stärkeres Kundenvertrauen Whitepaper

Transkript

1 Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen intimus consulting ist eine Marke der MARTIN YALE GROUP Bergheimer Straße Markdorf / Deutschland Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen Whitepaper

2 Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen Zusammenfassung Die Informationssicherheit ist nicht nur ein Randthema für heutige Unternehmen sie spielt eine zentrale Rolle im täglichen Unternehmensbetrieb, für das Image der Marke und für die Kundenbeziehungen. Die Art und Weise, wie ein Unternehmen seine Maßnahmen zur Informationssicherheit umsetzt, wirft ein gutes Licht oder eben ein schlechtes auf alles, wofür das Unternehmen steht. Arbeitet das Unternehmen mit gewissenhaften und umfassenden Sicherheitspraktiken, so können auch seine Kunden auf die Sicherheit ihrer Informationen vertrauen. Finden sich bei dem Unternehmen hingegen schlecht organisierte und fehlerhafte Sicherheitspraktiken, so läuft das Unternehmen Gefahr, schnell als weiteres Negativbeispiel für eine miserable unternehmerische Informationssicherheit in die Schlagzeilen zu geraten. Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 2

3 Inhalt Wachsende Bedrohungen für die Informationssicherheit 4 Empfehlungen 5 Schlussfolgerung 11 Unternehmensprofil 13 Kontaktdaten 13 Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 3

4 Wachsende Bedrohungen für die Informationssicherheit Selbst perfekt durchdachte Pläne zum Schutz von Informationen können Verletzungen der Informationssicherheit unter Umständen nicht verhindern. Bis zu einem gewissen Grade sind viele leitende Angestellte inzwischen der Meinung, dass Verstöße gegen die Informationssicherheit auf jeden Fall auftreten werden. Die Frage ist nicht ob, sondern wann. In einer aktuellen Studie unter CEOs und leitenden Angestellten berichten 82 %, dass es in ihrem Unternehmen bereits Verstöße gegen die Informationssicherheit gab. Zudem bezweifelten die meisten Befragten, dass sie in den kommenden 12 Monaten jegliche Verstöße gegen die Informationssicherheit würden verhindern können. 1 Eine Herausforderung für alle Beauftragten für die Informationssicherheit besteht darin, dass sich die Bedrohungen für die Informationssicherheit rasant vermehren. Jeden Tag werden Milliarden von Bytes voller Informationen erstellt, gespeichert, ausgetauscht und unter Millionen Menschen weltweit geteilt. Organisierte Netze von Cyber-Kriminellen lauern online, testen unternehmerische Firewalls auf Schwachstellen und suchen nach Wegen, Kreditkartennummern, personenbezogene Daten und andere sensible Informationen zu stehlen. Neben den sich ständig entwickelnden Bedrohungen durch Cyber-Kriminelle und der Unmenge an neuen Informationen, fallen Unternehmen aber auch herkömmlichen Bedrohungen zum Opfer, seien es unsachgemäß gehandhabte Papiere oder mehrere Jahre alte Informationsarchive auf Datenspeichermedien in veralteten Formaten. In den falschen Händen könnte jedes dieser magnetischen oder optischen Speichermedien zu Gerichtsverfahren und denkbar negativer Publicity für Unternehmen führen. 1 Ponemon Institute, The Business Case for Data Protection (Juli 2009), S. 17. Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 4

5 Vertrauliche Kundeninformationen, Geschäftsgeheimnisse und andere sensible Informationen müssen geschützt werden. Dies ist eine der wichtigsten Herausforderungen für die Business- Experten unserer Zeit. Die Menge an Informationen, die potenzielle Risiken bergen, sowie das Ausmaß aller Bedrohungen ist so hoch wie nie zuvor. Aber heißt das wirklich, dass Verstöße gegen die Informationssicherheit unvermeidlich sind? Müssen Unternehmen einfach hilflos zuschauen und hoffen, dass sich die Schäden durch Informationsdiebstähle lindern lassen? Empfehlungen Der zunehmend komplexe, kostspielige und risikobehaftete Charakter des Bereichs Informationssicherheit heißt noch lange nicht, dass Unternehmen Informationsdiebstählen hilflos ausgeliefert sind. Es gibt viele Maßnahmen, mit denen Unternehmen ihre Risiken besser verwalten, das Vertrauen ihrer Kunden erhalten und ihren Ruf bewahren können. Entwickeln Sie eine Strategie zur Informationssicherung: Die Informationssicherung ist nicht nur ein Fall für die Rechtsabteilung, die Kontrollverantwortlichen oder das IT- Personal. Das Thema ist von strategischer Wichtigkeit für das gesamte Unternehmen und muss durch die obersten Hierarchieebenen mit einer entsprechend umfangreichen Strategie adressiert werden. Das Unternehmen muss allumfassende Ziele, optimale Geschäftsabläufe und Schlüsselprinzipien zur Verwaltung seiner Informationen aufstellen. Dazu gehören auch Zeitpläne zur Aufbewahrung von Dokumenten, ausgewiesene Ansprechpartner für Fragen zur Informationssicherheit und Kontrollteams zur Überwachung und Durchsetzung der Sicherheitsvorgaben. Setzen Sie die allumfassende Strategie zur Informationssicherung durch: Der Führungsstab muss eine Berichtsstruktur für die Informationssicherheit schaffen, mit der alle Involvierten hinsichtlich der Einhaltung obiger Strategie zur Verantwortung gezogen werden können. Fehler und Versäumnisse bei der Einhaltung sind festzuhalten, zu berichten und zu verfolgen die Informationssicherheit ist ein fortwährender Vorgang, und aufgedeckte Schwächen müssen untersucht und behoben werden, damit das Sicherheitssystem insgesamt gestärkt wird und sich weiterentwickelt. Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 5

