Information Security & Governance
25. Jubiläum der Infosecurity Europe: Cyber-Risiken im Zusammenhang mit neuen Technologien werden laut CISOs 2020 stark zunehmen
Sicherheitsmanager über die Top-Trends, Herausforderungen und Risiken im neuen Jahr – Schwerpunkt auf Technologieschulden, Credential-Stuffing und Zugangskontrolle
Das dritte Jahrzehnt des 21. Jahrhunderts bricht an, und die Infosecurity Europe, Veranstaltung zum Thema Informationssicherheit in Europa, die dieses Jahr zum 25. Mal stattfinden wird, hat ihre Community von C-Level-Sicherheitsexperten zu ihren Prognosen für das neue Jahr befragt. Heraus kam eine Liste mit Herausforderungen, Chancen und Trends bezüglich Technologien, Geschäftswelt und Alltag. Viele der befragten CISOs erwähnten Risiken aufgrund neu entstehender Technologien, die 2020 voraussichtlich zunehmend eingeführt werden. Peter Gooch vom Cyber-Risiko-Partner Deloitte hierzu: "Im Jahr 2020 wird die Implementierung von Sicherheitsautomatisierungstools zunehmen. Wird diese erfolgreich durchgeführt, können Unternehmen sich rasch an sich ändernde Angriffstaktiken anpassen. Bei einer mangelhaften Implementierung wird die Lage komplizierter sein."
"Die Nachfrage nach mehr Transparenz bei Cloud-Diensten wird steigen. Anbieter müssen hierfür mehr Daten und Events für SIEM-Tools bereitstellen und Sicherheitspraktiken und -funktionen in nahezu Echtzeit bieten. Hacker haben es zunehmend auf unstrukturierte Daten abgesehen, um Angriffe zu verbergen und zu starten. Die Priorität liegt deshalb auf der Implementierung einer robusten Governance."
"Mehr als 100 Unternehmen auf der ganzen Welt werden bis Ende 2020 mit dem Test von privatem 5G begonnen haben. Dies könnte die Angriffsoberfläche vergrößern und ein Verfolgen von Datenflüssen sowie die Arbeit derjenigen, die für deren Sicherheit zuständig sind, erschweren."
Mark D. Nicholls, Leiter für Information Security & Governance der Wohnungsbaugesellschaft Peabody, hebt Schwachstellen bei künstlicher Intelligenz (KI) und dem Internet der Dinge hervor. "Maschinelles Lernen hat sich 2019 etabliert, und 2020 werden wir uns in Richtung echter KI bewegen. Dabei muss man allerdings bedenken, dass alle diese Technologien auch von Kriminellen verwendet werden können. Stellen Sie sich nur einmal einen DDOS-Angriff vor, hinter dem eine echte KI steckt", warnt er.
"Da Verbraucher eine intelligentere, besser vernetzte Welt wollen, werden wir mehr Angriffe erleben, deren Ziel vernetzte Geräte sind. Das ist zwar nichts Neues, aber die Angriffsfläche wird größer sein. Wir müssen unsere Aufklärungsbemühungen fortsetzen, damit der Nutzer unsere stärkste Verteidigungslinie darstellt."
Ein weiteres häufig angesprochenes Thema waren Angriffsvektoren, die 2020 eine Rolle spielen werden. Becky Pinkard, CISO der preisgekrönten Bank Aldermore, geht davon aus, dass die Zahl der Angriffe aufgrund technischer Schulden zunehmen wird. "Um mit der Kundennachfrage und den technischen Möglichkeiten Schritt zu halten, häuft die Industrie mehr technische Schulden an, als sie zurückzahlt. Ich gehe davon aus, dass wir aufgrund dieser wachsenden Schulden und den damit einhergehenden Schattenrisiken mehr Schlagzeilen über erfolgreiche Angriffe sehen werden. Die Zuwendung hin zu Open Banking bei Finanzdiensten, das Einbinden von APIs, Distributed-Ledger-Technologien und KI in schneller Folge sowie der Fokus darauf, als Erster die Aufmerksamkeit des Kunden zu wecken, führen häufig dazu, dass das Thema Sicherheit bei der Bereitstellung in den Hintergrund rückt."
