Financial Services aktuell

Transkript

1 Banken, Fonds, Real Estate, Versicherungen IT Security ein wichtiges Thema für Finanzdienstleister! Ausgabe 79, Oktober/November 2013 Wenn es bei Finanzdienstleistern zu Verstößen im Bereich Datenschutz kommt, haben diese immer mit schwerwiegenden Imageproblemen zu kämpfen. Dann stellt sich die Frage, ob diese durch IT-Security Maßnahmen nicht verhindert werden hätten können? So tauchen die Daten der eigenen Kunden oder Kreditkarten oder sonstige Geschäftsdaten plötzlich im Internet auf und die Presse oder noch schlimmer Behörden stürzen sich darauf bzw. auf die Kunden. Der Reputationsverlust ist in Geld nicht mehr anzugeben. In diesem Moment wünscht man sich eine Zeitmaschine und die Möglichkeit in der Vergangenheit ein verstärktes Augenmerk auf dieses Thema richten zu können. Von außen betrachtet sieht es oftmals so aus, als ob ein externer Angriff auf den jeweiligen Finanzdienstleister erfolgt ist. Die Realität sieht leider anders aus: PwC hat im vergangenen Jahr zum wiederholten Mal gemeinsam mit einem Markt- und Sozialforschungsunternehmen die tausend größten Unternehmen Deutschlands und Österreichs aus unterschiedlichen Branchen zum Stand des Datenschutzes befragt. Die Ergebnisse geben zu denken: 28 % der befragten Unternehmen gaben Datenschutzverstöße im laufenden Geschäftsjahr zu, lediglich 6 % davon sind auf Datendiebstahl durch Dritte und weitere 6 % auf die eigenen Mitarbeiter zurückzuführen. Am häufigsten jedoch gelangen sensible Daten durch Unachtsamkeit und Unwissenheit (65%) ungewollt in Umlauf: 6 % Datendiebstahl durch Dritte 6 % Datendiebstahl durch Mitarbeiter 65 % Unachtsamkeit und Unwissenheit Auf einen Blick IT-Security umfasst alle organisatorischen und technischen Maßnahmen zum Schutz vor einem Datenzugriff von außen Finanzdienstleister nehmen das Thema IT-Security ernst und investieren in effektive Maßnahmen Top 3-Bereiche: mobile Security, Cloud Services und Sicherstellung regulatorischer Erfordernisse

2 Die Unwissenheit bietet enormes Gefahrenpotenzial und daher ist es essentiell Mitarbeiter auf den Umgang mit vertrauenswürdigen Daten zu sensibilisieren. Inzwischen geben 43 % der deutschen Unternehmen an ihre Mitarbeiter regelmäßig im Bereich IT- Security zu schulen, 2011 waren es nur 25%. Neben Schulungen sind konkrete und verständliche Vorgaben zu IT- Sicherheit und Datenschutz tragende Säulen einer gelebten internen Sicherheit. Auf Basis der Studienergebnisse (den Link zum Download finden Sie am Ende des Newsletters), haben sich die folgenden vier größten Irrtümer in Bezug auf IT Security einmal mehr bewahrheitet. Die vier größten Irrtümer in Bezug auf IT Security: 1. Es ist ja noch nie etwas passiert, also besteht kein Grund zur Sorge. 2. IT-Security ist ein reines IT-Thema. 3. Hinter Firewalls und Antiviren-Scanner bin ich doch sicher? 4. Einschränken bedeutet Sicherheit. Irrtum 1: Es ist ja noch nie etwas passiert, also besteht kein Grund zur Sorge. Unternehmen unterliegen dem Irrtum, dass alle sicherheitsrelevanten Vorfälle auch bekannt sind. Dies ist mitnichten der Fall. Mitarbeiter sind nicht in der Lage alle sicherheitsrelevanten Störungen (Security Incidents) zu melden. Sie wissen oftmals nicht einmal, dass ihr vorliegendes Problem mit Sicherheit zu tun hat. Selbst wenn man guten Glaubens ist alle IT-Sicherheitsverstöße zu kennen, heißt dies nicht, dass man kein Ziel war, oder in Zukunft darstellen wird. Einfache Geschäftsentscheidungen können Attacken durch Online-Aktivisten nach sich ziehen. Denken Sie beispielsweise an die Vorfälle rund um Visa, Mastercard und die Bank of America. Diese Unternehmen