Rawpixel - Fotolia

F

So erklärt man Advanced Persistent Threats der Geschäftsleitung

Advanced Persistent Threats sind eine kontinuierliche Bedrohung für Unternehmen. Diese Risiken gilt es der Geschäftsleitung richtig zu vermitteln.

Angst, Unsicherheit und Zweifel (Fear, Uncertainty and Doubt – kurz FUD) sind plumpe Methoden, um Risiken für Unternehmen zu kommunizieren. Mit der steigenden Anzahl von Advanced Persistent Threats, also ständigen, ausgefeilten Bedrohungen auf die eigene IT, steigt auch die Notwendigkeit, diese der Geschäftsführung zu kommunizieren. Dabei ist es schwer, einen effektiven Weg zu finden und nicht nur auf FUD zurückzugreifen. Wie also kommuniziere ich diese Bedrohungen gegenüber Geschäftsführern? Oder sollte ich mich eher auf die eher die Grundlagen konzentrieren und nicht tiefer ins Thema APT einsteigen?

Mitglieder der Geschäftsleitung und Vorstandsmitglieder sind normalerweise intelligente Personen. Intelligenz ist eine Voraussetzung, um diese Posten zu erreichen. Davon unabhängig ist es die Aufgabe der Geschäftsleitung und des Vorstandes, den Unternehmensgewinn auszubauen. Darum verlassen sie sich auf Experten für einzelne Themen. Diese können zwar ebenfalls in der Geschäftsführung sitzen, meist sind es aber „normale“ Mitarbeiter, die ihr Wissen zur Verfügung stellen, damit die Unternehmensführung die Entscheidungen treffen kann.

Ein Advanced Persistent Threat (APT) ist eine Angriffsform, bei der der Angreifer unbefugten Zugriff in die IT-Umgebung erhält, dort unentdeckt bleibt und weiteren Schaden anrichten kann. Seine Mission ist es eher, die Daten abzugreifen, als Schaden anzurichten. Um den Zugriff zu behalten, muss der Angriffscode regelmäßig angepasst werden, Angreifer müssen ständig neuen Sicherheitssystemen ausweichen. Sie erhalten den Zugriff typischerweise über Spear-Phishing-E-Mails. Diese tricksen Angestellte aus und locken sie auf eine gefälschte Vorschaltseite, die den Nutzernamen und das Passwort wissen möchte oder eine Software verteilt, die auf dem Rechner des Opfers ein Spionageprogramm einrichtet.

Advanced Persistent Threats werden zunehmen

APTs werden nicht wieder verschwinden, ganz im Gegenteil, aufgrund ihres Erfolgs ist es eher wahrscheinlich, dass solche Attacken zunehmen. Es ist also wichtig, diese Angriffsmethoden den Geschäftsverantwortlichen in einer Sprache zu erklären, die sie verstehen.

Das eingangs erwähnte FUD kann zwar kurzfristig die Aufmerksamkeit fesseln, reicht aber nicht für langfristige Planungen und Schutzmaßnahmen. Die Verantwortlichen wollen hören, dass das Unternehmen den nächsten Angriff abwehren kann. Falls dennoch eine APT-Angriff erfolgreich ist, muss das Unternehmen in einer Position sein, dass die mögliche Datenextraktion so gering wie möglich ist, während die Firma zugleich schnell wieder zum Tagesgeschäft übergehen kann.

Risiken richtig kommunizieren

Sicherheitsexperten sind sich einig: Eine effektive Abwehrmaßnahme für APT muss mindestens folgende Strategien enthalten: Defense in Depth, Routinen zur Entdeckung von Malware, eine Reaktionsplan für APT sowie ein getesteter Wiederherstellungsplan inklusive Sicherheitstraining. Teilen Sie diesen Ansatz mit ihren Geschäftsführern. Nutzen Sie dafür möglichst einfache Erklärungen, vermeiden Sie Fachbegriffe und stellen Sie sicher, dass alle Beteiligten die Präsentation verstehen. Es ist wichtig, dass Sie Ihren Ansatz mit einem Sicherheits-Framework abgleichen. Nutzen Sie wo möglich Grafiken um Informationssicherheit des Unternehmens zu symbolisieren. Überfrachten Sie Ihr Publikum nicht mit technischen Details. Das würde die eigentliche Nachricht nur verwässern und unwichtige Diskussionen auslösen. Seien Sie aber bereit, Fragen zu beantworten, falls diese auftauchen.

Erinnern Sie sich immer daran, dass Sie als Experte in Ihrem Fachbereich angestellt wurden. Ihre Arbeitgeber gehen davon aus, dass Sie sich wiederum ebenfalls auf Experten und deren Rat verlassen. Seien Sie selbstbewusst, gelassen, entschlossen und vor allen Dingen informiert. Erklären Sie, wie APT-Angriffe andere Unternehmen (idealerweise in einer ähnlichen Branche) betroffen haben, wie sich andere Unternehmen schützen und wie Ihre Firma im Vergleich mit anderen abschneidet.

Erklären Sie Ihren Plan im Bezug auf Advanced Persistent Threats und zeigen Sie in folgenden Meetings ihre Erfolge bei der Umsetzung des Plans. Was auch immer Sie tun, hinterlassen Sie nie den Eindruck, dass Ihr Unternehmen niemals von einem APT-Angriff betroffen sein kann. Planen Sie lieber für den schlimmsten Fall und versichern Sie ihrer Geschäftsführung, dass im Fall eines Angriffs der Schaden minimal bleibt und die Wiederherstellung schnell erfolgen kann.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

Nächste Schritte

Best Practices – so sollten Sicherheitsberichte verfasst werden.

Was macht einen guten Vorfallreaktionsplan aus?

Advanced Persistent Threats: Die fünf häufigsten Angriffsmethoden bei APTs.

Tipps und Ratschläge für einen effektiven Incident-Response-Plan.

Erfahren Sie mehr über Anwendungs- und Plattformsicherheit

- GOOGLE-ANZEIGEN

ComputerWeekly.de

Close