Täglich gibt es neue Cyber-Attacken auf Unternehmen und die Qualität, Effizienz und Professionalität der Angriffe nehmen stetig zu. Nicht selten dauert es Tage, Wochen oder gar Monate bis ein erfolgreicher Angriff entdeckt wird. Vor diesem Hintergrund ist es unerlässlich mehr in die Erkennung von Cyber-Attacken sowie die schnelle Reaktion zu investieren und sich mit dem Worst-Case-Szenario auseinanderzusetzen. Weshalb es dazu Experten aus den Bereichen Cyber Security, Legal und Risikotransfer braucht, erfahren Sie in diesem Beitrag.
Unternehmen unterliegen immer mehr gesetzlichen, regulatorischen und unternehmerischen Anforderungen. Sie müssen den Nachweis erbringen, dass sie ihre Informationen angemessen verarbeiten und schützen. Gleichzeitig wachsen die Bedrohungen durch Cyber-Kriminelle. Aber nicht nur deshalb müssen Unternehmen der Cyber Security die notwendige Wichtigkeit beimessen und diese periodisch überprüfen.
Umgang mit Cyber-Restrisiken
Betriebsausfälle und Cyber-Angriffe gehören heutzutage zu den grössten und bedeutendsten Business-Risiken. Angesichts der steigenden Anzahl von Cyber-Angriffen müssen Unternehmen stetig ihre Sicherheitsmassnahmen optimieren. Denken Sie daran: Eine Cyber-Attacke kann auch Sie jederzeit treffen. Deshalb ist ein systematischer Sicherheitsansatz das A und O erfolgreicher Cyber Security. Dabei ist es zentral, dass sich ein Unternehmen im Rahmen des Risikomanagements konkret mit dem Cyber-Worst-Case-Szenario auseinandersetzt. Unternehmen erhalten so eine wichtige Entscheidungsgrundlage, ob das unternehmensspezifische finanzielle Risiko selbst getragen werden kann oder ob gegebenenfalls ein Transfer des Risikos in eine Versicherungslösung notwendig ist. Internationale Standards wie ISO 27001 oder das NIST Cyber Security Framework bieten dazu hilfreiche Modelle für die Errichtung, Umsetzung, Überprüfung und kontinuierliche Verbesserung der eigenen Cyber Resilience. Und weshalb Cyber Resilience zwingend auf die Agenda der Unternehmensführung gehört, haben wir in einem früheren Beitrag bereits ausführlich beleuchtet.
Incident Response braucht Cyber Security Expertise...
Cyber Resilience ist aber weit mehr als eine hohe (IT-)Sicherheitsmauer und so müssen auch Drittparteien in die Cyber-Risikobetrachtung einbezogen werden. Das Drittparteien-Management ist ein wichtiger Schritt und befasst sich mit der Identifizierung sowie der Verwaltung von Cyber-Risiken zu externen Drittparteien (d.h. Partnern, Dienstleistern, Lieferanten von Hard- und Software sowie Outsourcing- und Cloud-Service-Anbietern, etc.). Aber auch mit dem besten Sicherheitsdispositiv lassen sich Cyber-Attacken leider nicht gänzlich verhindern. Deshalb brauchen Sie für den Notfall den sofortigen Zugriff auf externe Spezialisten, beispielsweise unser CSIRT (Computer Security Incident Response Team). Denn nicht selten fehlt es intern an Know-how und Ressourcen, um so eine Situation entsprechend professionell managen zu können. Daher empfiehlt es sich, frühzeitig einen geeigneten Partner zu evaluieren und die vertraglichen Details für die Unterstützung bei der Bewältigung eines Angriffs vorab zu klären. Denn im Falle eines Sicherheitsvorfalls gilt es, den verursachten Schaden zu minimieren, das Unternehmen rasch möglichst wieder handlungsfähig zu machen und die Abwehrkräfte der Cyber Security nachhaltig zu stärken, um weiteren Angriffen erfolgreich vorzubeugen. Unser Incident Response Retainer ist die optimale Lösung wenn es darum geht, vorbereitet, schnell, effizient und wirkungsvoll zu handeln. Ausserdem haben wir für Sie einen 7-Punkte-Notfallplan erstellt, welchen Sie hier kostenlos abrufen können.
