Vorbereitung auf die Reaktion auf Vorfälle

In Krisenzeiten entscheidet oft das menschliche Verhalten über den Ausgang. Die Vorbereitung von Teams auf Stress, Unsicherheit und Entscheidungsfindung unter Druck trägt dazu bei, Risiken erheblich zu verringern. 

Aufgrund einer optimistischen Verzerrung glauben viele Teams, dass Angriffe unwahrscheinlich sind. Die Darstellung von Cyberrisiken im Kontext von Geschäftsprozessen und Aufgabenbereichen trägt dazu bei, sinnvolle Maßnahmen anzustoßen. 

Eine starke Unternehmenskultur fördert Vertrauen, offene Kommunikation und eine schnellere Zusammenarbeit – und trägt so dazu noch, Verwirrung und blinde Flecken bei Vorfällen zu verringern. 

Cyberangriffe führen häufig zu Schäden an Systemen und Anmeldedaten. Die Wiederherstellung auf der Grundlage verifizierter, sauberer Ausgangszustände verhindert eine erneute Infektion und stärkt das Vertrauen in den Recovery-Prozess. 

Übungen und Simulationen tragen dazu bei, ein Muskelgedächtnis aufzubauen, verborgene Schwachstellen aufzudecken und die Reaktionszeit bei echten Angriffen deutlich zu verkürzen. 

Sehen Sie sichhierdas Video mit dem zeitgestempelten Transkript an

00:08 – 00:10

Herzlich willkommen, liebe Anwesende, und nochmals vielen Dank.

00:10 – 00:11

Das ist eine großartige Beteiligung.

00:11 – 00:14

Erste Arbeitsgruppe im Anschluss an die Plenarsitzung.

00:14 – 00:19

Ähm, hier sind Sie genau richtig, um sich auf die Reaktion auf Vorfälle vorzubereiten.

00:19 – 00:24

Wir werden uns mit den Themen „Menschen“, „Prozesse“, „Tools“ und „Technologie“ befassen.

00:24 – 00:26

Und ich bin Ihr Moderator, Chris Mierzwa.

00:26 – 00:31

Ich bin Senior Director hier bei Commvault und verantwortlich für unsere globalen Resilienzprogramme.

00:31 – 00:41

Und natürlich bin ich ein wenig voreingenommen, da es sich hier um unsere Podiumsdiskussion handelt, aber das ist eine beispiellose sechsstündige Veranstaltung ohne Toilettenpause.

00:41 – 00:46

Und ich muss euch sagen, wir haben hin und her überlegt: „Sollen wir, oder sollen wir nicht?“

00:46 – 00:49

Vielleicht verstößt es gegen die Regeln, aber wir probieren es einfach mal aus.

00:49 – 00:49

Nein, das war nur ein Scherz.

00:49 – 00:53

Eine Stunde in euren Kalendern, aber es ist eine der wenigen.

00:53 – 00:53

Auch vielen Dank.

00:53 – 00:58

Ich weiß, dass es eine große Herausforderung ist, die ganzen 60 Minuten hier zu bleiben, aber ich verspreche euch, dass es sich lohnen wird.

01:00 – 01:08

Wir haben drei unglaubliche Menschen versammelt, und ich werde jeden von ihnen kurz vorstellen, denn ich kann das etwas weniger bescheiden tun als sie selbst.

01:08 – 01:14

Aber ich möchte sicherstellen, dass ihr in der nächsten Stunde wisst, welche Talente hier versammelt sind.

01:14 – 01:16

Und ich hoffe, ihr seht das genauso wie wir.

01:16 – 01:27

Wir versuchen, drei einzigartige Bereiche anzusprechen und miteinander zu verknüpfen, die mir zumindest einfallen und die vielleicht noch nicht behandelt wurden, wenn es darum geht, wie wir denken und uns vorbereiten sollten

01:27 – 01:30

auf neue und einzigartige Weise auf Ereignisse reagieren.

01:30 – 01:32

Und genau das möchten wir angehen.

01:33 – 01:36

Ohne weitere Umschweife möchte ich zunächst mit meinem Nachbarn zu meiner Linken beginnen.

01:36 – 01:36

Dr.

01:36 – 01:38

Jessica Barker.

01:38 – 01:40

Ich habe dich in den letzten Monaten ein wenig kennenlernen dürfen.

01:40 – 01:44

Ähm, das ist einzigartig.

01:44 – 01:51

Sie verfügt nicht nur über fundierte Kenntnisse im Bereich Cybersicherheit, sondern betrachtet das Thema auch aus einer menschlichen Perspektive.

01:51 – 01:59

Ich hoffe zwar, dass wir alle etwas Einzigartiges zu bieten haben, aber ich kann euch sagen, dass ihr wahrscheinlich noch nie von dem gehört habt, was sie bisher geleistet hat  – aber zunächst noch ein paar einleitende Worte.

01:59 – 02:03

Zwei Bücher, weltweite Vortragsreisen.

02:03 – 02:15

Sie ist ständig im Flugzeug, reist um die ganze Welt, spricht mit Menschen und mit Unternehmen wie dem Ihren darüber, wie man Menschen auf Dinge vorbereitet, mit denen man normalerweise nicht

02:15 – 02:15

darüber sprechen.

02:15 – 02:18

Wie gehen sie eigentlich mit solchen Dingen um, oder?

02:18 – 02:20

Und wir werden das genauer unter die Lupe nehmen.

02:20 – 02:21

Danke, dass ihr dabei seid.

02:21 – 02:22

Ja, auf jeden Fall.

02:22 – 02:23

Alles klar.

02:23 – 02:24

Noch eine.

02:24 – 02:26

Kommen wir nun zu Ricky Mayer.

02:26 – 02:38

Äh, Ricky, du bist zwar erst vor ein paar Monaten zu Commvault gekommen – herzlich willkommen an Bord –, bringst aber mehr als 25 Jahre Erfahrung in der IT als Führungskraft mit und bist nun unser Vizepräsident für

02:38 – 02:42

Global und Professional Services bei Commvault.

02:42 – 02:43

Aber…

02:43 – 02:54

eine lange Karriere bei IBM, Kyndral und VMware, und Sie wissen ja: Wenn man im Bereich Professional Services tätig ist, wird man nicht auf die Probe gestellt, wenn alles gut läuft.

02:54 – 02:56

Erst wenn es Herausforderungen gibt, wird man auf die Probe gestellt.

02:56 – 03:02

Und offensichtlich hast du schon viele davon erlebt, und er wird uns heute viel von dieser Magie näherbringen – vielen Dank also, dass du hier bist.

03:02 – 03:04

Na gut, der große Mann.

03:04 – 03:05

Übrigens,

03:05 – 03:11

Ursprünglich aus Großbritannien, jetzt aus den USA, aus Dallas und Fort Worth, richtig?

03:11 – 03:15

Zak ist den ganzen Weg aus einer kleinen Stadt namens Kapstadt gekommen, oder?

03:15 – 03:18

Ein kurzer Flug also.

03:18 – 03:19

Ein kleines Dorf.

03:19 – 03:20

Ja, ein kleines Dorf.

03:21 – 03:24

Zak und ich arbeiten ziemlich oft zusammen.

03:24 – 03:27

Ähm, wir können uns wirklich glücklich schätzen, ihn zu haben.

03:27 – 03:34

Sein Hintergrund: fundiert, technisch versiert, mit Praxiserfahrung – ah, ein absolutes technisches Talent.

03:34 – 03:40

Im Laufe meiner Karriere hatte ich das Privileg, mit vielen Menschen zusammenzuarbeiten, die über ein immenses technisches Gespür verfügen.

03:41 – 03:54

Ich möchte das nicht übertreiben, aber Zach gehört eindeutig zur Spitzenklasse, und er wird uns heute einen echten Einblick aus der Praxis vermitteln und zeigen, wie man das aus einer

03:54 – 03:54

Aus der Tool-Perspektive angehen.

03:54 – 03:57

Ich hoffe also, dass ich dem gerecht geworden bin.

03:57 – 03:59

Ihr werdet heute hier die Magie erleben.

03:59 – 04:03

In diesem Sinne möchte ich mit dir beginnen, Jessica.

04:03 – 04:11

Als wir uns vorbereitet haben, hast du einen Begriff ins Spiel gebracht, über den wir alle noch etwas lernen müssen, und zwar diesen hier

04:11 – 04:13

Optimismus-Bias.

04:13 – 04:18

Wenn du uns das näher erklären könntest, wäre das eine tolle Ausgangsbasis für unser Treffen.

04:18 – 04:19

Klar.

04:19 – 04:31

Eine Sache, die ich im Bereich der Cybersicherheit wirklich hilfreich finde – da ich immer den menschlichen Aspekt im Blick habe –, ist, dass wir meiner Meinung nach so viel aus den Neurowissenschaften, der Psychologie und der Soziologie lernen können.

04:31 – 04:41

aus diesen Bereichen, die menschliches Verhalten und Denkweisen erforschen – was uns dazu bewegt, bestimmte Entscheidungen zu treffen, und was uns dazu bringt, die Dinge zu tun, die wir tun. Unter

04:41 – 04:48

In vielen Konzepten und umfangreichen Forschungsarbeiten aus den Neurowissenschaften dreht sich vieles um die Idee des Optimismus-Bias.

04:48 – 04:55

Untersuchungen zeigen, dass 80 % der Menschen weltweit von Natur aus zum Optimismus neigen.

04:55 – 05:04

Und zwar unabhängig davon, woher wir kommen, unabhängig von Geschlecht, Alter, ethnischer Zugehörigkeit und sozioökonomischem Hintergrund.

05:06 – 05:10

Und wir blicken auf die Welt, die weite Welt, und denken, dass alles immer schlimmer wird.

05:10 – 05:17

Aber aus der Perspektive des Einzelnen, der Familie oder des Teams haben wir diese optimistische Verzerrung.

05:17 – 05:21

Im Grunde genommen glauben wir, dass uns nichts Schlimmes passieren wird.

05:21 – 05:26

Und was die Forschung angeht – es gibt so viele Studien zu diesem Thema, viele davon wurden von Dr.

05:26 – 05:29

Tali Sharot – falls ihr euch das also einmal ansehen wollt, kann ich es euch wärmstens empfehlen.

05:30 – 05:35

Und diese Forschung befasst sich im Allgemeinen mit Themen wie Gesundheit und Scheidung,

05:36 – 05:38

glauben nicht, dass ihnen etwas Schlimmes zustoßen wird.

05:38 – 05:42

Ich denke, das lässt sich sehr gut auf die Cybersicherheit übertragen.

05:42 – 05:54

Als ich anfing, mich damit zu beschäftigen, dachte ich: Das ist der Grund, warum wir, wenn wir dem Vorstand alle Statistiken vorlegen, die zeigen, dass ein Vorfall irgendwann wahrscheinlich eintreten wird, warum

05:54 – 05:55

das vielleicht einfach abtun.

05:55 – 05:58

Weil sie glauben, dass das nur allen anderen passiert.

