Vorbereitung auf die Reaktion auf Vorfälle

Das menschliche Verhalten entscheidet oft über den Ausgang einer Krise. Die Vorbereitung von Teams auf Stress, Unsicherheit und Entscheidungsfindung unter Druck trägt wesentlich zur Risikominderung bei. 

Eine optimistische Voreingenommenheit lässt viele Teams glauben, dass Angriffe unwahrscheinlich sind. Die Einordnung von Cyberrisiken in geschäftliche und missionsbezogene Zusammenhänge trägt dazu bei, sinnvolle Maßnahmen anzustoßen. 

Eine starke Unternehmenskultur fördert Vertrauen, offene Kommunikation und eine schnellere Zusammenarbeit – und trägt so dazu bei, Verwirrung und blinde Flecken während Vorfällen zu reduzieren. 

Cyberangriffe beschädigen häufig Systeme und Anmeldedaten. Die Wiederherstellung ausgehend von verifizierten, sauberen Ausgangszuständen verhindert eine erneute Infektion und stärkt das Vertrauen in die Recovery. 

Übungen und Simulationen helfen dabei, ein Muskelgedächtnis aufzubauen, verborgene Lücken aufzudecken und die Reaktionszeit bei echten Angriffen drastisch zu verkürzen. 

Bitte sehen Sie sich hier das Video an, um ein Transkript mit Zeitangaben zu erhalten

00:08 – 00:10

Herzlich willkommen, alle zusammen, nochmals vielen Dank.

00:10 – 00:11

Das ist eine großartige Beteiligung.

00:11 – 00:14

Erste Arbeitsgruppe im Anschluss an die Plenarsitzung.

00:14 – 00:19

Ähm, Sie sind hier genau richtig, um sich für die Reaktion auf Vorfälle zu rüsten.

00:19 – 00:24

Wir werden uns mit den Themen „Menschen“, „Prozesse“, „Tools“ und „Technologie“ befassen.

00:24 – 00:26

Und ich bin Ihr Moderator, Chris Mierzwa.

00:26 – 00:31

Ich bin Senior Director hier bei Commvault und verantwortlich für unsere globalen Resilienzprogramme.

00:31 – 00:41

Und natürlich bin ich ein wenig voreingenommen, da es sich hier um unsere Podiumsdiskussion handelt, aber das ist eine beispiellose sechsstündige Veranstaltung ohne Toilettenpause.

00:41 – 00:46

Und ich muss euch sagen, wir haben hin und her überlegt: „Sollen wir, oder sollen wir nicht?“

00:46 – 00:49

Vielleicht verstößt es gegen die Regeln, aber wir probieren es einfach mal aus.

00:49 – 00:49

Nein, nur ein Scherz.

00:49 – 00:53

Eine Stunde in euren Kalendern, aber es ist eine der wenigen.

00:53 – 00:53

Also vielen Dank.

00:53 – 00:58

Ich weiß, dass es eine große Verpflichtung ist, die ganzen 60 Minuten hier zu bleiben, aber ich verspreche euch, dass es sich lohnen wird.

01:00 – 01:08

Wir haben drei unglaubliche Menschen versammelt, und ich werde jeden von ihnen kurz vorstellen, denn ich kann das etwas weniger bescheiden tun als sie selbst.

01:08 – 01:14

Aber ich möchte sicherstellen, dass ihr in der nächsten Stunde wisst, welches Talent hier versammelt ist.

01:14 – 01:16

Und ich hoffe, ihr seht das genauso wie wir.

01:16 – 01:27

Wir versuchen, drei einzigartige Bereiche anzugehen und miteinander zu verknüpfen, die mir zumindest einfallen und die vielleicht noch nicht behandelt wurden, wenn es darum geht, wie wir darüber nachdenken und uns vorbereiten sollten

01:27 – 01:30

auf neue und einzigartige Weise auf Vorfälle reagieren.

01:30 – 01:32

Und genau das möchten wir angehen.

01:33 – 01:36

Ohne weitere Umschweife möchte ich zunächst mit meinem Nachbarn zu meiner Linken beginnen.

01:36 – 01:36

Dr.

01:36 – 01:38

Jessica Barker.

01:38 – 01:40

Ich habe dich in den letzten Monaten ein wenig kennenlernen dürfen.

