CyberSecurity und Sicherheit ist eine gemeinsam geteilte Verantwortung – Security Awareness #7

CyberSecurity und Sicherheit ist eine gemeinsam geteilte Verantwortung 

Rund 90% der erfolgreichen und schädigenden  Hacker-Attacken bzw. CyberSecurity-Vorfällen basieren auf sogenannten Phishing-Mail-Angriffen oder Social Engineering (Clevere Manipulation der menschlichen Tendenz zum Vertrauen und dem darauf basierten (falschen) Verhalten).

Noch besorgniserregender ist der Fakt, dass die durchschnittliche Erkennungszeit eines solchen gezielten Angriffs mitunter mehrere Monate dauern kann. Die entsprechende, dadurch zusätzlich entstehende Gefahr des weiteren indirekten Schadens oder unerwünschten Nebeneffekten sind je nach Branche oder Ausmass gar existenzbedrohend.

Im Zuge der restriktiver werdenden Regulationen und Compliance-Anforderungen rund um z.B. Datenschutz-Gesetz DSG, Datenschutzgrundverordnung DSGVO / GDPR, Privacy Shield, FINMA können weitere Klagen oder Bussen erwachsen aus solchen erkannten oder unerkannten Gesamt-Sicherheits-Defiziten.

Obwohl die Digitalisierungs- und ICT-Strategie (und integriert die ICT-Sicherheit) – angelehnt an die Firmenstrategie – in der Verantwortung und letztlich auch Haftung der Führungs-Ebene steht, sollten auch die betroffenen Mitarbeiter beteiligt und sensibiliert / wachsam gemacht werden für den Umgang, Mithilfe und Massnahmen in der dynamischen Bedrohungslage.

Hierzu eignen sich – nebst technischen und organisatorischen Massnahmen – unterstützend auch stufengerecht verständliche Sensibilisierungs-Workshops mit aktuellen Beispielen, Visualisierungen und Erklärungen zur Anatomie von CyberSecurity-Attacken, bewusst wiederkehrende Newsletters oder E-Learning Modulen mit Tests.

Mittels Weisungen und speziell abgestimmten ICT-Sicherheits-Richtlinien – bei Bedarf als integrierter Bestandteil des Arbeitsvertrages – kann die angestrebt gemeinsam geteilte Verantwortung zur besseren Gesamt-Sicherheit unterstützt werden. Darin sollte auch geachtet werden auf den Schutz des Mitarbeiters durch z.B. klar verständliche Regeln und Abgrenzungen.

Die Mitarbeiter sollten dabei auch technisch unterstützt werden im gemeinsamen Kampf zugunsten des Datenschutzes und Kennwortsicherheit mittels integrierten Lösungen in Bereichen wie z.B. Daten-Verschlüsselung, Email-Verschlüsselung, Multi-Factor Authentication MFA, Information Rights Management IRM / Information Protection oder auch griffigen Kennwort-Richtlinien. Erst dann kann man von Datenschutz sprechen wenn auch effektiv die eigentliche Datensicherheit maximiert hat.

Je nach Branche / Funktion und damit allenfalls verbundener, erhöhter Sicherheits-Relevanz können auch bereits bei der Rekrutierung oder im Rahmen der Compliance und Regulation weitergehende Integritäts- oder Sensibilisierungs-Tests gemacht werden zur Erkennung und Beurteilung von firmen- oder projekt-relevanten Defiziten oder personenbezogenen Risiken.

Spezielles Augenmerk sollte auf die mobilen / externen Arbeitsplätze, Anwendungen und Geräte im z.B. Aussendienst, Niederlassungen oder HomeOffices gelegt werden mit geeigneten, proaktiven und monitored Services (z.B. vollautomatisierte, regelbasierte Verschlüsselung oder Datenklassifizierung) im Fokus einer integrierten Gesamt-Sicherheits-Lösung.

Zunehmend entstehen auch unterstützende Technologien auf Basis von künstlicher Intelligenz KI / artificial intelligence AI oder machine learning ML – dieses auch nötige „human-machine teaming“ (infolge bald erreichten Grenzen von „nur“ Technologie) eröffnet völlig neue Komplexitäts-Stufen und Sicherheits-Evolution im CyberSecurity-Bereich – aber leider auch auf Seite der Angreifer.

