1. Was ist Cyber Essentials?

2. Wie es funktioniert

3. Warum ist Cyber Essentials für kleinere Unternehmen wichtig?

4. Was sind die Vorteile der Cyber Essentials-Zertifizierung?

5. GFI-Software und Cyber Essentials-Kontrollen

6. Ressourcen

Was ist Cyber Essentials?

Cyber Essentials ist eine von der britischen Regierung unterstützte Initiative, die Unternehmen dabei helfen soll, sich vor gängigen Cyberangriffen zu schützen und ihr Engagement für die Cybersicherheit zu demonstrieren.

Das Programm umfasst einen Aktionsplan und eine einfache Reihe von Sicherheitskontrollen zum Schutz von Informationen vor internetbasierten Bedrohungen wie Hacking, Phishing und Passwort-Erraten. Die vollständige Einhaltung der Vorschriften kann die große Mehrheit der Risiken für die Cybersicherheit, denen Unternehmen ausgesetzt sind, verringern.

Laut dem National Cyber Security Centre (NCSC): "Cyberangriffe gibt es in vielen Formen und Größen, aber die überwiegende Mehrheit ist sehr einfach und wird von relativ ungeschulten Personen durchgeführt. Sie sind das digitale Äquivalent eines Diebes, der an Ihrer Haustür ausprobiert, ob sie unverschlossen ist. Unser Ratschlag ist darauf ausgerichtet, diese Angriffe zu verhindern."

Wie es funktioniert

Um die Zertifizierungsanforderungen zu erfüllen, müssen Unternehmen nachweisen, dass sie fünf grundlegende Sicherheitskontrollen durchgeführt haben:

• Firewall: Verwenden Sie persönliche oder grenzüberschreitende Firewalls, um die Internetverbindung zu sichern. Erfordert, dass Unternehmen eine Firewall konfigurieren und verwenden, um ihre Geräte zu schützen, insbesondere solche, die sich mit öffentlichen oder anderen nicht vertrauenswürdigen Wi-Fi-Netzwerken verbinden.

• Sichere Konfiguration: Wählen Sie die sichersten Einstellungen für Geräte und Software. Dazu gehört auch die Änderung der Standardeinstellungen, um die Sicherheit zu erhöhen. Verlangt, dass nur notwendige Konten, Anwendungen und Software verwendet werden.

• Benutzerzugriffskontrolle: Kontrollieren Sie, wer Zugriff auf Daten und Dienste hat. Benutzer sollten nur den erforderlichen Zugriff auf Software, Einstellungen, Online-Dienste und Gerätekonnektivität haben, um ihre Aufgaben zu erfüllen. Verwaltungsprivilegien werden nur denjenigen gewährt, die sie benötigen.

• Schutz vor Malware: Schützen Sie Ihr Unternehmen vor Viren und anderer Malware. Erfordert, dass Unternehmen mindestens eine der folgenden Maßnahmen einsetzen: Anti-Malware-Maßnahmen, Whitelisting oder Sandboxing.

• Patch-Management: Halten Sie Geräte, Anwendungen und Software auf dem neuesten Stand (Patching). Betriebssysteme, Programme, Geräte und Anwendungen sollten so eingestellt werden, dass sie automatisch aktualisiert werden, wenn möglich.

Es gibt zwei Arten von Zertifizierungen. Bei beiden müssen Organisationen erklären oder nachweisen, dass sie über die fünf Kontrollen verfügen.

Bei der grundlegenden Cyber Essentials-Zertifizierung füllt die Organisation einen Fragebogen zur Selbsteinschätzung aus. Eine Zertifizierungsstelle wertet die Antworten aus und führt einen externen Schwachstellen-Scan durch. Diese Stufe ist für Unternehmen geeignet, die nachweisen wollen, dass sie die fünf Kontrollen eingeführt haben.

Cyber Essentials Plus umfasst die Basisbewertungen sowie ein internes Audit durch einen technischen Experten. Bei der Prüfung werden Sicherheitsschwachstellen (z. B. veraltete Software) identifiziert, die behoben werden müssen, um die Anforderungen zu erfüllen. Diese Zertifizierungsstufe ist schwieriger zu erreichen, aber sie zeigt ein höheres Maß an Sicherheit.

Warum ist Cyber Essentials für kleinere Unternehmen wichtig?

Kleine bis mittelgroße Unternehmen (KMU) geraten zunehmend ins Visier von Hackern und Cyberkriminellen. Von 2019 bis 2020 werden zwei Drittel der KMU in Großbritannien Opfer eines Cyberangriffs.

Eine Verletzung der Cybersicherheit kann die finanzielle Lage und den Ruf eines Unternehmens ernsthaft schädigen, und der Wiederherstellungsprozess kann langwierig und teuer sein. Einige Unternehmen können sogar in Konkurs gehen. Es wird geschätzt, dass Cyberangriffe die kleinen Unternehmen in Großbritannien jährlich etwa 4,5 Milliarden Pfund kosten.

