Wenn das Jahr 2023 Unternehmen etwas gelehrt hat, dann ist es, dass Cyber-Risiken mit dem gleichen Maß an Transparenz, Governance, Planung und Ressourcen behandelt werden müssen wie andere bedeutende Geschäftsrisiken wie finanzielle Bedingungen, rechtliche Verbindlichkeiten oder Betriebsstörungen.

Die Schlagzeilen sind überschwemmt mit Berichten über Datenschutzverletzungen und Cyberangriffe, die durch mangelhafte, unklare oder sogar völlig fehlende Informations- und Datensicherheitsmanagementprozesse verursacht werden. Das Ergebnis? Erhebliche finanzielle Verluste, Reputationsschäden und hohe Geldstrafen der Aufsichtsbehörden für die betroffene Organisation, ihre Lieferanten und in einigen Fällen sogar Einzelpersonen.

Als Reaktion auf die Zunahme von Cyber-Bedrohungen haben sich die Vorschriften für Cybersicherheit und Informationssicherheitspraktiken schnell ausgeweitet. Gerade diese Woche, Die EU gab ihre politische Einigung zur KI-Regulierung bekannt, mit anderen Vorschriften wie dem Cyber ​​Resilience Act und der Gesetzentwurf zur Produktsicherheit und Telekommunikationsinfrastruktur (PSTI), der etablierte Vorschriften wie DSGVO und NIS vereint. In den USA wurde eine Executive Order zur Cybersicherheit erlassen Einführung von SEC-Vorschriften zur Offenlegung von Verstößen. All dies macht deutlich, dass Unternehmen in der Lage sein müssen, Best Practices für die Informations- und Datensicherheit sowie eine effektive Umsetzung in allen Aspekten ihres Geschäfts nachzuweisen.

Was genau hält das Jahr 2024 angesichts unserer aktuellen Lage für Unternehmen bereit? Wir haben uns sechs Schlüsseltrends angesehen, von denen wir glauben, dass sie die Informations- und Cybersicherheitslandschaft im Jahr 2024 dominieren werden, und haben sie im Folgenden aufgeschlüsselt.

Trend 1: Zunehmende Regulierung von KI und maschinellem Lernen (ML)

KI und maschinelles Lernen (ML) sind in Unternehmen schnell unverzichtbar geworden, da sie die Entscheidungsfindung optimieren, Aufgaben automatisieren und Erkenntnisse liefern, die über die menschlichen Fähigkeiten hinausgehen. Seine Verbreitung hat breite Diskussionen über seine Auswirkungen auf Unternehmen, Einzelpersonen, Privatsphäre und digitale Sicherheit ausgelöst.

Angesichts der allgegenwärtigen und autonomen Natur dieser Systeme, die sich erheblich auf das Wohlergehen von Verbrauchern, Mitarbeitern und der Infrastruktur auswirken, besteht ein dringender Bedarf an einer durchdachten Regulierung, um mit ihren sich entwickelnden Fähigkeiten Schritt zu halten. Die Nachfrage nach Transparenz, Rechenschaftspflicht, Anti-Bias-Maßnahmen und Fehlerkorrekturmechanismen bei der KI-Entscheidungsfindung ist im Laufe des Jahres 2023 gestiegen. Da KI in Hochrisikobereiche vordringt, wird sich dieser Trend nur noch verstärken.

Folglich wird 2024 ein Meilenstein für die formalisierte KI-Governance sein, die robuste Gesetze, Branchenrahmen und Unternehmensrichtlinien umfasst. Gesetzgeber in Amerika, Europa und Asien entwerfen Vorschläge, die KI-Anbietern, -Entwicklern und -Unternehmen moralische und rechtliche Verpflichtungen auferlegen. Der Die EU gab ihre politische Einigung für ein KI-Gesetz bekannt erst diese Woche. 