05:58 – 05:59

Aber uns wird das nicht passieren.

05:59 – 06:06

Und ich glaube, das hat enorme Auswirkungen auf alle möglichen Aspekte der Cybersicherheit.

06:06 – 06:08

nicht zuletzt auf die Reaktion auf Vorfälle.

06:08 – 06:15

Und ich vermute, dass sich diese Voreingenommenheit noch verstärkt, wenn tatsächlich etwas Schlimmes passiert.

06:15 – 06:15

Ja.

06:15 – 06:19

Weil sie denken: Das widerspricht allem, was ich mir hätte vorstellen können.

06:19 – 06:20

Ja, genau das ist es.

06:20 – 06:30

Das untergräbt diese Art von Muskelgedächtnis, diese Widerstandsfähigkeit – die Widerstandsfähigkeit des Einzelnen, des Teams und sogar der Organisation –, weil wir denken: „Nun, wir hätten nicht gedacht, dass das passieren würde …“

06:30 – 06:30

passieren würde.

06:30 – 06:35

Es kommt also zu einem gewissen Schock, und man kennt die Werkzeuge, Prozesse und die

06:35 – 06:41

Die menschliche Komponente bei der Reaktion auf Vorfälle fehlt schlichtweg, weil man nie damit gerechnet hat.

06:41 – 06:42

Ich verstehe.

06:42 – 06:43

Und noch eine Sache, die mich interessiert.

06:43 – 06:48

Wir kennen wahrscheinlich alle Menschen in unserem Leben, die das Glas als halb voll oder halb leer betrachten.

06:48 – 06:54

Um Ihre Statistik zu verwenden: 80 % der Menschen betrachten das Glas in dieser Hinsicht als halb voll.

06:54 – 06:55

Ja.

06:55 – 06:57

% voll, um die Analogie zu verwenden.

06:57 – 07:05

Aber man trifft Menschen, und es gibt Menschen, die weniger als zur Hälfte erfüllt sind, doch innerlich sagt man sich, wenn sie darüber nachdenken, dass das

07:05 – 07:07

dort, wo sie immer noch bei diesen 80 liegen.

07:07 – 07:15

Und auch dieser Unterschied zwischen einem vielleicht weltweit verbreiteten Zynismus und der Überlegung, wie sich die Dinge für einen selbst entwickeln werden.

07:15 – 07:17

m

07:17 – 07:21

Und innerlich sollte man seine Erwartungen kennen – Optimismus ist eine gute Sache.

07:21 – 07:25

Ich sage nicht, dass wir versuchen sollten, den Optimismus aus dem Design zu verbannen.

07:25 – 07:31

Ich bin selbst ein optimistischer Mensch und stelle oft fest, dass bei mir eine optimistische Verzerrung im Spiel ist.

07:31 – 07:32

Optimismus ist

07:32 – 07:41

Großartig. Wir wären als Menschen nicht dort angekommen, wo wir heute sind, wenn wir nicht optimistisch wären, und, ganz ehrlich, wir hätten es schwer, den Tag zu überstehen, wenn wir nicht ein gewisses Maß an

07:41 – 07:46

Optimismus. Anstatt also zu versuchen, ähm, ihn zu konstruieren

07:47 – 07:51

Das eine ist, ihn zu erkennen, und das andere, damit zu arbeiten, wann immer wir können.

07:52 – 08:02

Anstatt also, wie man so schön sagt, nach dem Motto „Es ist nicht die Frage, ob, sondern wann“ zu arbeiten und den Leuten Angst einzujagen, können wir sagen: Wisst ihr was, ein Vorfall wird wahrscheinlich passieren, aber wir können

08:02 – 08:03

darauf vorbereitet sein.

08:03 – 08:05

Es gibt Dinge, die wir tun können, um, ähm,

08:05 – 08:12

die entsprechenden Instrumente und Abläufe zur Verfügung zu haben, und je besser wir uns vorbereiten, desto widerstandsfähiger werden wir sein.

08:12 – 08:17

Also eine optimistische Sichtweise auf etwas, das eine Herausforderung darstellt.

08:18 – 08:26

Und wie schwierig ist es für die Menschen, die zu diesen 20 % gehören, den Durchbruch zu schaffen?

08:26 – 08:31

Oder inwieweit sind sie darauf vorbereitet, weil sie in die andere Richtung voreingenommen sind?

08:31 – 08:35

Eine Voreingenommenheit gegenüber Optimismus kann schon an sich eine Herausforderung sein.

08:35 – 08:41

Denn man könnte denken: Na ja, das Schlimme wird sowieso immer passieren, warum sollte ich mir also die Mühe machen?

08:41 – 08:48

Solche Botschaften rund um das Thema „Vorbereitet sein“ funktionieren interessanterweise für beide Seiten – was sehr hilfreich ist.

08:48 – 08:53

Ja, Ricky, ich bin mir sicher, dass bei großen Projekten auch mal etwas schiefgeht, oder?

08:53 – 08:55

Wo hast du das schon einmal erlebt?

08:55 – 09:09

Schau mal, in Krisenzeiten werden wir oft den Anforderungen unserer IR-Pläne oder anderer Pläne nicht gerecht. Wir fallen oft auf das Niveau unserer tatsächlichen Umsetzung zurück – eingefahrenen Verhaltensweisen sind oft besser als

09:09 – 09:18

gute Absichten, und die Reaktion auf Vorfälle – oder wie ich es nenne: die Widerstandsfähigkeit gegenüber Vorfällen – ist genau das: ein Ziel

09:19 – 09:25

aber ohne Übung und einstudierte Verhaltensweisen in diesem mentalen Modell und diesem mentalen Muskelgedächtnis.

09:27 – 09:35

Und wenn der Ort, an dem Sie Ihre erste Katastrophe erleben, auch der Ort ist, an dem Sie Ihre erste Übung durchführen, wird das Ergebnis nicht Resilienz sein, sondern schlechte Presse.

09:36 – 09:50

Um noch einmal auf Jessicas Punkt bezüglich der optimistischen Verzerrung zurückzukommen: Wir neigen oft dazu zu vergessen, dass wir als Menschen uns zunächst die Prozesse und dann die uns zur Verfügung stehenden Werkzeuge ansehen und diese einsetzen müssen

09:50 – 09:54

in dieser hochkomplexen Welt, in der wir heute leben, zusammenzuführen.

09:55 – 10:01

Und wir haben heute Vormittag von unseren Hauptrednern gehört, dass die Technologie, das Umfeld – einfach alles um uns herum – immer komplexer wird.

10:02 – 10:06

Und in diesem vielfältigen und komplexen Umfeld,

10:06 – 10:17

Erstens führt eine optimistische Voreingenommenheit und zweitens diese falsche Vorstellung von Sicherheit – dass wir zwar Pläne haben, diese aber nicht wirklich einstudiert oder geübt haben – dazu, dass wir uns nur noch mehr

10:17 – 10:19

Misserfolge und Erfolge.

10:20 – 10:30

Das erinnert mich daran: Ich bin mir sicher, wenn wir eine Abstimmung per Handzeichen durchführen oder uns mit euch allen unterhalten würden, würden viele sagen: „Hey, schau mal, ich könnte so optimistisch sein, wie ich will, und ich möchte es auch sein.“

10:30 – 10:34

„Wir wären dazu bereit, aber wir haben weder das Budget noch die Zeit noch die Leute.“

10:34 – 10:36

Ich vermute also, wenn diese

10:36 – 10:41

Kräfte, die der optimistischen Verzerrung entgegenwirken, sind doch ebenfalls eine Kraft, mit der man rechnen muss, oder?

10:41 – 10:47

Also nach dem Motto: Ich würde das gerne tun, aber die Einrichtung, für die ich arbeite, kann es sich nicht leisten und kann es nicht umsetzen.

10:47 – 10:52

Vielleicht könnten wir das im Laufe des Gesprächs noch ein wenig vertiefen, denn du siehst das wahrscheinlich auch so, Zak, oder?

10:52 – 10:58

Ich meine, wenn schlimme Dinge passieren – was passiert dann mit diesen Leuten?

10:58 – 11:04

Wie reagieren sie mitten in dieser Situation, in dieser Art von „Druckkessel“, wenn man so will?

11:05 – 11:08

Denn man muss verstehen, dass jeder immer noch ein Mensch ist.

11:08 – 11:11

Es spielt keine Rolle, wie oft man etwas geübt hat.

11:11 – 11:19

Auch wenn das Training und das Üben sehr hilfreich sind, ist dies im Grunde genommen der Weg, auf dem man seine Belastbarkeit entwickelt.

11:19 – 11:23

Aber die Leute ziehen sich zurück, wenn etwas passiert.

11:23 – 11:24

Sie verstecken sich.

11:24 – 11:27

Sie versuchen, ihre Spuren zu verwischen.

11:28 – 11:33

und prüfen, ob es nicht doch an einem ihrer Fehler lag, und fangen dann an, sich gegenseitig die Schuld zu geben und so weiter und so fort.

11:33 – 11:40

Und das liegt im Grunde genommen an der anfänglichen Einstellung, dass nicht ausreichend getestet wurde.

11:41 – 11:46

Ein Plan zur Cyber-Resilienz oder zur Recovery nach Cyberangriffen – man hat den Plan zwar, aber er wurde nicht ausreichend getestet.

11:46 – 11:56

Und sobald man das einübt, wird es zu einer Art Muskelgedächtnis, und jeder weiß genau, was er als Nächstes tun muss, sobald es darauf ankommt,

11:56 – 12:00

Dann kommt es nicht mehr zu solchen Verhaltensweisen.

12:00 – 12:06

Das ist übrigens auch interessant, denn ich habe von Ihren Statistiken gehört und wünschte, ich hätte selbst welche mitgebracht.

12:07 – 12:10

Aber wie passt die Versicherung dann in diesen Zusammenhang?

12:10 – 12:17

Ach, wir wollen, wie du gesagt hast, doch nicht für eine Versicherung bezahlen, oder?

12:17 – 12:20

Wir haben diese Art von Ausgaben.

12:20 – 12:23

Aber wie hängt das mit der optimistischen Verzerrung zusammen?

12:23 – 12:25

Na ja, ähm,

12:25 – 12:28

Weil wir immer noch für die Kfz-Versicherung und die Krankenversicherung bezahlen.

12:29 – 12:30

Das ist ein interessanter Punkt.

12:30 – 12:36

Wenn wir über Krankenversicherung oder Lebensversicherung nachdenken, wie sind diese aufgebaut?

12:36 – 12:42

Sie werden nicht als Krankenversicherung oder Sterbeversicherung dargestellt.

12:42 – 12:49

Wir können also wiederum etwas von diesen Branchen lernen – und von der Tatsache, dass dies kein Zufall ist.

12:49 – 12:52

Dort kommt eine bestimmte Framing-Strategie zum Einsatz.

12:52 – 12:54

Um die Menschen anzusprechen.

12:54 – 12:56

Anstatt sich um die eigene Familie zu kümmern.

12:56 – 12:56

Genau.

