Während sich die meisten Sicherheitsteams darauf konzentrieren, böswillige Angriffe von Außen zu verhindern, deuten aktuelle Daten darauf hin, dass Insider an fast 30 Prozent der bestätigten Sicherheitsverstöße beteiligt sind.
Die zunehmend komplexeren Netzwerke in physischen, informationstechnischen (IT) und betriebstechnischen (OT) Systemen erschweren es Sicherheitsteams, Insider-Bedrohungen zu erkennen und zu verhindern. Die starke Vermehrung von Daten, Geräten, Anwendungen und Benutzern mit Zugang zu vernetzten Ressourcen macht dies nur noch schlimmer.
Steigende Bedrohung durch böswillige Insider-Angriffe
Laut der Umfrage „2017 US State of Cybercrime“ erleben 50 Prozent der Organisationen mindestens einen böswilligen Insider-Vorfall pro Jahr. Und der „2018 Verizon Data Breach Report“ ergab, dass Insider heute an fast 30 Prozent der bestätigten Verstöße beteiligt sind. Im August 2018 sensibilisierte ein tragischer Absturz mit einem Flugzeug aus Seattle, das von einem Mitarbeiter gestohlen wurde, das Bewusstsein für physische Insiderbedrohungen (sowie für umfassendere psychologische Untersuchungen vor der Anstellung).
Da sich die Bedrohungslandschaft rasant weiterentwickelt, müssen CISOs ihre Bemühungen verstärken, sagt Aamir Ghaffar, Director of Solutions Engineering bei Alert Enterprise. Sie sollten Sicherheitskontrollen implementieren, die ihre Mitarbeitenden, physische Assets, Daten, geistiges Eigentum und den Ruf ihres Unternehmens sowohl intern als auch extern schützen. Und dabei müssen sie gleichzeitig die Compliance-Anforderungen der Branche erfüllen. Als Antwort auf unsere Fragen gab Aamir Ghaffar einige zusätzliche Einblicke in das aktuelle Thema Insider-Bedrohungen.
F: Wir hören Diskussionen über das Aufkommen von cyber-physischen Sicherheitssystemen. Worum geht es hierbei genau und wie helfen sie Organisationen dabei, Insider-Bedrohungen zu begegnen?
Ghaffar: Das Konzept der Konvergenz hat sich als Reaktion auf die Risiken und die gesamte Bedrohungslandschaft entwickelt. Bedrohungen haben ihren Ursprung mittlerweile nicht nur im physischen Raum, sondern auch in Cyberumgebungen – dies wird gemeinhin als gemischtes Risiko bezeichnet. Diese gemischten Risiken erfordern einen konvergenten Ansatz und eine konvergente Sichtweise auf die Sicherheit als Ganzes: Daten verbinden, neue Funktionen aufbauen und neue Erkenntnisse gewinnen, damit Sicherheitsteams sich besser gegen Angriffe verteidigen können.
F: Wie reagieren die Organisationen?
Ghaffar: Sie verlagern sich in Richtung Zentralisierung – vom Security Operations Center bis hin zur Vorstandsebene, wo ein Manager auf Führungsebene die gesamte Sicherheit in allen Bereichen verwaltet: physische Bereiche, IT und OT. Laut Gartner werden 75 % der Organisationen bis 2023 ihre Risiko- und Sicherheit-Governance umstrukturieren, um neue Anforderungen an cyber-physische Systeme (CPS) und konvergierte IT, OT, Internet of Things (IoT) und physische Sicherheit zu berücksichtigen – heute sind es weniger als 15 %.
F: Wie wirkt sich der Wechsel auf Insider-Bedrohungen aus?
