Hinweis<\/strong>: Dieser Inhalt wurde urspr\u00fcnglich von unserem strategischen Cybersecurity-Karrierepartner Cyberunity AG<\/a> in dessen Blog ver\u00f6ffentlicht, das Copyright liegt bei Cyberunity AG<\/em>.<\/p>\n\n Geschrieben von Joshua Bucheli, Forscher und Redakteur, in Zusammenarbeit mit Chris Eckert, CEO der Swiss Business Protection AG und Peter Kosel, Gr\u00fcnder von cyberunity<\/strong><\/p>\n\n „Wenn du dich und den Feind kennst, brauchst du den Ausgang von hundert Schlachten nicht zu f\u00fcrchten.“<\/em> In der heutigen Unternehmenswelt, in der digitale Innovationen und Cyber-Bedrohungen mit halsbrecherischer Geschwindigkeit voranschreiten, geht allzu leicht vergessen, dass \u2018Sicherheit\u2019 mit einem grossen \u2018S\u2019 \u2013 auch Integraler Unternehmensschutz (IUS) genannt \u2013 eine ganzheitliche Disziplin ist, die \u00fcber die reine Cybersicherheit hinausgeht.<\/p>\n\n Die Verteidigung von Cloud-Systemen<\/a> und die Vorbereitung der Verschl\u00fcsselung auf das Quantenzeitalter<\/a> sind wohl wichtige Elemente der Unternehmenssicherheit des 21. Jahrhunderts, aber sie ersetzen keineswegs die Notwendigkeit umfassenderer Sicherheitsmassnahmen innerhalb eines Unternehmens.<\/p>\n\n Jedes Unternehmen hat Verm\u00f6genswerte, die gesch\u00fctzt werden m\u00fcssen \u2013 die sprichw\u00f6rtlichen \u2018Kronjuwelen\u2019 <\/strong>\u2013 und alle Entscheidungen sollten die Sicherheit dieser Verm\u00f6genswerte ber\u00fccksichtigen. Das Problem ist, dass in der Praxis oft Schwachstellen offengelassen werden und Fehltritte in der Sicherheit eher kurzfristig behoben oder gar vertuscht als vermieden werden. <\/p>\n\n This lack of awareness leaves businesses open to exploitation and makes it exceedingly difficult for them to detect and defend against threats \u2013 after all, how can you protect something if you don\u2019t know that it needs protecting?<\/p>\n\n As Chris Eckert<\/a>, CEO of Swiss Business Protection AG<\/a>, Program Director of the CAS in Business Protection at HWZ<\/a>, and former Head of Investigations at the Zurich Cantonal Police points out, ICS is about supplementing reactive damage control with proactive reconnaissance, effective security measures, threat awareness, and training.<\/p>\n\n W\u00e4hrend seinen Mandaten als externer CISO und CSO konnte Chris aus erster Hand beobachten, wie unterentwickelte IUS-Strategien und eine geringe \u2018Awareness\u2019 Unternehmen in Gefahr brachten:<\/p>\n\n Er sah, wie Phishing-E-Mails, als legitime Korrespondenz des CEO getarnt, Mitarbeiter dazu brachten, grosse Summen an Firmengeldern an Dritte zu \u00fcberweisen. Er hatte mit Mitarbeitern zu tun, die unbekannte USB-Laufwerke in ihre Firmencomputer einsteckten und damit die Cybersicherheit des Unternehmens kompromittierten. Er wurde sogar Zeuge eines Falles, in dem ein Flipchart nach einem strategischen Meeting liegen gelassen und nach Feierabend von einer unbefugten Person fotografiert wurde. <\/p>\n\n Man kann mit Sicherheit sagen, dass heute das Sicherheitsparadigma eher reaktiv als proaktiv ist. Unternehmensverantwortliche schenken den sogenannten \u2018Kronjuwelen\u2019 immer noch nur begrenzte Aufmerksamkeit, und allzu oft wird das Thema Sicherheit auf die IT-Abteilung abgeschoben, anstatt in der Verantwortung der Manager zu bleiben. <\/p>\n\n Zugegebenermassen sind bestimmte Branchen, die einer umfangreichen externen Regulierung unterliegen und regelm\u00e4ssigen Audits unterworfen sind, wie Banken, die Pharmaindustrie und der Energiesektor, in Bezug auf Integrale Unternehmenssicherheit vielleicht schon ein wenig weiter als andere.