wurden Ziel umfangreicher Attacken, nachdem sie ihre Geschäftsbeziehungen zu WikiLeaks aufkündigten bzw. Transferaufträge einstellten. Irrtum 2: IT-Security ist ein reines IT-Thema. Diese Aussage ist falsch. Schützenswerte Daten und Systeme werden oft durch Benutzer korrumpiert. Die besten Vorsätze der IT-Abteilung bringen nichts, wenn Mitarbeiter ihre Passwörter für Dritte zugänglich aufschreiben oder an Sicherheitsmechanismen vorbeiarbeiten. Denken Sie daran: Es gibt immer einen Weg um ein System zu umgehen. Jeder neigt dazu die Arbeit so effizient wie möglich zu gestalten und scheinbar lästige Dinge zu ignorieren oder auszublenden. Mitarbeiter nutzen unverschlüsselte, private USB-Sticks statt der unternehmenseigenen Verschlüsselten, um die Passworteingabe zu umgehen. Sollte dieser USB- Stick in einem öffentlichen Verkehrsmittel liegen bleiben oder in einem Café aus der Tasche fallen, ist das Problem schon vorprogrammiert. Irrtum 3: Hinter Firewalls und Antiviren-Scanner bin ich doch sicher? Nach wie vor besteht der Irrtum, Daten wären nur im eigenen Netz und auf zentralen Systemen gespeichert. Deshalb gibt es Sicherungen nach außen. Der permanent offene Lieferanteneingang wird ignoriert. s und die darin enthaltenen Unternehmensdaten sind mehrfach repliziert. Sie befinden sich auf dem Unternehmensserver, im lokalen Posteingang auf dem Notebook aber auch auf Diensthandys. Wenn ein mobiles Gerät verloren geht, wird dies meist nur als Verlust in Höhe des Gerätepreises angesehen. Doch was ist mit den vertraulichen Informationen auf diesen Geräten? Wie werden diese bewertet? Sicher, die mobilen Endgeräte sind verschlüsselt und es sollte niemand an die Daten herankommen. Doch in Verschlüsselungen sind Hintertüren einprogrammiert. Dies wurde im Zuge der Affäre um Edward Snowden bekannt. Stichwort: PRISM. Wer kennt diese Hintertüren bereits? Diejenigen, die sie kennen, werden dies wohl kaum kommunizieren! Es muss jedoch nicht immer unfreiwillig sein. Auch die freiwillige Weitergabe firmeninterner Informationen stellt ein größer werdendes Problem dar. Hauptsächlich passiert das durch Social Engineering, derzeit in Form von Spam oder Phishing-Mails in aller Munde. Jüngstes Beilspiel dazu eine Mail, welche zum Thema FATCA im Umlauf ist und in dem nach Kundendaten bzw. einer Passkopie gefragt wird: 2

3 Vor diesem Mail möchten wir Sie erneut warnen! Sollten Sie eine derartige erhalten, empfehlen wir Ihnen diese ungelesen zu löschen und den Anhang nicht zu öffnen!! Irrtum 4: Einschränken bedeutet Sicherheit. Eine weit verbreitete Taktik zur Erhöhung des technischen Sicherheitsniveaus ist die Reduktion der Angriffsfläche. Ziel ist es, möglichst wenige Applikationen in möglichst simplem Funktionsumfang zu nutzen. Damit sind jedoch Einschränkungen für die jeweiligen Anwender Ihre Mitarbeiterinnen und Mitarbeiter verbunden. Und hier liegt auch die Krux. Es ist unmöglich alle Kanäle zu kontrollieren. Je mehr man die vorhandenen Kanäle einschränkt, umso wahrscheinlicher ist es, dass die Benutzer andere Wege beschreiten. Wenn Mitarbeiter etwas finden, das ihnen das tägliche Leben erleichtert, werden sie es nutzen. Viele Gratis-Tools benötigen keine Administratorrechte mehr um installiert zu werden. Wenn diese in einem Ordner in den eigenen Dateien liegen, entziehen sie sich der Kontrolle. Wenn außerdem das Unternehmensnetz umgangen wird, weil zum Beispiel soziale Netzwerke gesperrt sind, dann lässt sich auch nicht mehr kontrollieren ob und was diese kleinen Helferlein nach außen kommunizieren. Was bedeutet das für mich als Finanzdienstleister? Verzweifeln ist keine Option. Verantwortungsbewusste