12:56 – 12:57

Das weitergeben.

12:57 – 12:58

Richtig.

12:58 – 12:58

Ja.

12:58 – 12:59

Denken Sie doch einmal an die Werbung, die Sie sehen.

12:59 – 13:02

Sie können über den Rahmen nachdenken, der all das umgibt.

13:02 – 13:07

Es ist alles eine sehr optimistische und positive Darstellung von Dingen, die im Grunde genommen negativ sind.

13:07 – 13:08

Ja.

13:08 – 13:16

Ich möchte nur kurz unterbrechen und euch sagen, dass die Klimaanlage hier eingeschaltet wurde, weil wir hier oben so schnell an Gewicht verloren haben.

13:16 – 13:17

Ich kann für mich selbst sprechen.

13:17 – 13:20

Das war unglaublich, was für ein Wunder sich gerade ereignet hat.

13:20 – 13:21

Ok

13:23 – 13:28

Kannst du dir vorstellen, bei State Farm eine Lebensversicherung abzuschließen?

13:28 – 13:29

Wie ein guter Nachbar.

13:29 – 13:36

Mann, das geht einem einfach so leicht über die Lippen.

13:36 – 13:39

Aber in der Cybersicherheit betrachten wir die Dinge oft aus einem anderen Blickwinkel.

13:39 – 13:39

Das stimmt.

13:39 – 13:40

Ja.

13:40 – 13:44

Wir orientieren uns nicht an einem etablierten Unternehmen.

13:44 – 13:44

Ja.

13:44 – 13:46

Und das ist nicht mein Geheimnis.

13:46 – 13:52

Viele der Dinge, die ich in den Bereich der Cybersicherheit einbringe, erfinde ich nicht neu, und ich erfinde auch nicht das Rad neu.

13:53 – 14:04

Ich greife auf bekanntes Wissen zurück – also auf bereits vorliegende Forschungsergebnisse, auf die jeder zurückgreifen kann, auch in Bereichen außerhalb der Cybersicherheit – und übertrage sie auf diesen Bereich.

14:04 – 14:09

Und wir könnten so viel erreichen, wenn wir uns mehr mit diesen Bereichen beschäftigen würden.

14:09 – 14:14

Und ich glaube, das werden wir auch tun – aber ob Neurowissenschaften, Psychologie, Soziologie oder Marketing: Es gibt so viel, was wir lernen können.

14:14 – 14:23

In diesem Sinne bitte ich Sie nicht, Ihr gesamtes Wissen preiszugeben, denn ich weiß, dass Sie dafür gut bezahlt werden, aber was wäre, wenn es ein paar

14:23 – 14:34

Das würde wichtige Erkenntnisse liefern – wenn Sie Ihre Vorträge auf das Wesentliche reduzieren müssten: Was sind einige Punkte, die im Vordergrund stehen sollten und die Ihre Zuhörer mitnehmen sollen, wenn Sie einen Ihrer Vorträge halten?

14:34 – 14:35

diese Veranstaltungen durchführst?

14:35 – 14:46

Ja, das ist unterschiedlich, aber was dieses konkrete Gespräch angeht, denke ich, dass wir uns im Bereich Cybersicherheit oft auf Angst verlassen, um unsere Botschaft zu verbreiten, nicht wahr?

14:46 – 14:50

Und ich verstehe, dass die Leute denken, wir könnten Angst schüren.

14:51 – 14:53

jemanden zu einem bestimmten Verhalten zu bewegen.

14:53 – 14:55

So funktioniert das aber nicht wirklich.

14:55 – 14:58

Der Versuch, aus Angst sein Verhalten zu ändern, ist sehr kompliziert.

14:58 – 15:01

Und wir

15:01 – 15:04

Verwenden Sie es als eine Art Hammer.

15:04 – 15:09

Stattdessen können wir darüber nachdenken, wie wir unsere Botschaften gestalten können.

15:09 – 15:12

Wir können darüber nachdenken, wie wir mit menschlichen Vorurteilen umgehen können.

15:12 – 15:14

Denn diese Vorurteile gibt es nun einmal.

15:14 – 15:16

Wie können wir also unsere Botschaften gestalten?

15:16 – 15:28

Wenn wir zum Beispiel möchten, dass eine Geschäftsführung oder ein Team die Reaktion auf Vorfälle übt, sollten wir nicht versuchen, ihnen Angst einzujagen, damit sie glauben, dass dies wichtig ist, sondern eine realistische Darstellung liefern.

15:28 – 15:29

der Bedrohung.

15:29 – 15:31

Aber wenn wir üben, werden wir stärker

15:31 – 15:33

widerstandsfähiger.

15:33 – 15:35

Diese Widerstandsfähigkeit entsteht durch Wiederholung.

15:35 – 15:37

Betrachten wir die Sache also einmal aus dieser optimistischeren Perspektive.

15:37 – 15:42

Okay, wir haben schon ein bisschen darüber gesprochen – ich erinnere mich, als wir in Las Vegas waren.

15:43 – 15:51

Du machst etwas so Einzigartiges, und wenn jemand sagt: „Wow, ich muss Jessica oder jemanden wie sie engagieren.“

15:51 – 15:53

Wie verkaufst du das intern?

15:53 – 15:55

Das ist so ein einzigartiges Konzept.

15:55 – 16:02

Das gehört nicht dazu – wahrscheinlich denken alle hier: „Wow, ich hatte keine Ahnung, dass so etwas überhaupt gemacht wird“, oder?

16:02 – 16:12

Wenn man sieht, wie man seine Dienstleistungen erfolgreich verkauft und den Weg bis zur Geschäftsleitung findet – welche Möglichkeiten gibt es, dies zu erreichen?

16:12 – 16:16

Ja, das mache ich nun schon seit 15 Jahren.

16:16 – 16:20

Am Anfang fiel es mir damit sicherlich viel schwerer.

16:21 – 16:31

Und ich denke, ein Punkt ist, dass wir in der Cybersicherheitsbranche zunehmend erkennen, dass Menschen genauso im Mittelpunkt der Cybersicherheit stehen wie Tools oder

16:31 – 16:33

Prozesse.

16:33 – 16:39

Aber im Grunde erfordert es oft ein gewisses Maß an kultureller Reife innerhalb einer Organisation.

16:39 – 16:50

Und leider braucht es oft die Erfahrung eines Vorfalls – entweder direkt oder indem eine Organisation miterlebt, wie es bei einer ihrer Partnerorganisationen passiert –, denn das durchbricht die

16:50 – 16:51

durchbricht die Optimismusverzerrung.

16:53 – 16:55

Ich denke, man könnte das als zweischneidiges Schwert betrachten.

16:55 – 17:03

Einerseits ist es bedauerlich, dass es dazu kommen muss, aber andererseits: Wenn das der Auslöser sein muss – und es nicht du und vielleicht ein Kollege bist –, dann mach weiter.

17:03 – 17:04

Richtig.

17:04 – 17:05

Fantastisch.

17:05 – 17:06

Ich danke Ihnen.

17:08 – 17:13

Ich habe Jessica nicht gefragt: „Hey, gib mir doch mal einen vollständigen Überblick darüber, denn das ist faszinierend.“

17:13 – 17:17

Ich finde, für uns alle, die wir aus einem technischen Bereich kommen, ist das wirklich toll.

17:17 – 17:19

Also ja, auf jeden Fall.

17:20 – 17:21

Alles klar.

17:21 – 17:27

Außerdem, Ricky, als wir uns unterhalten haben, hast du vom „Minimum Viable“ gesprochen.

17:27 – 17:35

Interessant, wir haben heute Morgen in der Keynote viel darüber gehört, aber wir haben diesen Begriff nicht absichtlich weggelassen – er ist nur irgendwie unter dem Thema „nächste Stufe“ untergegangen.

17:35 – 17:38

Möchtest du also ein bisschen darüber reden?

17:38 – 17:38

Klar.

17:38 – 17:42

Und was das Sprichwort „Übung macht den Meister“ angeht, oder?

17:42 – 17:44

Aber wie übt man und womit übt man?

17:44 – 17:57

Wenn man sich also ein großes Ökosystem ansieht, hat man ein riesiges, heterogenes System aus Technologien vor sich, das das eigene Unternehmen am Laufen hält – wo soll man da überhaupt mit dem Üben anfangen?

17:57 – 17:59

Und wie oft übt man das schon, nicht wahr?

17:59 – 18:08

Bei Commvault haben wir daher über das Konzept des „Minimal Viable“ gesprochen, und worum es dabei wirklich geht, ist der Einsatz von Tools wie einer BIA-Bewertung, die wir bereits seit vielen Jahren durchführen.

18:08 – 18:09

Jahre.

18:09 – 18:11

Zunächst muss man festlegen, was für das eigene Unternehmen geschäftskritisch ist.

18:11 – 18:16

So könnte beispielsweise Active Directory geschäftskritisch sein, ebenso wie ein Patientenversorgungssystem.

18:16 – 18:26

Und Sie legen fest und sagen: „Wissen Sie was? Damit werde ich als Erstes beginnen, denn wenn es zu einer Sicherheitsverletzung kommt und mein System abgeschaltet wird, möchte ich genau das als Erstes wieder in Betrieb nehmen.“

18:26 – 18:35

Und dann geht es weiter zu meinen – nun ja – von geschäftskritischen zu unternehmenskritischen Systemen; das könnten Ihre E-Mails, Ihre Kommunikationssysteme, Ihre anderen Anwendungen und Workloads sein.

18:35 – 18:38

Und dann definieren Sie die unterstützenden Anwendungen

18:38 – 18:45

Sobald diese laufen – zusammen mit den missionskritischen, geschäftskritischen und unterstützenden Anwendungen – ist Ihre gesamte Umgebung betriebsbereit.

18:45 – 18:50

Denken Sie daran: Wir sprechen oft von der Reaktion auf Vorfälle und meinen damit die Sicherheit.

18:50 – 18:58

Die Reaktion auf Vorfälle ist als Prozess oder als institutionelles Wissen erforderlich, nicht nur bei Sicherheitsvorfällen.

18:58 – 19:01

Man könnte eine fehlerhafte Software haben, die einen lahmlegen könnte.

19:01 – 19:08

Man könnte eine KI haben, eine agentenbasierte KI-Software, die etwas tun könnte, die vielleicht anruft

19:08 – 19:10

und deine Umgebung ausblenden.

19:10 – 19:13

Für mich geht die Reaktion auf Vorfälle über reine Sicherheitsaspekte hinaus.

19:13 – 19:17

Das hilft einem doch wirklich dabei, die operative Leistungsfähigkeit des Unternehmens zu definieren, oder?

19:17 – 19:27

Und genau deshalb kommt das Konzept des „Mission Protocol“ oder „Minimal Viable“ ins Spiel, um Ihnen dabei zu helfen, Ihre Anwendungen und Workloads wirklich zu definieren und anschließend mit der Erstellung von Tests und

19:27 – 19:28

Verfahren zu entwickeln.