<\/p>\n\n Auch die Gesundheitsbranche bem\u00fcht sich neuerdings die Bedeutsamkeit des IUS zu erkennen. In Krankenh\u00e4usern, in denen kontrollierte<\/a> <\/a>Substanzen<\/a> und sensible Patientendaten<\/a> vor Ort gelagert werden, ist die Notwendigkeit, den Zugang zu gesperrten Bereichen (sowohl analog als auch digital) zu verwalten und zwischen autorisiertem Personal und jedem beliebigen Laborkittel zu unterscheiden, einigermassen etabliert. Dennoch besteht auch hier ein erhebliches Verbesserungspotenzial was IUS anbelangt. <\/p>\n\n „Insgesamt steckt IUS noch in den Kinderschuhen. Jeder denkt, er sei nicht wichtig genug, um ein lohnendes Angriffsziel darzustellen\u2026 Dies ist ein entscheidender Fehler. Von grossen internationalen Konzernen bis hin zu kleinen lokalen Unternehmen, jeder kann zum Opfer werden. Und doch scheint IUS immer erst<\/em> dann auf dem Radar von Unternehmen aufzutauchen, wenn sie bereits Opfer von Betrug oder Spionage geworden sind.“ <\/p>\n\n Es ist daher zwingend erforderlich, dass Unternehmen und Manager eine ganzheitlichere Denkweise in Bezug auf die Unternehmenssicherheit entwickeln, anstatt sich auf IT-Spezialisten zu verlassen, die erst dann Schadensbegrenzung betreiben, wenn riskante Entscheidungen und Verfahren zu unerfreulichen Konsequenzen gef\u00fchrt haben.<\/p>\n\n In diesem Zusammenhang hebt Chris einen interessanten Punkt hervor, n\u00e4mlich Sicherheit als Verm\u00f6genswert statt als Kostenfaktor zu sehen:<\/p>\n\n „Im Moment wird Sicherheit immer noch als Gesch\u00e4ftskosten gesehen, bei denen es keine Preise zu gewinnen gibt. Aber die Einstellung von Personen, die f\u00fcr Sicherheit am Arbeitsplatz sorgen k\u00f6nnen, muss nicht zwingend als Belastung betrachtet werden. Mit ein wenig Einfallsreichtum kann es sogar in einen Ruf verwandelt werden, der Partnerschaften beg\u00fcnstigt und Kunden anzieht.“<\/p>\n\n Was Unternehmen vor allem brauchen, sind sogenannte \u2018Security Scouts\u2019 \u2013 Personen, die dabei helfen k\u00f6nnen 1) sich ihrer Verm\u00f6genswerte bewusst zu werden, 2) Bedrohungen, denen diese ausgesetzt sind (sowohl Digital- als auch Analog) aufzukl\u00e4ren und 3) Sicherheitsmassnahmen zum Schutz dieser Verm\u00f6genswerte in alle Ebenen der Unternehmensaktivit\u00e4ten zu integrieren. <\/p>\n\n Diese Scouts werden aus unterschiedlichsten Bereichen kommen, von Informatikern, Elektronikern, Haustechnikern, Wirtschaftsinformatikern und Wirtschaftsingenieuren bis hin zu Rechtsexperten und Fachleuten f\u00fcr Wirtschaftsrecht, Wirtschaftskriminalit\u00e4t, Finanzen, CSR, Risk, Governance, und Compliance.<\/p>\n\n Zu diesem letzten Punkt ein Wort der Warnung von Chris: „Obwohl es von Vorteil ist, w\u00e4re es wichtig, dass Personen mit diesen Hintergr\u00fcnden ein \u00fcberm\u00e4ssiges Vertrauen in theoretisches Wissen vermeiden und ihre praktischen F\u00e4higkeiten sowie Erfahrungen in Bewerbungen betonen.“<\/p>\n\n Die Kunst liegt darin, diese Fachleute zu einem umfassenden Team zu vereinen, welches das Sicherheitsbewusstsein des Unternehmens st\u00e4rkt. So werden zum Beispiel Kriminalisten und Elektroniker ben\u00f6tigt, um das Unternehmen und seine Hardware nach Wanzen zu durchsuchen<\/a>, Informatiker und Bauingenieure, um Baupl\u00e4ne auf strategische Schwachstellen zu analysieren, und Risikomanager, um die Mitarbeiter im verantwortungsvollen Umgang mit dem Firmenverm\u00f6gen bei ihren t\u00e4glichen Aufgaben zu schulen. <\/p>\n\n Auf operativer Ebene wird ein solcher Mentalit\u00e4tswandel hin zu einem ganzheitlichen und proaktiven Ansatz f\u00fcr die Unternehmenssicherheit wahrscheinlich (zumindest teilweise) als Top-Down Umstellung erfolgen, was Personen mit Erfahrung in C-Suite-Positionen wie CISOs, CIOs, CEOs und insbesondere CSOs oder COOs absolut notwendig macht.