7 Datensicherheitsmaßnahmen, die Ihr Unternehmen jetzt ergreifen sollte

Die Organisation und Sicherheit Ihrer Daten wird in diesem Jahr nicht nur aufgrund aktualisierter Bestimmungen wie der Allgemeinen Datenschutzverordnung (DSGVO), sondern auch deshalb im Vordergrund stehen, weil das allgemeine Bild der IT-Sicherheit weiterhin düster ist. In einer Umfrage des Forschungsunternehmens Statista, die erst im vergangenen Jahr durchgeführt wurde, bewerteten US-amerikanische Unternehmen Cyber-Bedrohungen als die Bedrohung mit dem höchsten Risiko, gleich neben einer Störung in einem wichtigen Geschäftsprozess wie der Lieferkette. Kleinere Unternehmen sind besonders anfällig, nicht nur, weil sie nur über begrenzte Ressourcen verfügen, um das Problem anzugehen, sondern auch, weil Hacker beginnen, dieses Segment gezielt und insgesamt anzugreifen.

Zu Ehren der National Small Business Week (NSBW) machen wir eine Pause, um über die Gründung eines neuen Unternehmens zu sprechen, und konzentrieren uns stattdessen darauf, Ihnen dabei zu helfen, das Unternehmen, das Sie bereits haben, besser zu schützen. Glücklicherweise kann der Schutz Ihres Unternehmens und seiner Datenspeicher wie bei den meisten IT-Aufgaben in einen wiederholbaren Prozess zerlegt werden. Um Ihnen den Einstieg zu erleichtern, haben wir eine Liste mit sieben wichtigen Fragen zusammengestellt, die Sie stellen und die Sie beantworten sollten, vorzugsweise von den IT-Mitarbeitern Ihres Unternehmens.

1. Verwenden wir Sicherheitssoftware?

Die Endpoint Protection-Software überwacht und schützt Ihr Unternehmensnetzwerk vor externen Geräten, die versuchen, Einstiegspunkte für einen Angriff zu erstellen. Diese Tools umfassen in der Regel eine Kombination aus Antivirus-, Firewall- und MDM-Funktionen (mehr dazu später). Durch den Einsatz eines dieser Tools wird Ihr dediziertes Technologieteam (vorausgesetzt, Sie haben eines) auf Bedrohungen aufmerksam gemacht, wenn und wann diese auftreten.

"Selbst wenn Sie ein kleines Unternehmen sind, muss jeder Endpunkt durch Sicherheitssoftware geschützt werden, da es zahlreiche Bedrohungen gibt, die sowohl Ihr Unternehmen als auch die Daten Ihrer Kunden lahm legen können", sagte Adrian Liviu Arsene, Senior E-Threat Analyst bei Bitdefender. "Von Ransomware über Keylogging-Malware bis hin zu fortgeschrittenen Bedrohungen, die darauf abzielen, Ihr Unternehmen als Gateway für Ihre Kunden zu nutzen. Wenn Sie ein Dienstanbieter sind, ist Sicherheitssoftware nicht nur empfohlen, sondern auch obligatorisch."

2. Sichern wir unsere Daten?

Wenn Ihr Unternehmen jemals gehackt wird oder Ihr Büro von einem Hurrikan niedergeschlagen wird, können Sie mit einer Sicherungskopie Ihrer neuesten Daten mit minimalen datenbasierten Problemen wieder einsatzbereit sein. Eine Cloud-Sicherung Ihrer Informationen stellt sicher, dass Ihr Unternehmen nach einer kurzen physischen Wiederherstellung wieder einsatzbereit ist. Wenn Sie Ihre Daten noch nie gesichert haben, beginnen Sie Ihr Geschäft im Grunde genommen von vorne. Mithilfe von Datensicherungen können Sie in Kombination mit Endpoint Protection-Software auftretende Bedrohungen erkennen, aus Ihrem Netzwerk entfernen und anschließend Ihr Netzwerk in den neuesten, sichersten Zustand zurückversetzen.