19:28 – 19:37

Ein weiterer Punkt, den ich kurz hervorheben möchte, ist: Wenn man sich das NIST-Rahmenwerk für die Reaktion auf Vorfälle ansieht, die Sonderveröffentlichung 861,

19:38 – 19:51

Die Reaktion auf Vorfälle wird oft in vier übersichtliche Phasen unterteilt: Vorbereitung, Erkennung, dann Eindämmung, Beseitigung, Recovery und schließlich Neubewertung und Wiederholung Ihrer

19:51 – 19:52

Basislinie.

19:52 – 19:58

Nun, das Problem bei diesem gesamten Konzept der Wiederherstellung ist, wie wir heute bereits gehört haben, dass es blinde Flecken schafft.

19:58 – 19:59

Denn was stellt man eigentlich wieder her?

19:59 – 20:01

Wie sehr vertraut man dem, was man wiederherstellt?

20:01 – 20:04

Sind diese Daten absolut vertrauenswürdig?

20:04 – 20:07

Sind Integritätsprüfungen enthalten?

20:07 – 20:13

Und ich denke, genau deshalb muss das NIST seine Definition von „Wiederherstellung“ überdenken und vielleicht über einen „Neuaufbau“ nachdenken.

20:13 – 20:19

Denn „Wiederherstellung“ erscheint mir im Grunde so, als hätte man eine beschädigte Wand und würde diese ausbessern.

20:19 – 20:22

Na ja, so elegant ist das nun auch wieder nicht – man flickt die Wand.

20:22 – 20:25

„Wiederherstellen“ bedeutet im Grunde, diese Mauer anhand eines bekannten Bauplans neu zu errichten.

20:26 – 20:37

Und genau deshalb – wenn man sich unsere Lösungen wie „Cloud Rewind“ und andere ansieht – helfen wir dir tatsächlich dabei, den gesamten Anwendungsstack neu aufzubauen, und zwar richtig, mit bekannten Daten, mit guten Daten.

20:37 – 20:42

Und nun haben Sie durch diesen bewährten Prozess ein gewisses Maß an Vertrauen in Ihre Recovery gewonnen.

20:42 – 20:50

Letztendlich geht es also darum, dass man die Reaktion auf Vorfälle nicht nur als reine Sicherheitsmaßnahme betrachtet.

20:50 – 20:53

Es geht um alles, was Ihr Unternehmen lahmlegen könnte.

20:53 – 20:57

Man kann ja nicht alles schon in der ersten Minute wieder zum Laufen bringen, oder?

20:57 – 21:05

Das Ziel der Incident Response besteht im Grunde darin, Probleme innerhalb von Sekunden zu erkennen, die Auswirkungen innerhalb von Minuten zu mindern und dauerhaft widerstandsfähig zu bleiben.

21:05 – 21:09

Und dafür muss man festlegen, was für das eigene Unternehmen das absolute Minimum ist.

21:09 – 21:12

Auch in diesem Zusammenhang…

21:12 – 21:14

Ich möchte hier einfach mal eine Abstimmung per Handzeichen durchführen.

21:14 – 21:17

Nehmen wir die Wayback Machine und wählen wir einfach einen Zeitraum von 10 Jahren aus.

21:17 – 21:23

Und wir sind herumgelaufen und haben allen erzählt: „Hey, wir haben diesen unglaublichen Service“ – nicht wir, sondern Commvault, also die Branche.

21:23 – 21:25

Wir werden Anwendungszuordnungen vornehmen.

21:25 – 21:32

Denn bevor man überhaupt auf eine übergeordnete Ebene wechseln und eine umfassendere Diskussion darüber führen kann, muss man zunächst den Grad der Vernetzung verstehen.

21:33 – 21:34

Und ich bin

21:34 – 21:38

Übrigens: Ich bin eher der „Das Glas ist halb voll“-Typ – nur damit Jessica das auch weiß.

21:39 – 21:45

Aber wir haben uns als Branche so sehr darum bemüht, und bei so vielen Unternehmen sind wir gescheitert.

21:45 – 21:53

Wenn ihr fragt – eigentlich werde ich gar nicht erst fragen, denn die Leute werden sich sicher melden: „Hey, habt ihr eine vollständige Anwendungsübersicht?“

21:53 – 21:56

Ich würde wetten, dass sich nicht viele melden werden.

21:56 – 22:04

Und vielleicht ist das auch in Ordnung, denn nun haben wir das Thema auf eine andere Abstraktionsebene gehoben, auf der wir es wieder aufgreifen können.

22:04 – 22:09

Aber ich bin einfach neugierig, was du davon hältst, denn du hast das wahrscheinlich in dieser ersten Runde schon durchgemacht, oder?

22:09 – 22:10

Hilft das weiter?

22:11 – 22:17

Man muss zwar immer noch definieren, was „minimal funktionsfähig“ bedeutet, aber ist es hilfreich, dass man diese detailliertere Anwendungszuordnung abstrahiert hat?

22:17 – 22:20

Nicht nur das Anwendungs-Mapping, sondern auch das Daten-Mapping.

22:20 – 22:23

Deine Anwendungen sind im Grunde genommen Nutzer der Daten.

22:23 – 22:31

Und letztendlich greift eine Ransomware-Malware oder ein Angreifer, der versucht, Ihr System zu kompromittieren, Sie nicht an, weil er Ihre Anwendung liebt.

22:31 – 22:34

Das sind doch die Aufgaben von „Power Tools“, also der Daten, oder?

22:34 – 22:39

Es ist also keineswegs so, dass Ihre Daten das Sagen haben und unsere Angriffsdienste einfach außer Kontrolle geraten.

22:39 – 22:43

Und du fragst, ob wir überhaupt jemals wüssten, wo sich unsere Anwendung befindet.

22:44 – 22:51

Vielleicht in den 70er- und 80er-Jahren, als es noch Client-Server-Anwendungen gab oder ein Terminal an einen Großrechner angeschlossen war.

22:51 – 22:55

Heute entwickelt man eine der … man geht von der Entwicklung aus

22:57 – 22:59

Man startet virtuelle Maschinen.

22:59 – 23:06

Ihr habt den gesamten DevSecOps-Prozess, bei dem Anwendungen spontan gestartet werden und Daten überall gespeichert sind.

23:06 – 23:15

Und ich denke, genau deshalb ist diese durchgängige Transparenz so wichtig: Wer verfügt über die Daten, wer greift darauf zu und wo liegen die Kontrollmechanismen?

23:15 – 23:19

Und diese Grundlagen – sozusagen das „Sicherheitsgemüse“ zu essen – haben sich stark weiterentwickelt.

23:19 – 23:22

Man muss immer noch darauf achten, dass man sein „Sicherheitsgemüse“ isst.

23:22 – 23:26

Zugriffskontrolle durch Identitätsmanagement,

23:26 – 23:32

hat gezeigt, dass man nicht darauf vertrauen kann, dass all diese seitlichen Verschiebungen zwischen den Datenpunkten sicher sind.

23:32 – 23:43

Denn Ihre Fähigkeit, auf Vorfälle zu reagieren – oder, wie ich es nenne, die Widerstandsfähigkeit gegenüber Vorfällen, die sich aus Reaktion, Wiederherstellung und den in die Widerstandsfähigkeit integrierten Maßnahmen zusammensetzt – hängt davon ab, wie

23:43 – 23:44

sobald du bereit bist, dich auf die Umgebung einzulassen.

23:45 – 23:48

Okay, Zach, ich muss dir eine Frage stellen.

23:49 – 23:51

Jeder ist überlastet, oder?

23:51 – 23:58

Alle, mit denen du zusammenarbeitest – und wenn du ins Spiel kommst, ergänzt du das mit deinen unglaublichen Fähigkeiten, Fähigkeiten, die sie nicht haben.

23:58 – 24:00

Haben die Leute denn keine Zeit dafür?

24:00 – 24:10

Ich meine, das sind wichtige Punkte, auf die Ricky hinweist, aber wenn man es konkret auf die Basisebene herunterbricht: Was ist los, warum können wir das nicht zumindest teilweise umsetzen?

24:10 – 24:13

Was hält die Leute davon ab, das zu definieren?

24:13 – 24:16

Nun, weil es tatsächlich eine ganze Reihe von Dingen gibt.

24:16 – 24:20

Ich würde tatsächlich sagen, erstens: die Kultur.

24:21 – 24:32

Es gibt diese Abteilungen, vor allem in älteren Unternehmen, und ich möchte auf das Application-Mapping hinweisen: Wenn Ihre Anwendung zwei Monate alt ist,

24:32 – 24:34

weiß man ganz genau, worum es geht.

24:34 – 24:42

Sobald sie zwei Jahre alt ist und sich wie ein Spinnennetz überall verzweigt, hat man keine Ahnung mehr, was da eigentlich vor sich geht.

24:42 – 24:47

Und genau so entstehen diese Unternehmenskulturen in älteren Unternehmen.

24:48 – 24:53

Der Sicherheitsmitarbeiter, der Backup-Mitarbeiter, der Endpunkt-Mitarbeiter – und die kommen nicht miteinander klar.

24:53 – 24:57

Man verkehrt doch mit seinen eigenen Leuten, oder?

24:57 – 25:05

Ich habe gestern jemandem erzählt, dass ich 30 Jahre Erfahrung in der IT habe und davon 17 Jahre im Bereich Sicherheit gearbeitet habe.

25:06 – 25:18

In diesen 17 Jahren habe ich meine Kollegen vom Sicherheitsdienst keinen einzigen Tag lang getroffen, was verrückt ist, denn wenn man mal darüber nachdenkt: Was mache ich eigentlich als Sicherheitsmitarbeiter?

25:18 – 25:23

Ich kümmere mich nicht um die Sicherheit der Menschen oder ihrer Autos.

25:23 – 25:27

Ich schütze die Daten ebenfalls, genau wie die Leute vom Backup.

25:29 – 25:38

Ich denke, in Unternehmen und in der Unternehmenskultur müssen wir unsere Sichtweise auf die Rollen der anderen und darauf, was wir dort tatsächlich tun, ändern.

25:38 – 25:49

Ich bin dafür zuständig, Firewalls, IPS, SIM, SOC und all diese tollen Dinge einzurichten sowie forensische Untersuchungen, Stresstests und die Architektur zu übernehmen.

25:49 – 25:54

Der Grund dafür lässt sich letztendlich darauf zurückführen, was jeder dort tut.

25:54 – 26:04

Und es geht darum, diese Daten aufzubauen, die Anwendungen zu entwickeln und den Dienst bereitzustellen – entweder intern oder extern für die breite Öffentlichkeit,

26:05 – 26:08

Jessica, ich konnte spüren, wie du ganz gespannt da standest.

26:08 – 26:10

Wie kann man das bewältigen?

26:10 – 26:17

Ich meine, das muss auf einer ganz anderen Ebene vermarktet werden, um diesen kulturellen Aspekt zu verändern.

26:17 – 26:19

Ich finde es toll, dass Sark das Thema Kultur angesprochen hat.

