Umfassender Schutz sensibler Unternehmensinformationen

PROFI @ CeBIT

Umfassender Schutz sensibler Unternehmensinformationen

Interview mit Uwe Bernd-Striebeck, KPMG Germany

PROFI.news Redaktion: ACDC ist bislang nur aus der Musikbranche ein Begriff. Sie hingegen verstehen darunter Advanced Cyber Defense Center. Was genau versteht man darunter und welchen Ansatz verfolgen Sie?

Uwe Bernd-Striebeck: Kaum ein Tag vergeht ohne spektakuläre Cyber-Angriffe – gerade die großen Säulen unserer Wirtschaft, wie die Finanzbranche, der Handel und die Industrie, sind besonders gefährdet. Digitalisierung bietet viele Chancen für Unternehmen, bringt jedoch auch Risiken mit sich. Die Angreifer haben sich in den letzten Jahren sowohl technisch als auch im Organisatorischen enorm weiterentwickelt – anstelle kleinkrimineller Hacker sind es heute Industriespione und Geheimdienste. Die Folge sind deutlich komplexere und gut geplante Angriffe, Advanced Persistant Threats (APT) genannt.

Eine nachhaltige Abwehrstrategie erfordert ein möglichst komplettes Lagebild – es gilt die unautorisierten Dinge vom normalen Tagesgeschäft zu trennen und Angriffe frühzeitig zu erkennen. Dies wiederum erfordert eine komplett neue Herangehensweise, um die „Kronjuwelen“ eines Unternehmens zu schützen.

Red.: Ihr Ansatz umfasst also ein breites Portfolio von Abwehrmaßnahmen. Aber was unterscheidet Sie von Ihren Mitbewerbern?

UBS: Unser Ansatz ist eine Kombination von echten Business-Risiken und der Überwachung von IT-Komponenten. Die Bewertung der Zulässigkeit eines technischen Vorgangs wie z. B. eines Logins kann nur im Business-Kontext getroffen werden. Wenn ein Mitarbeiter z. B. Urlaub hat oder laut Kartenzutrittssystem nicht im Haus ist, ist ein Login fragwürdig. Die Kunst ist es, solche Use Cases zu definieren und technisch umzusetzen.

Zu diesem fokussierten Ansatz gehört eine maßgeschneiderte Sicherheitsstrategie aus Perimeterschutz wie Firewalls und Antivirus oder interne Signaturen sowie Anomalieerkennung. Erst mit Einsatz von solchen unternehmensspezifischen Kontrollmechanismen können wir die Kronjuwelen des Unternehmens bestmöglich schützen.

Red.: Sie sprechen von den „Kronjuwelen“ und den „wirklich wichtigen Dingen“. Wie ermitteln Sie denn die „wirklich wichtigen Dinge“?

UBS: Die sensiblen Unternehmensinforma­tionen, die Kronjuwelen, sind sehr unternehmensspezifisch und müssen für jeden Kunden identifiziert werden. Bei diesen Kronjuwelen handelt es sich oft um Informationen, die am Markt ein Alleinstellungsmerkmal darstellen. Dies können Formeln, Konstruktionsdaten, aber auch Fertigungsverfahren oder Maschineneinstellungen sein.

Die Ermittlung der Kronjuwelen erfolgt in enger Zusammenarbeit mit dem Kunden in Form von Assessments oder Workshops. Basierend auf diesen Erkenntnissen, werden dann unternehmenspezifische Überwachungsroutinen erstellt und technisch umgesetzt.

Die gebündelte Expertise von KPMG und der PROFI AG bilden im Zusammenspiel mit dem jeweiligen Kunden die Säulen, um die aktuellen und zukünftigen Herausforderungen zu meistern.

Uwe Bernd-Striebeck,
Head of Cyber Security, KPMG Germany