IT Security

Verlust der Unternehmensdaten durch Ransomware

Vorfälle bei denen Daten von Unternehmen durch Verschlüsselung unbrauchbar gemacht wurden und eine Entschlüsselung durch Zahlung von „Lösegeldern“ in Aussicht gestellt wurde, gehen seit einigen Monaten immer wieder durch die Presse. Locky und andere Schadprogramme sind bereits auch in unserer Region angekommen. Damit besteht Handlungsbedarf, will verhindert werden, dass auf einmal nicht mehr auf eigene Unternehmensdaten zugegriffen werden kann. Die Bedrohungssituation ist sehr komplex und ist nur durch ein durchdachtes und auf das Unternehmen zugeschnittenes Sicherheitskonzept effektiv in den Griff zu bekommen. Standardsicherheitsprogramme ziehen bei Ransomeware Angriffen gar nicht oder nur unzureichend. So hat sich Locky erfolgreich an Virenschutzprogrammen etablierter Hersteller vorbei geschmuggelt. Einen effektiven Schutz gegen derartige Bedrohungen bietet nur das Aufstellen eines technischen und organisatorischen Konzepts:

Bewusstsein im Management

Als erster Schritt muss den Verantwortlichen bewusst sein, dass herkömmliche Standardsicherheitssysteme nicht auf Malware ausgerichtet sind und somit keinen oder nur einen unzureichenden Schutz vor Locky und anderen Schadprogrammen bieten. Der Worst Case sollte durchgespielt werden und die Frage beantwortet werden, was es bedeuten würde, wenn die Buchhaltungs-, Kunden- oder Produktionsdaten nicht mehr verfügbar sind. Dementsprechend kann individuell die Situation eingeschätzt werden, mit welcher Priorität dieses Thema angegangen werden muss.

Backup Konzept

Die Datensicherung der Unternehmensdaten sollte sicherstellen, dass auf ältere Datenstämme zurückgegriffen werden kann. Dabei muss überprüft werden, ob die Datensicherung tatsächlich, häufig genug und vollständig stattfindet.

Patch Management

Sämtliche Systeme und Anwendungen müssen mit den aktuellsten Patches versehen werden. Es müssen Verantwortliche bestimmt werden, die sicherstellen, dass Patches sofort nach Erscheinen auch aufgespielt werden. Ansonsten haben Schadprogramme leichtes Spiel, indem sie bekannte Sicherheitslücken ausnützen können.

Anwender Sensibilisierung

Eine grosse Bedrohung der Informationssicherheit besteht im Inneren des Unternehmens: den Beschäftigten. Meist werden aus Gutgläubigkeit, Neugierde oder Konfliktvermeidung sicherheitskritische Handlungen vorgenommen. Daher ist es wichtig, die Mitarbeiter über die Bedrohungen und Gefahren zu schulen und verbindliche Richtlinien aufzustellen, wie mit Daten und Systemen umgegangen werden soll und darf.

Analyse bestehende Systeme und Applikationen (IT-Dokumentation)

Eine aktuelle Dokumentation der bestehenden IT-Landschaft dient als Basis für ein IT-Sicherheitskonzept. Eine Auflistung aller sogenannten Assets hilft dabei eine Übersicht über alle relevanten Systeme und Applikation zu erhalten und zu priorisieren, welche Elemente besonderer Aufmerksamkeit bedürfen.

Virenschutzkonzept

Viren können sich über verschiedene Wege im Unternehmensnetz verbreiten. Beispiele sind die eMailkommunikation, das Surfen im Internet, das interne Netz oder Wechseldatenträger. Dementsprechend muss jedes Unternehmen ein individuelles Konzept erstellen, wie das Unternehmensnetz geschützt werden kann. Mitunter müssen verschiedene Schutzprogramme verwendet und miteinander kombiniert werden.

Notfallszenarien

Sollte der Fall Worst Case doch eintreten, ist es von Vorteil darauf vorbereitet zu sein. Dazu sollten verschiedenen mögliche Schadensszenarien durchgespielt und Handlungsrichtlinien festgelegt werden.

Sirius Consult AG – Ihr Partner

Sirius Consult AG unterstützt Unternehmen beratend und ausführend dabei oben ausgeführtes Sicherheitskonzept zu erstellen und umzusetzen. Ebenfalls unterstützen und begleiten wir Unternehmen bei der Einführung und dem Betrieb eines ISMS-Systems, einer ISO 27001/05 sowie Datenschutzzertifizierung nach Liechtensteinischem Recht.