Die Auswirkungen eines IT-Sicherheitsvorfalls lassen sich nach Ansicht von G Data reduzieren, wenn im Vorfeld bereits geeignete Maßnahmen getroffen wurden. Das Unternehmen nennt dies Incident Readiness. Gerade in Anbetracht der sich nähernden Datenschutzgrundverordnung (DSGVO) der EU, die ab dem kommenden Monat umzusetzen ist, werden diese Maßnahmen immer wichtiger. Firmen sollten alles unternehmen, um die personenbezogenen Daten ihrer Kunden zu schützen, schreibt G Data in einem Blog-Beitrag.
Foto: G DATA
Laut G Data ist dabei Transparenz gegenüber den Verbrauchern das A und O. Die Menschen sollten bereits mit einer Registrierung in Kenntnis gesetzt werden, dass Daten erhoben werden und sie der Anmeldung zustimmen. Außerdem müsse "in der Incident-Readiness-Planung berücksichtigt werden, Kunden über einen für sie relevanten Sicherheitsvorfall zu informieren".
Business Continuity Management
Michael Zimmer, Geschäftsführer von G Data Advanced Analytics, sieht das Thema "Vorfallsbewältigung im Kontext des Business Continuity Management (BCM)". Betroffene Unternehmen müssten "zunächst einmal in der Lage sein, den Umfang des Vorfalls zu bestimmen und seine Relevanz hinsichtlich straf- und zivilrechtlicher Folgen abzuschätzen". Das gelte insbesondere im Hinblick auf die europäische Datenschutzgrundverordnung, die KRITIS-Bestimmungen sowie den Verstoß gegen branchenspezifische Compliance-Regeln.
Zimmer empfiehlt Unternehmen sich eine Reihe von Fragen zu stellen, um sich auf IT-Sicherheitsvorfälle besser vorzubereiten:
Ist die Dokumentation der IT-Infrastruktur aktuell? Ist sie offline verfügbar?
Ist die maximal tolerierbare Ausfallzeit, kurz MTA, für die einzelnen Systeme bekannt?
Auf welche Fall-Back-Prozesse kann bei einem Ausfall von Systemen wie E-Mail oder Telefon zurückgegriffen werden?
Funktionieren die Benachrichtigungs- und Kommunikationsprozesse und sind sie allen bekannt?
Als häufige Schwachstellen sieht er Punkte wie "die Rechtevergabe, die Passwort-Policy, die Backup-Prozesse, das Patch-Management, Remote-Zugänge von Dienstleistern und Herstellern oder verfehlte BYOD-Policies (Bring Your Own Device)". Unternehmen sollten ihre spezifische IT-Infrastruktur und den Umgang ihrer Mitarbeiter damit prüfen.
Lesetipp: Experten klären auf - Was bedeutet eigentlich Cyber Security?