Während internationale Gruppen wie IEEE und ISO bereits umfassende, einheitliche Standards für die sichere Erstellung, Bewertung und Implementierung von ML-Systemen in verschiedenen Branchen und Anwendungen festlegen, werden diese voraussichtlich im neuen Jahr veröffentlicht.

Wir gehen auch davon aus, dass es zur Norm wird, Gremien einzurichten, die verantwortungsvolle KI-Praktiken überwachen, Entwicklungsprozesse prüfen und Modellrisiken innerhalb von Organisationen verwalten. Neben anderen Aktivitäten, wie z. 

  • Ethik-Checklisten zur Unterstützung von Datenwissenschaftlern bei der Erstellung repräsentativer Datensätze und unvoreingenommener Algorithmen 
  • Transparenzklauseln für den Austausch von KI-Modellen und Serviceintegrationen in Partnerverträgen enthalten

Das Ziel der Regulierung von KI ist lobenswert: Es ist wichtig sicherzustellen, dass KI-beeinflusste Entscheidungen gerecht sind und dass Unternehmen die Automatisierung erst dann einsetzen, wenn sie die Risiken vollständig verstanden und gemindert haben. Diese Vorschriften können jedoch zu zusätzlichen Komplexitäten und Verzögerungen für KI-Innovatoren und Organisationen führen, die solche Technologien nutzen möchten.

Während politische Entscheidungsträger und Branchenführer daran arbeiten, das produktive Potenzial von KI zu nutzen und gleichzeitig potenzielle Nachteile präventiv anzugehen, müssen sich Unternehmen darauf vorbereiten, sowohl intern als auch gegenüber ihren Kunden Compliance zu demonstrieren. Dies markiert den Beginn von eine neue Phase in der KI-Entwicklung: zügiges Voranschreiten, aber mit erhöhtem Verantwortungsbewusstsein.

Trend 2: Zunehmende Komplexität von Ransomware

Es wird erwartet, dass Ransomware-Angriffe im Jahr 2024 noch häufiger und ausgefeilter werden. Da immer mehr Unternehmen ihre Abläufe digitalisieren und sensible Daten in der Cloud speichern, werden Ransomware-Gruppen ihren Fokus wahrscheinlich auf Cloud-Umgebungen und Backup-Datenspeicher verlagern, um die Hebelwirkung für Erpressungen zu maximieren.

Ein zunehmender Trend sind Ransomware-Angriffe mit „doppelter Erpressung“. Bei diesen Machenschaften verschlüsseln die Angreifer Daten und filtern vertrauliche Informationen aus den Systemen des Opfers heraus, die sie dann drohen, sie online zu veröffentlichen oder zu verkaufen, wenn das Lösegeld nicht gezahlt wird. Dieser zusätzliche Druck erhöht die Wahrscheinlichkeit, dass Opfer zahlen. Angreifer können die gestohlenen Daten sogar an den Meistbietenden versteigern.

Darüber hinaus etablieren Ransomware-Gruppen Ransomware-as-a-Service (RaaS)-Operationen und Malware-Partnerprogramme, um ihre Wirkung zu vergrößern. Diese Programme stellen Cyberkriminellen mit begrenzten technischen Fähigkeiten benutzerfreundliche Ransomware-Toolkits für einen Teil des Gewinns zur Verfügung. Dadurch wird das Risiko weiter dezentralisiert und auf mehr Angriffe verteilt.

Angesichts der zunehmenden Bedrohungen werden wir im Jahr 2024 möglicherweise einen regulatorischen Vorstoß in Bezug auf die Widerstandsfähigkeit gegen Ransomware erleben. Vorschriften könnten von Unternehmen Folgendes verlangen: 

  • Verfügen Sie über Pläne zur Reaktion auf Vorfälle für Ransomware-Szenarien
  • Führen Sie Offline-Backups von Daten durch 
  • Führen Sie Schulungen zum Thema Cybersicherheit durch
  • Implementieren Sie Cyber-Versicherungen

 

Wer die festgelegten Best Practices zur Verhinderung und Vorbereitung auf Ransomware nicht einhält, muss mit Bußgeldern oder anderen Maßnahmen rechnen. Allerdings bringt eine solche Regulierung auch Herausforderungen hinsichtlich der Umsetzung und Durchsetzung in verschiedenen Sektoren mit sich.