6 Verbinden Sie die Strategie zur Informationssicherheit mit der generellen Vision und den Werten des Unternehmens stellen Sie sicher, dass alle Beteiligten ein grundlegendes Verständnis für die Informationssicherheit als wichtigen Teil der Unternehmensmission entwickeln. Schulen Sie Ihre Angestellten (auch Zeitarbeiter und Dienstleister): Alle Angestellten müssen ausführlich im Umgang mit sensiblen Informationen, in Fragen zur Aufbewahrungsfrist verschiedener Informationstypen und in der sachgemäßen Entsorgung von sensiblen Dokumenten und Speichermedien geschult werden. Die Führungskräfte des Unternehmens müssen die Vorgaben zur Informationssicherheit beständig an alle Ebenen des Unternehmens kommunizieren. Mitarbeiter sollten regelmäßig an die Wichtigkeit von tadellosen Vorgehensweisen und absoluter Gewissenhaftigkeit erinnert werden. Schon das geringste Fehlverhalten oder Versäumnis kann schädigende Folgen haben. Sorgen Sie für Kontrollmechanismen zur Informationssicherheit: Laut einer Studie des Verizon Business Risk Teams von 2008 hätten 87 % aller Verstöße gegen die Informationssicherheit vermieden werden können, wenn vernünftige Sicherheitskontrollen vorhanden gewesen wären. Die Studie schreibt: Traditionell konzentrieren sich Unternehmen auf die Erstellung von Sicherheitskontrollen im Umkreis des Netzwerks und ignorieren zu oft die Informationssicherheit innerhalb des Netzwerks. Zwar ist ein gesicherter Umkreis des Netzwerks wichtig, jedoch darf dies nicht die einzige oder gar die wichtigste Schutzmauer um die sensiblen Informationen herum sein. Die Informationen selbst egal wo sie sich befinden müssen Dreh- und Angelpunkt aller Sicherheitsbemühungen sein. 2 Viele Unternehmen setzen auf starke Firewalls und andere externe Sicherheitsmaßnahmen, vernachlässigen dabei aber ihre eigenen, internen Maßnahmen zur Informationssicherung und die sind oft viel wichtiger für die Verhinderung von Verstößen gegen die Informationssicherheit. 2 Verizon Business Risk Team, 2008 Data Breach Investigations Report, S. 26 Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 6