Die 100% Sicherheit wird es nie geben.
Jedoch kann die Technologie + die Prozesse + der Faktor Mensch (human-machine teaming) ein angemessenes Sicherheits-Schutz-Niveau von rund 99% in gemeinsamer Orchestrierung erreichen. Der restliche, nicht erreichbare Anteil ist und bleibt Bestandteil des (Rest)-Risiko-Managements.

+++

«Phishing Mail»
Unter dem Begriff Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Ziel des Betrugs ist es, mit den erhaltenen Daten den entsprechenden Personen oder Firmen zu schaden. Es handelt sich dabei um eine Form des Social Engineering, bei dem die Gutgläubigkeit des Opfers ausgenutzt wird

«Social Engineering»
Clevere Manipulation der menschlichen Tendenz zum Vertrauen und dem darauf basierten (falschen) Verhalten). Beispiele: Telefonanrufe mit Vortäuschen und Erfragen von Kennwörtern / Bankkonten / sensitive Daten, Phishing Mail

“Multi-Factor Authentication”
Die Multi-Faktor-Authentifizierung (MFA) ist eine Methode der Computerzugriffskontrolle, bei der ein Benutzer nur dann Zugriff erhält, wenn mehrere Authentifizierungsmechanismen erfolgreich einem bestimmten Authentifizierungsmechanismus präsentiert werden – typischerweise mindestens zwei der folgenden Kategorien: Wissen (etwas, das sie kennen z.B. Kennwort) , Besitz (etwas, das sie haben z.B. Smartphone) und Inhärenz (etwas, das sie sind z.B. Emailidentität).

«CyberSecurity»
Cyber Security ist eine Sammlung von Richtlinien, Konzepten und Maßnahmen, um persönliche oder firmensensitive Daten zu schützen. „Cyber Security verbindet technische und organisatorische Aspekte, zum Beispiel Sicherheitssysteme, Prozessdefinitionen, Leitlinien oder Pflichtenhefte. Auch Schulungen zur Sensibilisierung von Mitarbeitern spielen eine wichtige Rolle.

Advertisements

Digitalisierung – Immer mehr Schweizer KMU setzen darauf, sich zu transformieren

Publizierter Artikel bei swissICT / Swiss IT Magazine im Rahmen der Digitalisierungs-Serie von swissICT Redaktions-Mitglied Fridel Rickenbacher.

„Immer mehr Schweizer KMU setzen darauf, sich zu transformieren“

Switzerland Global Enterprise (S-GE) hilft Unternehmen im Auftrag des Bundes und der Kantone, neues Potenzial für ihr internationales Geschäft zu schaffen. CEO Daniel Küng gibt Einblicke in die Herausforderungen für das Exportland Schweiz in den neuen digitalisierten Märkten.
Fridel Rickenbacher hat nachgefragt und hatte da noch „ein paar Fragen“ 😉

ITM2017-11-Swiss-IT-Magazin-Digitalisierung-S-GE-Swiss-Global-Enterprise-Küng_Interview

http://www.itmagazine.ch/Artikel/65912/Interview_Immer_mehr_Schweizer_KMU_setzen_darauf_sich_zu_transformieren.html

Digitalisierung – GDPR DSGVO Compliance und Vertrauen erlangen und dabei Chancen mehrwertstiftend nutzen

Digitalisierung – „GDPR DSGVO Compliance und Vertrauen erlangen und dabei Chancen mehrwertstiftend nutzen“

Die Industrie 4.0 und die entsprechende Digitalisierung fordert integrierte und robuste Prozesse als Rückgrat der umfassenden Collaboration – dies auch auf Basis von ICT-Systemen / Clouds und Schnittstellen mit dem Fokus auf maximal abgesicherte Angriffs- und Betriebs-Sicherheit bei auditierbaren Datenschutz-, Privacy- und Compliance-Aspekten.

ksgv.ch – Gewerbeverband – Ausgabe Oktober 2017 – Fridels_BLOG_sh@re-to-evolve – GDPR DSGVO DSG

Hybrid- und Multi-Cloud-Trends

Hybrid- und Multi-Cloud-Trends:

