IT-Sicherheit und Resilienz werden 2024 Top-Themen, argumentiert der IT-Dienstleister Kyndryl. Während mehrere EU-Regularien Compliance einfordern, machen sich Cyberkriminelle nach und nach Künstliche Intelligenz zunutze.
Warnruf: „Die Bedrohung im Cyberraum ist so hoch wie nie zuvor“, zu diesem Schluss kommt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Jahresbericht 2023. Als größte Bedrohung sieht das BSI Ransomware und stellt fest, dass zunehmend auch kleine und mittlere Unternehmen betroffen sind. 2024 wird kein Unternehmen umhinkommen, sich mit der eigenen IT-Sicherheit zu befassen. Dominik Bredel, Deutschlandchef für den Bereich Security und Resilienz bei Kyndryl, verrät, welche fünf Themen deutsche Unternehmen im neuen Jahr besonders im Fokus haben sollten.
1. Solide Fundamente für IT-Sicherheit schaffen
Im Zuge der Corona-Pandemie kam es in vielen Unternehmen binnen kurzer Zeit zu großen Umwälzungen. Die Cloud erlebte einen starken Schub und überall wurden Remote Work und Collaboration Tools eingeführt. Da sich durch die Transformation auch eine veränderte Bedrohungslage ergeben hatte, waren Unternehmen gezwungen, ad hoc hohe Summen in die IT-Sicherheit zu investieren. Allerdings geschah dies in der Regel auf veralteter Infrastruktur und auf einem Unterbau, der noch aus einer anderen Zeit stammte. 2024 werden sich Unternehmen verstärkt mit der Konsolidierung und Modernisierung ihrer IT-Infrastrukturen an der Basis befassen.
2. Zunehmende Relevanz von Resilienz
Unternehmen sehen sich immer mehr mit der harten Realität konfrontiert, dass sich auch im Cyberspace nicht jede Bedrohung abwehren oder jede Störung vermeiden lässt – egal, wie gut die Vorbereitung ist. In einer Umfrage unter 300 IT-Entscheidungsträgern sowie Risiko- und Compliance Fachkräften gaben 92 Prozent an, dass ihr Unternehmen in den letzten beiden Jahren von Störungen oder unerwünschten Ereignissen betroffen war. Vor diesem Hintergrund werden die Themen Resilienz und Wiederherstellung wichtig. IT-Verantwortliche müssen einkalkulieren, dass Kriminelle die Verteidigungslinien des eigenen Unternehmens durchbrechen und für diesen Fall eine Strategie und klare Handlungsanweisungen bereithalten. Der Aufbau eines ganzheitlichen Cyber-Resiliency-Systems, dass DevSecOps Prozesse, Business Continuity und IT-Continuity miteinander kombiniert und Silos aufbricht, wird einer der Trends für das Jahr 2024 sein.
3. Regulatorik wird Fortschritt beschleunigen
Auf deutsche Unternehmen kommen 2024 mehrfache regulatorische Anforderungen zu. Zunächst steht zu Beginn des Jahres der EZB-Stresstest für Banken mit Fokus auf Cyber-Sicherheit an. Ab 2025 wird dann zusätzlich die EU-Verordnung Digital Operational Resilience Act (DORA) in Kraft treten. Diese Regulierung soll die Betriebssicherheit im Finanzsektor gewährleisten, legt aber auch besonderen Wert auf die (Software-) Lieferkette, sodass Dienstleister von Banken ebenfalls darunterfallen können.
Mit NIS2 (Network and Information Security 2) werden außerdem die Anforderungen an sogenannte kritische Infrastrukturen neu geregelt. Diese EU-Richtlinie ist von den Mitgliedsstaaten bis Oktober 2024 in nationales Recht umzusetzen. Neu ist dabei vor allem, dass der Kreis der regulierten Unternehmen erheblich erweitert wird, beispielsweise zählen nun auch Lebensmittelversorgung und Abfallwirtschaft dazu. Zwar sind kleine Unternehmen mit weniger als 50 Mitarbeitern eigentlich von der Regelung ausgenommen, können aber auch betroffen sein, wenn sie als direkte Zulieferer für regulierte Unternehmen tätig sind. Die verschiedenen neuen Regularien werden im Jahr 2024 die schon lange notwendige und immer wieder angemahnte IT-Security-Konsolidierung und Modernisierung in Deutschland vorantreiben.
4. IT-Sicherheit im Mittelstand garantieren
Der deutsche Mittelstand ist in der ganzen Welt für seine Innovationskraft bekannt. Das haben leider längst auch Cyber-Kriminelle erkannt und auch kleine Unternehmen werden zunehmend zum Ziel. Oft haben es die Angreifer dort sogar leichter, da Mittelständlern in der Regel weniger umfangreiche Sicherheitsressourcen zur Verfügung stehen als Großunternehmen. In Zukunft könnte sich die Problematik durch den Fachkräftemangel weiter verstärken, da sich kleine und mittlere Unternehmen im Wettbewerb mit großen Konzernen um das knappe Personal immer schwerer tun. Im Wettrüsten gegen professionell organisierte Angreifer besteht so für den Mittelstand in naher Zukunft kaum eine Möglichkeit, selbstständig in Sachen Sicherheit Schritt zu halten. Betroffene sollten also prüfen, welche Optionen für externe Ressourcen und/ oder die Auslagerung von Security-Funktionen für sie in Frage kommen.
5. Die Herausforderungen Künstlicher Intelligenz verstehen
Generative Künstliche Intelligenz ist mit Blick auf die IT-Sicherheit Fluch und Segen zugleich: Einerseits ist damit zu rechnen, dass die Technologie für ausgefeilte Angriffe zum Einsatz kommt. Ein Report von NordVPN zeigt beispielsweise, dass KI für Cyber-Angriffe ein heißdiskutiertes Thema in Dark-Web-Foren ist. IT-Verantwortliche sollten daher auch Identity & Access Management priorisieren. Traditionelle Konzepte müssen allerdings dahingehend geprüft werden, ob sie auch Angriffe auf Basis Künstlicher Intelligenz abwehren können. Auf der anderen Seite kann die Nutzung von Künstlicher Intelligenz Unternehmen bei Routineaufgaben entlasten. Dadurch kann Technologie den Fachkräftemangel wenigstens teilweise abpuffern. Jürgen Frisch