7 Lassen Sie Ihren Unternehmensvorgaben auch konkrete Taten folgen: Aus der Verizon-Studie von 2008 geht ebenfalls hervor, dass in 59 % der Fälle mit Verstößen gegen die Informationssicherheit die betroffenen Unternehmen formelle Vorgaben erstellt, diese jedoch nicht mit tatsächlichen Prozessen umgesetzt hatten. 3 Das heißt, dass diese Unternehmen sich selbst nicht an ihre Versprechen gehalten haben. Sie wussten, was zu tun ist, haben es jedoch nicht getan. Es reicht nicht aus, detaillierte Vorgaben und großartige Visionen zum Vorgehen des Unternehmens bezüglich der Informationssicherheit aufzustellen diese müssen im alltäglichen Geschäft auch umgesetzt und gelebt werden. Testen, testen, testen: Unternehmen müssen als Teil ihrer Bemühungen zur Informationssicherung auch Tests und Überprüfungen der Einhaltung aller Vorgaben durchführen dies ist keine glamouröse High-Tech-Angelegenheit, aber eine der besten Methoden, um die praktische Umsetzung der Vorgaben zur Informationssicherheit im Unternehmen zu gewährleisten. Datendiebe suchen Schwächen planen Sie voraus: Laut der Verizon-Studie resultierten die meisten Verstöße gegen die Informationssicherheit aus Angriffen, die nicht als schwierig eingestuft wurden (83 %), oder aus opportunistischen Angriffen (85 %). 4 Dies unterstreicht einen Punkt, der vielen Polizeiermittlern nur zu bekannt ist: die meisten Verbrecher sind faul und einfallslos. Vor die Wahl gestellt, ob sie lieber eine komplexe Netzwerk-Firewall oder eine Kiste unsachgemäß entsorgter Dokumente und Speichermedien knacken wollen, werden sich die meisten Datendiebe jedes Mal für die einfachere Variante entscheiden. Unternehmen werden mit höherer Wahrscheinlichkeit Opfer von etwas Harmlosem (unsachgemäß entsorgte Dokumente und Speichermedien) als von einem vernichtenden High-Tech-Angriff durch einen smarten Cyber-Kriminellen. 3 Ibid. 4 Ibid. Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 7

8 Kümmern Sie sich um Ihre Speichermedien: In einer Umfrage des Ponemon Institute unter CEOs gaben 22 % der Befragten an, dass die falsche Entsorgung von Speichermedien das größte Risiko für sensible Informationen in ihren Unternehmen darstelle dies war die am dritthöchsten bewertete Antwort. 5 Es gibt viele Maßnahmen, mit denen Unternehmen ihre Speichermedien sachgemäß entsorgen können: Shreddern (Papier), sicheres Löschen (Festplattenlaufwerke), Zermahlen (optische Speichermedien wie CDs und DVDs), Entmagnetisieren (Festplattenlaufwerke und andere magnetische Speichermedien) und Desintegrieren (andere Halbleitermedien). Ein Unternehmen, das seine Informationssicherheit wirklich ernst nimmt, verfügt über viel mehr Hilfsmittel dafür als je zuvor es gibt keine Entschuldigung mehr für die unsachgemäße Entsorgung von Speichermedien. Wenn die Medien potenziell risikobehaftete Informationen enthalten, dann lohnt sich die Investition in die nötige Ausrüstung, um diese Medien sachgemäß zu entsorgen. Balkendiagramm 1: aus Ponemon Institute, The Business Case for Data Protection (July 2009), S Ponemon Institute, The Business Case for Data Protection (Juli 2009), S. 8. Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 8

9 Treffen Sie Vorkehrungen mit Geschäftspartnern: Die Informationssicherheit eines Unternehmens ist letzten Endes nur so stark wie die Vorgehensweisen seiner Geschäftspartner Verkäufer, Lieferanten, Dienstleister und andere Akteure, mit denen das Unternehmen möglicherweise interagiert. In 32 % aller Verstöße gegen die Informationssicherheit waren Geschäftspartner verwickelt bewusst oder unbewusst, so das Ergebnis des Verizon Data Breach Investigations Report von Um zu verhindern, dass das Unternehmen durch Geschäftspartner Risiken ausgesetzt wird, ist es wichtig, die Sicherheitsmechanismen seitens der Geschäftspartner zu prüfen. Auch sollten klar formulierte Vertragsabschnitte zur Verantwortung und Haftung im Falle von Verstößen gegen die Informationssicherheit verfasst werden und sensible Informationen nicht an Geschäftspartner preisgegeben werden, wenn diese sie nicht zwingend benötigen. Laut Ponemon Institute lagen zwar die durchschnittlichen Kosten von Verstößen gegen die Informationssicherheit (2008) bei 6,65 Millionen US $; jedoch lagen die Kosten pro Opfer eines Verstoßes, bei dem ausgelagerte Informationen involviert waren, um 52 US $ höher. 7 Dies deutet an, dass viele Unternehmen von der Umsetzung eines besseren Verwaltungsprogramms zur Überwachung der Maßnahmen zur Informationssicherheit seitens der Geschäftspartner profitieren würden schließlich besteht immer die Gefahr eines Informationsverlustes, -diebstahls oder -missbrauchs, sobald ein Unternehmen Informationen nach außen weitergibt. Erstellen Sie einen Plan zur Aufbewahrung von Informationen: Laut Verizon-Bericht von 2008 involvierten 66 % der Verstöße gegen die Informationssicherheit Daten, deren Existenz sich das betroffene Unternehmen gar nicht bewusst war. 8 Unwissen schützt hier keinesfalls vor Schaden. Ganz im Gegenteil. Dies ist einer der Gründe, warum jedes Unternehmen als Teil seiner allumfassenden Strategie zur Informationssicherheit auch einen Plan zur Aufbewahrung von Informationen/Dokumenten erstellen sollte. Unternehmen müssen jederzeit wissen, welche Art von Informationen sie haben und wie viel davon. Sie müssen wissen, wo die Informationen gespeichert sind, wer Zugriff darauf hat und wie lange die Informationen aufzubewahren sind. 6 Verizon Business Risk Team, 2009 Data Breach Investigations Report, S CIO, Costs of a Data Breach: Can You Afford $6.65 Million? Dr. Larry Ponemon, 4. Feb Verizon Business Risk Team, 2008 Data Breach Investigations Report, S. 26 Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 9