Unternehmen setzen alles daran bewährte, präventive Maßnahmen laufend zu optimieren, um mit den Bedrohungsszenarien Schritt zu halten. Nicht nur für den reibungslosen Ablauf ihrer internen Prozesse, sondern auch für Investoren, Ratingagenturen und andere Anspruchsberechtige wird Ihr Umgang mit der (Un)Sicherheit der heutigen IT zum entscheidenden Faktor. Grundsätzlich kann und wird es immer wieder erfolgreiche Angriffe und schadenbringende Software geben. Das muss für Ihr Unternehmen aber kein Problem darstellen. Ist sich Ihr Unternehmen der eigenen Fehlbarkeit bewusst? Ist Ihr Unternehmen in der Lage Attacken gegen Ihre Daten und Informationen zu erkennen? Wie gut verkraftet es Ihr Unternehmen, wenn es für 2, 4 oder 6 Stunden keinerlei elektronische Kommunikation zur Verfügung hat? Wie verhält es sich, wenn gefälschte s im Namen des CEOs Ihres Unternehmens kursieren? Oder wenn auf Ihrer Unternehmenshomepage gefälschte Bilanzen veröffentlicht werden? Ist Ihr Unternehmen in der Lage unter immensem zum Teil auch öffentlichem Druck kühlen Kopf zu bewahren? Ein wichtiger Faktor ist Zeit. Die Vorfälle müssen möglichst schnell erkannt und gemeldet werden. Die Reaktion darauf muss unmittelbar erfolgen. Wie sich in einigen öffentlich diskutierten Vorfällen jedoch gezeigt hat, sind Unternehmen zum Teil bereits jahrelang unterwandert, ehe die Datenmanipulation intern überhaupt erst bemerkt wird. Es ist daher unerlässlich, dass Mitarbeiterinnen und Mitarbeiter auf allen Ebenen des Unternehmens regelmäßig geschult und somit sensibilisiert werden. Die Verantwortung für die unternehmensweite IT- und Informa- 3

4 Wie kann ich den vier Irrtümern entgegnen: Lassen Sie den Stand Ihrer Sicherheit regelmäßig von unabhängigen Dritten überprüfen Holen Sie sich die Kontrolle über die in Ihrem Unternehmen verwendete Software zurück Sensibilisieren Sie Ihre Mitarbeiter auf die Gefahren durch Cybercrime. Nutzen Sie IT- und Informationssicherheit als Business Enabler Variieren Sie technische Sicherheitslösungen und vermeiden Sie von einem Soft- oder Hardwarehersteller abhängig zu werden Vermindern Sie Ihre digitale Angriffsfläche Planen und kommunizieren Sie die wichtigsten Schritte für das Verhalten im Ernstfall Kombinieren Sie alle zuvor genannten Punkte zu einem umfassenden Information Security Management System tionssicherheit kann nicht durch die IT-Abteilung alleine übernommen werden. Alle sollen ihre Rolle in der IT-Security des Unternehmens zugewiesen bekommen und sich der damit einhergehenden Verantwortung bewusst sein. In Schulungen müssen auch die Themen unerlaubte Software und die Verwendung von fremden und firmeneigenen Services und Geräten erörtert werden. Hierdurch können Mitarbeiter nicht nur im Vorhinein unsichere Handlungen vermeiden, sondern im Ernstfall auch ein Problem erkennen und melden. Der zuständige Servicedesk muss immer über die aktuellsten Bedrohungen informiert sein und wissen, wie er damit umgeht. Der Security- Verantwortliche ist bei jedem Vorfall einzubeziehen. Dieser identifiziert den Vorfall, baut die Kommunikation mit den nötigen Entscheidern auf und leitet erste Maßnahmen ein. Ein solch reibungsloser Ablauf ist nur durch aktuelle und kommunizierte Prozesse möglich. Mögliches Vorgehen zur Identifikation und Minimierung von Schwachstellen In unserer Veranstaltung zum Thema IT-Security am 18. November 2013 zeigen wir, wie leicht das Ausspionieren von Daten in der Praxis ist und wie Sie Ihr Unternehmen und Daten davor schützen können. Sie erfahren zudem, wie Sie sich bei der Analyse der organisatorischen, prozessualen und technischen Maßnahmen zum Schutz Ihrer Kundendaten unterstützen