Inhalt
- 1. Einweihung
- 2. Forensische Beweisaufnahme
- 3. Web- und Verhaltensanalyse
- 4. Risikoauswirkungsanalyse
- 5. Berichterstattung an interne und externe Gruppen
- Quellen
Virginia liebt es, über wissenschaftliche Themen zu recherchieren und zu schreiben, die die Fantasie anregen.
Es ist besser, auf Nummer sicher zu gehen, insbesondere wenn es um Sicherheitsfragen geht. Nehmen Sie an, dass irgendwann in der Zukunft eine Sicherheitsverletzung auftreten wird, und bereiten Sie sich auf diese Eventualität vor. Mit einem Notfallplan sparen Sie wertvolle Zeit. Schnelles Handeln ist entscheidend für eine effektive Schadenskontrolle. Beauftragen Sie die Untersuchung eines Verstoßes mit einem externen Unternehmen, da Ihnen möglicherweise die Ressourcen fehlen, um den Fall ordnungsgemäß zu behandeln. Wenn ein Verstoß von einem Ihrer Mitarbeiter verursacht wurde, kann eine interne Untersuchung zu einem Interessenkonflikt führen.
Die Reaktion auf eine Sicherheitsverletzung ist in jedem Fall unterschiedlich, da jedes Unternehmen anders ist. Es gibt jedoch einige allgemeine Richtlinien, die Sie befolgen sollten. Eine typische Reaktion auf ein Cyber-Ereignis besteht aus fünf Phasen: Initiierung, Erfassung forensischer Beweise, Web- und Verhaltensanalyse, Risikoauswirkungsanalyse und Berichterstattung an interne und externe Gruppen.
1. Einweihung
Bilden Sie zunächst ein Team für das Management von Sicherheitsverletzungen, das aus folgenden Rollen und Verantwortlichkeiten bestehen sollte:
- Rechtsbeistand. Intern, wenn die Person Erfahrung im Umgang mit Verstößen hat, oder extern, wenn der interne Rechtsbeauftragte nicht über die erforderlichen Qualifikationen verfügt.
- Executive Sponsor
- Interne Sicherheit
- Interne IT-Infrastruktur
- Humanressourcen. Der Mensch sollte das Cyber-Sensibilisierungsprogramm überarbeiten und eingreifen, wenn der Verstoß von einem der Mitarbeiter verursacht wurde.
- Unternehmenskommunikation. Sie werden eine Nachricht an die Medien formulieren.
- Datenschutz oder Einhaltung gesetzlicher Bestimmungen
- Risikomanagement
In dieser Phase sollten Sie Kommunikationsstandards, Protokolle und Verschlüsselung für die mündliche und schriftliche Kommunikation festlegen. Ernennen Sie eine Person, die für die Kommunikation mit externen Beratern oder Beratern verantwortlich ist (in der Regel ist dies der Rechtsbeauftragte), sowie mit dem Prüfungs- und Risikoausschuss des Verwaltungsrates. Legen Sie eine Häufigkeit und Methode für die Kommunikation von Fortschritten fest - in der frühen Phase sollten die Sitzungen zweimal täglich stattfinden. Achten Sie darauf, die Nachrichten über den Verstoß möglichst wenigen Personen mitzuteilen, falls einer der Mitarbeiter ein Verschulden trifft. Die Zeit für die Information der Mitarbeiter wird später kommen.
2. Forensische Beweisaufnahme
Die Erkennung von Verstößen dauert manchmal Jahre. Bestätigen Sie, dass ein Verstoß vorliegt. Bestimmen Sie, welche Arten von Informationen kompromittiert wurden - personenbezogene Daten (Gesundheits-, Kreditkarten- und Finanzinformationen), Informationen zur Mitarbeiterfamilie, geistiges Eigentum, Geschäftsgeheimnisse, firmeneigene Informationen (Allianzpartner, Kunden, Drittanbieter, Investoren). Stellen Sie fest, ob der Verstoß beendet ist oder noch stattfindet. Ändern Sie Kennwörter im gesamten Unternehmen, um weitere Informationslecks zu vermeiden. Stellen Sie fest, ob die Informationen verschlüsselt wurden und welche Art von Verschlüsselung verwendet wurde. Isolieren und lagern Sie alle Festplatten, damit ein unabhängiger Fachmann sie untersuchen kann. Wenn dies nicht der erste Verstoß ist, den das Unternehmen erleidet, sehen Sie sich die Vorgeschichte von Verstößen an, um Parallelen zu finden. Wenn dies die erste Sicherheitsverletzung ist, suchen Sie im Internet nach ähnlichen Fällen.
3. Web- und Verhaltensanalyse
Analysieren Sie die IP-Adressen in der Umgebung und klassifizieren Sie sie in drei Kategorien: autorisiert und harmlos, nicht autorisiert und giftig und autorisiert, aber giftig. Stellen Sie fest, ob der Verstoß von innen oder außen kam - wenn von außen, woher kam er? Bestimmen Sie die Methode des Verstoßes und suchen Sie nach Malware-Programmen im System. Handelte es sich bei dem Verstoß um ein physisches Eindringen? Gibt es eine physische Bedrohung für die Mitarbeiter?
4. Risikoauswirkungsanalyse
Überprüfen Sie, welche Art von Daten betroffen war, und überprüfen Sie sowohl das elektronische als auch das Papierformat.Wenn Informationen zu personenbezogenen Daten, persönlichen Gesundheitsinformationen, geistigem Eigentum und Geschäftsgeheimnissen, kritischer Infrastruktur und Verteidigungsinformationen durchgesickert sind, informieren Sie die Strafverfolgungsbehörden über das Ereignis. Fragen Sie außerdem Ihren Rechtsberater um Rat bezüglich der internen Berichtspflichten. Möglicherweise müssen Sie gefährdete Unternehmenskunden und -partner, Aufsichtsbehörden und Vorstandsmitglieder benachrichtigen. Richten Sie geeignete Benachrichtigungsprotokolle und eine Benachrichtigungsstrategie ein.
5. Berichterstattung an interne und externe Gruppen
Passen Sie Ihre Berichtsstrategien an unterschiedliche Zielgruppen an. Denken Sie daran, dass ein technischer Bericht bei nicht technischen Zielgruppen wie dem Board of Directors zu Verwirrung und Missverständnissen führen kann. Verwenden Sie anstelle der Fachsprache die Geschäftssprache und das Risiko. Der Executive Report sollte eine Einführung (allgemeine Risikobedingungen und -trends), eine Beschreibung des verletzten Unternehmens (falls das Publikum es nicht weiß), eine Beschreibung des Eindringungsereignisses, das Datum des Eindringens und eine Beschreibung des Angriffs enthalten. Risikodaten, eine Analyse vorläufiger Minderungsmaßnahmen, Schlussfolgerungen und Empfehlungen (dieser Teil ist entscheidend, um Kunden davon zu überzeugen, dass sich das Unternehmen für das Management der Auswirkungen von Risiken einsetzt) und eine technische Zusammenfassung.
Quellen
Ulsch, N MacDonnell, „Cyber Threat! Wie man mit dem wachsenden Risiko von Cyberangriffen umgeht “, Wiley, 2014
Dieser Artikel ist genau und nach bestem Wissen des Autors. Der Inhalt dient nur zu Informations- oder Unterhaltungszwecken und ersetzt nicht die persönliche Beratung oder professionelle Beratung in geschäftlichen, finanziellen, rechtlichen oder technischen Angelegenheiten.