Es gibt einfache Möglichkeiten zum Sichern Ihrer Daten, einschließlich des Einrichtens automatisierter Sicherungen mit DR-Software (Disaster Recovery) und des Kopierens Ihrer Systemdateien in andere Regionen (im Falle eines geografischen Problems). Unabhängig davon, für welche Option Sie sich entscheiden, ist es unerlässlich, dass Sie sofort mit der Sicherung beginnen.

"Backup und Redundanz sind für die Geschäftskontinuität von entscheidender Bedeutung, da Verluste oder Unterbrechungen bedeuten können, dass das Geschäft eingestellt oder für lange Zeit stark beeinträchtigt wird", sagte Arsene. "Ransomware ist ein perfektes Beispiel dafür, was passieren kann, wenn Sie keine Backups haben. Berücksichtigen Sie aber auch, dass die Hardware manchmal ausfällt und eine einzige Kopie Ihrer kritischen Assets schlecht beraten ist."

3. Verschlüsseln wir unsere Daten?

Die meisten Endpoint Protection-Softwarehersteller helfen Ihnen auch beim Verschlüsseln Ihrer Daten, wenn diese sich in Ihrem Netzwerk befinden, Ihr Netzwerk verlassen und auf Ihren Servern unberührt bleiben. Durch die Verschlüsselung werden Ihre im Klartext formatierten Daten im Wesentlichen in ein Chiffretext-Format umgewandelt - ein nicht zu knackendes Durcheinander der echten Klartextsequenz Ihrer Daten. Durch die Eingabe eines Entschlüsselungsschlüssels werden Ihre Daten entschlüsselt und in ihr normales Format zurückgesendet. Wenn sich also jemand in Ihr System einhackt und Ihre Daten stiehlt, wird die verschlüsselte Version und nicht die Klartextversion angezeigt.

Vorsicht: Angriffe können in verschiedenen Phasen des Datenübertragungsprozesses erfolgen. Sie können auftreten, wenn Daten vom Server an das Ziel gesendet werden. Angriffe können auftreten, wenn Daten auf Ihren Servern gespeichert sind, und Hacks können auftreten, wenn Daten innerhalb des Netzwerks selbst von einem Gerät auf ein anderes übertragen werden. Wenn Sie mit Ihrem Endpoint Protection-Dienstanbieter sprechen, stellen Sie sicher, dass Sie gefragt werden, ob er Ihnen beim Verschlüsseln von Daten während der Übertragung und in Ruhe helfen kann.

"Beide Arten von Daten sollten verschlüsselt werden, insbesondere wenn Sie mit vertraulichen und privaten Informationen über Ihre Kunden arbeiten", sagte Arsene. "Jede Information kann von Cyberkriminellen monetarisiert werden, und wenn alle Informationen verschlüsselt bleiben, wird nicht nur ihre Arbeit schwieriger, sondern auch Ihre sorgenfreier."

4. Verwenden wir Smart Cloud Storage?

Die meisten Unternehmen, insbesondere kleine bis mittelständische Unternehmen (SMBs), verfügen derzeit über mindestens einige Datenspeicher in der Cloud. Es gibt eine Fülle von Cloud-Speicheranbietern der Business-Klasse, und der Wert, den sie in Bezug auf die gesamten Speicherkosten sowie die verwalteten Servicefunktionen bieten, ist in den meisten Fällen nicht zu übertreffen auch proprietär.

Während das Einrichten einer Grundkonfiguration für Dienste wie Dropbox Business oder sogar Amazon S3 relativ einfach sein kann, kann das Ausnutzen der Datensicherheitsfunktionen durchaus eine Lernkurve darstellen. Es ist jedoch eine Kurve, für die Sie auf jeden Fall möchten, dass Ihre IT-Mitarbeiter etwas essen, da diese Anbieter auch kleinen Unternehmen Zugang zu erweiterten Speichersicherheitsfunktionen verschaffen können, für die sie viel mehr Geld ausgeben müssten, um sie vor Ort zu implementieren.