Wir werden wahrscheinlich auch einen stärkeren Fokus auf internationale Partnerschaften sehen, wie z Internationale Initiative zur Bekämpfung von Ransomware (CRI), um „das Ransomware-Geschäftsmodell zu durchbrechen, indem politische, Strafverfolgungs- und operative Behörden weltweit zusammengebracht werden, um Ransomware zu unterbinden und gleichzeitig die Widerstandsfähigkeit gegen böswillige Cyber-Akteure zu stärken“.

Trend 3: Ausweitung des IoT und damit verbundene Risiken

Die Revolution des Internets der Dinge ist in vollem Gange. Gartner-Prognosen dass bis 33 über 2024 Milliarden IoT-Geräte für Unternehmen und Automobile aktiv genutzt werden.

Doch diese Fülle an vernetzten Geräten sorgt nicht nur für Effizienz, sondern bietet Hackern auch zahlreiche neue Angriffsvektoren, die sie ausnutzen können. Vielen IoT-Systemen mangelt es immer noch an grundlegenden Sicherheitsvorkehrungen wie Datenverschlüsselung, sodass die Netzwerkperimeterverteidigung ausreicht. 

Geschäftskritische Betriebstechnologie-Infrastrukturen (OT), die zuvor in Fabriken isoliert waren, sind jetzt mit IT-Managementsystemen verknüpft, wodurch fragile Industriesteuerungen digitalen Bedrohungen ausgesetzt werden. Es gibt nur wenige Firmware-Updates, um Schwachstellen in verteilten IoT-Geräten zu schließen, von Kameras bis hin zu Infusionspumpen für Kliniken.

Besonders die verarbeitende Industrie, die Versorgungsunternehmen und das Gesundheitswesen müssen ihre IT-Sicherheit jetzt neu ausrichten, um eine immer größer werdende Angriffsfläche voller unsicherer Geräte zu schützen. Aktivitäten wie: 

  • Segmentierung von Netzwerken
  • Aktive Überwachung des Datenverkehrs auf Anomalien
  • Erfordert Zugangskontrollen
  • Implementierung sicherer Datenübertragungsprotokolle 

 

Alle tragen dazu bei, die Risiken zu mindern, die die Vernetzung mit sich bringt.

Wir gehen davon aus, dass sich mehr Organisationen an Frameworks wie … orientieren werden ISO 27001 bei der Bewältigung von IoT-Risiken, da es eine strukturierte Bewertung von Informationssicherheitsrisiken und Schutzkontrollen erfordert, die auf den spezifischen Kontext einer Organisation abgestimmt sind. Dieser Zero-Trust-Ansatz passt zu den Herausforderungen des IoT.

Im Jahr 2023 gab es bereits Versuche, die Informationssicherheit und den Datenschutz für IoT-Geräte mit folgenden Gesetzen anzugehen: 

  • Das EU-Cyber-Resilience-Gesetz
  • US Cybersecurity Maturity Model Certification (CMMC) 
  • Der US-amerikanische Consolidated Appropriations Act 
  • Britischer Gesetzentwurf zur Produktsicherheit und Telekommunikationsinfrastruktur 

 

Wir gehen davon aus, dass standardisierte Sicherheitsvorschriften wie diese im Jahr 2024 zunehmen und die Durchsetzung strenger wird, gepaart mit Branchenallianzen, die einen stärkeren IoT-Schutz vorantreiben, insbesondere für die nationale Infrastruktur. 