"Credential Stuffing ist auf dem Vormarsch, und das könnte noch schlimmer werden, da es immer mehr Benutzernamen und Kennwörter gibt", so Troy Hunt, Microsoft-Regionalleiter und Gründer von Have I Been Pwned, der 2019 in der Infosecurity Europe Hall of Fame aufgenommen wurde. "Vielleicht erreichen wir aber auch einen Wendepunkt, an dem Unternehmen zu dem Schluss kommen, dass sie Anmeldeversuche blockieren sollten, die zwar den richtigen Benutzernamen und das richtige Kennwort aufweisen, jedoch nicht von der richtigen Person stammen. In den USA kommt es bereits zu Strafverfolgungsfällen bei "Unternehmensopfern" von Credential Stuffing. Entweder wird sich diese Entwicklung noch verschlimmern, oder die Unternehmen werden sich anpassen müssen."
In Bezug auf Sicherheitsansätze, die die Risiken abmildern, die 2020 vorherrschen werden, glaubt David Boda, Leiter für Informationssicherheit der Camelot Group, dass das Motto Back to the Basics wohl am besten ist. "Ein Fokus auf eine robuste und zeitnahe Zugangskontrolle und Patching sorgen immer noch für die größte Risikominderung bei den meisten Unternehmen aller Sektoren. Über diese beiden Bereiche sollten sich Anbieter, Berater und Endbenutzer-Organisationen unterhalten."
Killian Faughnan, Group-CISO von William Hill, ist ebenfalls der Meinung, dass Zugangskontrolle von Bedeutung sein wird – insbesondere am Arbeitsplatz der nächsten Generation. "Es ist schwierig, eine Zugangskontrolle umzusetzen, die weder zu restriktiv noch zu freizügig ist. Wenn man bedenkt, dass im Jahr 2020 rund 25 Prozent unserer Arbeitskräfte aus Millenials bestehen werden, dann müssen wir die richtige Balance finden, die für diese Generation funktioniert."
Einige CISOs glauben, dass sich Lösungen aus einer engeren Zusammenarbeit der Branche ergeben. "Meiner Meinung nach werden wir eine stärkere Zusammenarbeit zwischen Sicherheitsunternehmen erleben, die hoffentlich zu einer besseren End-to-End-Sicherheit führen wird", sagt Mark Nicholls.
Peter Gooch glaubt, dass Konvergenz ein wichtiger Trend sein wird: "2020 könnte ein Jahr mit einer Reihe von hochkarätigen Fusionen und Übernahmen sowie einer Erweiterung und Formalisierung von Anbietern in einer Welt werden, die stärker zusammenwächst. Dies wird vermutlich ähnlich verlaufen wie die ERP-Revolution, die die Funktionsweise von Finanz- und Betriebsteams transformierte, und könnte für Cyber-Akteure ein effizienteres Betriebsmodell bedeuten."
Zwei Themen, die 2018/2019 noch eine zentrale Rolle spielten, sind in diesem Jahr für CISOs nicht vorherrschend. Eines davon ist der Fachkräftemangel. "Dieser wird zwar weiterhin ein Thema bleiben, aber ich denke, dass wir einen kritischen Punkt erreicht haben, an dem immer mehr Unternehmen beginnen werden, aus Pools von potentiellen Sicherheitsexperten zu rekrutieren als nach bereits qualifizierten Experten zu suchen", erklärt Killian Faughnan. "Es ist einfacher, einem Entwickler beizubringen, wie er ein Experte für Anwendungssicherheit wird als umgekehrt."
