Phishing, Ransomware, Datenlecks... es scheint, als würden die Nachrichten über Cybersicherheit immer voller werden. Wie hoch ist die Bedrohung wirklich und was ist in dieser Zeit der Unsicherheit, die durch die Covid-19-Epidemie geprägt ist, am meisten zu befürchten? Wie kann ein Unternehmen bei der Wahl seines Informationssystems Sicherheit und Datenkontrolle miteinander verbinden?
Überblick über Cyberbedrohungen
Die Europäische Agentur für Netz- und Informationssicherheit (ENISA) liefert durch die jährliche Veröffentlichung ihres Berichts sehr interessante Erkenntnisse zu diesem Thema, ENISA Threat LandscapeDie Broschüre kann im Internet heruntergeladen werden.
Das Schlüsselelement dieses Dokuments sind die Top 15 Cyberbedrohungen im Zeitraum von Januar 2019 bis April 2020.
Lassen Sie uns die ersten drei und damit die drei wichtigsten unter die Lupe nehmen:
- Malware : Kryptominer, Würmer, Viren, Spyware und Co. behalten den ersten Platz im Bericht von 2018. Allerdings zeichnen sich neue Trends ab :
- eine Veränderung der Zielgruppen (Unternehmen statt Verbraucher),
- die Verbreitung des malware-as-a-service (Verkauf von Paketen im Dark Web, die Infrastruktur und Schadcode enthalten),
- die zunehmende Raffinesse der Infektionsmechanismen.
- Web-Angriffe : große Familie von Kompromittierungsvektoren einschließlich :
- URLs, die die Opfer in eine Falle locken sollen,
- Injektionen von bösartigem Code in legitime, aber kompromittierte Websites,
- Webbrowser-Exploits.
Die Content Management Systeme (CMS) sind aufgrund ihrer Popularität weiterhin ein ideales Ziel für Versuche, Schwachstellen auszunutzen.
- Phishing Eine alte, aber gefürchtete Technik, die menschliche Schwächen ausnutzt, um Daten zu stehlen oder Geld zu erpressen. Während der Covid-19-Pandemie kam es zu einem sprunghaften Anstieg der Phishing-Versuche, hauptsächlich durch E-Mails mit Dokumenten aus der Microsoft Office-Suite im Anhang.
Welche Möglichkeiten haben Unternehmen angesichts dieses beunruhigenden Panoramas, um ihre Daten zu schützen und Bedrohungen zu begegnen? Dies ist eine sehr weit gefasste Frage, die in diesem Artikel unter dem besonderen Blickwinkel des Einsatzmodells für Informationssysteme untersucht wird.
Welches Informationssystem für die Cybersicherheit?
Es werden vier Wahlmöglichkeiten untersucht: On-premise, private Cloud, öffentliche Cloud und Hybrid-Cloud. Bemerken wir bereits, dass die Wahl der öffentlichen Cloud paradox erscheint: Ist es nicht ein Widerspruch in sich, seine Daten in einer Cloud abzulegen, die der Allgemeinheit offen steht und von außereuropäischen multinationalen Konzernen betrieben wird?
Die Frage ist nicht so einfach, wie es scheint.
Lassen Sie uns daher die Vor- und Nachteile jeder Wahl durchgehen.
On-Premise
Das Unternehmen setzt sein Informationssystem auf selbstgehosteten Infrastrukturen ein, sei es in eigenen Rechenzentren für größere Einheiten oder in eingerichteten Serverräumen für KMU/Kleinstunternehmen.
Der attraktive Faktor bei dieser Wahl ist zweifellos die volle Kontrolle über die Daten: keine Fragen über ihren Standort und volle Kontrolle über den physischen und logischen Zugang. Die Kehrseite der Medaille ist, dass der Aufbau einer eigenen Infrastruktur hohe Investitionen (CAPEX) erfordert und das Risiko birgt, nach einigen Jahren mit veralteten Geräten konfrontiert zu werden. Dieses Schema erfordert auch spezielle Fähigkeiten, die nicht immer einfach zu erwerben sind. Es ist nicht einfach, das gleiche Qualitäts- und Sicherheitsniveau wie die Pure Player im Hosting-Bereich zu erreichen!