<\/p>\n\n Erfahrene Manager, vorzugsweise solche, die mit Prozess-, Betriebs- und vor allem Business-Continuity-Management vertraut sind, werden f\u00fcr Unternehmen, die auf der Suche nach Security Scouts sind, ebenfalls ein grosser Gewinn sein.<\/p>\n\n Zurzeit gibt es noch keinen einheitlichen Studiengang f\u00fcr angehende IUS-Profis. Mit Zertifikaten und Qualifikationen wie dem CAS Business Protection<\/a> der HWZ erhalten ambitionierte Pers\u00f6nlichkeiten jedoch ein solides Fundament f\u00fcr ganzheitliche Ans\u00e4tze der Unternehmenssicherheit. <\/p>\n\n Neben dem technischen Know-how gibt es einige wichtige Pers\u00f6nlichkeitsmerkmale, die zum Erfolg im Security Scouting beitragen werden. Neugierde, sehr rasches Querdenken, Pragmatismus, starke analytische F\u00e4higkeiten und eine detektivische Ader sind entscheidend f\u00fcr eine erfolgreiche Karriere im Bereich IUS. Zus\u00e4tzlich sind F\u00e4higkeiten der sofortigen praktischen Umsetzbarkeit sowie die Gabe, sich in einen Gegner hinein zu versetzen, zunehmend wichtig. <\/p>\n\n „Wir brauchen Personen mit einem Talent f\u00fcr ganzheitliche Probleml\u00f6sungen, die Heraus-forderungen und Bedrohungen beharrlich aus allen Blickwinkeln betrachten, und wir brauchen Querdenker mit dem Mut, Vorgesetzte herauszufordern, wenn sie sehen, dass IUS Best Practices nicht eingehalten werden“, sagt Chris. „Glaube wenig, hinterfrage alles, denke selbst und st\u00e4ndig“ ist ein Credo, dass einem in einer solchen Funktion erfolgreich machen wird. <\/p>\n\n IUS ist per Definition eine Teamleistung \u2013 die Bedrohungen \u00e4ndern sich st\u00e4ndig und kein Einzelner wird alle notwendigen Bef\u00e4higungen mitbringen, um eine undurchdringliche Unternehmens-sicherheit zu gew\u00e4hrleisten. Es ist daher entscheidend, dass angehende IUS-Security Scouts in der Lage sind, sich in einer dynamischen Umgebung zu integrieren und gut mit anderen zu vernetzen \u2013 sie m\u00fcssen sich mit Personen aus unterschiedlichem Hintergrund zusammentun, um Schwachstellen in einem Unternehmen aus allen Winkeln zu identifizieren und zu beheben. <\/p>\n\n Peter Kosel<\/a> Founder und Talent Community Manager der cyberunity AG<\/a> weist zusammenfassend darauf hin, dass die Zukunft der Unternehmenssicherheit im Wesentlichen von drei Entwicklungen abh\u00e4ngt: Erstens m\u00fcssen Unternehmen und ihre F\u00fchrungskr\u00e4fte ein Bewusstsein f\u00fcr integrale Unternehmenssicherheit entwickeln. Zweitens ist der vorausschauende Aufbau von Talentpools mit unterschiedlichen, dynamischen und kompetenten Individuen gefragt (im Gegensatz zu althergebrachter Gewinnung von Mitarbeitenden, die meist erst dann startet, wenn eine Vakanz dringend zu besetzen ist \u2013 KNOW YOUR TALENTS<\/a>). Drittens m\u00fcssen diese unterschiedlichen, dynamischen und kompetenten Individuen ihren Mehrwert f\u00fcr die Unternehmen erkennen und aktiv in Erscheinung treten. <\/p>\n","protected":false},"excerpt":{"rendered":" Hinweis: Dieser Inhalt wurde urspr\u00fcnglich von unserem strategischen Cybersecurity-Karrierepartner Cyberunity AG in dessen Blog ver\u00f6ffentlicht, das Copyright liegt bei Cyberunity…<\/p>\n","protected":false},"author":189,"featured_media":24019,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","inline_featured_image":false,"footnotes":""},"categories":[2261],"tags":[],"class_list":["post-26057","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersicherheit"],"acf":[],"yoast_head":"\n
\n\nWo steht das Thema Integraler Unternehmensschutz heute?<\/strong><\/h2>\n\n
Security Scouts \u2013 Gefragte F\u00e4higkeiten und Ausbildungen:<\/strong><\/h2>\n\n
Personality<\/strong><\/h2>\n\n