DIGITALE PERSPEKTIVEN ECF DATENSICHERHEIT IN DER FERTIGUNGSINDUSTRIE Abbildung 1: Industrie und Finanzwesen waren die am stärksten von Datendiebstahl, Wirtschaftsspionage oder Sabotage betroffenen Branchen innerhalb der letzten zwei Jahre* CYBER-ATTACKEN DIE STIRN BIETEN GESAMT AUTOMOBILBAU CHEMIE UND PHARMA FINANZ- UND VERSICHERUNGSWESEN 51% 68% 66% 60% GESUNDHEIT MEDIEN UND KULTUR HANDEL IT UND TELEKOMMUNIKATION 58% 58% 52% 52% TRANSPORT UND VERKEHR ENERGIE- UND WASSERVERSORGER MASCHINEN- UND ANLAGENBAU ERNÄHRUNG 48% 45% 44% In einer zunehmend digitalisierten, datengetriebenen Welt ist die Bedrohung durch Cyber-Angriffe zur täglichen Realität geworden. Im Maschinen- und Anlagenbau geht es dabei nicht nur um die betroffenen Unternehmen selbst. Vielmehr sind durch die Vernetzung von Produktionssystemen und Produkten in der Industrie 4.0 auch indirekte Angriffe auf Kunden oder Endnutzer möglich. Hackerangriff auf Sony, Datenklau bei der US‑amerika nischen Bundesverwaltung, Spähattacken auf die deutsche Bundesregierung: In jüngster Zeit haben vor allem spektakuläre Fälle von Cyber‑Kriminalität für Furore gesorgt. Tatsache aber ist, dass digitale Anschläge längst eine zentrale Bedrohung für Unternehmen rund um den Globus und über alle Branchen hinweg sind (Abbildung 1). In den vergangenen sechs Jahren haben sich die jährlichen CyberAttacken weltweit verzehnfacht. VIELFÄLTIGE ANGRIFFSSZENARIEN Auch im jährlichen „Global Risks Report“ des World Economic Forums1 wird Cyber-Kriminalität neben Terror anschlägen und Staatskrisen seit geraumer Zeit in den Top Ten der derzeit relevantesten Risiken genannt. Gerade Hightech-Nationen wie USA oder Deutschland sind massives Ziel von immer aggressiveren und raffi nierteren Cyber-Attacken. Zudem werden Kreativität und Intention von Angreifern zunehmend vielfältiger, was Unternehmen mit völlig unterschiedlichen Bedro‑ hungsszenarien konfrontiert. Ging es in der deutschen Fertigungsindustrie in der Vergangenheit vor allem um das gezielte Abschöpfen von Know-how, also: klassische Industriespionage, sind nun weitere Muster erkennbar: teilweise Übernahme der Kontrolle über Produktions‑ netzwerke und -infrastrukturen mit Erpressungsabsicht, Infizierung von Anlagen mit Schadcode mit dem Ziel, Endkunden zu attackieren, oder indirekte Angriffe auf kritische Infrastrukturen über Steuerungsgeräte. Zusätzliche Bedrohungen entstehen durch die vernetzte Fertigung in der Industrie 4.0 sowie im sogenannten „Internet der Dinge“. In Zeiten des Internets haben solche Entwicklungen unmittelbare globale Bedeutung. Dennoch fallen die Vorbereitungen bislang unterschiedlich intensiv aus. So hat das Thema „Cyber Security” und Resilienz – die Widerstandsfähigkeit von Unternehmen gegen die Auswirkungen von Cyber-Attacken – in den USA einen hohen Stellenwert. Die Administration Obama hat den Oktober 2015 als nationalen „Cyber Security Month“ ausgerufen und versucht, das Bewusstsein über alle Industrien hinweg zielgerichtet zu schärfen. SORGENKIND DEUTSCHER MITTELSTAND Hingegen ist der Grad der Vorbereitung speziell im deutschen Maschinen- und Anlagenbau in vielen Be‑ reichen erschreckend niedrig. Zum einen gibt es große Unterschiede über die Industriestrukturen hinweg. Gerade das oft zitierte „Herz der deutschen Wirtschaft“, der Mittelstand mit seiner Innovationskraft, nimmt die Bedrohungen zum Teil nicht ernst genug und ist daher nicht ausreichend gerüstet. Ursachen dafür sind Berüh‑ rungsängste, aber auch ein falsches Verständnis der Gefährdung an sich. In vielen Organisationen werden Cyber-Risiken der Verantwortlichkeit der IT zugeordnet. Doch um die Widerstandskraft der Organisation nach‑ haltig zu stärken, ist ein Zusammenspiel von Maßnah‑ men in den Bereichen Technologie, Organisation, Governance und Kultur notwendig – und eine Einbindung in die etablierten Prozesse des Risikomanagements im Unternehmen. 