... aber auch Unterstützung auf rechtlicher Ebene
Bei einem Cyber-Angriff ist der Faktor «Zeit» entscheidend. Je schneller ein CSIRT – oder auch eine juristische Eingreiftruppe – vor Ort ist, desto effektiver kann der Schaden begrenzt werden. Wenn es um die juristische Unterstützung bei einem Cyber-Vorfall geht, arbeiten wir sehr erfolgreich mit unserem Partner MME Legal | Tax | Compliance zusammen. Dabei geht es nicht zuletzt um eine erste rechtliche Lagebeurteilung, Unterstützung bei Sofortmassnahmen, Lösegeldzahlungen, Compliance und Sanktionen, sowie auch um Abklärungen von und Unterstützung bei Meldepflichten (GDPR/DSGVO; DSG; FINMA) oder Strafanzeigen (Kantonspolizei; fedpol). Und auch bei der Weiterverfolgung von allfälligen Ansprüchen gegen Provider (Vertragsverletzungen; Schadenersatz) oder bei der Abwehr von ungerechtfertigten Ansprüchen (aus Vertrag/Haftpflicht/Verantwortlichkeit) bedarf es die Expertise von einer Anwaltskanzlei. Das MME Cyber Risk Response Team hilft Ihnen dabei, einen kühlen Kopf zu bewahren - soweit dies in so einer Situation überhaupt möglich ist - und Ihre Optionen sorgfältig zu prüfen. So können Sie Ihren Verpflichtungen nachkommen, pragmatisch reagieren und Schäden begrenzen.
Cyber-Security-Anforderungen für den Versicherungsschutz
Eine Cyber-Versicherung bietet einen zusätzlichen Mehrwert und unterstützt in allen reaktiven Phasen eines Angriffs. Sie ergänzt das eigene Sicherheitsdispositiv und bietet so einen ganzheitlichen Schutz vor Cyber-Risiken. Als Antwort auf die deutliche Schadenszunahme formulieren Versicherer inzwischen aber konkrete Vorgaben an die Cyber Security. Diese müssen Unternehmen zwingend erfüllen, wenn sie eine seriöse Cyber-Police abschliessen wollen. Die wesentlichen Anforderungen an Unternehmen sind:
- Transparenz über alle Assets (vor allem IT-Systeme und verarbeitete Daten)
- Multi-Faktor-Authentifizierung für jeglichen Fernzugriff (z.B. aus dem Home Office) auf IT-Systeme sowie für System- und Domain-Administratoren
- Starke Passwörter (Länge- und Komplexitätsanforderungen)
- Mindestens jährlich eine Sensibilisierung der Mitarbeitenden auf Informationssicherheit und Cyber-Risiken, kombiniert mit einem simulierten Phishing-Angriff
- Strikte Netzwerksegmentierung von Operational Technology und/oder Legacy Systemen, Standorten (geografisch), Organisationseinheiten (z.B. Verwaltung und Produktion) und Netzwerkkomponenten (z.B. Drahtlosnetzwerke)
- Kontinuierliches und reaktionsfähiges Patchmanagement (Installation kritischer Patches muss innerhalb von 72 Stunden gewährleistet werden)
- Solide Backup-Strategie zumindest nach der 3-2-1-Regel sowie einem offline oder stand-alone Cloud-Backup (für Ransomware-Vorfälle)
- Dokumentierter und jährlich geübter Disaster Recovery Plan (inklusive Backup-Recoveries)
- Für grosse und international ausgerichtete Unternehmen: Einheitliche Cyber-Security-Standards bei allen Tochtergesellschaften
Der Informationsbedarf der Versicherer ist inzwischen immens und kann nur durch umfangreiche und aktuelle Risikoinformationen gedeckt werden. Unser Partner Funk Insurance Brokers hat dazu einen eigenen und bestens strukturierten Fragenkatalog entwickelt, mit welchem die gewünschten Informationen der Versicherer mit angemessenem Aufwand beantwortet werden können und gleichzeitig einen Überblick über die sicherheitsrelevanten Cyber-Security-Themen erhält. Dadurch kann Funk eine Schwachstellen- bzw. Gap-Analyse erstellen und die Sinnhaftigkeit zusätzlicher Sicherheitsmassnahmen gemeinsam mit Ihnen beurteilen.
Leistungskürzungen bei Ransomware
Eine weitere Entwicklung beim Transfer von Cyber-Risiken ist, dass viele Versicherer den Deckungsumfang insbesondere im Bereich «Schäden durch oder im Zusammenhang mit Ransomware», massiv einschränken. Dies lässt sich auf die hohe Frequenz von Ransomware-Vorfälle zurückführen. Über 90% der bekannten Schadensfälle stehen im Zusammenhang mit einer Ransomware-Attacke. Folglich bieten einige Versicherer keine Deckungen für Ransomware mehr an. Andere beschränken ihre Leistungen auf max. 50% von der Versicherungssumme oder beteiligen den Versicherungsnehmer zusätzlich an solchen Vorfällen. Somit stünde bei 90% der Schadensfälle gar nicht die eigentliche Versicherungssumme zur Verfügung, sondern lediglich das vereinbarte Sublimit.
Sie sehen – Cyber-Risiken lassen sich nie vollständig beseitigen. Daher haben die Versicherungsexperten von Funk mit «CyberSecure» einen innovativen und individuell anpassbaren Versicherungsschutz gegen Cyber-Risiken erarbeitet. Möchten Sie mehr erfahren? Dann kontaktieren Sie uns!
