flashmovie - stock.adobe.com
Ökosysteme und Abhängigkeiten gefährden Unternehmen
Fragile Ökosysteme und gegenseitige Abhängigkeiten sorgen dafür, dass jede Störung Unternehmen in erhebliche Schwierigkeiten bringen kann. Cyberresilienz ist da entscheidend.
Von Stromausfällen, die Teile Südeuropas lahmlegen, bis hin zu Cyberangriffen, die Fertigungsanlagen wochenlang zum Stillstand bringen: Die Schlagzeilen des vergangenen Jahres haben deutlich gemacht, dass wir in einer „Wann, nicht ob“-Realität von Ausfallszenarien leben. Cyberangriffe, extremes Wetter, Störungen in Lieferketten und menschliches Versagen können ohne Vorwarnung weitreichende Folgen für ein digitales Ökosystem auslösen. Und damit einher geht eine unbequeme Wahrheit: Das digitale Rückgrat moderner Unternehmen ist alarmierend fragil.
Mehr denn je besteht in Unternehmen der dringende Bedarf nach einer starken Cyberresilienz. Anstelle der Reaktion auf Störungen muss ein Sicherheitsdesign treten, das vorausblickend hilft, die Auswirkungen externer Einflüsse abzufedern. Für Organisationen, die nach Geschäftskontinuität und Agilität streben, reicht es nicht mehr aus, lediglich auf Störungen zu reagieren. Resilienz muss sich von einem nach innen gerichteten Abwehrmechanismus zu einer extern orientierten Cybersecurity-Strategie weiterentwickeln. Der Lieferkette kommt dabei aufgrund der heutigen auch KI-gesteuerten Abhängigkeiten zu Partnern besondere Bedeutung zu.
Die Ergebnisse der Studie „The Ripple Effect: A Hallmark of Resilient Cybersecurity“ zeigen Handlungsbedarf auf: Mehr als zwei Drittel (68 Prozent) der befragten Unternehmen gaben an, sich verstärkt auf Drittparteien zu verlassen. Weniger als die Hälfte dieser Unternehmen hat trotz der Abhängigkeiten allerdings ihre Resilienzstrategie aktualisiert. Maßnahmen zur Umsetzung einer Risikokontrolle haben ebenfalls weniger als 50 Prozent der IT-Entscheider implementiert.
Während die Investitionen in Cyberresilienz steigen, zeigen die Studienergebnisse eine entscheidende Lücke auf: Das Vertrauen der IT-Verantwortlichen in die Sicherheit spiegelt eher eine gefühlte Kontrolle über interne Systeme wider als eine tatsächliche Vorbereitung auf externe Störungen. Weltweit gab eine Mehrheit der IT-Führungskräfte (61 Prozent) zu, dass ihre Resilienzstrategie zu stark nach innen gerichtet ist. Wirksame Resilienz sollte heutzutage auch externe Abhängigkeiten, wie Geschäftspartner, Plattformen und Lieferketten berücksichtigen, um externe Schockwellen abzufedern. Durch einen Resilienz-orientierten Ansatz, der über die Netzwerkgrenzen hinausreicht und diese Abhängigkeiten einbezieht, können sich Unternehmen besser auf den unvermeidlichen Ernstfall eines Cyberangriffs einstellen, der beispielsweise durch Drittparteien ausgelöst wird.
„Eine höhere Konnektivität und Vernetzung bedeuten mehr Komplexität, mehr bewegliche Teile und letztlich weniger Flexibilität und Resilienz. Kurz gesagt: Diversifizierung ohne Kontrolle bedeutet ein höheres Risiko, das in der Resilienzstrategie von Unternehmen berücksichtigt werden muss, um Ausfällen wirkungsvoll vorzubeugen.“
James Tucker, Zscaler
Drei Maßnahmen zur Stärkung der Cyberresilienz
Die Software Supply Chain mit dem gesamten Ökosystem vor mannigfaltigen Risiken umfangreich abzusichern, gehört zu den herausforderndsten Aufgaben von Sicherheitsteams neben der Berücksichtigung des Fortschritts in Bezug auf KI oder Post Quantum-Kryptografie. Es gilt, kontinuierlich Sicherheitslücken zu schließen und den Resilienzansatz nach außen zu erweitern. Dies beinhaltet die Priorisierung von Transparenz über alle Datenströme und Abhängigkeiten hinweg und die Verankerung proaktiver Risikoanalysen in Cyberresilienz-Strategien. Über interne Systeme hinaus müssen auch die externen Faktoren stärker berücksichtigt werden, die das operative Risiko beeinflussen. Dazu zählt auch, Datenströme über externe Partner und die gesamte Lieferkette hinweg zu verfolgen und auf Angriffsvektoren zu kontrollieren.
