Vergangene Woche trafen sich 120 CISOs in Frankfurt am Main auf dem DACH CISO Executive Summit von Evanta.
Adenike Cosgrove, Director, International Cybersecurity Strategy bei Proofpoint, war eingeladen, über den Schutz der Very Attacked People (VAPs) zu sprechen.
Einen kurzen Auszug aus ihrer Präsentation möchten wir Ihnen hier im Folgenden kurz vorstellen.
Schon seit mehreren Jahren beobachten wir, dass Cyberkriminelle Unternehmen vermehrt über ihre Mitarbeiter angreifen. Sicherheitsabteilungen haben ihre Hausaufgaben gemacht, das Unternehmensnetz ist entsprechend geschützt. Heute bedarf es großer Anstrengungen auf Seiten der kriminellen Akteure, um eine Schwachstelle zu entdecken und diese mit einem technischen Exploit auszunutzen. Viel einfacher - auch schneller und kostengünstiger, denn auch Cyberkriminelle arbeiten ergebnisorientiert - ist es, wenn Internetkriminelle gutgläubige Mitarbeiter dazu bringen, die Malware quasi in ihrem Auftrag auszuführen, ihre Zugangsdaten beispielsweise zu Cloud-Anwendungen preiszugeben oder Geld oder Informationen an einen Betrüger, der sich erfolgreich als bestehender Geschäftspartner ausgibt, zu übersenden.
Ein paar Zahlen, um diesen Trend zu belegen:
99 Prozent aller beobachteten Attacken benötigen eine menschliche Interaktion, um Schaden anrichten zu können. Sei es die Ausführung eines Makros, das Öffnen einer schädlichen Datei oder der unbedachte Klick auf einen Link. So ist es erfolgreiches Social Engineering, das CISOs heute den Schlaf raubt.
Erschwerend hinzu kommt die zunehmende Nutzung von Cloud-Diensten. Wenn es dem Cyberkriminellen gelingt, einen Nutzer zur Eingabe seiner Zugangsdaten auf einer perfekt gefälschten Login-Seite für Office 365 zu bringen, kann er damit quasi von innen heraus das Vertrauen weiterer Mitarbeiter für seine Zwecke ausnutzen. Die steigende Zahl der Angriffe belegt diesen Fakt. So sahen wir von September 2018 bis Februar 2019 ein um 65 Prozent höheres Angriffsvolumen auf Cloud-Anwendungen.
Nach wie vor ist es jedoch der E-Mail Kanal, über den Cyberkriminelle Mitarbeiter am direktesten überlisten können. Doch obwohl über 90 Prozent aller Angriffe per E-Mail erfolgen werden immer noch nur sieben Prozent des Budgets auf die Absicherung des E-Mail Kanals verwendet. So ist es technisch denkbar einfach, denn E-Mail basiert auf einer in die Jahre gekommenen Architektur, die damals ohne die heutige üblichen Sicherheitsfunktionen entwickelt wurde. Angriffe über E-Mail richten sich direkt gegen den Mitarbeiter und verwenden dabei teils hoch komplexe Social-Engineering-Methoden. Und im Gegensatz zu technischen Schwachstelle gibt es beim Faktor Mensch noch keinen sofort wirksamen Patch. Während Unternehmen also weiterhin in die Absicherung des Netzwerks und die Endpoint-Security investieren hat der Kriminelle einen People-Centric Blickwinkel auf die Schwachstellen.
Wenn Unternehmen sich dagegen wappnen wollen, müssen sie den gleichen Blickwinkeln einnehmen.
Welche Person ist Verwundbar (klickt vielleicht unüberlegt oder verwendet risikobehaftete Cloud-Dienste oder Endgeräte), ist im Visier der Cyberkriminellen und erhält damit überdurchschnittlich viele Attacken und drittens, wie groß wäre das Risiko für das Unternehmen, wenn es dem Angreifer gelänge diese Person zu überlisten? Hat die Person vielleicht das Privileg, Zugang zu unternehmenskritischen Daten oder Systemen zu haben oder darf gar größere Geldbeträge bewegen? Diese Person ist ein VAP - eine Very Attacked Person.
Wenn Sie an weiteren Details interessiert sind melden Sie sich bitte bei uns.