26:20 – 26:28

Auch zu Rickys Anmerkung, dass es bei einem Vorfall oder bei der Vorbereitung auf einen Vorfall um so viel mehr geht als nur um Sicherheit.

26:28 – 26:35

Und ja, natürlich sprechen wir über Infrastruktur, wir sprechen über Backups, aber wir denken auch an die gesamte Organisation.

26:37 – 26:40

Wir machen uns Gedanken über die Unternehmenskultur und darüber, wie jeder davon betroffen sein kann.

26:40 – 26:46

Während Ricky sprach, habe ich darüber nachgedacht, was dieses Jahr in Großbritannien passiert ist.

26:46 – 26:56

Ich komme also aus Großbritannien, lebe jetzt in Las Vegas, habe dieses Jahr aber viel Zeit in Großbritannien verbracht, und einer meiner Lieblingsorte ist Marks & Spencer.

26:57 – 27:03

„Marks & Spencer“ sind, wie jeder weiß, sehr groß – sehr groß und sehr lang.

27:03 – 27:14

Ein Vorfall in diesem Jahr: Ich war am ersten Tag dort und wollte mit meiner Karte ein paar Lebensmittel kaufen, aber sie funktionierte nicht. Ich dachte mir: „Was ist hier denn los?“, und es stellte sich heraus, dass es der Tag war,

27:14 – 27:20

eines Cyberangriffs, der ihre Website lahmgelegt hat. Ich habe den Überblick verloren, wie lange das schon dauert, aber wir sprechen hier von Monaten.

27:20 – 27:23

Lieferkette – die Regale waren leer.

27:23 – 27:31

Ich war bei Marks & Spencer, und die Regale waren leer, oder es gab nur ein einziges Produkt, das quasi ein ganzes Regal ausfüllte.

27:31 – 27:35

Da standen dann zum Beispiel hundert Flaschen Coca-Cola statt der üblichen Auswahl.

27:35 – 27:39

Außerdem unterhalte ich mich mit allen, die sich dort im Verkaufsraum aufhalten.

27:39 – 27:42

Ich gehe ins Café und unterhalte mich mit den Leuten, die dort arbeiten.

27:42 – 27:46

Ich erzähle ihnen nicht, dass ich im Bereich Cybersicherheit arbeite, sondern sage einfach nur: „Oh …“

27:46 – 27:47

„Ihr habt keine Avocados.“

27:47 – 27:50

Hat das etwas mit dem Cybervorfall zu tun?

27:50 – 27:53

Und ich fand es so interessant, wie sie darauf reagiert haben.

27:54 – 28:00

Erstens – und das galt für alle, mit denen ich gesprochen habe – haben sie zunächst einmal eingeräumt, wie schwierig es für sie war.

28:00 – 28:02

Und sie sagten: „Wir kommen jeden Tag zur Arbeit.“

28:02 – 28:04

Wir wissen nicht, was uns erwartet.

28:04 – 28:14

Wir wissen nicht, ob wir keine Ware vorfinden, die wir den Kunden geben oder bereitstellen können, oder ob es so ist wie in der Woche vor Weihnachten und wir mit

28:14 – 28:15

Waren.

28:15 – 28:21

Kunden fragen uns, ob wir XYZ auf Lager haben, und wir können das im System nicht nachsehen – wir wissen es einfach nicht.

28:21 – 28:23

Sie würden also anerkennen, wie schlimm die Lage war.

28:23 – 28:29

Und dann sagten sie: „Aber wir haben so viel Glück, weil wir alle so gut als Team zusammenarbeiten.“

28:29 – 28:31

„Wir unterstützen uns alle gegenseitig.“

28:31 – 28:34

Wir erhalten ständig Nachrichten von der Zentrale.

28:34 – 28:41

Und ich habe bei verschiedenen Gelegenheiten gehört, wie viel Respekt sie vor dem Sicherheitsteam hatten.

28:41 – 28:45

Sie sagten Dinge wie: „Das Technikteam arbeitet so hart daran, alles in Ordnung zu bringen.“

28:45 – 28:47

Und sie arbeiten rund um die Uhr.

28:47 – 28:52

Ich habe gehört, dass sie im Büro schlafen und sich Pizza liefern lassen.

28:52 – 28:54

Und das war übrigens noch nicht einmal in der Nähe der Zentrale.

28:54 – 28:57

Das liegt im Nordosten Englands, im Vergleich zu London.

28:57 – 28:59

Und ich dachte mir, dass wir daraus so viel lernen können.

28:59 – 29:02

Und ich habe immer wieder über Wang nachgedacht.

29:02 – 29:03

Und ich dachte mir: „Na ja, warum mache ich das eigentlich?“

29:03 – 29:04

Gehst du gerne zu Marks & Spencer?

29:04 – 29:10

Es ist so: Die Marke strahlt Vertrauen aus und hat eine eigene Persönlichkeit.

29:10 – 29:17

Und daraus kann ich nur schließen, dass sich dies sowohl intern als auch nach außen hin zeigt.

29:17 – 29:20

Die Kommunikation ist also etwas, von dem wir lernen können.

29:20 – 29:27

Der Respekt, der von der Spitze der Organisation bis in alle Ebenen hinabreichte, schlug sich dann auch wider.

29:27 – 29:30

Und das entsteht nicht durch einen einzelnen Vorfall.

29:30 – 29:33

Das entwickelt sich über Jahre hinweg in einer Unternehmenskultur.

29:33 – 29:36

in guten Zeiten, und sie wird auf die Probe gestellt, wenn es mal nicht so gut läuft.

29:36 – 29:38

Das ist interessant.

29:38 – 29:44

Ein weiterer Faktor, der die ganze Sache sehr kompliziert macht, ist, dass wir heute in einer Welt der geteilten Verantwortung leben, nicht wahr?

29:44 – 29:54

Unternehmen haben heute also nicht nur mit den Silos zu kämpfen, die innerhalb ihrer IT-, Rechts- und Anwendungsdatenbank-Teams bestehen.

29:54 – 29:59

sondern Sie betreiben mittlerweile auch eine Umgebung, in der die Workloads kosten-

30:05 – 30:09

Darüber hinaus gibt es Systemintegratoren, die Ihnen bei der maßgeschneiderten Integration und ähnlichen Aufgaben helfen.

30:09 – 30:12

Wo liegt also eigentlich die Verantwortung?

30:12 – 30:23

Denn man muss das Modell der geteilten Verantwortung betrachten, für das wir uns bewusst entschieden haben und bei dem wir die Sicherheit der Infrastruktur, der Clouds und der

30:23 – 30:25

Anwendungen sowie der On-Prem-Systeme.

30:25 – 30:35

Und in diesem Umfeld der geteilten Verantwortung stellt dies das konkurrierende Problem dar, auch wenn jeder die Notwendigkeit versteht, eine Sicherheitskultur zu etablieren.

30:35 – 30:41

Und das hält die Leute davon ab, diese IR-Pläne tatsächlich zu erstellen und zu testen.

30:41 – 30:47

Und ich glaube, dass jene Unternehmen, die diesen Kampf gewinnen werden, gezielt daran arbeiten, ein gemeinsames Publikum zu schaffen.

30:47 – 30:54

Wissen Sie was? Es ist wichtig, dass alle unsere Partner mit uns zusammenarbeiten, diese Pläne entwickeln und sie dann umsetzen.

30:54 – 30:59

Denn in Krisenzeiten werdet ihr euch auf das Prinzip der geteilten Verantwortung verlassen.

30:59 – 31:03

Und auf alle Beteiligten, die euch dabei helfen, wieder auf die Beine zu kommen.

31:04 – 31:09

Ja, ein interessanter Punkt, und Zach, als du gesagt hast: „Hey, ich habe nicht mit ihnen gesprochen.“

31:09 – 31:11

Es war nicht so, dass du sie nicht mochtest.

31:11 – 31:14

Es war nicht so, dass du ihnen gegenüber voreingenommen warst oder so.

31:14 – 31:16

Du denkst dir einfach: Ich habe viel zu tun.

31:16 – 31:19

Das ist es, was ich tue.

31:19 – 31:25

Und das muss über eine viel umfassendere vertikale Ebene innerhalb der Organisation hinausgehen.

31:25 – 31:26

Leute, wir Sicherheitsleute.

31:26 – 31:30

Wir denken doch ziemlich viel über uns selbst nach, oder?

31:30 – 31:30

Ja.

31:33 – 31:33

die Grenze.

31:33 – 31:35

Spitzenklasse.

31:35 – 31:35

Richtig.

31:35 – 31:39

Und ich frage mich auch, ob irgendetwas eingebaut wurde, um dich zum Reden zu animieren.

31:39 – 31:40

Überhaupt nicht.

31:40 – 31:42

Oder um gemeinsam zu lernen.

31:42 – 31:47

Man könnte sagen, wir können das so betrachten, als hätten wir es nicht getan.

31:47 – 31:49

Aber hat die Organisation das ermöglicht?

31:49 – 31:53

War das etwas, das bewusst so gestaltet wurde, um Anreize zu schaffen?

31:53 – 31:55

Ja, das ist doch unmöglich.

31:55 – 32:01

Und deshalb sage ich den Leuten, dass man

32:01 – 32:07

seine wichtigsten Mitarbeiter aus dem gesamten Unternehmen mitnehmen und sie jede Woche auf ein Bier einladen.

32:07 – 32:10

Sie müssen miteinander reden.

32:10 – 32:19

Auch wenn es nicht um Zusammenarbeit oder Ähnliches geht – sie müssen die Namen, Telefonnummern und Aufgaben der anderen in der Organisation kennen, damit alles reibungslos läuft.

32:19 – 32:30

Denn damit schafft man – ohne es zu merken – eine Trennung, man trennt die gesamte Organisation von innen nach außen, und es gibt keine Möglichkeit, es gibt keine …

32:30 – 32:34

Verbindungen für eine echte, offene Kommunikation untereinander.

32:34 – 32:45

Ich hatte eine Organisation – ich erinnere mich, dass sie während des Lockdowns große Schwierigkeiten damit hatten, diese Teams dazu zu bringen, miteinander zu interagieren, besonders jetzt, wo sie nicht im

32:45 – 32:48

Sie waren im Büro, wissen Sie, und haben mit Lego gebaut.

32:48 – 32:59

Sie haben jedem einzeln ein kleines Lego-Set geschickt, alle über Zoom, Teams oder was auch immer zusammengebracht, und dann haben alle zu Hause Lego gebaut, getrennt voneinander, aber

32:59 – 33:00

gemeinsam.

33:00 – 33:01

Und es hat geklappt.

33:01 – 33:04

Einfach, günstig und es stärkt den Teamgeist.

33:04 – 33:05

Wie ironisch.

33:05 – 33:06

Wir sind gerade mitten in der Keynote.

33:06 – 33:09

Es gibt Agenten, die bestimmte Aufgaben automatisch erledigen.

33:09 – 33:11

Es wird Menschen auf dem Mars geben.

33:11 – 33:16

Und wir reden buchstäblich nur über Legos und Pizza und darüber, wie man sich Zeit nimmt.