Trotz der Risiken sind viele kleine und mittlere Unternehmen schlecht auf einen Cyberangriff vorbereitet. Laut einer kürzlich durchgeführten Umfrage von Small Business Trends verfügen 68% der Unternehmen über keine formellen Cybersicherheitsrichtlinien und 26% haben überhaupt keine Maßnahmen ergriffen. Begrenzte Budgets, unzureichende Mitarbeiterschulung und Zeitmangel wurden als Haupthindernisse genannt.

Cyber Essentials ist auf die Bedürfnisse kleinerer Unternehmen mit bis zu 250 Mitarbeitern (in der Regel ohne eigenes Sicherheitsteam) zugeschnitten. Das Programm bietet ein einfaches, kostengünstiges Rahmenwerk für die Cybersicherheit, das kleinen und mittleren Unternehmen hilft, ihre IT-Umgebung zu sichern. Die vollständige Einhaltung der Vorschriften kann die Risiken für die Cybersicherheit erheblich verringern.

Was sind die Vorteile der Cyber Essentials-Zertifizierung?

Der Hauptnutzen ist zwar der Schutz vor Cyberangriffen, aber Cyber Essentials bietet auch geschäftliche Vorteile. Die Zertifizierung ist eine einfache Möglichkeit zu zeigen, dass das Unternehmen einen Industriestandard erfüllt und sich für Cybersicherheit einsetzt. Die Akkreditierung kann auf Unternehmenswebsites und anderen Medien angezeigt werden.

Lieferanten, Kunden und Partner sind möglicherweise eher bereit, ihre Daten mit zertifizierten Unternehmen zu teilen. Darüber hinaus könnte ein Unternehmen neue Kunden mit dem Versprechen anlocken, dass es über sanktionierte Cybersicherheitsmaßnahmen verfügt.

Cyber Essentials ist auch für Regierungsaufträge obligatorisch. Die britische Regierung verlangt von allen Anbietern, die sich um Verträge bewerben, die den Umgang mit sensiblen und persönlichen Daten beinhalten, eine Zertifizierung.

GFI-Software und Cyber Essentials-Kontrollen

Die Cyber Essentials-Zertifizierung verlangt von Unternehmen, dass sie die fünf Kontrollen zur Verhinderung gängiger Cyberangriffe übernehmen. Die manuelle Pflege dieser Kontrollen ist jedoch aus Zeit- und Ressourcengründen nicht immer machbar. Cybersecurity-Software kann helfen.

GFI Software bietet eine Reihe von Lösungen, von Firewalls über Patch-Management bis hin zu Antiviren-Software, die Ihr Unternehmen vor gängigen Cyber-Bedrohungen und -Angriffen schützen. Unsere Lösungen helfen Ihnen dabei, 80 % der Cyber Essentials-Anforderungen zu erfüllen. Im Folgenden sehen Sie, wie unsere GFI-Produkte vier der fünf erforderlichen Kontrollen erfüllen.

• Firewall

  "Stellen Sie sicher, dass nur sichere und notwendige Netzwerkdienste aus dem Internet zugänglich sind....Jedes Gerät muss durch eine korrekt konfigurierte Boundary Firewall (oder ein gleichwertiges Netzwerkgerät) geschützt sein."

  Laut NCSC: "Eine Boundary Firewall ist ein Netzwerkgerät, das den ein- und ausgehenden Netzwerkverkehr zu Diensten in seinem Netzwerk von Computern und mobilen Geräten beschränken kann. Sie kann zum Schutz vor Cyberangriffen beitragen, indem sie Beschränkungen, so genannte 'Firewall-Regeln', implementiert, die den Datenverkehr je nach Quelle, Ziel und Art des Kommunikationsprotokolls zulassen oder blockieren können."

  GFI Kerio Control bietet einen grenzüberschreitenden Firewall-Schutz, um eingehende Bedrohungen und Malware aus dem Internet zu blockieren. Die Lösung umfasst eine Firewall und einen Router der nächsten Generation, einen Gateway-Virenschutz sowie eine Filterung von Web-Inhalten und Anwendungen.

  IPS-Funktionen (Intrusion Detection and Prevention) überwachen die ein- und ausgehende Netzwerkkommunikation auf verdächtige Aktivitäten. Darüber hinaus können Sie Richtlinien für den ein- und ausgehenden Datenverkehr erstellen, um die Kommunikation nach URL, Anwendung, Art des Datenverkehrs, Inhaltskategorie und sogar Tageszeit einzuschränken.

• Sichere Konfiguration
  "Stellen Sie sicher, dass Computer und Netzwerkgeräte ordnungsgemäß konfiguriert sind, um Schwachstellen zu reduzieren und nur die Dienste bereitzustellen, die zur Erfüllung ihrer Aufgabe erforderlich sind."

