Cyber Resilience: CSIRT-Insights & Notfallplan fürs Top-Management

Längst stellt sich nicht mehr die Frage ob, sondern wann ein Unternehmen Ziel einer erfolgreichen Cyber-Attacke wird. Das gilt auch für Ihr Unternehmen. Deshalb ist es existenziell wichtig, dass Sie die nötigen Vorkehrungen zur Wahrung Ihrer Cyber Security getroffen haben. Welche Rolle dabei ein CSIRT spielt und was Sie bei und nach einem Sicherheitsvorfall zwingend tun sollten, erfahren Sie in diesem Artikel - inklusive Video-Statement. Plus: Profitieren Sie dank dem Cyber-Resilience-Leitfaden fürs Top Management von unserem 7-Punkte-Notfallplan.

In einem unserer letzten Beiträge haben wir ausführlich beleuchtet, warum Cyber Resilience zwingend auf die Traktandenliste von Verwaltungsrat und Geschäftsleitung gehört und was die konkreten Aufgaben sowie Verantwortlichkeiten vom Top-Management sind. Darauf möchten wir nun aufbauen und Ihnen aufzeigen, was Sie bei einem Sicherheitsvorfall tun sollten und wie Sie nach einem Incident wieder erfolgreich in den Normalbetrieb zurückkehren. Doch erst mal der Reihe nach...

CSIRT - Erste Hilfe bei einem Sicherheitsvorfall

Cyber-Risiken gehören zu den bedeutendsten operationellen Risiken eines Unternehmens. Und genau dieser Tatsache ist es zu verdanken, dass Sie als Verwaltungsrats- oder Geschäftsleitungsmitglied in der Verantwortung stehen, ein effektives Risikomanagement-Konzept zu implementieren. Eine der wichtigsten Vorbereitungsmassnahmen in Bezug auf Cyber-Sicherheit ist die Erkennung, Analyse und Reaktion auf Cyber-Angriffe – und zwar 24x7. Genau hier kommt das Computer Security Incident Response Team (CSIRT) ins Spiel. Für die Bearbeitung von kritischen Sicherheitsvorfällen benötigen Sie ein eingespieltes und erfahrenes CSIRT, um die Situation rasch und erfolgreich zu bewältigen. Die meisten Unternehmen setzen auf einen externen, kompetenten Partner mit einem Rucksack voller Erfahrungen aus ähnlichen Fällen. Dies empfehlen wir auch Ihnen! Warum? Um die Dauer eines Sicherheitsvorfalls und den verursachten Schaden zu minimieren sowie den Business Impact drastisch zu reduzieren.

Incident-Response-Plan von grösster Wichtigkeit

Eine zentrale Aufgabe für Sie als Verwaltungsrats- oder Geschäftsleitungsmitglied ist die Erstellung eines Incident-Response-Prozesses. Ziel ist es, ein effektives Incident Management aufzubauen, in dem alle notwendigen Abläufe, Richtlinien, Rollen, Verantwortlichkeiten und nicht zuletzt auch Kommunikations- sowie Eskalationswege definiert werden. Den operativen Teil dieser Übung können Sie sehr wohl an Ihre internen IT- und Security-Spezialist*innen delegieren. Doch es liegt in der Verantwortung von Verwaltungsrat und Geschäftsleitung, dass ein solcher Prozess aufgebaut, dokumentiert und – unbedingt! – geprobt wird. Insbesondere Letzteres wird nämlich häufig vernachlässigt, wie wir aus der Praxis (leider) bestätigen können. Die gewonnenen Erkenntnisse müssen im Sinne einer ganzheitlichen und kontinuierlichen Optimierung natürlich auch wieder zurückfliessen. In diesem Prozess sollten Sie ebenso auf Ihren bewährter Partner und dessen CSIRT setzen können. Es hat sich in der Vergangenheit mehr als einmal gezeigt, dass es keinen unpassenderen Zeitpunkt gibt, um erst zum Zeitpunkt des Schadensfalls erst noch einen geeigneten externen Partner evaluieren zu müssen. Unsere Empfehlung: Verzichten Sie auf diese negative und stressige Erfahrung – kümmern Sie sich frühzeitig um den bestmöglichen Partner. So können Sie sich auf eine top Unterstützung im technischen Bereich verlassen, während Sie und Ihre Kolleg*innen sich in dieser Zeit um andere relevante Dinge konzentrieren können, beispielsweise um die Information und Kommunikation gegenüber Kunden, Geschäftspartnern, Mitarbeitenden und eventuell sogar der Öffentlichkeit.

7-Punkte-Notfallplan fürs Top-Management

Wie steht es um Ihr Unternehmen? Wie sind Sie aufgestellt? Und wurden Sie in der Vergangenheit bereits einmal Opfer einer Cyber-Attacke? Unser CSIRT appelliert an dieser Stelle an Sie: Ein Incident kann heutzutage jederzeit und jedes Unternehmen treffen. Die Unternehmensgrösse spielt dabei ebenso wenig eine Rolle wie die Branche oder die Region. Was sich aber immer öfters und mittlerweile fast täglich bestätigt – und hier liegt der Hund begraben – ist die folgende Tatsache: Meist trifft es die Verantwortlichen ganz unvermittelt und nicht selten sind diese mit der Situation heillos überfordert. Deshalb die klare Handlungsaufforderung an Sie als VR- oder GL-Mitglied: Treffen Sie die nötigen Vorbereitungen! Unterstützend haben wir für Sie einen 7-Punkte-Notfallplan erarbeitet:

