Wissen, was man hat
Lernziele
Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:
- Durchführen einer Bestandsaufnahme zur Feststellung aller Geräte, Systeme und Anwendungen
- Identifizieren der Systeme, die am wichtigsten und am stärksten gefährdet sind
- Ergreifen grundlegender Schritte zum Schutz Ihrer wichtigsten Systeme
Warum die Bestandsaufnahme wichtig ist
Hier ist eine Frage an Sie: Wie können Sie schützen, was Sie haben, wenn Sie nicht genau wissen, was Sie haben? Es ist unerlässlich, dass Sie eine Bestandsaufnahme Ihrer Systeme, Geräte und Anwendungen vornehmen, also die Elemente ermitteln, die vor Cyberbedrohungen geschützt werden müssen. Das ist der erste Schritt zur Cyberhygiene.
Es ist kaum zu glauben, aber wir nutzen das Internet nun schon seit fast 30 Jahren. Trotz der Veränderungen in der Technologie und im Internet verwenden viele Menschen die gleichen Methoden für den Zugriff auf ihre Systeme und den Schutz ihrer Identität wie in den 90er Jahren. Diese traditionellen Identitäts- und Zugriffsverwaltungsprozesse sind nicht mehr sicher. Sie sind irrelevant geworden, und Cyberkriminelle haben sie längst hinter sich gelassen.
Außerdem gibt es mehr Geräte als je zuvor. Es war viel einfacher, als die Arbeit noch auf Desktop-PCs beschränkt war. Mit Mobiltelefonen, Tablets und Laptops kann man jetzt überall arbeiten. Das heißt, dass sich die Angriffsfläche vergrößert und die Zahl der Einstiegspunkte vervielfacht hat. Mehr Geräte und Anwendungen bedeuten mehr Dinge, die Sie schützen müssen.
Und dazu müssen Sie zunächst feststellen, was Sie haben. Sobald Sie wissen, was Sie haben, können Sie Maßnahmen und Verfahren einführen, um diese Ressourcen und Werte zu schützen.
Und wie macht man das? Bei kleinen Unternehmen ist das unter Umständen recht einfach. Setzen Sie sich hin und erstellen Sie eine Tabelle, in der alle Geräte, Systeme und Anwendungen aufgelistet werden, die Ihr Unternehmen nutzt. Bei größeren Unternehmen wird das meist Ganze etwas komplexer. Wenn die Erfassung aufgrund der großen Zahl von Anwendungen schwierig ist, sollten Sie eine automatisierte Methode suchen, um Ihre Bestandsaufnahme zu aktualisieren.
Ressourcen für die Bestandsaufnahme
Eventuell wissen Sie gar nicht, wo oder wie Sie mit dem Erfassung und Pflege Ihres Bestands beginnen sollen. Keine Sorge! Global Cyber Alliance stellt in seinem Toolkit “Kennen Sie Ihre eigene IT-Umgebung” eine Vielzahl von Tools und Ressourcen für kleine Unternehmen bereit, die die Verwaltung des Cyberinventars machbar machen.
Identifizieren der IT-Kronjuwelen
Da Sie nun wissen, was Sie haben, ist es einfacher, diesen Bestand zu schützen. Manche Dinge sind jedoch wertvoller als andere. Oder, anders ausgedrückt: Wenn Sie in einem Notfall Ihr Haus verlassen müssten, welche Dinge sind Ihnen dann am wichtigsten, was möchten Sie unbedingt retten? Und welche Ihrer Systeme sind "unternehmenskritisch" oder die "IT-Kronjuwelen"? Diese Systeme sind für den Betrieb des Unternehmens oft unverzichtbar und haben die größten Auswirkungen, wenn sie Cyberbedrohungen zum Opfer fallen. Vielleicht enthalten sie auch sensible Informationen. Es ist wahrscheinlich, dass sich eine Kompromittierung dieser Systeme negativ auf Ihre Kunden auswirkt. Ihre IT-Kronjuwelen müssen geschützt werden.
Schützen der IT-Kronjuwelen
Nachdem Sie setzt Ihre IT-Kronjuwelen identifiziert haben, ist es an der Zeit, sich einige Möglichkeiten zu ihrem Schutz anzusehen.
Datenverschlüsselung: Es ist wichtig, alle sensiblen und vertraulichen Daten zu verschlüsseln. Dieser Schritt ist ein zentraler Bestandteil beim Schutz Ihrer Daten und IT-Kronjuwelen. Im Falle einer Sicherheitsverletzung sind die Daten nicht lesbar und die sensiblen Informationen geschützt. Sie können die Tools nutzen, die Global Cyber Alliance im Toolkit “Updates zur Abwehr” für kleine Unternehmen bereitstellt, um Ihre Daten auf Ihrem Computer zu verschlüsseln.
Aufgabentrennung: Manche Personen in einem Unternehmen haben Aufgaben, die den Zugriff auf mehrere Systeme und die darauf gespeicherten Daten erfordern. Da aber nicht jeder diese Aufgaben hat, ist die Aufgabentrennung der Schlüssel zu einer starken Cyberhygiene. Nur einige wenige Mitarbeiter sollten Zugang zu allen Systemen haben, und es ist wichtig zu wissen, wer diese Mitarbeiter sind.
Prinzip der geringsten Rechte: Nur die Mitarbeiter, die das System für ihre Arbeit nutzen müssen, sollten Zugriff darauf haben. Eine der besten Maßnahmen zum Schutz Ihrer Systeme besteht darin, den Zugriff und die Art des Zugriffs zu beschränken. Je weniger Personen auf ein System zugreifen dürfen, desto geringer ist die Gefahr von Cyberproblemen.
Nachdem Sie festgestellt haben, wer Zugriff haben sollte, müssen Sie prüfen, wie diese Personen in das System gelangen. Wie viele Sicherheitsebenen schützen den Zugriff auf Ihre IT-Kronjuwelen? Benötigt man nur eine PIN oder ein Kennwort für den Zugriff auf die Systeme, ohne die Ihr Unternehmen nicht arbeiten kann? Es ist wichtig, einen sogenannten mehrschichtigen Zugriffsmechanismus (Layered Access) für diese Systeme zu implementieren. Das bedeutet, dass für jeden Bereich oder jede Anwendung im System eine Authentifizierung erforderlich ist. Stellen Sie sicher, dass diese Systeme überwacht werden und es Warnmeldungen für bestimmte Auslöser gibt, z. B. wenn jemand ohne die richtigen Anmeldedaten einen Zugriffsversuch unternimmt.
Zusammenfassung
Das war doch schon ein guter Anfang! Für eine gute Cyberhygiene müssen Sie wissen, was Sie haben und was unbedingt geschützt werden muss. Jetzt sind Sie bereit für die nächste Einheit, in der wir uns die Schritte ansehen, mit denen Sie Ihre digitale Immunität stärken und eine gute Cyberhygiene praktizieren. Los geht's!