  Zu den Anforderungen für diese Kontrolle gehören:

  • ​​​​​Entfernen und Deaktivieren unnötiger Benutzerkonten

  • Ändern Sie alle voreingestellten oder erratbaren Kontopasswörter

  • Entfernen oder deaktivieren Sie unnötige Software (einschließlich Anwendungen)

  GFI LanGuard scannt Ihre IT-Umgebung automatisch auf Sicherheitslücken, um Ihr Netzwerk und Ihre Anwendungen zu schützen. Die Software bietet einen vollständigen Überblick über alle Elemente Ihres Netzwerks, einschließlich Geräten, installierter Software und neuer Hardware.

  Mithilfe der Remediation-Funktionen können Sie Software-Patches bereitstellen, veraltete Benutzer entfernen und andere Korrekturmaßnahmen ergreifen. Mit GFI LanGuard können Sie so oft wie nötig Scans durchführen, im gesamten Netzwerk oder nur in bestimmten Bereichen. Dashboards und Berichte halten Sie über Schwachstellen und Sicherheitsprobleme auf dem Laufenden.

• Schutz vor Malware
  "Schränken Sie die Ausführung von bekannter Malware und nicht vertrauenswürdiger Software ein, um zu verhindern, dass schädlicher Code Schaden anrichtet oder auf sensible Daten zugreift."

  "Malware, wie z.B. Computerviren, Würmer und Spyware, ist Software, die absichtlich geschrieben und verbreitet wurde, um bösartige Aktionen auszuführen", sagt die NCSC. "Zu den möglichen Infektionsquellen für Malware gehören bösartige E-Mail-Anhänge, Downloads und die direkte Installation nicht autorisierter Software."

  GFI MailEssentials ist eine E-Mail-Schutzsoftware, die die Anforderungen Ihres Unternehmens an den Schutz vor Spam und Malware erfüllt. Die Software bietet 14 Anti-Spam-Filter, 4 Antiviren-Engines, Malware-Scans und Inhaltsfilterung zum Schutz vor E-Mail-Bedrohungen.

  Die Software enthält vier Anti-Malware-Scan-Engines, jede mit ihren eigenen Erkennungsprotokollen. Diese integrierten Funktionen verbessern den Schutz Ihrer E-Mail-Umgebung, um per E-Mail übertragene Viren und andere Malware effektiver zu blockieren.

  Andere Produkte von GFI Software bieten zusätzlichen Schutz. GFI Kerio Control enthält einen optional integrierten Kerio Antivirus-Dienst (Bitdefender), der das Eindringen von Viren, Würmern und Spyware in Ihr Netzwerk verhindert. Die Netzwerküberwachung mit GFI LanGuard identifiziert nicht autorisierte Geräte, Anwendungen und Programme, die potenzielle Quellen von Malware sein könnten.

• Patch-Management
  “Stellen Sie sicher, dass Geräte und Software nicht für bekannte Sicherheitsprobleme anfällig sind, für die bereits Korrekturen verfügbar sind."

  Diese Kontrolle setzt voraus, dass die Software und Anwendungen:

  • Lizensiert und unterstützt ist

  • Entfernt wurde, wenn sie nicht länger unterstützt werden

  • Automatisch aktualisiert ist, wo möglich

  • Aktualisiert innerhalb von 14 Tagen nach Veröffentlichung eines Software-Updates ist

  GFI LanGuard automatisiert das Patch-Management, um Ihre Software auf dem neuesten Stand zu halten. Die Software durchsucht Ihr Netzwerk nach fehlenden Updates für Anwendungen und Betriebssysteme. Die Software identifiziert auch fehlende Patches in Webbrowsern und Software von Drittanbietern wie Adobe, Java und anderen wichtigen Anbietern.

  Mit GFI LanGuard müssen Sie Updates nicht mehr manuell verwalten. Sie können Patches automatisch für das gesamte System bereitstellen oder Agenten auf bestimmten Rechnern für regelmäßige Updates einsetzen. Bei Bedarf können Sie kontrollieren, welche Patches installiert werden sollen, oder ein Roll-Back durchführen, wenn Sie Probleme feststellen.

  Neben der Cybersicherheit bietet die regelmäßige Patch-Verwaltung noch einen weiteren Vorteil: Viele Patches beheben auch Softwarefehler, so dass Ihre Anwendungen besser laufen können.

Ressourcen

Fußnoten

1. https://www.ncsc.gov.uk/cyberessentials/overview

2. https://www.towergateinsurance.co.uk/liability-insurance/smes-and-cyber-attacks

3. Ibid

4. https://smallbiztrends.com/2017/07/prepared-for-a-cyber-attack-small-business.html

5. https://www.ncsc.gov.uk/files/Cyber-Essentials-Requirements-for-Infrastructure-v3-0-January-2022.pdf

6. https://www.ncsc.gov.uk/files/Cyber-Essentials-Requirements-for-Infrastructure-v3-0-January-2022.pdf

7. https://www.ncsc.gov.uk/files/Cyber-Essentials-Requirements-for-Infrastructure-v3-0-January-2022.pdf