1. Richten Sie einen Krisenstab ein: Interne (und externe) Stellen frühzeitig einbinden.
   
2. Planen Sie regelmässig Sitzungen: Abwechselnd Beratungs- und Arbeitsphasen im Krisenstab einplanen.
   
3. Kommunizieren Sie regelmässig: Wert auf eine transparente Kommunikation legen - sowohl intern als auch extern.
4. Denken Sie an Meldepflichten: Meldepflicht gegenüber der Aufsichtsbehörde und ggf. Ihrer Cyber-Versicherung wahrnehmen.
5. Holen Sie sich frühzeitig externe Unterstützung: Externe Spezialist*innen für Ressourcen und Know-how frühzeitig beiziehen - nicht zuletzt auch für juristische Fragen und für die Verhandlung mit den Angreifern.
6. Stellen Sie Ihre Handlungsfähigkeit wieder her: Regelmässig Backups erstellen und diese auch offline aufbewahren.
7. Vergessen Sie die Nachbearbeitung nicht: Ebenso wichtig wie die Vorbereitung ist eine professionelle Nachbearbeitung zur Auswertung und Optimierung. Revision Ihrer IT durch externe Spezialisten planen und langfristige Sicherheitsmassnahmen definieren.

Den kompletten 7-Punkte-Notfallplan inklusive konkreten und ausführlichen Handlungsempfehlungen finden Sie in unserem Cyber-Resilience-Leitfaden für den Verwaltungsrat und die Geschäftsleitung.

Wie Sie erfolgreich vom Not- in den Normalbetrieb zurückkehren

Auch hierfür hat unser CSIRT eine klare Empfehlung für Sie parat: Implementieren Sie unbedingt einen Prozess für Backup und Recovery, denn Ihre Daten sind zu wertvoll und geschäftskritisch. Es geht dabei nicht nur um die Erstellung regelmässiger Kopien von Daten und Anwendungen auf ein separates Gerät. Nein, sondern auch um die Wiederherstellung selbiger im Falle eines Datenverlustes resp. -beschädigung. Drei Dinge möchten wir Ihnen mit auf den Weg geben, die Sie tun sollten:

1. Planen: Erstellen Sie einen Plan als Grundlage: WAS, WANN (Wiederherstellungspunkt-Ziele (RPO), Wiederherstellungszeit-Ziele (RTO) und Service Level Agreements (SLAs)), WER.
   
2. (Schnelles) Wiederherstellen der Systeme und Daten.
   
3. Testen Sie den Plan sowie die kontinuierliche Verbesserung.

Klingt einfach, nicht wahr? Die Erfahrung zeigt aber, dass nach einem Incident die Rückkehr zum Normalbetrieb sehr viel (und oft mehr als gedacht) Zeit in Anspruch nimmt. Deshalb ist eine sorgfältige Planung bezüglich Ressourcen und Aktivitäten empfehlenswert, um eine raschmöglichste und zielgerichtete Wiederherstellung zu erzielen. Besonderes Augenmerk sollten Sie darauflegen, die Aktivitäten in dieser Phase minutiös zu überwachen und zu protokollieren. Und noch etwas: Auch in dieser Phase ist es unabdingbar, auf die Unterstützung eines externen Partners zu vertrauen. Diese Expertise hilft Ihnen zu einer effizienten, sicheren und erfolgreichen Rückkehr aus dem Not- in den Normalbetrieb, ohne dass Checklisten oder Massnahmenpläne neu erfunden werden müssen.

Dies bestätigt auch Dr. Christian Neubaur, CIO der Siegfried AG, in einem eindrücklichen Video-Statement. Aus der Praxis für die Praxis.

«Zur erfolgreichen Bewältigung einer Cyber-Attacke benötigen Sie vor allem eines: Schnelle und professionelle Unterstützung durch Experten, die Ihnen mit Ressourcen und Erfahrungen aus vergleichbaren Fällen rund um die Uhr zur Verfügung stehen. Genau mit diesem Service hat uns InfoGuard unterstützt, als wir es benötigt haben. Das hervorragende Zusammenspiel von kompetenten Mitarbeitenden, von effizient organisierten Prozessen und den richtigen Technologien hat uns dabei am meisten geholfen. Genau diese Art von Dienstleistung benötigen Sie, um schnellstmöglich wieder handlungsfähig zu sein.»

Einladung zum Round-Table-Gespräch

Wenn die letzten Monate eines klar aufgezeigt haben, ist es die Tatsache, dass die Quantität und vor allem die Qualität der Angriffe markant zugenommen haben. So versteht es sich von selbst, dass dem Schutz vor Cyber-Risiken höchste Priorität eingeräumt werden soll und dies Sache des Top-Managements ist. Unsere Empfehlung an Sie: Richten Sie Ihre Cyber-Strategie auf Resilienz aus. Dabei unterstützen wir Sie sehr gerne! Lassen Sie uns in einem unverbindlichen Round-Table-Gespräch gemeinsam herausfinden, wo und was Ihre grössten Herausforderungen und Bedrohungen im Cyber-Security-Ökosystem sind. Ein Austausch auf Augenhöhe – von VR zu VR oder von GL zu GL – ist erfahrungsgemäss am zielführendsten. Hinterlassen Sie uns hier Ihren Wunschtermin. Wir freuen uns auf den Austausch mit Ihnen und Ihren VR- oder GL-Kolleg*innen.