Unabhängig von Regulierung und Durchsetzung gehen wir davon aus, dass Unternehmen ihre Verteidigungsmaßnahmen schnell modernisieren werden, da eine intelligente Infrastruktur die Zugangspunkte für Angreifer vervielfacht und das Risiko für den Geschäftsbetrieb und den Geschäftserfolg zu groß wird, um es zu ignorieren.

Trend 4: Die Bedeutung von Zero-Trust-Architekturen

Branchenanalysten gehen davon aus, dass Zero-Trust-Frameworks bis 2025 zu formellen Compliance-Anforderungen im Finanz-, Regierungs- und Gesundheitssektor werden, da Angriffe herkömmliche Verteidigungsschwächen aufdecken.

Die Belegschaft wird dezentralisiert, die Infrastruktur verlagert sich in die Cloud und Benutzer benötigen Zugriff von überall, was die Annahme zunichte macht, dass es überhaupt noch klare Sicherheitsgrenzen gibt. Dennoch verlassen sich viele Unternehmen immer noch auf bekannte, aber durchlässige Abwehrmechanismen wie VPNs, Firewalls und privilegierte Netzwerkrechte, um kritische Daten zu schützen.

Stattdessen gibt es bereits ausgereifte Cybersicherheitsprogramme Einführung von Zero-Trust-Architekturen die das implizite Vertrauen aufheben und gleichzeitig jeden Benutzer und jedes System, das Zugriff versucht, streng validieren. Wir gehen davon aus, dass die Akzeptanz dieses Ansatzes im Jahr 2024 deutlich zunehmen wird. 

Dieser Das Modell überprüft die Identität durch strenge Multi-Faktor-Authentifizierung bevor Sie die Berechtigungen mit den geringsten Privilegien erteilen. Anstelle eines flächendeckenden Netzwerkzugriffs beschränken Mikrosegmentierungsrichtlinien die Konnektivität strikt auf autorisierte Ressourcen. Entscheidend ist, dass Zero Trust eine kontinuierliche Überwachung der Benutzeraktivitäten und Systemprotokolle mit Analysen erfordert, um ungewöhnliche Verhaltensweisen zu erkennen, die auf Bedrohungen hinweisen. 

Zu den Treibern, die Zero-Trust-Prinzipien von bewährten Cybersicherheitspraktiken in Richtung Wesentliches verdrängen, gehören die Einführung von Hybrid-Clouds, das Wachstum von Remote-Mitarbeitern und veraltete Perimeterschutzmaßnahmen, die sich gegen anspruchsvolle Angreifer als unzureichend erwiesen haben. Betriebseffizienz verbessert sich auch dadurch, dass die Sicherheitslage einer Organisation hin zu dynamischen, kontextbezogenen Zugriffsentscheidungen statt zu statischen Netzwerkprivilegien verlagert wird.

Eine frühzeitige Neugestaltung der Sicherheitssysteme ermöglicht es Unternehmen, ihre Abwehrkräfte zu stärken und Innovationen zu fördern. Die Implementierung von Frameworks wie ISO 27001 kann einen strukturierten Ansatz zur Einführung von Zero-Trust-Prinzipien bieten und einen umfassenden Satz von Richtlinien und Verfahren bieten, die den höchsten Standards des Informationssicherheitsmanagements entsprechen. Dies trägt dazu bei, eine systematische und konsistente Implementierung von Zero-Trust-Architekturen sicherzustellen und die Sicherheitslage eines Unternehmens gegenüber sich entwickelnden Bedrohungen weiter zu stärken.

Trend 5: Ein globalerer Ansatz für Vorschriften und Compliance-Anforderungen

Da die Auswirkungen und die Häufigkeit von Cyberangriffen zunehmen, werden gefährdete Lücken in der Datenverwaltung über Branchen und geografische Grenzen hinweg im Jahr 2024 ins Fadenkreuz der Regulierungsbehörden geraten, um strengere Leitplanken zu ergreifen. 