Um dies zu erreichen, sollten Sicherheitsteams die folgenden Maßnahmen forcieren:
- Anpassungen der Architektur: Agilität ist der Schlüssel zu höherer Sicherheit und damit einhergehend sind flexible Architekturen gefragt, um schnell auf Veränderungen der externen Bedrohungslage reagieren zu können. Ein Plattformansatz vereinfacht diese schnelle Anpassung, denn jegliche Netzwerkkomplexität ist der Feind der Agilität. Eine Entkopplung von Sicherheit und Netzwerkinfrastruktur ist für uneingeschränkte Anpassungsgeschwindigkeit unerlässlich.
- Transparenz und proaktives Risikomanagement: Ein Wechseln von der reaktiven Bedrohungsanalyse zur proaktiven Risikoanalyse bildet ein weiteres Standbein für höhere Resilienz. Es ist eine umfängliche Visibilität in alle Datenströme zu allen Destinationen angesagt, die neben internen Systemen auch externe Geschäftspartner entlang der gesamten Lieferkette umfassen sollte. Aufbauend auf diesem Einblick kann Einhalt gegenüber überprivilegierten Zugriffsberechtigungen auf Daten durch Drittparteien oder KI-Agenten unterbunden werden.
- Kontinuierlicher Ausbau durch Interoperabilität: Mit einer robusten, Plattformarchitektur wird Zukunftssicherheit zu einem fortlaufenden Prozess. Wann immer neue Partnerschaften oder Abhängigkeiten geschaffen werden, lässt sich identitätsbasierte Sicherheit ausweiten. So baut beispielsweise die Absicherung von agentenbasierter KI in Lieferketten auf bestehenden DLP-Maßnahmen und der Einstufung von Daten nach Kritikalität auf. Erhalten KI-Agenten analog zu einem Mitarbeitenden über eine Sicherheitsplattform eine eigene Identität mit definierten und limitierten Zugriffsberechtigungen, lassen sich Datenverlust und Angriffe durch überprivilegierten Zugriff eindämmen.
Bei der Aktualisierung ihrer Resilienzstrategien treffen Unternehmen allerdings nach wie vor auf die Hürde ihrer herkömmlichen Sicherheitsarchitekturen. In der Studie gaben 81 Prozent der befragten Entscheider an, noch immer in kritischem oder mittlerem Maße auf Legacy-Systeme angewiesen zu sein. Weitere 64 Prozent der Entscheider sind der Meinung, dass ihre derzeitige Infrastruktur eine effektive Reaktion auf Störungen behindert. Ebenso alarmierend mit 59 Prozent ist die Anzahl an Unternehmen, deren Sicherheitsarchitektur nicht mit den Veränderungen ihres Geschäftsbetriebs mithalten kann. Um echte Resilienz zu gewährleisten, müssen Unternehmen zum Aufdecken versteckter Risiken externe Stresstests durchführen, wie die Simulation von Lieferantenabhängigkeiten.
Das Ökosystem im Fokus der Resilienz
Letztlich ist in einer Drittanbieterökonomie die Cyberresilienz eines Unternehmens nur so stark wie das Ökosystem, von dem es abhängig ist. Wenn die Sicherheitsteams keine Kontrollmechanismen für Lieferanten, Auftragnehmer und gemeinsam genutzte Plattformen entwickeln und deren Wirksamkeit nicht kontinuierlich überprüfen, kann ein Sicherheitsvorfall in der Lieferkette zum katastrophalen Ausfall im eigenen Betrieb führen.
Eine höhere Konnektivität und Vernetzung bedeuten mehr Komplexität, mehr bewegliche Teile und letztlich weniger Flexibilität und Resilienz. Kurz gesagt: Diversifizierung ohne Kontrolle bedeutet ein höheres Risiko, das in der Resilienzstrategie von Unternehmen berücksichtigt werden muss, um Ausfällen wirkungsvoll vorzubeugen.
Über den Autor:
James Tucker ist CISO bei Zscaler.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
