Ein Weckruf für das Risikomanagement von Drittanbietern?

Die Stürme der IT navigieren: Eine Serie über Ausfälle und die Widerstandsfähigkeit von Unternehmen

In der heutigen digitalen Landschaft ist die Frage nicht, ob es zu einem IT-Ausfall kommen wird, sondern wann. Wie der jüngste Vorfall bei CrowdStrike gezeigt hat, können selbst globale Plattformen unvorhergesehenen Störungen zum Opfer fallen. Ob durch menschliches Versagen, Korruption oder sogar Cyberangriffe - das wird auch weiterhin passieren.

Dieser Blog-Beitrag ist der erste in einer Reihe, die sich mit den Risiken von Drittanbietern bei verschiedenen Technologien beschäftigt, auf die wir alle angewiesen sind. Vor allem werden wir uns darauf konzentrieren, wie sich Unternehmen auf Herausforderungen vorbereiten und schützen können, die von einfachen menschlichen Fehlern bis hin zu böswilligen Akteuren reichen.

Im Laufe dieser Serie werden wir uns mit verschiedenen Arten von Vorfällen befassen, von Cloud-Verletzungen bis hin zu Ransomware-Angriffen in der Lieferkette. Unser Ziel ist es, Sie mit dem Wissen und den Werkzeugen auszustatten, die Sie benötigen, um diese Störungen nicht nur zu überstehen, sondern gestärkt und widerstandsfähiger daraus hervorzugehen.

Der erste Beitrag befasst sich mit dem jüngsten CrowdStrike-Ausfall als Fallstudie und nutzt ihn als Sprungbrett, um allgemeinere Themen wie menschliches Versagen, Risikomanagement bei Dritten und die entscheidenden Schritte zu erörtern, die Unternehmen unternehmen müssen, um sich auf IT-Störungen vorzubereiten und auf sie zu reagieren. Wir erkunden sofortige Abhilfemaßnahmen, die Bedeutung stabiler lokaler Systeme und Strategien zur Bewertung und Verbesserung Ihrer Vorbereitung in Cloud- und SaaS-Umgebungen.

Während wir uns gemeinsam auf diese Reise begeben, möchten wir Sie an einige Dinge erinnern. Bei der IT geht es bei der Vorbereitung nicht nur darum, Katastrophen zu verhindern, sondern auch darum, die Fähigkeit zu entwickeln, stärker zurückzuschlagen, wenn sie unvermeidlich eintreten. Lassen Sie uns damit beginnen, den CrowdStrike-Vorfall und die wertvollen Lektionen, die er für Unternehmen jeder Größe bietet, zu analysieren.

CrowdStrike-Vorfall erklärt

CrowdStrike-Kunden, die einen Falcon-Sensor für Windows (Version 7.11 und höher) einsetzten, erlebten einen Systemabsturz. Dies geschah, nachdem CrowdStrike ein Update der Sensorkonfiguration für Windows-Systeme veröffentlicht hatte, das einen Systemabsturz und einen blauen Bildschirm des Todes (BSOD) auf den betroffenen Systemen auslöste. Dies hatte erhebliche Auswirkungen auf die Systeme weltweit und betraf große Fluggesellschaften, die Reisebranche, das Gastgewerbe, Krankenhäuser, den elektronischen Handel und vieles mehr. Es handelte sich nicht um einen kriminellen Cyberangriff, sondern um einfaches menschliches Versagen. Einer von vielen, die sich mit dem jüngsten Ausfall befasst haben, Chris Evans von Architecting IT, hat den folgenden Kommentar veröffentlicht: "Kommentar: Kritische Infrastrukturen und kollektive Verantwortung."

Bild des Zitats von CEO und Gründer von HYCU Simon Taylor

Microsoft hat auch einen Leitfaden zur Behebung des Problems für betroffene Kunden veröffentlicht, "Helping Our Customers Through the CrowdStrike Outage."

'Größter IT-Ausfall der Geschichte' durch menschliches Versagen verursacht

Menschliches Versagen ist unvermeidlich und betrifft alle Organisationen. Es ist nur so, dass dies bei einem kritischen Dienst eines Drittanbieters geschah, der weltweit Millionen von PCs und Systemen abdeckt. Dies ist jedoch weder der erste noch der letzte Ausfall oder Vorfall eines Drittanbieters, von dem Unternehmen auf der ganzen Welt betroffen sein werden. Die Lektion, die wir hier lernen, ist, dass Sie bei jedem Ausfall eines Drittanbieters widerstandsfähig sein müssen. Hier sind drei Schritte, die jedes Unternehmen unternehmen sollte:

Schritt 1: Sorgen Sie für sofortige Abhilfe

CrowdStrike hat bereits eine Anleitung zur Abhilfe und ein Video für die vom BSOD betroffenen Remote-Benutzer veröffentlicht. Microsoft hat außerdem ein neues Recovery Tool mit zwei Reparaturoptionen veröffentlicht, um den Reparaturprozess zu beschleunigen. Bitte stellen Sie jedoch sicher, dass Sie nur die Anweisungen von CrowdStrike und Microsoft befolgen, da wir bereits beobachten, dass Cyberkriminelle aus diesem Vorfall Kapital schlagen und CrowdStrike-Kunden direkt ins Visier nehmen.