Es gab auch einen geringeren Fokus auf die DSGVO. Dies liegt wahrscheinlich darin begründet, dass die Verordnung und ihre Auswirkungen inzwischen weitläufig bekannt sind. Paul Watts, CISO von Dominos Pizza für Großbritannien und Irland, hat Anzeichen für eine "Apathie" hinsichtlich Datenschutzverletzungen beobachtet und fragt sich, ob sich dieser Trend 2020 fortsetzen wird: "Politische Faktoren könnten hier möglicherweise abgelenkt haben, aber ich frage mich, ob sich die Öffentlichkeit trotz der häufigeren Vorkommnisse in der Industrie einfach weniger dafür interessiert. Ich bin mir noch nicht sicher, ob sich das zu Beginn des nächsten Jahrzehnts als Fluch oder Segen für CISOs erweisen wird."
Eine Frage, die zu dieser Jahreszeit häufig gestellt wird, ist, ob wir eine "Mega-Datenschutzverletzung" erleben werden, die sogar Sicherheitsvorfälle wie den von Equifax in den Schatten stellen wird. "Was wir nie vorhersehen können, ist, ob es eine riesige Datenschutzverletzung geben wird, die die Welt erneut bis ins Mark erschüttert", so Troy Hunt. "Wenn es zu einem weiteren Vorfall wie bei Ashley Madison oder Equifax kommt, der Auswirkungen auf Dutzende Millionen Menschen hat, wird dies für Schlagzeilen sorgen, die uns noch lange im Gedächtnis bleiben. Aber so etwas lässt sich extrem schwer vorhersagen."
Nicole Mills, Senior Exhibition Director der Infosecurity Group, sagt: "Im Jahr 2020 wird es eine Fortsetzung von einigen langjährigen Trends, Herausforderungen und Sicherheitsrisiken geben. Eine Reihe von Technologien, über die seit längerem gesprochen wird, wird sich zunehmend ausbreiten, und wir müssen uns darauf vorbereiten, diese angemessen zu implementieren, zu nutzen und zu schützen."
"In diesem Jahr gibt es zwar einen geringeren Fokus auf den Fachkräftemangel und die DSGVO bei den Prognosen unserer CISOs, aber wir dürfen nicht vergessen, dass diese Herausforderungen nicht verschwunden sind. Die Talentlücke wächst weiterhin, und wir müssen gemeinsam in der Branche an Lösungen hierfür arbeiten. Und auch wenn die DSGVO nicht mehr das große Thema ist wie im vergangenen Jahr, dürfen sich Unternehmen nicht auf ihren Lorbeeren ausruhen. Sie müssen die Compliance wahren. Es geht dabei nicht nur um Geldstrafen – auch das Markenimage und der Ruf des Unternehmens können jahrelang darunter leiden."
Mills fügt hinzu: "Bedrohungen und Hacker-Angriffe haben die Evolution der Cybersicherheitsbranche in den letzten 25 Jahren vorangetrieben und werden es wahrscheinlich immer tun. Am wichtigsten für die Zukunft ist das Thema Datenverlust. Daten spielen immer noch die Hauptrolle und werden vermutlich das größte Ziel von Cyberangriffen darstellen. Wir sollten uns gut überlegen, wo die nächsten großen Angriffe stattfinden werden und ob wir jetzt mehr unternehmen sollten, um sie zu verhindern. Die ganze Branche muss weiterhin hart daran arbeiten, den Angreifern einen Schritt voraus zu sein."
Auf der Infosecurity Europe 2020 haben Besucher zahlreiche Gelegenheiten, um ihre Cybersicherheitsfähigkeiten und -strategien zu fördern und führende Innovationen und Anbieter kennenzulernen. Zur Veranstaltung gehört die FutureSec-Serie, eine Reihe von Events und Sitzungen, die mit einem Fokus auf Menschen und Innovationen die Zukunft der Informationssicherheitsbranche abdecken, ein ausführliches Keynote-Programm mit Vorträgen zu Strategien und Technologien, Innovationspräsentationen und eine Reihe von Sonder-Events rund um die dreitägige Konferenz und Ausstellung.
Die Infosecurity Europe ist mittlerweile in ihrem 25. Jahr und findet vom 2. bis 4. Juni 2020 in Olympia, Hammersmith, London statt. (Infosecurity Europe: ra)
eingetragen: 03.02.20
Newsletterlauf: 01.04.20
Infosecurity Europe: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
