Aufsehenerregende Datenschutzverletzungen erinnern uns alle daran, dass Datensicherheit für Unternehmen oberste Priorität hat. Wenn Sie kürzlich unseren Blog zum Sicherheits-ROI gelesen haben, haben Sie vielleicht herausgefunden, dass die Wahrscheinlichkeit, dass Unternehmen einen Datenverstoß erleiden, der sie in den nächsten zwei Jahren etwa 2,21 Millionen US-Dollar kosten wird, mittlerweile bei eins zu vier liegt. Zu den Folgen eines Lecks gehören eine verminderte Kundentreue, Misstrauen, potenzielle Umsatzeinbußen und ein negativer Markenruf.
Anlageninventar
Der Einblick in die Hardware- und Softwareressourcen, die Sie in Ihrem Netzwerk und Ihrer physischen Infrastruktur besitzen, wird Ihnen helfen, die Sicherheitslage Ihres Unternehmens besser zu verstehen. Mithilfe einer Anlageninventur können Sie auch Kategorien und Bewertungen für die Bedrohungen und Schwachstellen festlegen, denen Ihre Anlagen ausgesetzt sein könnten. Die Kategorien und Rankings dieser Schwachstellen können Ihnen dabei helfen, die Behebungsbemühungen, die für diese Assets durchgeführt werden, besser zu priorisieren.
Bei Datenschutzverletzungen liegt der Schwerpunkt auf dem Endpunktschutz. Antivirenprogramme reichen nicht aus, um ein großes Datenleck zu verhindern. Wenn Sie sich ausschließlich auf den Virenschutz verlassen, sind Ihre Endpunkte wie Desktops und Laptops tatsächlich ungeschützt. Ihre Desktop- und Laptop-Computer können zu einem wichtigen Einfallstor für Lecks werden.
Eine umfassende Endpunktlösung nutzt Verschlüsselung, um Datenverlust und -lecks zu verhindern, und wendet einheitliche Datenschutzrichtlinien auf alle Ihre Server, Netzwerke und Endpunkte an, wodurch das Risiko von Datenlecks verringert wird.
Schwachstellen- und Compliance-Management
Mithilfe eines VCM-Tools (Vulnerability and Compliance Management) oder zumindest einer Schwachstellenbewertung können Sie Sicherheitslücken, Schwachstellen und Fehlkonfigurationen in Ihren physischen und virtuellen Umgebungen identifizieren. VCM kann Ihre IT-Infrastruktur und -Ressourcen kontinuierlich auf Schwachstellen und Compliance-Schwächen sowie Best Practices für die Konfiguration überwachen.
Zu den Vorteilen, die dazu beitragen, eine Datenschutzverletzung einzudämmen, gehört, dass Ihr Sicherheitsteam die Schwachstellenrisiken der Umgebung, d. h. die Bedrohungslandschaft, und die Prioritäten hinsichtlich der zu behebenden Maßnahmen besser verstehen kann. Mit einem guten VCM können Sie einen Aktionsplan zur Behebung dieser Schwachstellen erstellen und diese den betroffenen Mitarbeitern zuweisen.
Regelmäßige Überprüfungen der Sicherheitslage
Die Durchführung regelmäßiger Audits zur Identifizierung potenzieller neuer Compliance- oder Governance-Lücken trägt zur Validierung Ihres Sicherheitsstatus bei. Bei einem Sicherheitsaudit handelt es sich um eine eingehendere Bewertung Ihrer Sicherheitsrichtlinien als bei der Schwachstellenbewertung oder beim Penetrationstest. Ein Sicherheitsaudit berücksichtigt die Dynamik der Organisation sowie die Art und Weise, wie sie die Informationssicherheit verwaltet.
Zu den häufigen Fragen, die während des Sicherheitsaudits aufgeworfen werden können, gehören:
- Verfügt Ihre Organisation über dokumentierte Informationssicherheitsrichtlinien?
- Verfügen Sie über einen Managementprozess, Eskalationsprofile, dokumentierte und befolgte Verfahren, Vorgaben für den Fall von Vorfällen oder Lecks?
- Haben Sie Netzwerksicherheitsmechanismen implementiert (Next Generation Firewall, IDS/IPS, EPP usw.)?
- Sind Sicherheitsüberwachung und Protokolle vorhanden?
- Gibt es eine Verschlüsselungs- und Passwortrichtlinie?
- Gibt es einen Notfallwiederherstellungs- und Geschäftskontinuitätsplan?
- Werden Anwendungen auf Sicherheitslücken getestet?
- Ist auf allen Ebenen der IT-Umgebung ein Change-Management-Prozess vorhanden?
- Wie werden Dateien und Medien gesichert? Wer kann auf dieses Backup zugreifen? Werden Wiederherstellungsverfahren getestet?
- Werden Audit-Protokolle überprüft? Wann werden Sicherheitsüberwachungsprotokolle überprüft?
Schulen und schulen Sie Ihre Mitarbeiter
Nach Abschluss Ihrer Sicherheitsrichtlinienprüfungen können Sie eine schriftliche Richtlinie für Mitarbeiter zum Datenschutz und zur Datensicherheit umsetzen. Damit alle Mitarbeiter über diese neu geschaffenen Richtlinien informiert sind, sollten Sie regelmäßig Sicherheitsschulungen durchführen – schließlich können sich Menschen nicht freiwillig an Richtlinien halten, die ihnen unbekannt sind. Bei der Festlegung Ihrer Sicherheitsrichtlinie für Mitarbeiter können Sie Schulungen zu den folgenden Themen in Betracht ziehen:
- Kontrolle des Endbenutzerzugriffs und der Privilegien im Rahmen der gemeinsamen Richtlinie „geringste Privilegien“.
- Die Verwendung unterschiedlicher und eindeutiger Passwörter auf Computern oder anderen Geräten, die für berufliche Zwecke genutzt werden
- Richten Sie ein dokumentiertes System für die Abreise von Mitarbeitern und Lieferanten/Auftragnehmern ein (Passwörter, Schlüsselkarten, Laptop-Zugriff usw.).
- Schulen Sie Ihre Mitarbeiter darin, wie wichtig es ist, verdächtige Datenlecks oder Datenlecks zu melden.
- Erstellen Sie eine Richtlinie, die beschreibt, wie Mitarbeiter mit Daten umgehen, sie entsorgen, abrufen und senden sollen.
Auch über die Arten moderner Phishing-Angriffe sollten Mitarbeiter geschult werden. Wie wir in unserem Ransomware-Blog erklärt haben, ist Phishing der häufigste Weg für die Verbreitung von Ransomware innerhalb eines Unternehmens. Wenn Sie Ihre Mitarbeiter über die Fallen und Indikatoren aufklären, auf die Sie in einer Phishing-E-Mail achten sollten, ist Ihr Unternehmen gut bedient.
Sie können auch darüber nachdenken, in Ihrer Organisation einen Botschafter zu gründen, der diese verschiedenen Schulungsthemen zur Informationssicherheit bis zu ihrem Abschluss leiten und überwachen kann.
Das Verhindern von Datenlecks kann wie eine mühsame Aufgabe erscheinen. Wenn Sie einen mehrschichtigen Sicherheitsansatz mit verschiedenen Maßnahmen, Richtlinien und Verfahren zur Eindämmung von Bedrohungen verfolgen, sind Sie in einer viel besseren Position, als wenn Sie Ihrem Unternehmen erlauben, angesichts einer sich ständig verändernden Bedrohungslandschaft entspannt zu bleiben.