Schritt 2: Sorgen Sie für die Ausfallsicherheit Ihrer Produktionssysteme vor Ort

Die meiste Energie für das Risikomanagement von Drittanbietern haben wir so sehr auf Public Cloud- und SaaS-Anwendungen verwendet, dass wir unsere Rechenzentrumsdienste oft als selbstverständlich ansehen. Unabhängig davon, ob es sich um einen Systemabsturz eines Drittanbieters oder einen Cyberangriff handelt, sollte jedes Unternehmen, das kritische Anwendungen vor Ort betreibt, die folgenden Maßnahmen ergreifen:

• Disaster Recovery Lösungen mit der Fähigkeit zum Failover in eine andere Einrichtung oder in die öffentliche Cloud
• Umfassende Backups mit Point-in-Time- oder Bulk-Recovery, die anwendungsbezogen sind. Das bedeutet die Möglichkeit einer punktuellen Wiederherstellung und einer schnellen Wiederherstellung.
• Widerrufliche Backups, die logisch getrennt sind, um eine sichere Kopie außerhalb des Unternehmens zu gewährleisten, auf die im Falle einer Massenkorruption oder eines Cyberangriffs zugegriffen werden kann.
• Reguläre Belastbarkeitstests von Failovers und Wiederherstellungen aus DR- und Backup-Lösungen mit dokumentierten Protokollen und Runbooks, auf die mehrere Mitglieder des IT-Teams Zugriff haben.

Schritt 3: Bewerten Sie Ihre Belastbarkeit und Bereitschaft für den Fall einer Störung durch Dritte bei SaaS und Cloud

Ihre Cloud-Infrastruktur und SaaS-Anwendungen sind vollständig von Drittanbietern abhängig, die diese Dienste bereitstellen, die Verfügbarkeit aufrechterhalten und Ihre Daten auf Systemebene schützen. Allerdings sind auch diese Dienste dem Risiko von Ausfällen, Beschädigungen und Datenverlusten ausgesetzt. Diese Unternehmen bieten eine solide Verfügbarkeit und Sicherheit, aber aufgrund menschlicher Fehler wird es immer ein Risiko für Dritte geben, das zu Ausfallzeiten, Datenverlust oder -beschädigung führt.

Ob Cloud-Kunden einen Datenverlust erleiden (z.B. Pensionsfonds erleidet versehentliche Löschung seines Kontos durch einen Verkäufer) oder ein Cybersecurity-Unternehmen und seine Mieter von einem Angriff auf die Lieferkette betroffen sind - es wird immer wieder passieren, selbst bei Best-of-Breed-Lösungen.

Um sich entsprechend vorzubereiten, müssen Sie das richtige Risikomanagement für Dritte sicherstellen. Die Europäische Union hat den Digital Operations Resilience (DORA)-Gesetzesentwurf veröffentlicht, der ausdrücklich fordert, dass Unternehmen ein Rahmenwerk für das Risikomanagement von Drittanbietern für IKT (z.B. SaaS- und Cloud-Anwendungen) haben müssen. Dieses umfassende Rahmenwerk unterstreicht die Notwendigkeit, Ihre Anwendungen vor den Risiken Dritter zu schützen. Einige der Anforderungen umfassen:

• Kontinuierliche Bestandsermittlung
• Backup-Richtlinien
• Offsite-Datenaufbewahrung
• Resilienz-Tests
• Dokumentierte Runbooks und Protokolle für Business Continuity und Incident Response

Schauen Sie sich dieses On-Demand-Webinar über DORA Compliance am Beispiel von Atlassian Cloud an. Hier wird die Verantwortung des Kunden gegenüber dem Anbieter hervorgehoben. Die in diesem Video besprochenen Grundsätze gelten für alle Ihre Cloud- und SaaS-Anwendungen.

Abschluss: Seien Sie bereit, seien Sie widerstandsfähig.

Die Teams von CrowdStrike und Microsoft tun alles in ihrer Macht Stehende, um den Schaden zu beheben und sicherzustellen, dass alle Unternehmen über die erforderlichen Tools verfügen, um zu einem unterbrechungsfreien Betrieb zurückzukehren und eine maximale Betriebszeit zu erreichen. Dieses Szenario kann und wird jedoch bei vielen Anbietern eintreten, von der Sicherheit über die Cloud bis hin zu Ihren Geschäftsanwendungen.

Das Wichtigste ist, dass Sie verstehen, dass dies passieren WIRD und dass Ihr Unternehmen die notwendigen Schritte unternommen hat, um Ihre Daten zu schützen und wiederherzustellen, wenn die Zeit gekommen ist.