Da Cyberangriffe mit grenzüberschreitenden Auswirkungen zunehmen, erkennen Regierungen weltweit die Grenzen fragmentierter Vorschriften zwischen den Gerichtsbarkeiten. Während viele Länder Datenschutzgesetze und branchenspezifische Cybersicherheitsrichtlinien vor Ort umgesetzt haben, bereitet die Divergenz multinationalen Organisationen Kopfzerbrechen. Die Straffung der Anforderungen durch internationale Zusammenarbeit wird im Jahr 2024 zu einer Priorität für die globale Angleichung der Cybersicherheitsaufsicht werden, anstatt durch unzusammenhängende Vorschriften.

Überlappende Vorschriften führen zu Redundanzen bei Praktiken wie Audits, Schulungen oder Beurteilungen von Unterauftragsverarbeitern. Die Innovation verlangsamt sich, da Ingenieurteams mit der Interpretation vager Rechtsterminologien beauftragt werden. Und die Budgets blähen sich auf, da technische Ressourcen auf Compliance-Berichte umgelenkt werden.

Als Reaktion darauf gehen wir davon aus, dass Kooperationsgruppen wie die International Organization for Standardization (ISO) und die Global Privacy Assembly (GPA) im Jahr 2024 noch enger mit Unternehmen und Regierungen zusammenarbeiten werden, um die grundlegenden Cybersicherheitserwartungen weltweit zu harmonisieren Risikomanagement, Datenethik und Reaktion auf Vorfälle. Die Optimierung erfolgt auch durch einheitliche Assurance-Frameworks wie ISO 27001 und Das Cybersecurity Framework des NIST, die Hunderte von Unternehmen bereits genutzt haben, um Cyberprogramme zu strukturieren.

Von 2023 bis XNUMX haben wir bereits Fortschritte in Richtung einer Globalisierung der Vorschriften gesehen Datenbrücken wie die EU-USA- und USA-UK-Abkommen, die integraler Bestandteil des umfassenderen Trends zur Entwicklung eines stärker koordinierten und harmonisierten Ansatzes für Datenschutz und Privatsphäre im globalen Kontext sind. Sie tragen dazu bei, verschiedene Rechtssysteme anzugleichen, internationale Datenflüsse zu erleichtern und Standards festzulegen, die globale Datenschutzpraktiken beeinflussen können.

Der Beitritt zu branchenübergreifenden Führungsgruppen, die weltweite Implementierung strukturierter Rahmenwerke und die Überwachung von Gesetzesvorschlägen werden Unternehmen dabei helfen, sich auf den Nachweis von Fortschritten vorzubereiten. Die Nichteinhaltung von Vorschriften ist keine Option mehr für den Umgang mit kritischen Vermögenswerten, da Informationen den Geschäftsalltag neu definieren.

Trend 6: Stärkere Regulierung der Lieferkettensicherheit

Verschärfte Vorschriften und Sicherheitsstandards für Drittanbieter werden im Jahr 2024 im Mittelpunkt stehen, da Unternehmen erkennen, dass erweiterte digitale Lieferketten eines der größten Cyberrisiken für Unternehmen darstellen.

Durchbrüche im Bereich der künstlichen Intelligenz mögen Schlagzeilen machen, aber weniger glamouröse Bedrohungen mögen es Angriffe auf die Software-Lieferkette schwächen Unternehmen weiterhin von innen heraus. Der schwerwiegende Schaden durch Vorfälle wie SolarWinds und Log4j hat das Bewusstsein der Führungskräfte für Risiken Dritter geweckt – eine umfassende Transparenz und Kontrolle über die Lieferantenumgebungen hinweg bleibt für die meisten jedoch schwer zu erreichen.