33:16 – 33:18

Aber es ist doch echt, oder?

33:18 – 33:24

Wir denken so viel auf einer höheren Ebene, aber es gibt einfach ein paar grundlegende Dinge, zu denen wir zurückkehren müssen.

33:24 – 33:28

Außerdem, Zach, in diesem Zusammenhang … ähm, wir haben von „Res Ops“ gehört.

33:28 – 33:30

Das liegt gerade im Trend.

33:30 – 33:32

tief in Twitter oder X.

33:32 – 33:34

Entschuldigung, mein Gott, ich habe den veralteten Begriff verwendet.

33:34 – 33:35

Außerdem.

33:35 – 33:37

Erzähl uns doch mal etwas darüber.

33:37 – 33:44

Ich meine, ich weiß, dass es gerade im Trend liegt und dass wir versuchen, das umzusetzen, aber dahinter steckt doch etwas Echtes, oder?

33:44 – 33:54

Denn hinter den Tools, der Vernetzung – wie auch immer wir es nennen wollen – stecken nach wie vor reale Elemente, die Res Ops zur Realität machen.

33:54 – 34:03

Vielleicht kannst du uns also aus der Perspektive der Tools und unserer Sichtweise auf diese Resilience-Maßnahmen ein Gefühl dafür vermitteln, was das in der Praxis wirklich bedeutet?

34:06 – 34:09

Res Ops ist also …

34:10 – 34:17

Nun, man hat die Tools, die Mitarbeiter und die Prozesse, aber wenn man das nicht testet – ich komme noch einmal auf diese Sache mit dem Testen zurück, Chris.

34:17 – 34:24

Man muss dranbleiben. Wenn man es nicht ausprobiert, hat man all diese Tools, für die man seit Jahren Abonnements bezahlt.

34:24 – 34:30

Das ist so wie meine, ähm, Mitgliedschaft in einem, äh, Golfclub, wo …

34:30 – 34:31

äh

34:31 – 34:38

Ich war in zwei Jahren zweimal dort und habe am Ende Tausende für diese beiden Besuche ausgegeben.

34:38 – 34:47

Man hat also all diese Tools, für die man bezahlt, die man abonniert und für die man Server kauft, und die laufen dort im Hintergrund.

34:47 – 34:50

Ähm

34:50 – 35:00

Wenn man nicht weiß, wie man sie einsetzt, und dann ein Vorfall eintritt, behindern sie einen bei der Wiederherstellung nur.

35:00 – 35:08

Ehrlich gesagt muss man diese Tools doch erst wiederherstellen, wenn erst einmal richtig etwas schiefgeht, oder?

35:08 – 35:16

Ähm, also die Tools sind nichts, worüber man sich – ehrlich gesagt würde ich Unternehmen raten, sich im Moment gar keine Gedanken über die Tools zu machen, denn

35:17 – 35:24

Denn wenn ihr das nicht tut, wenn eure Mitarbeiter nicht wissen, wie sie sich verhalten sollen – zum Beispiel, wenn ihr gerade mitten in einem Vorfall steckt –, was macht ihr dann?

35:24 – 35:25

Wie verhalten Sie sich?

35:25 – 35:27

Was ist der nächste Schritt, den du unternehmen wirst?

35:27 – 35:30

Na ja, ich verstehe das mit dem Optimismus.

35:30 – 35:40

Es geht lediglich darum, diese Denkweise bei einem Kunden zu verankern; man kann nicht einfach sagen, es sei alles nur …

35:40 – 35:41

äh

35:42 – 35:44

Nur Rosen und Sahne, oder?

35:44 – 35:46

Du musst sagen, was passieren wird.

35:46 – 35:54

Ansonsten, wenn du weiterhin so optimistisch bleibst, werden sie einfach sagen: „Dann klingt es ja so, als bräuchten wir das alles gar nicht, oder?“

35:54 – 35:56

Ja, da stimme ich zu.

35:56 – 35:59

Es geht nicht darum, zu leugnen, dass das Schlimme passieren wird.

35:59 – 36:06

Es geht darum, wie man über etwas Negatives so spricht, dass man die Leute trotzdem mitreißen kann.

36:06 – 36:08

Das Gleiche gilt, wenn ich auf Gefahren hinweise.

36:08 – 36:10

Weißt du, ich gehe hin und kläre die Leute auf.

36:10 – 36:12

Ich erstelle Informationsmaterial.

36:13 – 36:13

und

36:13 – 36:16

Und natürlich spreche ich über die negativen Aspekte.

36:16 – 36:20

Ich kann das Bewusstsein für Cybersicherheit nicht schärfen, ohne über die Bedrohung zu sprechen.

36:20 – 36:27

Aber man muss das in einem angemessenen Rahmen tun, damit die Leute nicht denken, man würde zu seinem eigenen Vorteil übertreiben.

36:27 – 36:37

Und dann muss man darüber nachdenken, wie man Menschen befähigen und stärken kann – selbst wenn man über etwas Negatives spricht –, damit sie das Gefühl haben, sich dennoch damit auseinandersetzen zu können.

36:37 – 36:39

Und sobald man…

36:39 – 36:41

Nun, natürlich wird man nicht erst auf den Vorfall warten.

36:41 – 36:43

Aber sobald man so etwas wie ein…

36:43 – 36:55

Wenn du eine Übung durchführst – eine virtuelle Notfallübung, wie wir sie im Recovery Range haben –, dann wirst du verstehen, dass du all diese 10, 20 bis 100 Tools sehen wirst, und du wirst sagen: „Na ja, wir…“

36:55 – 37:03

Wir haben noch nicht einmal eines davon bei der Wiederherstellung unserer Umgebung eingesetzt, oder? Ähm, wenn man an diesen Punkt gelangt

37:04 – 37:16

Dann kannst du natürlich all diese überflüssigen Dinge über Bord werfen und schließlich an einen Punkt gelangen, an dem du ein schlanker, MVC-orientierter Typ bist, der problemlos Wiederherstellungen durchführen kann.

37:16 – 37:21

Nun, man weiß, was man tun will, und man hat seine Leute gut genug geschult.

37:21 – 37:27

Das geht nicht, daher kannst du diese Übungen nicht ohne die Kommunikation zwischen diesen Teams durchführen.

37:27 – 37:28

Und das ist ein Begriff.

37:28 – 37:28

Außerdem.

37:29 – 37:33

Wenn du sie nicht Bier holen schickst, dann bring sie wenigstens ins Zimmer.

37:33 – 37:42

Und fang mit den Übungen an, bei denen du dir vorstellst, wie Dinge in deiner Umgebung schiefgehen könnten.

37:42 – 37:44

Dann frag: Was wirst du tun?

37:44 – 37:45

Was wirst du tun?

37:45 – 37:49

Und das ist wieder einmal eine Übung, bei der man mit dem Finger auf andere zeigt.

37:49 – 37:51

Es ist doch so, als müssten wir das offen auf den Tisch legen, oder?

37:52 – 37:56

Man muss die Menschen auf angemessene Weise aus ihrer Komfortzone herausholen.

37:56 – 37:59

Sie müssen zunächst einmal verstehen, was „Tabletops“ im Park sind.

37:59 – 38:03

Ich meine, ein „Tabletop“ ist eben auch etwas, das man nutzen muss.

38:04 – 38:05

Es gibt Tabletop-Übungen.

38:05 – 38:07

Es gibt „Re-Move“-Übungen.

38:07 – 38:10

Es gibt doch auch Übungen mit dem roten und dem violetten Schlüssel, oder?

38:10 – 38:12

Und jede davon hat ihren Platz in einer Organisation.

38:12 – 38:20

Nehmen wir also an, eine Organisation ist eine etablierte Größe, sie hat festgelegt, wie ihr minimal funktionsfähiges Unternehmen aussehen muss, sie hat alle ihre Prozesse eingerichtet, sie

38:20 – 38:27

die gemeinsame Verantwortung geregelt ist und sie auch verstanden haben, dass wir, ja, über den menschlichen Körper hinausblicken müssen.

38:27 – 38:30

Wie fängt man damit an?

38:30 – 38:31

Was hilft dir bei der Vorbereitung?

38:31 – 38:37

Tabletop-Übungen sind also im Wesentlichen Übungen mit geringem Stressfaktor.

38:37 – 38:38

Es handelt sich nicht um Schulungsmodule.

38:38 – 38:48

Es handelt sich um halbtägige oder ganztägige Sitzungen, bei denen man gemeinsam die Verantwortung dafür übernimmt, die Teilnehmer dabei anzuleiten, eines der wahrscheinlichsten Szenarien zu üben, mit denen Ihre

38:48 – 38:51

Unternehmen am ehesten erleben wird.

38:51 – 38:53

Und das hilft euch dabei, Klarheit zu gewinnen.

38:55 – 38:57

Red Teams sind von ganz anderer Art.

38:57 – 38:58

Sie sind Kämpfer, die um ihr Leben kämpfen.

38:58 – 39:02

Und rote Teams helfen einem im Grunde dabei, eine Gemeinschaft aufzubauen.

39:02 – 39:07

Es gibt also einen echten Unterschied zwischen dem, was Klarheit schafft, und dem, was Demut schafft.

39:07 – 39:08

Das gefällt mir.

39:08 – 39:11

Und dann sind „Rebuild“-Übungen im Grunde eine Quelle der Wahrheit.

39:11 – 39:16

Es handelt sich um eine Reflexion, bei der man sich mit der Bewertung der Reife der Cyber-Resilienz auseinandersetzt.

39:16 – 39:17

Und man sagt sich: Weißt du was?

39:17 – 39:20

Wir haben all diese Pläne, die wir auf der Grundlage unserer Bewertung erstellt haben.

39:20 – 39:23

Wie sehr gehen unsere Pläne schief?

39:23 – 39:27

Das ist die Wahrheit: Die Weibull-Übung ist ganz anders.

39:28 – 39:34

All diese Faktoren müssen zusammenkommen, damit man wirklich ein Gefühl dafür bekommt, wie gut man vorbereitet ist.

39:36 – 39:38

Du meinst also, es ist einfach.

39:38 – 39:40

Das schreibe ich mir mal auf.

39:40 – 39:42

In gewisser Weise ist es das auch.

39:42 – 39:43

Bitte, bitte.

39:43 – 39:44

Ich habe dich unterbrochen.

39:44 – 39:45

Nein

39:51 – 39:52

Zunächst einmal

40:03 – 40:09

Bei den beiden anderen Treffen im Monat besprechen wir geschäftliche Angelegenheiten.

40:09 – 40:13

Was passieren könnte, was tatsächlich passiert, wer die Verantwortung trägt und an wen man sich wenden kann.

40:13 – 40:19

Und ich habe die Kommunikation zwischen allen aufgebaut, sodass jede Abteilung die Dinge genau gleich sah.

40:19 – 40:25

Jeder wusste, dass er gar kein so schlechter Mensch ist, auch wenn er dort arbeitet oder sie dort arbeitet.

40:25 – 40:28

Jetzt weiß ich, dass wir eine Familie sind, dass wir ein Unternehmen sind.