-Strategische «security minded» ICT-Planung und «security minded» ICT-Architecture, angelehnt an die Firmen- bzw. vorallem zugunsten der Digitalisierungs-Strategie zur «Business Model Maturity für growing expectations» und letztlich «data monetization» / «services brokerage»

Siehe auch: https://www.digitaldialog.swiss/de/dialog/security-minded-open-minded-innovation-and-digitalization

+++

– ICT-Gesamtarchitektur «best out of all clouds» / «services brokerage» / «everything as a service» bzw. intelligenter Orchestrierung von auch «hybrid-/multi-clouds» mit z.b. «microservices», «analytics», «containerization», «IoT», «bots», «machine learning», «artificial intelligence», «serverless computing», «cloud coding» / «software defined everything» / DevOps

Siehe auch: https://fridelonroad.files.wordpress.com/2016/06/holzbau-schweiz-ict-servicesmanagement-hybridcloud-04_hbch_201604_it.pdf

Und Referat an HSLU: (time is running… 2 Jahre her aber immer noch irgendwie passend 😉)

http://netclose.ch/web/wp-content/uploads/ct_Referat_HSLU-Solution_Brokerage-consumption_based_computing-best_out_of_all_clouds-SHORT-300915.pdf

+++

– «maximized» Automation und ICT-Transformation mit Ziel zu «minimized human interaction but maximized customer self service» und «optimization» / «cost management optimization» / «cloud intelligence»

Siehe auch : in Artikeln

+++

– Vom klassischen System- zum flexiblen, «scalable» Services-Management / Managed Services > Sourcing-Strategie

Siehe auch:
https://fridelonroad.wordpress.com/2015/06/07/evolving-from-system-management-to-services-management-with-best-out-of-all-clouds/

http://netclose.ch/web/wp-content/uploads/ct_Referat_HSLU-Solution_Brokerage-consumption_based_computing-best_out_of_all_clouds-SHORT-300915.pdf

+++

– Regulation, Compliance, Risk-Management und Assessment / Audit à Auseinandersetzung und «classification» / «regtech» ergibt Chancen gegen «ShadowIT» / «blind spots» und zugunsten «take back control» / «data lifecycle

Siehe auch:
https://fridelonroad.wordpress.com/2017/06/24/privacy-security-ch-dsg-ch-e-id-eu-dsgvo-eu-gdpr-all-for-the-best-privacy-by-design/

und: https://fridelonroad.wordpress.com/2014/05/18/ict-audit-und-controlling-innovationen-durch-risk-management-lizenzierungs-Audits/

– «multilayered» Cybersecurity-Strategie / Cloud Security und Massnahmen zur Vision «security by design», «privacy by design», «privacy by default», «regtech», und «full identity and rights management as a managed security service»» (derzeit auch speziell zu CH-DSG und EU-DSGVO / GDPR) mit dynamischen Audit-Zyklen / «incident response management» gegen die dynamischen Bedrohungslagen

Siehe auch:
https://www.mit-group.ch/onprem/ict-security-gesamt-sicherheit-braucht-eine-gesamt-sicht/Und auch mein ISACA.ch-Artikel https://fridelonroad.files.wordpress.com/2014/09/itm2014_09_isaca_03.pdf

swissICT – swiss IT Magazine – Informatik sollte unsere fünfte Landessprache werden

Publizierter Artikel bei swissICT / Swiss IT Magazine im Rahmen der Digitalisierungs-Serie von swissICT Redaktions-Mitglied Fridel Rickenbacher.

„Informatik sollte unsere fünfte Landessprache werden“

Lino Guzzella, Präsident der ETH Zürich, sieht Chancen in der digitalen Zukunft der Schweiz. In den «ETH News» sagte er kürzlich, dass die Voraussetzungen bestünden, mit der ICT eine ähnlich leistungsfähige Industrie aufzubauen, wie die Pharma es heute sei. Fridel Rickenbacher hat nachgefragt und hatte da noch „ein paar Fragen“ 😉

ITM2017-10-Swiss-IT-Magazin-Digitalisierung-ETHZ-Guzzella_Interview

http://www.swissict.ch/publikationen/swissict-magazin/interview-Guzzella