Cyber­se­cu­ri­ty-Trends 2021

Das New Nor­mal erfor­dert von Unter­neh­men auch in der Cyber­se­cu­ri­ty, bis­he­ri­ge Kon­zep­te, Struk­tu­ren und Pro­zes­se zu über­den­ken und neue Lösun­gen zu fin­den. Die Exper­ten von TÜV SÜD Sec-IT nen­nen wich­ti­ge Trends und Ent­wick­lun­gen, auf die Unter­neh­men und deren IT-Sicher­heits­ab­tei­lun­gen im kom­men­den Jahr ach­ten sollten.

„Das New Nor­mal ver­langt von Unter­neh­men einen Anpassungsprozess“,

erklärt Ste­fan Voll­mer, Chief Tech­no­lo­gy Offi­cer (CTO), TÜV SÜD Sec-IT. „Auch künf­tig wer­den gro­ßen Tei­le der Beleg­schaft mobil arbei­ten. Remo­te-Zugrif­fe auf Unter­neh­mens­da­ten und Anwen­dun­gen in der Cloud neh­men wei­ter zu. Die Kon­zep­te für Zugangs­ma­nage­ment, der dar­aus resul­tie­ren­de Auf­wand im Daten­schutz, sowie natür­lich auch die IT-Sicher­heit beim Arbei­ten im Home­of­fice müs­sen dar­an ange­passt wer­den.“ Vor dem Hin­ter­grund die­ser Ent­wick­lung sehen die Exper­ten von TÜV SÜD Sec-IT fol­gen­de Cyber­se­cu­ri­ty-Trends für das Jahr 2021:

1. Fach­kräf­te­man­gel: Auto­ma­ti­sie­rung kann helfen

Bereits vor der Pan­de­mie herrsch­te ein Fach­kräf­te­man­gel in der IT-Secu­ri­ty, die Cyber­se­cu­ri­ty Work­for­ce Stu­die der (ISC)2 von 2019 geht von einem Bedarf von vier Mil­lio­nen Fach­leu­ten welt­weit aus. Dar­um müs­sen sich Unter­neh­men zuneh­mend nach auto­ma­ti­sier­ten Lösun­gen umse­hen, die es erlau­ben, das vor­han­de­ne Per­so­nal zu ent­las­ten und die Res­sour­cen bes­ser auf den Schutz vor neu­en Bedro­hun­gen und die Ent­wick­lung neu­er Stra­te­gien zu ver­tei­len, wäh­rend klei­ne­re Auf­ga­ben selbst­stän­dig vom Sys­tem erle­digt werden.

2. Lie­fer­ket­ten bes­ser absichern

Lock­downs und neue Regu­la­ri­en haben beson­ders Zulie­fe­rer dazu genö­tigt, neue Wege zu gehen und bis­he­ri­ge Pro­zes­se umzu­struk­tu­rie­ren. Pro­du­zie­ren­de Gewer­be wer­den von den Umstän­den gefor­dert, mehr und mehr Pro­zes­se teil­wei­se oder kom­plett zu digi­ta­li­sie­ren. Ein wich­ti­ger Fak­tor wird dabei das intel­li­gen­te Ver­net­zen und Fern­steu­ern meh­re­rer Gerä­te über das Inter­net-der-Din­ge (IoT). Um sol­che IoT-Gerä­te vor exter­nen Angrif­fen zu schüt­zen, muss die Ent­wick­lung und die Absi­che­rung stan­dar­di­siert wer­den und objek­tiv prüf- und zer­ti­fi­zier­bar sein.

3. Cloud Secu­ri­ty wird wichtiger

Um Fern­zu­grif­fe und mobi­les Arbei­ten zu ver­ein­fa­chen, ver­le­gen vie­le Unter­neh­men Anwen­dun­gen und Ser­vices in die Cloud. Dadurch steigt auch der Schutz­be­darf der Platt­for­men. Ein Weg, um den Umzug in die Cloud siche­rer zu gestal­ten, ist eine vor­he­ri­ge Ana­ly­se und Bera­tung durch unab­hän­gi­ge Exper­ten. Im Anschluss ist es aller­dings impe­ra­tiv, die Sicher­heit der Cloud-Lösun­gen durch regel­mä­ßi­ge und umfang­rei­che Pene­tra­tion­tests auf even­tu­el­le Lücken zu überprüfen.

4. Auto­ma­ti­sier­tes Phishing

Quan­ti­tät ist bes­ser als Qua­li­tät – die­sen Slo­gan schrei­ben sich Cyber­kri­mi­nel­le nach wie vor auf die Fah­ne. Ent­spre­chend ist eine der größ­ten Gefah­ren für Unter­neh­men wei­ter das brei­te Netz, das Cyber­kri­mi­nel­le mit Phis­hing per Mail oder über sozia­le Medi­en aus­wer­fen. Mit­ar­bei­ter müs­sen durch geziel­te Secu­ri­ty Awa­reness Trai­nings auf die­se Gefah­ren und die Tricks der Betrü­ger auf­merk­sam gemacht wer­den und ler­nen, wie mit die­sen Bedro­hun­gen umzu­ge­hen ist.

5. Daten­schutz bleibt wichtig

Durch den erhöh­ten Grad an Digi­ta­li­sie­rung wer­den auch klei­ne und mitt­le­re Unter­neh­men mit immer grö­ße­ren Auf­ga­ben rund um den Schutz der gesam­mel­ten und gespei­cher­ten Daten kon­fron­tiert. Ent­spre­chend ist es nicht nur not­wen­dig, die­se Daten best­mög­lich zu sichern, son­dern auch die wich­tigs­ten Anfor­de­run­gen zum Daten­schutz durch die EU-DSGVO zu ken­nen. Hier­bei kann oft­mals eine exter­ne Bera­tung oder, bei grö­ße­ren Unter­neh­men, auch die Aus­la­ge­rung der Ver­ant­wor­tung an einen extern benann­ten Daten­schutz­be­auf­trag­ten helfen.

6. Stan­dards sind Basis für Sicherheit

Seit Juni 2019 ist die euro­päi­sche Ver­ord­nung „EU-Cyber­se­cu­ri­ty Act“ in Kraft. Sie bie­tet das Rah­men­werk für die EU-wei­te IT-Sicher­heits­zer­ti­fi­zie­rung von Pro­duk­ten, Dienst­leis­tun­gen und Pro­zes­sen. Gerä­te müss­ten dann bereits wäh­rend der Kon­zep­ti­on und Pro­duk­ti­on ein­heit­li­che Sicher­heits­an­for­de­run­gen erfül­len (“Secu­ri­ty by Design” und “Secu­ri­ty by Default”). Ein­heit­li­che Stan­dards auf die­ser Basis ermög­li­chen eine Über­prü­fung durch unab­hän­gi­ge, neu­tra­le Dritte.