40:28 – 40:29

Wir alle haben ein Interesse daran.

40:29 – 40:31

Wenn etwas schiefgeht …

40:31 – 40:33

Wissen wir, wie man das in Ordnung bringt?

40:33 – 40:34

Wir vertrauen einander.

40:34 – 40:39

Ich habe hingegen schon in Unternehmen gearbeitet, in denen jemand gesagt hat: „Das ist dein Problem.“

40:39 – 40:40

Das ist nicht unser Problem.

40:40 – 40:45

Und dann stößt das Unternehmen an seine Grenzen. Alle Gewinne gehen zurück.

40:45 – 40:46

Das Geld schwindet.

40:46 – 40:52

Wenn es sich dann um einen Cyberangriff handelt, wird die Versicherung kommen und sagen: „Wissen Sie, Sie halten sich nicht an die Vorschriften.“

40:52 – 40:53

Wir werden Ihnen den Versicherungsschutz entziehen.

40:54 – 41:00

Ich habe das so gestaltet, damit wir nicht auf Bier ausweichen, denn ich möchte das Trinken nicht fördern.

41:03 – 41:04

Wir gehen zum Mittagessen.

41:04 – 41:05

Sprich nicht über die Arbeit.

41:05 – 41:07

Lernt euch einfach gegenseitig kennen.

41:07 – 41:09

Das bleibt doch auf der menschlichen Ebene, oder?

41:09 – 41:09

Genau.

41:09 – 41:10

Es auf der menschlichen Ebene belassen.

41:10 – 41:13

Und wenn man sich hinsetzt, sage ich ihnen …

41:15 – 41:15

Dienst.

41:21 – 41:23

Jeder ist also jemand anderes.

41:23 – 41:25

Jetzt redet ihr alle.

41:25 – 41:26

Alle redeten.

41:26 – 41:27

Und lernt euch kennen.

41:27 – 41:31

In der kommenden Woche, wenn wir das Treffen haben, okay, dann setzen wir uns jetzt hin.

41:31 – 41:32

Wir werden uns unterhalten.

41:36 – 41:40

Ich sagte zu ihm: „War das so?“

41:40 – 41:42

Und, äh, das Lennox-Hill-Krankenhaus.

41:42 – 41:43

Was hältst du davon?

41:43 – 41:48

Was haben sie falsch gemacht, was kann uns helfen, uns zu verbessern, was hat uns geholfen, uns zu verbessern?

41:48 – 41:55

Denn jetzt nutzen wir einen Angriff von außen, um eine Strategie zu entwickeln, mit der wir stärker werden können.

41:56 – 41:58

In den acht Monaten, seit dies geschehen ist …

42:04 – 42:06

sich in ihrer Haut wohlfühlen.

42:06 – 42:12

Ich sagte: „Das ist alles – ich wünschte, ich hätte damals Jessicas Buch gelesen.“

42:12 – 42:14

Und ich sage ihnen, dass es dabei vor allem um die zwischenmenschliche Kommunikation geht.

42:14 – 42:18

Denn sie kommunizieren jetzt alle miteinander.

42:18 – 42:22

Haben das alle gehört? Können das alle hören? Haben das alle gehört?

42:22 – 42:24

Ich meine, ganz einfach.

42:24 – 42:26

Durchsetzbar und wiederholbar, oder?

42:26 – 42:29

Weil du das Monat für Monat für Monat gemacht hast, oder?

42:29 – 42:30

Ja, genau.

42:31 – 42:32

Fantastisch.

42:32 – 42:34

Da gab es ein paar wirklich wichtige Punkte.

42:34 – 42:42

Erstens: Du verwendest das Wort „Vertrauen“ – es geht darum, Vertrauen in diesen Beziehungen aufzubauen, nicht nur Vertrauen im beruflichen Sinne, sondern Vertrauen auf menschlicher Ebene.

42:42 – 42:43

Und dann das

42:43 – 42:52

Lernkultur: Sobald wir ein gewisses Maß an Vertrauen aufgebaut haben, uns besser kennengelernt haben und uns miteinander wohlfühlen, setzen wir uns zusammen und wir…

42:52 – 42:53

über einen Vorfall sprechen.

42:53 – 42:59

Wir werden darüber sprechen, was vielleicht gut gelaufen ist, was schiefgelaufen ist, und wir werden über uns selbst nachdenken und darüber, was wir anders machen können.

42:59 – 43:05

Weil ihr diese vertrauensvollen Beziehungen aufgebaut habt, werden sich die Menschen dann wohler dabei fühlen, dies zu tun.

43:05 – 43:12

Außerdem Vertrauen, Lernen, Kultur und der Aufbau einer wirklich umfassenden Kommunikationskultur.

43:12 – 43:13

Ich halte das für sehr wichtig.

43:13 – 43:23

Und wenn dann etwas schiefgeht und man als Einzelperson nicht weiß, an wen man sich wenden soll, aber hier und da ein paar Leute kennt, kann man zu ihnen gehen und sagen: „Hey, das ist passiert.“

43:23 – 43:24

„Das macht mir Sorgen.“

43:24 – 43:25

Was können wir tun?

43:25 – 43:27

Und steckt eure Köpfe zusammen.

43:27 – 43:30

Aber vieles davon hängt von der Kultur ab und davon, dass sich die Menschen sicher fühlen.

43:30 – 43:34

Äh

43:34 – 43:40

Ich muss hier eine Quelle angeben, denn was ich jetzt sagen werde, stammt aus einem Podcast, den ich heute Morgen etwas früher aufgenommen habe.

43:40 – 43:49

Und dieser Herr war der Datenschutz- und Ausfallsicherheitsingenieur bei Blue Cross Blue Shield South Carolina Hillman.

43:49 – 43:49

Er ist hier.

43:49 – 43:51

Er ist ein toller Typ.

43:51 – 43:58

Und als wir zum Ende kamen, habe ich gefragt: „Hey, gibt es etwas, das du allen Hörern dieses Podcasts mit auf den Weg geben möchtest?“

43:58 – 44:02

Denn er ist seit 25 Jahren im Bereich Datenschutz tätig.

44:02 – 44:04

Äh

44:04 – 44:05

Er liebt seine Arbeit.

44:06 – 44:14

Und er sagte: „Weißt du, schon als ich als junger Mann direkt nach dem Studium am Helpdesk angefangen habe, bis heute.“

44:14 – 44:19

Nimm dir das vor und stürze dich mitten in eine Situation.

44:20 – 44:24

Hab keine Angst, denn du wirst staunen, wer dir folgt.

44:24 – 44:35

Und ich dachte mir: Weißt du, es ist nichts Weltbewegendes, aber diese Leidenschaft, keine Angst davor zu haben, sich ins Getümmel zu stürzen – und dann ist es erstaunlich, wen man dabei mitreißt, wenn das

44:35 – 44:36

passiert.

44:36 – 44:45

Und wenn man das zusätzlich zu dem hat, was man bereits geleistet hat – wo sie sich treffen und kennenlernen –, dann fügt sich das Ganze nahtlos zusammen

44:45 – 44:47

Und dabei entstehen doch gute Dinge, oder?

44:47 – 44:58

Ich denke, mein einziger Einwand dagegen – und das hängt wahrscheinlich zum Teil mit der Kultur zusammen – ist, dass es vom Umfeld abhängt, in dem man das tut, ob die Leute mitmachen oder

44:58 – 45:09

Ob sich die Menschen in diesem Umfeld wohlfühlen oder ob sie das Gefühl haben, wie Zak zuvor sagte, dass mit dem Finger auf sie gezeigt wird?

45:09 – 45:13

Werde ich mich aus der Deckung wagen und zu demjenigen werden, dem die Schuld gegeben wird?

45:13 – 45:14

Oh

45:14 – 45:19

Und es wirft möglicherweise auch Fragen zum Burnout auf.

45:19 – 45:24

Wenn ich immer derjenige bin, der herbeieilt, um Probleme zu lösen – wann wird das seinen Tribut fordern?

45:24 – 45:27

Da braucht man im Einsatz ein bisschen Kameradschaft.

45:28 – 45:32

Und wenn man die richtige Unternehmenskultur hat, die einen dabei unterstützt, dann stimme ich vollkommen zu.

45:32 – 45:43

Doch in Organisationen, in denen diese Beziehungsbildung fehlt, in denen es an Empathie und Vertrauen mangelt und in denen die psychologische Sicherheit fehlt, sich keine Sorgen machen zu müssen über

45:43 – 45:44

beschuldigt zu werden,

45:44 – 45:47

Dann ist das meiner Meinung nach ein ganz anderes Szenario.

45:47 – 45:49

Das ist ein guter Punkt.

45:49 – 45:52

Das erfordert mehrere Ebenen in der Pyramide.

45:52 – 45:55

Ich möchte nicht negativ sein, ich spreche lediglich vom Optimismus-Bias.

45:55 – 45:58

Mein Gott, was ist mit den 80 % passiert?

45:58 – 45:59

Erinnert ihr euch noch?

46:07 – 46:08

ein stabiles Umfeld.

46:10 – 46:15

der IT, die vom Unternehmensteam und den einzelnen Führungskräften der Geschäftsbereiche verwaltet werden.

46:17 – 46:21

Dienstleistungen oder Bereiche, in denen es Überschneidungen gibt.

46:21 – 46:25

Es ist also wirklich eine sehr, sehr schmale Grenze, wie weit man die Ebenen miteinander verschmelzen möchte.

46:28 – 46:31

Man sollte die Dinge voneinander trennen, denn das ist eine sehr heikle Angelegenheit.

46:31 – 46:36

Wir sind fast wie acht verschiedene Geschäftsbereiche, die ihre eigenen Ziele und Prioritäten haben.

46:36 – 46:39

Dein zentralisierter, na ja, der Unternehmensmarkt ist eben einer.

46:43 – 46:50

Muss man sich erst einmal mit allen abstimmen, bevor man auch nur eine Änderung vornimmt, und wenn dann etwas schiefgeht, sind alle in ihren Gruppen sofort bereit, einen anzugreifen.

46:50 – 46:54

Da ist der Grat sehr schmal, wenn es um gemeinsame Reaktionen geht, insbesondere in Bezug auf die Cloud und alles andere.

46:54 – 46:58

Zum Beispiel, wenn du einen Mandanten und mehrere Abonnements in Azure hast.

47:01 – 47:03

Und Sie haben diese Dinge voneinander getrennt, richtig?

47:08 – 47:18

Deshalb habe ich das Thema der geteilten Verantwortung angesprochen, denn genau darin liegt der Kern des Problems, an dem wir als Branche scheitern. Und ich glaube, das ist der Grund, warum wir so viel Gegenwind haben von

47:18 – 47:23

Vorschriften, über die wir gerade sprechen, wie DORA in Europa und all die anderen Dinge.