lassen können. Wir simulieren gemeinsam mit Ihnen einen tatsächlichen Angriff im Rahmen eines Security-Penetration- Tests. Effizienter Datenschutz trägt dazu bei, Datenschutzverstöße zu vermeiden, die Risiken von Datendiebstählen zu minimieren und damit die Reputation Ihres Unternehmens zu sichern. Anhand praktischer Beispiele vermitteln wir Ihnen Best- Practice-Ansätze für den effizienten und effektiven Aufbau der Compliance-Organisation, sowie zur Hebung von Synergien zwischen bereits in Ihrem Unternehmen vorhandenen Ansätzen. Interesse? Melden Sie sich für diese kostenlose Veranstaltung von PwC bitte auf oder per an com bis 11. November 2013 zur Veranstaltung an. 4

5 Autorenteam Dennis Strasser Senior Consultant, Consulting and Risk Services dennis.strasser@at.pwc.com Dennis ist Senior Consultant bei PwC und seit drei Jahren im Team Consulting and Risk Services in Wien tätig. Sein Schwerpunkt liegt im Bereich IT Infrastructure und IT Security. Günther Seyer Senior Manager, FS Consulting guenther.seyer@at.pwc.com Günther ist Senior Manager bei PwC im Team Financial Services Consulting. Vor seiner Zeit bei PwC war er bei einer internationalen Bankengruppe und anderen Beratungsunternehmen tätig. Er ist auf den Bereich Strategie und IT Effectiveness spezialisiert. Ihre Ansprechpartner Andreas Plamberger Senior Manager, Advisory IT Effectiveness andreas.plamberger@at.pwc.com Günther Seyer Senior Manager, Financial Services Consulting guenther.seyer@at.pwc.com Steffen Salvenmoser Partner, Forensic Services steffen.salvenmoser@at.pwc.com PwC Wien Erdbergstraße 200, 1030 Wien Die Studie Alle Ergebnisse der PwC-Studie The Gobal State of Information Security Survey 2014 finden Sie hier. In der nächsten Ausgabe Herausforderung für Sachversicherer Actuarial Gold Standard Die Herausforderungen für Sachversicherer werden größer. Neue regulatorische Anforderungen, medizinische Inflation, Niedrigzinsumfeld, zunehmende Qualitätsansprüche an aktuarielle Analysemethoden und zugrunde liegende Daten kommen zunehmend ins Blickfeld von Versicherungsunternehmen. PwC unterstützt Versicherer in diesem Kontext mit mehreren Dienstleistungen. Einerseits mit dem Actuarial Gold Standard, einer qualitativen und marktbezogenen Beurteilung der Prozesse und Methoden im Aktuariat. Andererseits mit unabhängigen Reserve Reviews, einer unabhängigen Einschätzung der Höhe und der Angemessenheit der Schadenreserven. In der nächsten Ausgabe berichten wir, wie diese Dienstleistungen erbracht werden und welchen Mehrwert Versicherer daraus ziehen können. Medieninhaber und Herausgeber: PwC Österreich GmbH Wirtschaftsprüfungsgesellschaft, Erdbergstraße 200, 1030 Wien Für den Inhalt verantwortlich: StB Mag. Thomas Strobach, thomas.strobach@at.pwc.com Für Änderungen der Zustellung verantwortlich: Nicole Schön, nicole.schoen@at.pwc.com, Tel.: , Fax: Der Inhalt dieses Newsletters wurde sorgfältig ausgearbeitet. Er enthält jedoch lediglich allgemeine Informationen und spiegelt die persönliche Meinung des Autors wider, daher kann er eine individuelle Beratung im Einzelfall nicht ersetzen. PwC übernimmt keine Haftung und Gewährleistung für die Vollständigkeit und Richtigkeit der enthaltenden Informationen und weist darauf hin, dass der Newsletter nicht als Entscheidungsgrundlage für konkrete Sachverhalte geeignet ist. PwC lehnt daher den Ersatz von Schäden welcher Art auch immer, die aus der Verwendung dieser Informationen resultieren, ab. PwC bezeichnet das PwC-Netzwerk und/oder eine oder mehrere seiner Mitgliedsfirmen. Jedes Mitglied dieses Netzwerks ist ein selbstständiges Rechtssubjekt. Weitere Informationen finden Sie unter