Wir haben beispielsweise die Datenverschlüsselung bereits früher erörtert, aber während die überwiegende Mehrheit der Cloud-Dienstanbieter die Möglichkeit hat, Daten zu verschlüsseln, die auf ihren Diensten gespeichert sind, tun dies nicht alle standardmäßig. Darüber hinaus verschlüsseln nicht alle die Daten, während sie zwischen ihnen und Ihrem anderen App-Server oder den Geräten Ihrer Benutzer übertragen werden. Solche Einstellungen müssen von der IT untersucht, aktiviert und überwacht werden.

Es gibt auch erweiterte Funktionen, deren Implementierung einige Zeit in Anspruch nimmt, die jedoch langfristige Vorteile haben können. Eines ist die Datenklassifizierung. Dies ist ein Sammelbegriff für verschiedene Technologien, die Speicherdienstleister ihren Kunden zur Verfügung stellen können, um ihre Daten in Kategorien einzuteilen, die für das jeweilige Unternehmen relevant sind. Dies erleichtert nicht nur das Auffinden und Verarbeiten, sondern sorgt auch für mehr Sicherheit, da einige dieser Dienste bestimmten Klassifizierungen Schutz auf Dateiebene zuweisen können. In einigen Fällen können diese Schutzmechanismen der Datei folgen, selbst nachdem sie die Server des Cloud-Speicheranbieters verlässt und auf das Gerät oder den Server einer Person außerhalb der Organisation des Kunden verschoben wurde, z. B. eines Kunden oder eines Partners.

Auf diese Weise können klassifizierte Daten nicht nur die Kontrolle darüber ausüben, wer auf die Datei zugreifen kann, sondern auch, was sie damit tun dürfen - ob diese Daten gelesen, gedruckt, geändert oder für andere freigegeben werden. Auf diese Weise können Sie bestimmte Informationen viel sicherer aufbewahren und gleichzeitig die Möglichkeit behalten, sie außerhalb Ihres Unternehmens weiterzugeben.

5. Haben wir eine Firewall?

Sie würden doch kein Haus ohne Haustür besitzen, oder? Warum sollten Sie dann ein Netzwerk ohne Firewall betreiben? Mit Ihrer Firewall können Sie verhindern, dass unerwünschter Datenverkehr in Ihr Unternehmensnetzwerk gelangt. Auf diese Weise können Sie ein privates internes Netzwerk aufrechterhalten, ohne alle Unternehmensdaten dem öffentlichen Webserver aussetzen zu müssen, auf dem Ihr Unternehmen ausgeführt wird.

"Firewalls eignen sich hervorragend, um Eindringlinge fernzuhalten, die entweder Ihr Netzwerk durchsuchen oder nach offenen Diensten und Ports suchen möchten, die für den Remotezugriff ausgenutzt werden können", sagte Arsene. "Mit Firewalls können Sie auch Regeln festlegen, welche IP-Adressen auf verschiedene Ressourcen zugreifen oder eingehenden und ausgehenden Datenverkehr überwachen können."

Ähnlich wie bei der Untersuchung der Angebote Ihres Cloud-Speicherdienstanbieters sollten Sie jedoch sicherstellen, dass Sie alle Funktionen Ihrer Firewall kennen. Diese Geräte werden immer ausgefeilter, einschließlich derer, die Teil eines Allzweck-Wi-Fi-Routers für kleine Unternehmen oder eines VPN-Routers (Virtual Private Network) sind. Während Sie beispielsweise möglicherweise Ihre grundlegende Netzwerk-Firewall als Teil der anfänglichen Einrichtung Ihres Routers aktiviert haben, können Sie möglicherweise auch eine Webanwendungs-Firewall aktivieren, die einen spezifischen Schutz für Daten bietet, die über webfähige Apps gesendet werden.

Eine andere Möglichkeit besteht darin, einen verwalteten Firewall-Dienst zu untersuchen. Wie der Name schon sagt, handelt es sich lediglich um eine Firewall, die ein Dienstanbieter auf Abonnementbasis für Sie verwaltet. Der Vorteil ist, dass Sie einfach erweiterte Funktionen aktivieren können, da die Firewall-Verwaltung von Experten ausgeführt wird. Das bedeutet auch, dass Sie sicher sein können, dass auf Ihrer Firewall immer die neuesten Schutzmaßnahmen, Korrekturen und Softwareupdates installiert sind. Mögliche Nachteile sind die Tatsache, dass Sie wahrscheinlich Ihre Firewall mit anderen Kunden teilen und dass in dieser Konfiguration der gesamte Webdatenverkehr über diesen Drittanbieter geleitet wird, bevor Sie das Internet oder Ihre Benutzer erreichen. Dies kann ein Engpass sein, wenn der Anbieter nicht in der Lage ist, den Verkehrsfluss zu verwalten. Daher sollten Sie testen, ob in Ihrem Unternehmen für bestimmte Apps eine Mindestbasis für die Webleistung erforderlich ist.