47:25 – 47:38

zwingen die Vorstände im Grunde dazu, das Thema Ausfallsicherheit ernst zu nehmen und nachweisbare Kennzahlen einzuführen, um zu belegen, dass wir als Organisation tatsächlich das Richtige tun

47:38 – 47:45

, wenn es darum geht, Daten zu schützen und im Falle von Sicherheitsverletzungen Widerstandsfähigkeit zu beweisen.

47:45 – 47:58

Und ich denke, da immer mehr Vorschriften strenger werden und die Strafen immer härter ausfallen, wird ein Teil dieser unerwünschten, aber dringend benötigten organisationsübergreifenden Bevölkerungsgruppe und

48:03 – 48:16

Und vielleicht nicht, um den Begriff „KI“ um jeden Preis einzubauen, aber wenn wir die positiven Aspekte betrachten, müssen wir den Menschen Zeit dafür einräumen.

48:16 – 48:17

Das ist das eigentliche Problem.

48:17 – 48:24

Ich meine, ich glaube, zwischen den Zeilen könnte es nicht nur bergab gehen, sondern man muss einfach Zeit auf diese Mannschaften aufteilen.

48:41 – 48:41

Sonst noch etwas?

48:41 – 48:43

Ich weiß es zu schätzen, dass ihr beide den Stein ins Rollen gebracht habt.

48:43 – 48:45

Wir wollten gerade darauf zu sprechen kommen, das passt also super.

48:45 – 48:47

Haben Sie noch weitere Fragen?

48:47 – 48:48

Ja?

49:14 – 49:15

Thema.

49:18 – 49:18

Außerdem.

49:31 – 49:32

Darf ich mir das mal ansehen?

49:32 – 49:41

Also ja, was passiert denn, wenn man diese Übungen gemeinsam mit dem gesamten Team macht, oder?

49:41 – 49:50

Das Vertrauen, das man dabei aufbaut, ist kein Vertrauen, das durch einen Vorfall zerstört werden kann, denn genau das testet man ja eigentlich.

49:50 – 49:54

Man testet auf ein Ereignis, das in der Zukunft eintreten wird.

49:54 – 49:58

Vor diesem Hintergrund gilt also:

49:58 – 50:15

Warum sollte – okay, das ist nur eine Frage von mir – warum sollte eines der Teammitglieder jemanden anderen im Team verdächtigen, wenn ihr zwei dieser Übungen pro Jahr durchführt und sie nicht mehr als

50:15 – 50:16

erfahren.

50:16 – 50:21

Sie kommen alle zusammen und sehen, wie sich der Vorfall ereignet.

50:22 – 50:33

In einer virtuellen Sitzung wird besprochen, was passiert ist, wie sich die Ereignisse entwickelt haben, welche Sicherheitsvorschriften verletzt wurden und wie es dazu gekommen ist.

50:33 – 50:35

Und das wird dann mit dem gesamten Team besprochen.

50:35 – 50:40

Dann sieht jeder Einzelne den Angriff tatsächlich aus der Perspektive, aus der er kommt.

50:40 – 50:52

Wenn es also passiert, wenn es tatsächlich so abläuft wie in der Realität, dann bezweifle ich stark, dass dieses Vertrauen durch den Unfall erschüttert wird.

50:55 – 50:56

Ja, genau.

50:56 – 51:01

Ach, aber wenn man das Vertrauen vorher nicht aufgebaut hat.

51:01 – 51:02

Auf jeden Fall.

51:02 – 51:05

Das ist in der Tat ein sehr guter Punkt.

51:05 – 51:13

Das ist ein sehr guter Punkt: Wenn man zuvor kein Vertrauen aufgebaut hat, wird es tatsächlich viel schlimmer.

51:13 – 51:14

Ein exponentielles Problem.

51:14 – 51:21

Denn als wir darüber gesprochen haben, weiß ich von einem der Unternehmen, bei denen ich tätig war, dass…

51:21 – 51:30

In Südafrika gab es einen ganzen Unternehmensbereich – wir sprechen hier von etwa viereinhalbtausend Mitarbeitern an einem Standort.

51:30 – 51:44

Der gesamte Flügel war von jeglichem Netzwerk abgeschnitten, und der Sicherheitsmitarbeiter – ich war damals noch nicht der Sicherheitsmitarbeiter –, aber er zeigte auf den Netzwerktechniker, und dieser Netzwerktechniker war einfach nur

51:44 – 51:45

zurück.

51:45 – 51:49

Ein paar Tage lang war dieser ganze Flügel vom Stromnetz getrennt, weil sie es nicht hinbekamen.

51:50 – 51:53

Sie streiten sich ständig darüber, wessen Problem das ist.

51:53 – 52:00

Und dabei geht es um Netzwerk und Sicherheit – Bereiche, von denen man eigentlich annehmen würde, dass sie eng miteinander verzahnt sind.

52:00 – 52:01

Ja.

52:10 – 52:15

Es ist wahrscheinlich gut, über eine Lösung nachzudenken, und ich glaube, das muss von oben kommen.

52:15 – 52:21

Außerdem, wenn die oberste Führungsebene einen dabei unterstützt, aus dieser Situation herauszukommen.

52:30 – 52:34

Dass die oberste Führungsebene hinter uns steht und uns dabei unterstützt.

52:34 – 52:37

Ich meine, es war ganz klar eine Störung im Netzwerk.

52:37 – 52:42

Zwei verschiedene Unternehmen – es handelte sich sozusagen um ein Schwesterunternehmen innerhalb der Muttergesellschaft.

52:43 – 52:44

Sie hatten einen Side-to-Side-Tunnel.

52:45 – 52:49

Jede offene Verbindung zwischen den beiden Unternehmen im Netzwerk haben wir über das VPN abgewickelt.

52:49 – 52:53

Das Schwesterunternehmen benötigte lediglich Zugriff auf einige wenige Anwendungen.

53:00 – 53:04

Die Mitarbeiter des Netzwerkteams gehören zum Sicherheitsteam.

53:04 – 53:06

Genau dieselbe Situation.

53:10 – 53:21

Ach ja, und dabei geht es um das Konzept einer „Just Culture“ und die Frage, ob man eher auf Wiedergutmachung oder auf Vergeltung setzt.

53:21 – 53:26

Wenn also etwas schiefgeht, schaut man dann darauf, was schiefgelaufen ist, oder darauf, wer schuld ist?

53:30 – 53:34

Ich … gute, gute Frage.

53:34 – 53:36

Ich finde, das ist eine gute Frage.

53:36 – 53:37

Ich finde, das ist eine gute Frage.

53:37 – 53:53

Ich gut, ich, ich gut, ich gut, ich, ich finde, finde gut, ich gut, finde, es ist eine gute, gut, es ist gut, finde

53:57 – 54:00

Zeigst du mit dem Finger auf jemanden oder versuchst du, der Ursache auf den Grund zu gehen?

54:00 – 54:05

Ich glaube, wir haben alle über Verteidigung und Tiefe gesprochen.

54:05 – 54:15

Ich denke, jetzt ist es an der Zeit, unsere Denkweise – da wir uns in der „SHIFT“-Phase befinden – von „Verteidigung und Tiefe“ hin zu „Vertrauen und Tiefe“ zu verlagern.

54:15 – 54:24

Damit meine ich, dass ihr darauf vertraut, dass eure Mitarbeiter das Richtige tun, dass ihr darauf vertraut, dass sich eure Prozesse etablieren, und dass ihr auch auf die technologischen Hilfsmittel vertraut, die euch zur Verfügung stehen.

54:24 – 54:25

.

54:25 – 54:28

So zu handeln, wie du es dir vorgenommen hast.

54:28 – 54:35

Ein Beispiel: Man ist gerade dabei, Daten wiederherzustellen, aber was ist, wenn der Ransomware- oder Malware-Angriff den Recovery-Plan tatsächlich lahmgelegt oder kompromittiert hat?

54:37 – 54:42

Nehmen wir also an, Sie verfügen über keine Air-Gap-Lösung und Ihre Recovery-Umgebung ist nun kompromittiert.

54:42 – 54:45

Sie führen also eine Wiederherstellung aus einer infizierten Umgebung heraus durch, was zu Betrug führen kann.

54:45 – 54:48

Sie können diesen Daten also nicht wirklich vertrauen, oder?

54:48 – 54:54

Und ich glaube, genau deshalb werden wir uns das genauer ansehen: Toll, wir haben all diese Sicherheitsmaßnahmen, aber es kommt wieder zu einem Datenleck.

54:54 – 55:00

Und wenn man den Verstoß wiedergutmacht, dann sagt man damit: Ich werde allem implizit oder explizit vertrauen.

55:00 – 55:06

Und dann muss ich mir in meinem Kopf die Vorstellung machen, dass ich dem voll und ganz vertrauen will, was bedeutet, dass alle meine

55:06 – 55:11

Die unterstützenden Prozesse müssen vertrauenswürdig sein, damit ich einen vertrauenswürdigen Zustand erreiche.

55:12 – 55:16

Und dann denke ich, dass all das, was zuvor festgelegt wurde – und entschuldigt bitte, dass ich das so sage –, verschwinden sollte.

55:16 – 55:18

Das sollte wegfallen, richtig.

55:18 – 55:20

Nun, ich,

55:21 – 55:23

Wir haben nur noch ein paar Minuten.

55:23 – 55:24

Ich weiß euch alle wirklich sehr zu schätzen.

55:24 – 55:25

Gesang.

55:25 – 55:26

Ich weiß die Fragen wirklich zu schätzen.

55:26 – 55:32

Wir hatten gehofft – wir dachten uns: Mein Gott, werden die Leute nach all den Hähnchenröllchen überhaupt noch Fragen haben?

55:32 – 55:33

Und da waren sie dann.

55:33 – 55:36

Ein besseres Ende hätten wir uns also nicht wünschen können.

55:36 – 55:40

Aber ich möchte mich ganz herzlich bei zwei Gruppen bedanken.

55:40 – 55:41

Zunächst einmal an Jessica.

55:41 – 55:43

Danke, Ricky, Zak.

55:43 – 55:45

Ich meine, die Meilen, die hier zurückgelegt wurden.

55:45 – 55:47

Unglaublich, oder?

55:48 – 55:53

Ich hoffe, ihr konntet Ricky und mich trotz unserer Akzente gut verstehen.

55:53 – 55:55

Ich meine, die haben doch die guten.

55:55 – 56:00

Wir, na ja, Dallas und Phoenix – ich meine, komm schon.

56:00 – 56:02

Aber was noch wichtiger ist: Ich möchte dir danken.

56:02 – 56:03

Danke, dass ihr euch die Zeit genommen habt.

56:03 – 56:07

Ich weiß, dass dies eine lange Sitzung war, besonders direkt nach dem Mittagessen.

56:07 – 56:12

Und was noch wichtiger ist: Vielen Dank, dass Sie zu SHIFT gekommen sind, dass Sie Kunden von Commvault sind und uns Ihr Vertrauen schenken.

56:12 – 56:14

Das wissen wir sehr zu schätzen.

56:14 – 56:15

Außerdem.

56:15 – 56:19

Genießt den Rest eurer Breakouts und wir sehen uns da draußen.