternehmen darstellt. IT-Sicherheitsbeauftragte haben in immer komplexere und kostspieligere Sicherheitsbausteine investiert, aber jeder Fachmann wird Ihnen sagen: 100% Sicherheit kann nicht garantiert werden. Die Angreifer nutzen bisher unbekannte Sicherheitslücken und können noch so gut geschützte Unternehmen jederzeit angreifen.

Jüngste publizierte Berichte und Reports zeigen, dass Ransomware im Jahr 2020 der Hauptgrund für die Suche nach Unterstützung für Unternehmen und den öffentlichen Sektor waren. Dicht gefolgt von Hacker-Angriffen und Account-Hacking. Der Boom bei Ransomware ist spektakulär.

Angesichts dieser Welle von Cyber-Attacken, ist Antizipation die Regel und die Einführung eines BRP (Business Resumption Plan/Wiederaufnahmeplan)/ BCP (Business Continuity Plan/Plan zur Fortführung des Geschäftsbetriebs) jetzt ein «Must-Have» für jedes Unternehmen!

Tipp 1: Erstellen Sie einen Krisenplan, um einen Angriff zu begrenzen

Die Bedrohung ist real, und wir müssen uns darauf vorbereiten. Die durchschnittlichen Kosten eines Cyberangriffs belaufen sich auf fast 1,3 Mio. EUR und entsprechen einer Betriebsunterbrechung von 15 Tagen. Die von der Beratungsfirma Eagle Rock vorgelegten Zahlen besagen, dass 40% der Unternehmen, deren IT- und Telekommunikationseinrichtungen 72 Stunden lang stillgelegt wurden, verschwunden sind. Der Angriff kann die Industrieanlagen betreffen und somit die Produktionen lahmlegen, aber auch die Buchhaltungssoftware mitten in der Schließungsphase treffen.

Ein Cyberangriff bedroht sowohl die Geschäftstätigkeit als auch die finanzielle Gesundheit des Unternehmens und hat vielfältige Folgen: Datendiebstahl von Geschäftsgeheimnissen, die zu Wettbewerbsverzerrungen, Marktverlusten oder – schlimmer noch – zu Unternehmensversagen führen. Diese Angriffe, sobald sie einmal bekannt sind, beeinträchtigen den Ruf des Unternehmens bei seinen Kunden auf verschiedenen Ebenen: Glaubwürdigkeit, Nachhaltigkeit, Sicherheit. . .

Wenn ein Angriff potenziell unvermeidbar ist, ist es von entscheidender Bedeutung, seine Auswirkungen zu begrenzen. Man muss Mittel schaffen, die es ermöglichen, das Informationssystem so schnell wie möglich wieder in Gang zu bringen. Unternehmen, die im Vorfeld darüber nachgedacht haben, was sie im Falle eines Angriffs tun würden, kommen mit kontrollierten finanziellen Kosten schneller aus der Krise heraus. Wenn keine Vorkehrungen getroffen wurden, kann die Frist für die Wiederaufnahme der Geschäftstätigkeit erhebliche Auswirkungen auf den Handel, die Produktion und das Image des Unternehmens haben.

Unternehmen, die ihre Infrastruktur beherrschen und solche Angriffe antizipieren, sind am besten in der Lage, diese Krisen ungestört zu überstehen.

Führungskräfte und IT-Sicherheit müssen unbedingt bereits über «übermorgen» nachdenken. Das Schlimmste zu erahnen, ist entscheidend, wenn es zu einem Angriff kommt. Die Lösung besteht vor allem in der Einführung eines BRP (Business Resumption Plan/Wiederaufnahmeplan) für den Neustart des Informationssystems aus den Backups oder eines BCP (Business Continuity Plan/Plan zur Fortführung des Geschäftsbetriebs), einer Echtzeitversion mit einem fast augenblicklichen Neustart auf einer Infrastruktur, die die Produktionssysteme repliziert. Darüber hinaus kann die Zusammenarbeit mit einem IT-Infrastrukturexperten viele Vorteile sowohl für den Betrieb als auch für die Hardware haben, da er verschiedene Hersteller für den Austausch defekter Hardware einsetzen kann.

Tipp 2: Einrichtung eines BCP zur Fortführung der Tätigkeit

Die Lösung ist zwar bekannt, aber leider ist sie nicht überall anwendbar und leicht umzusetzen. Wir sehen auch heute noch, dass ein Unternehmen, wenn es ein Computersystem erneuert, seine TCO* über 5 Jahre berechnet. Die IT-Architekten denken darüber nach, wie sich die Infrastruktur in diesem Zeitraum weiterentwickeln kann, vergessen aber oft, wie sie bei einem größeren Ausfall oder einem Cyberangriff wieder hochfahren wird. Es ist jedoch äußerst wichtig, dass BCP parallel zur IT-Architektur zu konzipieren, die es retten muss.