10 Unternehmen sollten außerdem nach dem Motto im Zweifel weg damit vorgehen solange es keinen triftigen geschäftlichen Grund gibt, sollten Unternehmen keine zusätzlichen Kopien alter Informationen anfertigen oder Datenträger länger als nötig aufbewahren. Wenn die Informationen nicht länger aufbewahrt werden, stellen sie auch keine Bedrohung mehr dar. Erstellen Sie einen Notfallplan: Hoffen Sie auf das Beste, erwarten Sie das Schlimmste dieses Prinzip gilt auch für die Informationssicherheit. Unternehmen müssen alles in ihrer Macht stehende tun, um Verstöße gegen die Informationssicherheit zu verhindern, und falls doch ein Verstoß auftritt, müssen sie vorbereitet sein. Mit einem Notfallplan kann das Unternehmen die Lage einschätzen, Beweise sammeln, das Ausmaß des Verstoßes bestimmen, betroffene Kunden kontaktieren und je nach Bedarf mit den Strafverfolgungs- und Aufsichtsbehörden zusammenarbeiten. Verstöße gegen die Informationssicherheit sind nicht unvermeidbar. Und wenn ein solcher Fall eintritt, muss das Unternehmen in der Lage sein, schnell, zielgerichtet und mit einem kühlen Kopf zu reagieren. Agieren Sie im Falle eines Verstoßes gegen die Informationssicherheit mit bedachter Geschwindigkeit: Vergewissern Sie sich, dass Sie alle anwendbaren Gesetze und Meldepflichten für Ihren Unternehmenssitz verstanden haben. Je nach Situation muss nicht jeder Verstoß gegen die Informationssicherheit öffentlich bekannt gegeben und gemeldet werden, vor allem dann nicht, wenn keine personenbezogenen Daten entwendet wurden. Wenn jedoch ein Verstoß vorliegt, der gemeldet werden muss, sollten Sie schnell handeln. Achten Sie darauf, dass Sie die Betroffenen schnellstmöglich informieren. Geben Sie der lokalen Presse keine Chance auf eine Schlagzeile, bevor Sie nicht selbst Gelegenheit hatten, mit den Betroffenen in Kontakt zu treten, deren Daten entwendet wurden. Seien Sie auch darauf vorbereitet, dass Sie betroffenen Kunden oder Geschäftspartnern detaillierte Informationen zum Verstoß übermitteln müssen mit den Worten von Dr. Larry Ponemon: Geben Sie Ihren Telefonisten nicht nur einen vorgefertigten Text in die Hand sorgen Sie für eine gebührenfreie Hotline, unter der Betroffene einen kompetenten Ansprechpartner erreichen, der sie bei Bedarf mit dem richtigen Gesprächspartner weiterverbindet." 9 9 CIO, What, When and How to Respond to a Data Breach. Lamont Wood, 27. April, Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 10

11 Schlussfolgerung Verstöße gegen die Informationssicherheit sind nicht unvermeidlich. Unternehmen müssen sich nicht hilflos dem Datendiebstahl, teuren Problemen und peinlichen Schlagzeilen in den Nachrichten unterwerfen. Es gibt viele Methoden, mit denen Unternehmen ihr Risiko für Verstöße gegen die Informationssicherheit minimieren und gleichzeitig das Vertrauen ihrer Kunden steigern können und die Verbindung zwischen diesen beiden Zielen besteht zweifellos. Die Informationssicherheit ist nicht nur eine Frage der IT-Abteilung und des internen Betriebs, sondern sie ist auch für die Marketing- und Verkaufsabteilung relevant. 57 % der befragten CEOs sagten aus, dass die Informationssicherheit den Wert ihrer Unternehmen in Form von stärkerer Kundentreue und niedrigeren Kundenverlusten steigere, und 80 % meinten, dass die Informationssicherheit das Image ihrer Unternehmensmarken insgesamt verbessere. 10 In Zeiten, in denen Kunden stärker als zuvor besorgt sind um Identitätsdiebstähle und die zahlreichen rätselhaften und komplizierten Risiken von Geschäftsaktivitäten in einer online miteinander vernetzten Welt, wenden sich Kunden eher an die Unternehmen, die eine stabile, umfassende und wohldurchdachte Strategie zur Informationssicherheit bieten (und auch umsetzen). Durch die Entwicklung einer solchen umfassenden Strategie zur Informationssicherheit, die Umsetzung von tadellosen Verfahren, die Schulung von Angestellten (und Dienstleistern), die Kontrolle über digitale Speichermedien, das Verständnis für die Verfahren zur Informationssicherheit seitens der Geschäftspartner und die Erstellung von klaren Plänen zur Datenaufbewahrung und zum Verhalten im Notfall können Unternehmen die Risiken bestmöglich minimieren und von den Vorteilen daraus bestmöglich profitieren. 10 Ponemon Institute, The Business Case for Data Protection (Juli 2009), S. 10. Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 11

