Wir haben uns in diesem Blog bereits ausführlich mit dem Thema Datensicherheit beschäftigt, unter anderem mit Fragen rund um Disaster Recovery, Resilienz sowie damit, wie Archivierung und Backups dazu beitragen können, Unternehmensdaten strukturierter und zugleich sicherheitsorientiert zu verwalten.
Ein Aspekt bleibt dabei jedoch häufig weniger offensichtlich: Datensicherheit ist kein statischer Zustand. Vielmehr handelt es sich um ein bewegliches Ziel, dessen kontinuierliche Veränderung dazu führt, dass auch Sicherheitsüberlegungen und Prioritäten laufend angepasst werden müssen.
Warum ist Datensicherheit ein bewegliches Ziel?
Die eigenen Daten zuverlässig zu schützen, erscheint in der heutigen Zeit zunächst wie eine selbstverständliche und logisch nachvollziehbare Aufgabe. Für viele Unternehmen erweist sich dies in der Praxis jedoch als deutlich komplexer. Dafür gibt es mehrere Gründe:
- Kosten.
Der Aufbau einer sicheren Systemlandschaft zur Speicherung, Verwaltung und Kategorisierung von Daten ist mit erheblichen Investitionen verbunden. Ist eine solche Infrastruktur erst einmal etabliert, entsteht aufgrund der bereits getätigten Investitionen häufig eine gewisse Abhängigkeit von bestehenden Systemen. Grundlegende Veränderungen oder ein Wechsel der Infrastruktur werden dadurch entsprechend unwahrscheinlicher.
- Trägheit.
Viele Unternehmen halten an ihrer bestehenden Infrastruktur fest, solange diese scheinbar ausreichend funktioniert. Veränderungen erfolgen häufig erst dann, wenn äußerer Druck entsteht, beispielsweise durch rechtliche Konsequenzen, neue regulatorische Vorgaben oder einen konkreten Cyberangriff.
- Balance.
Zu entscheiden, welche Sicherheitsprioritäten im Mittelpunkt stehen sollen und welche verbleibenden Risiken beziehungsweise Lücken vertretbar sind, ist ein wesentlicher Bestandteil der strategischen Ausrichtung der Cybersicherheit eines Unternehmens.
- Evolution.
Dies ist vermutlich der entscheidendste Faktor: Bedrohungen, Abwehrmaßnahmen und Erkennungsmethoden entwickeln sich kontinuierlich und gegenseitig weiter. Deshalb lässt sich kaum jemals mit absoluter Sicherheit behaupten, ein Unternehmen sei „sicher“. Die Art der Bedrohung kann sich bereits verändert haben, ohne dass dies überhaupt erkannt wurde.
Gibt es überhaupt so etwas wie vollständige Sicherheit?
Die einfache Antwort lautet: Nein.
Sicherheit wird niemals eine absolute Kennzahl oder ein absolut messbarer Zustand sein. Mit ausreichend Ressourcen, Zeit und Aufwand lässt sich grundsätzlich nahezu jedes System kompromittieren.
Ein anschauliches Beispiel hierfür ist der mutmaßliche jüngste Angriff auf ein CyrusOne-Rechenzentrum, bei dem die Schwachstelle offenbar nicht primär in der digitalen Infrastruktur, sondern im physischen Gebäude selbst gelegen haben soll.
Deutlich sinnvoller ist es daher, vom sogenannten Cyber Risk Appetite, also der Cyber-Risikobereitschaft, zu sprechen, dem Maß an Risiko, dem sich ein Unternehmen bewusst auszusetzen bereit ist.
Anders formuliert geht es darum, wie viel Aufwand und wie viele Ressourcen ein Unternehmen investieren möchte, um sein Sicherheitsniveau zu erhöhen, und gleichzeitig darum, auf welche geschäftlichen Möglichkeiten es gegebenenfalls zu verzichten bereit ist, weil diese zusätzliche Risiken mit sich bringen würden.
Wie auch in diesem Artikel von Cybernews thematisiert wird, ist dieses Konzept in vielen Unternehmen weder ausreichend verstanden noch klar kommuniziert.
Dadurch wird es noch schwieriger, das bewegliche Ziel der Datensicherheit zuverlässig zu treffen insbesondere dann, wenn der angestrebte Sicherheitszustand selbst nicht eindeutig definiert ist.
Was können wir anders machen?
- Definieren Sie Ihre Risikobereitschaft. Welche Kompromisse sind Sie bereit einzugehen, und unter welchen Umständen sowie aus welchen Gründen?
- Verfolgen Sie aktuelle Entwicklungen im Bereich Cybersicherheit kontinuierlich. Nur wer neue Bedrohungen, Technologien und regulatorische Veränderungen kennt, kann proaktiv handeln.
- Planen Sie ein festes Budget für Sicherheit ein. Investitionen in Cybersicherheit sind Investitionen in die Zukunft und Widerstandsfähigkeit Ihres Unternehmens.
- Stellen Sie sicher, dass ein belastbarer Disaster Recovery Plan vorhanden ist, und dass Ihre Systeme technisch und organisatorisch in der Lage sind, diesen im Ernstfall auch umzusetzen.
Ihre Daten in Ihren Händen – Mit TECH-ARROW
Bildquelle: Canva
