LEANmade Blog 

Beitrag unseres Senior Advisors – Datenschutz und Cyber Security. 

Für viele KMU ist das Thema Datensicherheit und dessen Umsetzung im täglichen Geschäft ein Fass ohne Boden.

Dabei sind die wichtigsten Präventivmassnahmen oft kostengünstig und gleichzeitig effektiv. 
Eine Anleitung in acht Schritten.

Fehlende Budgets und Expertise, gepaart mit der Überzeugung, man sei kein spannender Kandidat für Hackerangriffe, lassen KMU zu Top-Zielen bei Hackern werden. Studien zeigen, dass sich bis zu 91% der Cyber-Angriff in kleineren und mittleren Organisationen und nicht wie erwartet in den Grossbanken, medizinischen Einrichtungen oder Behörden abspielen.

Um sich vor Angriffen zu schützen, braucht es vor allem eins: den Mut, loszulegen. Das Wissen liegt oft bereits im Unternehmen und muss nur aktiv genutzt und gefördert werden.

Mit acht Massnahmen baut man bereits eine solide Basis, die je nach Bedürfnis weiterentwickelt werden kann.

Weiter lesen….

.

Cyber-Prioritäten – wo beginnen beim Datensicherheit?

Für viele KMU ist das Thema Datensicherheit und seine Umsetzung im täglichen Geschäft ein Fass ohne Boden. Dabei sind die wichtigsten Präventivmassnahmen oft kostengünstig und gleichzeitig effizient und effektiv. Eine Anleitung in acht Schritten.

 

Fehlende Budgets und Expertise, gepaart mit der Überzeugung, man sei kein spannender Kandidat für Hackerangriffe, lassen KMU zu Top-Zielen bei Hackern werden. Studien zeigen, dass sich bis zu 91% der Cyber-Angriff in kleineren und mittleren Organisationen und nicht wie erwartet in den Grossbanken, medizinischen Einrichtungen oder Behörden abspielen.

Um sich vor Angriffen zu schützen, braucht es vor allem eins: den Mut, loszulegen. Das Wissen liegt oft bereits im Unternehmen und muss nur aktiv genutzt und gefördert werden.

Mit acht Massnahmen baut man bereits eine solide Basis, die je nach Bedürfnis weiterentwickelt werden kann.

 

1.          System von Verantwortlichkeiten aufbauen

Die Identifikation von Aufgaben und Definition von Verantwortlichkeiten stellt eine klare Richtungsvorgabe sicher, hat aber gleichzeitig auch einen Strahleffekt. Es signalisiert, dass dem Thema intern Bedeutung beigemessen wird. Einmal etabliert, sollte sich die Verantwortlichen regelmässig treffen, um sicherzustellen, dass die Security-Strategie kontinuierlich überprüft und aktualisiert wird.

Im Kern ist dies die Prämisse eines „Information Security Management System“ (ISMS): ein System von Prozessen, Dokumenten, Technologien und Personal, die dem Unternehmen helfen, Informationssicherheit an einem Ort zu managen, zu überwachen und zu verbessern.

 

2.          Anti-Virus-Programm

Die Installation eines Anti-Viren-Programms hilft bei der Prävention von verschiedenen Bedrohungen, wie zum Beispiel bestimmte Arten von Ransomware, Spyware oder auch Keyloggers. Zusätzlich beinhalten die meisten modernen Anti-Virus-Programme auch eine einfache Firewall.

Aber, und man kann es nicht oft genug wiederholen: der Einsatz von einer Anti-Virus-Lösung alleine reicht definitiv nicht um sich vor den viele verschiedene Arten von Angriffen und Bedrohungen zu schützen.

 

 

3.          Einrichten von Spam- und Phishing-Filters

Das meistgenutzte Arbeitstool, die E-Mail, wird oft als Eingangstür von Hackern genutzt. Mit Pishing-Tricks versuchen sie den Mitarbeitenden persönliche Daten und sensible Informationen zu entlocken. Hier können neben Schulungsmassnahmen auch bewährte Schutzmechanismen wie Spam- und Phishing-Filter aufgesetzt werden.

Je nach Bedürfnissen gibt es unterschiedliche Stellen, wo der Schutz angesetzt werden kann: Beim Internet Service Provider (kostengünstig, individuelle Anpassung nicht möglich), am Mailserver (individuelle Anpassung möglich), am Endpunkt (günstiger als spezifische Mailserver-Lösung, Mitarbeiter müssen Filter aber selber aufsetzen).

