Die weit überwiegende Mehrheit der Konzerne ist nicht fähig, ihre wichtigsten Vermögenswerte, Strukturen und Prozesse wirksam zu schützen. Nur jedes dritte Großunternehmen verfügt über die Fähigkeit, Bedrohungen sensibler Bestandteile seines Geschäfts effektiv zu überwachen. Dies fand IT-Berater Accenture bei einer internationalen Umfrage heraus. Im Mittelstand dürfte es ähnlich aussehen.
Die Accenture-Umfrage unter etwa 2000 Sicherheitsexperten in weltweit tätigen Unternehmen mit einem Jahresumsatz von mehr als einer Milliarde US-Dollar bezieht sich auf 15 Länder und 12 Branchen. Sie entstand in Zusammenarbeit mit Oxford Economics. Ihre Ergebnisse wurden zum Accenture Security Index aggregiert. Dieser neuartige Index basiert auf einem Modell, das 33 spezifische Kompetenzen zur Cybersecurity misst. Besonders alarmierend: Bereits bei dem Versuch, ihre wichtigsten Werte überhaupt nur zu identifizieren, scheitern die meisten Betriebe. Dabei ist dies eine Schlüsselkompetenz, wenn es darum geht, rasch auf Bedrohungen adäquat zu reagieren.
Cyber-Risiko Desorganisation
Eine große Schwäche ist die fehlende Organisation und Einbindung des Bereichs Cybersecurity in Unternehmen. Accenture stellt fest, dass eine Schwäche in diesem Bereich mit generellen Schwächen in der Organisation korreliert und vermutlich in diesen begründet ist.
Wenn nämlich ein Security-Manager in die Belange der Fachabteilungen zu wenig eingebunden ist und von deren Business zu wenig versteht, reduziert dies seine Fähigkeit, zu bewerten, was beim Schutz vor Angriffen Priorität hat. Infolge der wachsenden Vernetzung von Unternehmen mit Kunden und Lieferanten steigen auch die Ansprüche, fremde Assets zu schützen. Schlechte Organisation und Kommunikation rächen sich hier um so massiver.
Deutschland hinkt bei den Kompetenzen zur Cybersicherheit hinterher
Im internationalen Vergleich schneiden deutsche Betriebe gerade mal bei elf der 33 Cyber-Security-Fähigkeiten zufriedenstellend ab. Hohe Kompetenzwerte in mehr als 25 Schlüsselbereichen erzielten lediglich 9% aller Unternehmen. Damit landet Deutschland bei der Cybersicherheits-Kompetenz mit 26% auf dem drittletzten Platz auf dem Index der untersuchten Länder. Vor Australien und Spanien, aber weit hinter Ländern wie Brasilien oder den Vereinigten Arabischen Emiraten. Deutschlands Nachbar Frankreich glänzt mit einem Spitzenwert von 44%.
IT Security Index nach Ländern. Bild: Accenture
Dienstleister hui – Investitionsgüter-Industrie pfui
Dienstleister sind laut Accenture am besten aufgestellt in Security-Fragen. Besonders die Kommunikations- und Finanzwirtschaft hat akzeptable Werte aufzuweisen. Die 100% erreicht allerdings keine Branche auch nur annähernd. Der überhaupt jemals erreichte Höchstwert beträgt 45%.
Der Handel liegt mit 32% im Mittelfeld.
Am unteren Ende der Skala stecken Energiewirtschaft und Life Sciences mit Werten bis unter 20%. Die Medienwirtschaft wurde nicht untersucht.
IT-Security-Index nach Branchen. Bild: Accenture
Ein neues Denkmodell der Cybersicherheit
Das Neuartige am Accenture Security Index sind Menge und Art der Parameter, die in die Analyse einbezogen wurden. So wirken nicht nur Fragen der Effizienz des IT-Betriebs hinein, sondern ebenso Fragen der Governance und Führungsqualität oder der Budgetierung. Insgesamt sind es 35 Kriterien von „Ability to ensure stakeholder involvement“ (die Fähigkeit, Stakeholder für Cybersicherheit zu interessieren) bis „Threat vector monitoring“ (die Fähigkeit, Bedrohungen wie Viren laufend zu überwachen). Wichtiger ergänzender Faktor beim Monitoring ist übrigens das Personal, auch das der Fachabteilungen. Es zeigte sich nämlich bei der Umfrage, dass mehr als die Hälfte derjenigen Bedrohungen, die nicht die IT erkannte, von Mitarbeitern identifiziert wurden.
IT-Grundlagen und Technologien der ZukunftMehr zum Thema IT und Digitalisierung lesen Sie im IT-Channel von buchreport und den Channel-Partnern knk und Rhenus. Hier mehr…
Wie Unternehmen ihre Cybersicherheit erhöhen – sechs Empfehlungen
- Definieren, was erfolgreiche Cyber-Abwehr für das Unternehmen bedeutet.
- Die Schlagkraft der Cyber-Abwehr durch Tests trainieren.
- Ein Schalenmodell der Cyber-Abwehr „von innen nach außen“ entwickeln.
- Stets innovativ in allen Belangen der Cyber-Abwehr bleiben.
- Jeden Mitarbeiter involvieren.
- Die oberste Führungsebene muss das Thema Cybersicherheit nachhaltig und operativ im Fokus halten.
Die Autoren der Studie, Kelly Bissell, Managing Director von Accenture Security, Ryan LaSalle, Managing Director Growth & Strategy, und Kevin Richards, Managing Director der Accenture Strategy Security geben sich optimistisch, dass dieses Rezept funktioniert: „Once senior security executives and business leaders clearly understand where they need higher levels of cybersecurity performance, they can take the proper steps to protect the key assets and processes on which their success depends with greater certainty.“
- Zur Studie „The Accenture Security Index“ (in englischer Sprache).
- Das Wichtigste aus der Studie „The Accenture Security Index“ (Infografik).
Kommentar hinterlassen zu "Bedingt abwehrbereit: Nicht einmal die Großindustrie kann ihre Werte wirksam gegen Cyberattacken schützen"