12 Eine gute Strategie zur Informationssicherheit mit der richtigen Schulung, der richtigen Ausrüstung und dem richtigen Rat ist zwar eine Investition, aber eine, die sich lohnt. Den durch das Ponemon Institute befragten CEOs zufolge lag der durchschnittliche ROI für Programme zur Informationssicherheit bei 4,3 zu 1 für jeden ausgegebenen Dollar wurden 4,30 US $ eingespart bzw. im Umsatz hinzugewonnen. 11 Die Verhinderung von Verstößen gegen die Informationssicherheit ist kein aussichtsloser Kampf. Im Gegenteil: sie kann sich unterm Strich für Unternehmen sogar auszahlen! Am wichtigsten ist dabei, dass die Bemühungen eines Unternehmens zur Informationssicherheit auch seine strategische Vision, seine grundlegenden Werte und seine Fähigkeit zum Handeln reflektieren. Kunden achten immer genauer auf die weiße Weste eines Unternehmens in Sachen Informationssicherheit. Vor allem jetzt, da die Welt immer vernetzter wird und immer mehr Transaktionen und sensible Daten online zu finden sind, legen Kunden zunehmend Wert auf Unternehmen, bei denen sie ihre Informationen in sicheren Händen wissen. Trotz so vieler erstaunlicher Technologien in der modernen Geschäftswelt, beruhen so viele Geschäfte immer noch auf Vertrauen. Unternehmen, die sich dessen bewusst sind, können in eine erfolgreiche Zukunft blicken. 11 Basierend auf einem mittleren extrapolierten Wert von 16 Millionen US $ an Kosteneinsparungen oder Umsatzsteigerungen aufgrund von Bemühungen zum Informationsschutz, geteilt durch einen mittleren extrapolierten Wert von 3,7 Millionen US $ des Jahresbudgets für den Informationsschutz. Ponemon Institute, The Business Case for Data Protection (Juli 2009), S Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 12

13 Unternehmensprofil Als in den 1960er Jahren die ersten Aktenvernichter eingeführt wurden, war der Begriff Informationsschutz noch gänzlich unbekannt. Angefangen mit dem elektronischen Papierkorb INTIMUS Simplex aus dem Jahre 1965 hat sich die Produktpalette stetig weiterentwickelt und erfüllt heute sämtliche Vorgaben und Anforderungen im Bereich der Informationssicherung. Zum Angebot gehören nicht nur Aktenvernichter für klassische Informationsmaterialien wie Ausdrucke, Computerlisten oder sogar vollständige Ordner, sondern auch Maschinen zur Vernichtung von Daten auf modernen Endpoint-Geräten wie CDs, Disketten, Festplattenlaufwerke und Halbleitermedien. intimus Security Consulting ist ein Konzept zur Unterstützung von Unternehmen weltweit bei der Definition, Umsetzung und Überwachung von Prozessen zur Gewährleistung der Informationssicherheit jenseits von Endpunkten. Weitere Informationen erhalten Sie unter Die MARTIN YALE GROUP wurde 2003 aus den zuvor eigenständigen Unternehmen MARTIN YALE Industries (Nordamerika) und Schleicher International (Deutschland) gebildet. Die Gruppe verfügt heute über ein umfangreiches weltweites Vertriebsnetz mit 7 Außenstellen und über 150 Vertriebspartnern. Kontaktdaten MARTIN YALE GROUP Bergheimer Straße Markdorf / Deutschland Tel / (0) / Fax 0049 / (0) / strunz@martinyale.de Maßnahmen für mehr Informationssicherheit und stärkeres Kundenvertrauen 13