Ghaffar: Die Vereinheitlichung von cyber- und physischen Systemen erschließt leistungsstarke neue Funktionen. So können beispielsweise cyber-physische Teams, die mit einer Bedrohung konfrontiert sind – beispielsweise einem intrusiven Gerät, das in ihre Netzwerkumgebung eingeschleust wurde – den Cyber-Fußabdruck schnell mit einem physischen Standort in Verbindung bringen, um zu verstehen, woher die Bedrohungen stammen und die Verantwortlichen zu identifizieren. Die Konvergenz von physischer und Cyberidentität durch Plattformen, die Systeme zur physischen Zugangskontrolle, IT und OT verbinden, ist ein Beispiel dafür, wie sich Organisationen besser auf gemischte Sicherheitsbedrohungen vorbereiten können.
F: Manchmal geht es bei der Bedrohung um menschliche Fehler.
Ghaffar: Wir denken oft, dass Insider-Bedrohungen, die den größten Schaden verursachen, vorsätzlich stattfinden. Doch unbeabsichtigtes Benutzerverhalten und Fahrlässigkeit können ebenfalls schwerwiegende Folgen für eine Organisation haben. Organisationen sollten Technologien einsetzen, die Automatisierung und aktive Durchsetzung von Richtlinien bieten, um zu verhindern, dass Mitarbeiter unbeabsichtigte, aber entscheidende Fehler machen. Organisationen sollten auch regelmäßige Risikobeurteilungen durchführen – nicht nur einmal. Denken Sie nicht, dass Sie durch das Implementieren eines Prozesses sicher sind. Eine automatisierte Technologie für das Identitäts- und Zugriffsmanagement kann planmäßige Zugriffsüberprüfungen durchführen, um risikoreiche Benutzerprofile mit kumulierten oder toxischen Zugriffskombinationen sowie Verstöße gegen die Aufgabentrennung – z B. durch Abteilungs- oder Arbeitsplatzwechsel zu erkennen.
F: Was sind die größten Missverständnisse über Insider-Bedrohungen?
Ghaffar: Erstens, dass die größten Bedrohungen außerhalb meines Unternehmens entstehen. Oder dass Insider-Bedrohungen ein Problem für Regierungsbehörden und hochgradig sensible Organisationen sind und nicht für „normale“ Unternehmen wie uns. Ein Unternehmen könnte auch fälschlicherweise denken, dass es nur über begrenzte Assets verfügt, die gefährdet sein könnten, oder dass die Assets von geringem Wert sind. Daher wäre es weniger wahrscheinlich, dass es zu einem bedeutenden Verstoß kommt. Und selbst wenn es dazu kommt, wird er wahrscheinlich keine großen Auswirkungen haben.
F: Sie denken also: „Das kann hier nicht passieren.“?
Ghaffar: Ja, und sie glauben, dass ihre Angestellten von Natur aus vertrauenswürdig sind und das Risiko gering ist, wenn grundlegenden Sicherheitsmaßnahmen vorhanden sind. Sie sind der Meinung, dass Insider-Bedrohungen immer vorsätzlich sind. Oder sie denken: „Das ist nicht mein Job.“
F: Welche nächsten Schritte sollten Sicherheitsverantwortliche unternehmen, um Insider-Bedrohungen in ihrer Organisation zu begegnen?
Ghaffar: Führungskräfte in Sicherheit und Risikomanagement sollten zunächst eine überzeugende Vision und Strategie entwickeln, die bei den wichtigsten Stakeholdern des Unternehmens Anklang findet. Sie können die Sichtbarkeit der Benutzeraktivitäten über die Ereignisse im Netzwerk hinaus erweitern. Gehen Sie über einen datenzentrierten Ansatz hinaus zu einem menschenzentrierten Ansatz, indem sie das Identitätsverhalten analysieren. Eine verbesserte Sichtbarkeit in Benutzeraktivitäten und ein verstärkt präventiver Ansatz sind die besten Möglichkeiten, um das Risiko eines Vorfalls zu verwalten. Entwickeln Sie einen von innen nach außen gerichteten Sicherheitsansatz. Durch die Konvergenz von physischer, Cyber- und OT-Sicherheit erhalten Sie einen ganzheitlichen Überblick über Ihre unternehmensweite Sicherheitslandschaft.
