Wie der Colonial Pipeline-Hack für ISO 27001 plädiert

Wir haben bereits kurz über den Colonial Pipeline-Hack der letzten Woche gesprochen. Es handelt sich um einen der folgenreichsten Lösegeldangriffe der Geschichte. Sogar die Hacker DarkSide hatten das Gefühl, sie müssten sich für die enormen unbeabsichtigten Folgen entschuldigen. Nun stellt sich heraus, dass sie sich bis zur Bank entschuldigt haben. Ihre Opfer haben ihnen ein Lösegeld in Höhe von fünf Millionen Dollar gezahlt.

Am Samstagabend twitterte Colonial Pipeline, dass alles wieder normal sei. Aber es ist eine neue Normalität, die Art von Ruhe, die nach dem Sturm kommt. Das ist ein guter Zeitpunkt, um zu bewerten, was gerade passiert ist, und um sicherzustellen, dass es nie wieder passiert – ein Prozess, den die Führungskräfte des Unternehmens derzeit zweifellos durchlaufen.

Aufgrund der überraschend offenen Webpräsenz von DarkSides ist das ein Prozess, den wir auch durchlaufen können. Es wird uns helfen, mehr über diese Art zu verstehen Informationsvermögen Hacker wie DarkSide haben es auf sie abgesehen. Und Sie werden sehen, wie ein nach ISO 27001 zertifiziertes ISMS Ihnen dabei helfen kann, Ihr eigenes Unternehmen vor diesen und vielen anderen Gefahren zu schützen.

Die von DarkSide angegriffenen Informationsressourcen

Die Website von DarkSide ist etwas schwieriger zugänglich als die meisten anderen. Es befindet sich im Darknet, was bedeutet, dass Ihr normaler Browser es wahrscheinlich nicht sehen kann. Deshalb haben wir eine sehr interessante Liste für Sie zusammengestellt, die Sie sich hier ansehen können. Es beschreibt detailliert die Informationsbestände, die DarkSide bei einem früheren Angriff von einem namentlich nicht genannten US-Hersteller erhalten konnte.

Dazu gehören:

• Buchhaltungs- und Finanzinformationen
• HR und Mitarbeiter Datenschutzdaten
• Marketingpläne
• Budget-, Steuer-, Gehalts- und Bankdaten
• Informationen zu Schiedsverfahren und Versicherungen
• Mehrere Berichte und Audits
• B2B-Client-Konfigurationsdaten
• Geschäftspläne für 2020 und 21
• Jahresabschlüsse 2019, 20 und 21 Jahre
• Viele andere sensible Informationen!

Das ist eine ziemlich beängstigende Liste. Keine Organisation möchte von solchen Informationen ausgeschlossen bleiben oder riskieren, dass sie öffentlich zugänglich gemacht werden. Aber es ist auch sehr interessant. Das liegt daran, dass es sich hierbei genau um solche handelt Informationsressourcen ein nach ISO 27001 zertifiziertes Informationssicherheitsmanagementsystem soll schützen.

Sichern Sie Ihre Daten

Um die ISO 27001-Zertifizierung zu erhalten, müssen Sie:

• Definieren Sie alle Ihre Informationsressourcen
• Verstehen Sie, welchen Risiken sie ausgesetzt sind
• Definieren Sie die richtigen Kontrollen und wenden Sie sie an, um sich gegen diese Risiken zu schützen

Eines der Risiken, denen Ihre Informationsressourcen ausgesetzt sind, ist ein Angriff durch Hacker wie DarkSide. Eine Zertifizierung anzustreben bedeutet also:

• Planen Sie genau die Art von Angriff, die Colonial Pipelines traf
• Ergreifen Sie spezifische Maßnahmen, um dies zu vermeiden

Und diese Abwehrmaßnahmen bleiben auf dem neuesten Stand. Eine ständige Neubewertung ist der Schlüssel zum Erfolg von ISO 27001. Ihr ISMS umfasst Prozesse, die Ihnen dabei helfen, alle Änderungen der Ransomware-Bedrohung im Auge zu behalten und Ihre Sicherheitsmaßnahmen weiterzuentwickeln, um ihr immer einen Schritt voraus zu sein.

Beispielsweise könnte Colonial Pipelines aufgrund der durch Covid-bedingten Umstellung auf Fernarbeit anfälliger geworden sein. Ein nach ISO 27001 zertifiziertes Unternehmen ISMS würde Ihrer Organisation helfen, diese Art von erhöhter Schwachstelle zu erkennen und Maßnahmen zu ergreifen, um sie zu beheben.

Es geht nicht nur um Ihre digitalen Vermögenswerte

Viele Menschen gehen davon aus, dass Informationsressourcen digitale Assets sein müssen. Aber das ist nicht der Fall.

Vielleicht gibt es nur eine Person, die Ihr Lohn- und Gehaltsabrechnungssystem wirklich versteht. Wenn sie gehen, wird das Ende eines jeden Monats plötzlich viel schwieriger. Ihr schwer zu ersetzendes Wissen über die Lohn- und Gehaltsabrechnung ist ein wichtiger Informationswert. Ein ISO 27001 ISMS hilft Ihnen, es zu schützen.

Oder vielleicht besitzt Ihre Organisation ein Patent, das bald abläuft. Wenn Sie es nicht verlängern können, verlieren Sie einen wichtigen Wettbewerbsvorteil. Dieses Patent ist auch ein Informationswert, den Sie schützen müssen. Auch hier wird Ihnen Ihr ISMS dabei helfen, dies abzudecken.

Plädoyer für ein ISO 27001-zertifiziertes ISMS

Große öffentliche Hacks wie der von Colonial Pipelines sind eine großartige Möglichkeit, ein Gespräch über den Wert von zu beginnen ISO 27001-Zertifizierung. Aber Sie können dies durch viele umfassendere und tiefgreifendere Geschäftsvorteile untermauern. Unser Whitepaper zum Business Case Builder zeigt Ihnen wie.

Und unabhängig von Ihrem aktuellen Infosec-Status können wir Ihnen dabei helfen, darauf aufzubauen.

Unsere Plattform bietet Ihnen einen klaren Weg zur erstmaligen ISO 27001-Zertifizierung, unabhängig davon, ob Sie bei Null anfangen oder sich bereits auf dem Weg dorthin befinden. Wenn Sie bereits über eine Zertifizierung verfügen, machen wir die Aufrechterhaltung und Verbesserung dieser Zertifizierung zum Kinderspiel. Und wir können Ihnen helfen, sich zu treffen andere Normen und Vorschriften Auch.