 

4.          Firewall

Eine Firewall ist ein System, das Netzwerksicherheit bietet, indem es ein und ausgehenden Netzwerkverkehr basierend auf einem Satz benutzerdefinierter Regeln filtert. Der Zweck einer Firewall ist es, unerwünschte Netzwerkkommunikation zu reduzieren oder zu beseitigen und gleichzeitig den freien Fluss aller legitimen Kommunikation zu ermöglichen.

In den meisten Serverinfrastrukturen bieten Firewalls eine signifikante Sicherheitsebene, die in Kombination mit anderen Massnahmen Angreifer daran hindert, auf den Server zuzugreifen.

 

5.          Aufsetzen einer starken Passwort-Strategie

Passwort-Bedrohungen kann man nicht 100% vorbeugen, Hackern jedoch den Zugang wesentlich erschweren. Viele Cyber-Security Angriffe sind erfolgreich, weil Passwörter zu einfach gewählt wurden. Ein Passwort sollte möglichst komplex, mit Kombinationen aus Gross- und Kleinbuchstaben, Zahlen und Symbolen sein und regelmässig aktualisiert werden.

 

6.          Mitarbeiterschulungen (Security Awareness Training)

Sicherheits-Sensibilisierung beginnt bei der Anerkennung des Fakts, dass das Personal oft unbewusst das schwächste Glied bildet, wenn es um Cyber-Security geht. Umgekehrt stellt es auch oft die erste Verteidigungslinie gegen Cyber-Attacken dar. Systematische Sensibilisierung hilft dabei, jeden Angestellten auf mögliche Cyber-Angriffe und Bedrohungen vorzubereiten.

 

7.          Aktualisieren der Software

Die meisten der neuen Softwares auf dem Markt sind sicherer und resistenter gegen Cyberangriffe als ältere Versionen. Zudem verbessern Softwareanbietern dahingehende ihre Produkte kontinuierlich. Das regelmässige aktualisieren der Software ist deshalb eine der effektivsten Methoden, um Angriffe zu verhindern.

 

8.          Backup-Plan aufsetzen

Viele Cyberkriminelle verwenden eine Taktik, die als “Cyber-Erpressung” oder auch “Ransomware” bekannt ist, wenn sie ein Unternehmen angreifen. Sie halten die wertvollen Daten als Geisel und fordern im Gegenzug ein Lösegeld.

Mit einem geeigneten Backup-Plan hat man in einem solchen Moment viel mehr Einfluss und Reaktionsmöglichkeiten. Die Daten sind gesichert und an mehreren Orten gespeichert. Im Idealfall ist eine davon eine externe Lösung, die unabhängig von jeglicher physischen Hardware im Büro ist.

Dies verhindert nicht, dass Daten kompromittiert werden, aber es stellt sicher, dass das Unternehmen den Zugriff darauf nicht verliert.

 

 

Massnahmen     Kosten

Verteilung von Verantwortlichkeiten / ISMS       –             Direkte Kosten nur bei ISO-Zertifizierung des ISMS

–            indirekte Kosten: Verpflichtungen im Rahmen von Meetings, Reviews, Prozess-Design, der Ausführung von Management- und Aufsichtsfunktionen und dem Verfassen und der Verwaltung der Dokumentation. an.

 

Anti-Virus-Programm     –            Kostenlose Programme verfügbar, aber ohne Kundenservice.

–            Kommerzielle Lösungen sind in der Regel ab CHF 50 pro Endpunkt erhältlich.

 

Passwort-Strategie         –            Kostenlos

Mitarbeiterschulungen  –            Abhängig von Schulungsmassnahme (Plakat vs. Training) und Sensitivität der Daten

 

Spam- & Pishingsfilter   –            Absolutes Minimum an Spam-/Phishing-Service ist oft beim Internet-Provider inbegriffen.

–            Empfohlen: weitgreifender Lösung via Partner oder Cloud-Anbieter

 

 

Firewall –            Kostenlose Firewall meistens in Router-Technologie integriert.

–            Empfohlen: weitgreifender Lösung. Kosten variieren je nachdem, ob man eine Software-Firewall, eine Hardware-Firewall oder eine spezialisierte von einem Partner verwalteten Firewall nutzt.

 

Softwareupdate             –            Günstigste Präventivmassnahme, wird meistens kostenlos über die gesamte Lebensdauer eines Produkts bereitgestellt.

–            Wenn das Budgets es zulässt, wird empfohlen, einen Schwachstellen-Scanner im Netzwerk zu installieren.

 

Backup-Plan      –            Zeitaufwand für die Verwaltung des Backup-Prozesses und der Speichermedien

 

 

 

Ein Beitrag von Euan Ramsay, Senior Advisor – Datenschutz und Cyber Security