6. Wie ist unser Verfahren für den Fernzugriff?

Heutzutage hat jedes Unternehmen, egal wie klein es ist, wahrscheinlich reisende Mitarbeiter, Kunden oder anderes Personal, die remote auf Unternehmensressourcen zugreifen müssen. Setzen Sie sich mit Ihren IT-Mitarbeitern in Verbindung und finden Sie heraus, wie solche Verbindungen ablaufen. Ist es ein wiederholbarer Prozess, der für alle gleich ist? Oder haben sich verschiedene Personen auf unterschiedliche Weise daran gewöhnt, auf Ihre Ressourcen zuzugreifen? Wenn letzteres ein Problem ist.

Der Fernzugriff sollte auf jeden Fall für alle gleich sein. Das bedeutet, dass sich Ihre IT-Mitarbeiter nicht nur darauf konzentrieren sollten, was auf ihrer Seite der Firewall geschieht, sobald eine Anmeldeanforderung eingeht, sondern auch darauf, was auf der anderen Seite der Firewall erfolgen muss, damit eine solche Anforderung legitimiert wird. Remote-Clients sollten gescannt werden, um sicherzustellen, dass die Geräte ordnungsgemäß aktualisiert und mit Endpoint Protection-Software für Unternehmen geschützt werden. Sie sollten sich auch über ein VPN anmelden und alle diese Anforderungen sollten über ein Identitätsverwaltungssystem verwaltet werden. Für beide Maßnahmen stehen kostengünstige Versionen zur Verfügung, die auch von kleineren Unternehmen mit weniger IT-Ressourcen problemlos implementiert werden können.

7. Wie lauten unsere unternehmensweiten Richtlinien für Geräte?

Mit BYOD-Richtlinien (Bring-Your-Own-Device) können Mitarbeiter auswählen, welche Hardware und Software bei der Durchführung von Geschäftsprozessen ausgeführt werden soll. Diese Richtlinien bieten Mitarbeitern Flexibilität (und Kosteneinsparungen für Unternehmen, die keine Geräte mehr für neue Mitarbeiter kaufen müssen). Mit BYOD-Plänen sind jedoch mehrere Risiken verbunden. Ganz oben auf der Liste: Wie sichern Sie die auf diesen Geräten gespeicherten Daten, wenn Sie nicht die Software auswählen und das Sicherheitszugriffsprotokoll erstellen?

"Die meisten kleinen Unternehmen verlassen sich häufig auf BYOD, haben jedoch normalerweise keine Sicherheitsrichtlinien", sagte Arsene. "Zu diesem Zweck wird auch empfohlen, den Zugriff auf wichtige Informationen, auf die Geräte von Mitarbeitern zugreifen, entweder über getrennte Netzwerke oder durch Implementierung von Zugriffsrichtlinien, zu beschränken und auch mobile Geräte zu verwalten. Da Handhelds auch für den Zugriff auf E-Mails und interne Daten verwendet werden, Es ist wichtig, sie entweder mit einer dedizierten Lösung zu verwalten oder ihnen nur Zugriff auf nicht kritische Daten zu gewähren."

Mit der MDM-Software können Sie jedes Gerät remote löschen, sperren, geofenceen und an Ihre speziellen Anforderungen anpassen. Wenn Mitarbeiter Geräte verlieren, Geräte gehackt werden oder Geräte auf mehr Unternehmensdaten zugreifen können, als Sie möchten, können Sie mithilfe Ihrer MDM-Lösung Anpassungen vornehmen, ohne die tatsächlichen Geräte zu berühren.