Mit Blick auf das Jahr 2024 werden Anbieter Tools und Standards Priorität einräumen, die dabei helfen, Anbieterrisiken über Partnerschaften hinweg zu verwalten. Umfassende Software-Stücklisten (SBOMs), die Komponentenbestandteile in gekauften Plattformen katalogisieren, werden im Rahmen der Cyber-Exekutivverordnung von Präsident Biden für Bundesauftragnehmer vorgeschrieben. SBOMs erhöhen die Transparenz für Käufer über bekannte Schwachstellen oder Wartungslücken in ihrem Technologie-Stack.

Immer mehr Branchen werden Initiativen des Automobilsektors nachahmen, die sichere Lieferantenentwicklungsstandards auf der Grundlage von Testprozessen wie OWASP-Benchmarks zertifizieren. Strenge Codeüberprüfungen, Zugriff mit den geringsten Privilegien und Runtime Application Self-Protection (RASP) sind weitere Anbieterzuverlässigkeitsmaßnahmen, die sich zunehmend durchsetzen.

Da sich Partnerschaften zwischen Einzelhändlern, Gesundheitssystemen und Finanzdienstleistungen weiterentwickeln, wird die gemeinsame Verantwortung für das Cyber-Risikomanagement in immer mehr Verträgen verankert. Die Bedingungen befassen sich mit Anforderungen an die Sichtbarkeit der Angriffsflächen der Partner, Benachrichtigungen über Verstöße und Zugriffsrichtlinien. Organisationen, denen es an Cybersicherheitsbereitschaft mangelt, könnten in einem Klima, das auf Resilienz ausgerichtet ist, zusehen, wie ihre Aussichten als Anbieter schwinden.

Letztendlich müssen sich Lieferanten und Käufer darüber im Klaren sein, dass Partnerschaften zwar digitale Transformation und Effizienz ermöglichen, aber auch die Angriffsgrenzen erweitern. Die proaktive Sicherung dieser Schnittstellen durch Standards, Sorgfaltspflichten und vertragliche Zusicherungen wird unabdingbar, da Dritte zunehmend in den Betrieb integriert werden. Es gibt keinen Perimeter, wenn Ihr Netzwerk das Netzwerk aller ist.

Planung der Cyber-Resilienz für eine ungewisse Zukunft

Wie das Jahr 2023 gezeigt hat, machen das Ausmaß und die Auswirkungen von Cyberangriffen proaktive Sicherheit zu einer nicht verhandelbaren Investition für Unternehmen und nicht zu einer isolierten IT-Ausgabe. 

Die Cyber-Bereitschaft im Jahr 2024 erfordert mindestens einen erneuten Fokus auf die Steuerung risikoreicher KI-Systeme, Widerstandspläne für unvermeidliche Eingriffe und Transparenz bei Lieferantenkontrollen. Es erfordert die Sicherung exponentiell größerer Angriffsflächen, da die Datenverarbeitung die traditionellen Perimeter verlässt. Es erfordert die Überwachung frühzeitiger politischer Maßnahmen seitens der Regulierungsbehörden, die vermeidbare Nachlässigkeiten in Bezug auf Datenschutz oder Reaktion auf Vorfälle nicht mehr tolerieren.

Vor allem aber müssen Unternehmensvorstände eine Kultur vorantreiben, die sich der Datenintegrität, ethischen Technologiepraktiken und kollektiver Verantwortung verpflichtet. Die Eindämmung von Cyber-Risiken erfordert, dass Unternehmensleiter mit gutem Beispiel vorangehen, indem sie Personal, Budget und die Aufmerksamkeit einsetzen, die der Sicherheit gebührt, wenn ihnen das Wohlergehen und der Lebensunterhalt ihrer Kunden anvertraut werden.

Die Bedrohungen sind komplex, aber überwindbar für diejenigen, die erkennen, dass Cyber-Resilienz eher auf Koordination als auf Isolation beruht. Kluge Unternehmen bereiten sich auf turbulente Zeiten vor, indem sie proaktiv Partnerschaften, interne Kapazitäten und vertrauenswürdige Systeme aufbauen, um sicher von den Dividenden digitaler Innovationen zu profitieren.