44% Basis: Alle befragten Unternehmen (n=1.074) *Ohne sonstige Industrie- und Dienstleistungsbranchen Quelle: Bitkom Research GmbH, zur Verwendung freigegeben 1 Mit Unterstützung von Marsh & McLennan Companies, Mutterunternehmen von Oliver Wyman, und anderen Partnern 16 Copyright © 2016 Oliver Wyman 17 DIGITALE PERSPEKTIVEN GANZHEITLICHER INFORMATIONSSCHUTZ Abbildung 2: Vorgehen bei der Informationssicherheit WAS SCHÜTZEN Analyse der Informationsbestände Identifikation wesentlicher zu schützender Informationswerte entlang der Wertschöpfungskette: • Im gegenwärtigen Geschäftsmodell •U nter Annahme des künftigen Geschäftsmodells Status-quo-Bewertung und Analyse von Schädigungsszenarien WIE SCHÜTZEN Ableitung des Informationsschutzbedarfs Definition des Risikoappetits Bewertung der Lücke zum Zielzustand Sofortiges Schließen der Lücke WIE VERBESSERN Kontinuierliche Verbesserung Planung und Durchführung von Risikominderungsmaßnahmen Einsatz IS-Managementsystem Strukturelle Anpassungen, wo nötig Quelle: Oliver Wyman 18 Copyright © 2016 Oliver Wyman Das Thema Informationsschutz gehört zwingend auf die Vorstandsagenda. Erforderlich sind Sicherheitsmaß nahmen, die die gesamte Organisation einschließen (Abbildung 2). In technischer Hinsicht ist beispielsweise zu gewährleisten, dass kein unberechtigter Zugriff auf die Systeme im Unternehmen, aber auch auf die Produk‑ tionsanlagen möglich ist. Im Zuge erweiterter Schulungs maßnahmen müssen Mitarbeiter für das Thema Informa tionsschutz sensibilisiert werden. Mit der Einführung nachhaltiger Führungsstrukturen und -mechanismen ist für die Sicherheit der Organisation zu sorgen. Prozesse wiederum sind so zu gestalten, dass sich Dritte keine Unternehmensdaten beschaffen können. Informationsschutz heißt nicht, von heute auf morgen die perfekte Sicherheit zu erreichen. Zwar lässt sich eine technische Verbesserung oftmals relativ rasch erzielen, doch organisatorische und prozessuale Veränderungen können bis zu einem Jahr dauern. Am zeitintensivsten ist es in der Regel, die Mitarbeiter zu sensibilisieren. Steht das Fundament, wird moderner Informationsschutz zu einem fortlaufenden Prozess, der je nach Ausprägung und Unternehmensgröße unterschiedlich aufwendig ist. Diesen gezielt zu steuern, erfordert eine übergeordnete Sicherheitsinstanz: einen Chief Information Security Officer, einen erweiterten Datenschutzbeauftragten oder ein Vorstandsmitglied, dessen Aufgabenbereich entspre‑ chend aufgestockt wird. Unternehmen müssen jetzt handeln. Cyber‑Kriminalität wird weiter zunehmen und noch deutlich größere Schäden anrichten. Dem gilt es Vorschub zu leisten. 44 % DER VON BITKOM RESEARCH BEFRAGTEN UNTERNEHMEN AUS DEM MASCHINEN- UND ANLAGENBAU WAREN INNERHALB DER LETZTEN ZWEI JAHRE OPFER VON DATENDIEBSTAHL, WIRTSCHAFTSSPIONAGE ODER SABOTAGE. Dr. Kai Bender Dr. Claus Herbolzheimer [email protected] [email protected] +49 30 3999 4561 +49 30 3999 4563 E 19
© Copyright 2024 ExpyDoc