Die Kosten für die Einrichtung eines BCP sind vorhanden, daher ist es sehr wichtig, kritische Infrastrukturen, die für den Fortbestand des Unternehmens unabdingbar sind, zu identifizieren und gezielt auszurichten. Aus diesem Grund müssen sich die IT-Architekturen bei der Festlegung des BCP mit den Fachteams austauschen, um die richtigen Mittel für sensible gesellschaftliche Themen zu definieren und zu implementieren.

Heute ist jedes Unternehmen in der Lage, ein BCP für ein vernünftiges Budget, unabhängig von der Größe des Unternehmens. Die Technologie muss sich in erster Linie an den Bedürfnissen der Berufe orientieren. Das Unternehmen kann wählen, ob es im Nominalbetrieb mit den gleichen Anwendungen und Leistungen arbeitet oder ob es im eingeschränkten Modus arbeitet, bis das Informationssystem wieder eingerichtet ist. Unsere Beratungstätigkeit ermöglicht es uns, verschiedene Szenarien für eine Übernahme anzubieten, und das Unternehmen wird in der Lage sein, die Lösung zu finden, die am besten zu seinen Geschäftsprioritäten und Investitionsmöglichkeiten passt.

Tipp 3: Forderung nach Sicherheits- und Verfügbarkeitsgarantien

Da die IT-Sicherheit eines Unternehmens für die Verfügbarkeit des Informationssystems seines Unternehmens verantwortlich ist, fällt die Umsetzung eines BRP/CAP selbstverständlich in deren Zuständigkeitsbereich. Die Branche verlangt immer häufiger Garantien für die Verfügbarkeit lebenswichtiger Anwendungen.

Die IT-Sicherheit eines Unternehmens muss sich auf einen Business-Continuity-Plan (BCP) stützen können, der es ermöglicht, die Verpflichtung der Erfüllung von kritischen Anwendungen und Funktionen, die für den Geschäftsalltag von entscheidender Bedeutung sind, sicherzustellen und vor allem, dass Unternehmensdaten zugänglich und sicher aufbewahrt werden. Auf der Ebene der Infrastrukturen muss die Wiederherstellung der Hardwarekonfigurationen innerhalb kürzester Zeit erfolgen, bevor die Anwendungen erneut erstellt und verwendet werden können. Dieser oft als zweitrangig empfundene Aspekt ist wichtig und vorrangig für den reibungslosen Ablauf des BCP.

Die Erstellung einer Notfall-Strategie und von Verfahren für einen Notfallwiederherstellungsplan (BRP) ist eine Möglichkeit, alle Maßnahmen, die im Falle eines Cyberangriffs ergriffen werden müssen, zu formalisieren. Die IT-Sicherheit sollte sich von Experten für Infrastrukturmanagement unterstützen lassen, um eine 360-Grad-Sicht auf den Markt zu erhalten, damit man sich den besten BRP/BCP zulegen kann.

Die Rolle der Unternehmensleiter besteht darin, die technischen, finanziellen und organisatorischen Risiken, die auf ihrem Unternehmen lasten, zu antizipieren. Der BRP/BCP ist die Antwort auf diese Art von Risiken. Er stellt einen Vermögenswert dar, den sie gegenüber ihren Aktionären aufwerten können, und ist ein kommerzieller Trumpf in Bezug auf die Qualität der Dienstleistungen und die Verfügbarkeit der Produktion.

Darüber hinaus dürfen die Auswirkungen eines Cyberangriffs auf den Ruf nicht vernachlässigt werden, auch nicht für mittelständische Unternehmen und KMU. Immer mehr Großunternehmen trennen sich von Anbietern, die keine ausreichenden Garantien für die Cybersicherheit bieten. Diese können eine indirekte Bedrohung für ihre eigene Sicherheit oder ihren Ruf darstellen. Immer mehr Unternehmen verlangen Garantien für die Sicherheit und Verfügbarkeit der IT-Systeme ihrer Partner.

Ein BRP/BCP kann nicht improvisiert werden. Er muss sowohl entwicklungsfähig sein, um mit der Unternehmensentwicklung Schritt zu halten, als auch optimiert, um das beste Verhältnis von Gesamtbetriebskosten, Nachhaltigkeit, Budget, Reputation und Dauerhaftigkeit zu bieten.

Vorausschauendes Handeln ist die Regel und die Gewährleistung der Geschäftskontinuität eines Unternehmens ist ein Projekt, an das man lange vor dem "Tag danach" denken muss!

* TCO: Total Cost of Ownership, d. h. die Gesamtkosten einer Ware oder Dienstleistung über ihren gesamten Lebenszyklus hinweg.