Private Cloud
Das Unternehmen nutzt die Infrastruktur, die ihm von einem Cloud-Anbieter zur Verfügung gestellt wird, mit dem es einen auf seine Bedürfnisse zugeschnittenen Dienstleistungsvertrag abschließt. In diesem Fall fällt die Wahl in der Regel auf eine souveräne Cloud, bei der die Daten auf nationalem Territorium gehostet und verarbeitet werden.
Der Vorteil dieses Modells liegt in der Kontrolle, die der Kunde über den Standort seiner Daten erhält, während ihm die "Mühsal" abgenommen wird, eine eigene Infrastruktur aufzubauen.
Natürlich sind nicht alle Anbieter in puncto Sicherheit gleich. Deshalb ist es interessant, sich nach ihrem Zertifizierungsniveau zu erkundigen. Das "gewerkschaftliche Minimum" ist ISO 27001. Am anspruchsvollsten ist jedoch SecNumCloud, ein französisches Referenzsystem, das von der Agence nationale de la sécurité des systèmes d'information (ANSSI) herausgegeben wird. SecNumCloud verpflichtet die qualifizierten Anbieter, die Daten in Frankreich zu speichern und zu verwalten.
Was sind dann die Nachteile dieser Wahl?
Am wichtigsten ist wahrscheinlich die Tatsache, dass private Clouds in Bezug auf Automatisierung, Elastizität und Self-Service-Provisionierung noch immer hinter den öffentlichen Clouds zurückliegen, die dies zu ihrem Aushängeschild gemacht haben.
Öffentliche Cloud
Das Unternehmen wendet sich an die Angebote von Akteuren wie Amazon Web Services (AWS), Microsoft Azure, Google Cloud oder Alibaba Cloud.
Warum sollte man sich an diese ausländischen Mastodons mit ihren festgefahrenen Servicebedingungen wenden, gegenüber denen das Kräfteverhältnis zwangsläufig ungünstig ist? Die Antwort liegt in ihrem reichhaltigen Serviceangebot und der Agilität, die sie mit den Techniken von Infrastructure as Code ermöglichen: Das Einsetzen komplexer Architekturen wird fast zur "Knopfpresse".
Wie sieht es mit der Sicherheit aus? Nun, diese Giganten wissen, dass dies der Hauptfaktor ist, der ihre Akzeptanz bremst, und investieren jedes Jahr Milliarden in diesen Bereich und sammeln Sicherheitszertifizierungen.
Hybride Cloud
Das Unternehmen versucht, das Beste aus beiden Welten zu nutzen, indem es z. B. die sensibelsten Geschäftsdaten on-premise oder in einer souveränen privaten Cloud beherbergt und eine öffentliche Cloud nutzt, um schnell innovative Anwendungen zu entwickeln. Die Interoperabilität ist in diesem Fall die größte Herausforderung, zusammen mit der Komplexität der Verwaltung eines Multi-Cloud-Informationssystems.
Was sollte man also abschließend wählen?
Natürlich gibt es keine absolut beste Wahl, denn jedes Unternehmen hat seine eigenen Besonderheiten in Bezug auf den Markt, die Geschäftsanforderungen, die rechtlichen und regulatorischen Vorgaben etc.
Der am besten geeignete Ansatz wäre die Verwendung einer Methode zur Risikobewertung, um sich in den verschiedenen Möglichkeiten zurechtzufinden, wobei die französische Referenz EBIOS Risk Manager ist.
Aus meiner Sicht würde ich Ihnen dennoch raten, die oben beschriebene Hybridisierungsoption sorgfältig zu prüfen und sich dabei von einem vertrauenswürdigen Anbieter begleiten zu lassen.
Möchten Sie darüber diskutieren? Uns Ihre Überlegungen mitteilen? Kontaktieren Sie uns.