01:40 – 01:44

Ähm, das ist einzigartig.

01:44 – 01:51

Sie bringt nicht nur fundierte Kenntnisse im Bereich Cybersicherheit mit, sondern betrachtet das Thema auch aus einer menschlichen Perspektive.

01:51 – 01:59

Ich hoffe zwar, dass wir alle etwas Einzigartiges zu bieten haben, aber ich kann euch sagen, dass ihr wahrscheinlich noch nie von dem gehört habt, was sie bisher geleistet hat – aber zunächst noch ein paar einleitende Worte.

01:59 – 02:03

Zwei Bücher, weltweite Vortragsreisen.

02:03 – 02:15

Sie sitzt ständig im Flugzeug, reist um die ganze Welt, spricht mit Menschen und mit Unternehmen wie dem Ihren darüber, wie man Menschen auf Dinge vorbereitet, mit denen man normalerweise nicht

02:15 – 02:15

darüber sprechen.

02:15 – 02:18

Wie gehen sie eigentlich mit diesen Dingen um, oder?

02:18 – 02:20

Und wir werden das genauer unter die Lupe nehmen.

02:20 – 02:21

Danke, dass ihr dabei seid.

02:21 – 02:22

Ja, auf jeden Fall.

02:22 – 02:23

Alles klar.

02:23 – 02:24

Noch eine.

02:24 – 02:26

Kommen wir zu Ricky Mayer.

02:26 – 02:38

Äh, Ricky, du bist zwar erst vor ein paar Monaten zu Commvault gekommen – herzlich willkommen an Bord –, bringst aber mehr als 25 Jahre Erfahrung in der IT als Führungskraft mit und bist nun unser Vizepräsident für

02:38 – 02:42

Global and Professional Services bei Commvault.

02:42 – 02:43

Aber…

02:43 – 02:54

eine lange Karriere bei IBM, Kyndral und VMware, und wissen Sie, wenn man im Bereich Professional Services tätig ist, wird man nicht auf die Probe gestellt, wenn alles gut läuft.

02:54 – 02:56

Man wird erst auf die Probe gestellt, wenn es Herausforderungen gibt.

02:56 – 03:02

Und offensichtlich hast du schon viele davon durchlebt, und er wird uns heute viel von dieser Magie näherbringen – vielen Dank also, dass du hier bist.

03:02 – 03:04

Na gut, der große Mann.

03:04 – 03:05

Übrigens,

03:05 – 03:11

Ursprünglich aus Großbritannien, jetzt aus den USA, Dallas, Fort Worth, richtig?

03:11 – 03:15

Zak ist den ganzen Weg aus einer kleinen Stadt namens Kapstadt gekommen, richtig?

03:15 – 03:18

Ein kurzer Flug also.

03:18 – 03:19

Ein kleines Dorf.

03:19 – 03:20

Ja, ein kleines Dorf.

03:21 – 03:24

Zak und ich arbeiten ziemlich oft zusammen.

03:24 – 03:27

Ähm, wir können uns wirklich glücklich schätzen, ihn zu haben.

03:27 – 03:34

Sein Hintergrund: fundiert, technisch versiert, mit Praxiserfahrung – ah, ein absolutes technisches Talent.

03:34 – 03:40

Ich hatte im Laufe meiner Karriere das Privileg, mit vielen Menschen zusammenzuarbeiten, die über eine immense technische Scharfsinnigkeit verfügen.

03:41 – 03:54

Ich will das nicht übertreiben, aber Zach gehört eindeutig zur Spitzenklasse, und er wird uns heute einen echten Einblick aus der Praxis geben und zeigen, wie man das aus einer

03:54 – 03:54

Tool-Perspektive angehen.

03:54 – 03:57

Ich hoffe also, ich habe dem gerecht geworden.

03:57 – 03:59

Ihr werdet heute hier die Magie erleben.

03:59 – 04:03

In diesem Sinne möchte ich mit dir beginnen, Jessica.

04:03 – 04:11

Als wir uns vorbereitet haben, hast du einen Begriff ins Spiel gebracht, über den wir alle noch etwas lernen müssen, und zwar diesen hier

04:11 – 04:13

Optimismus-Bias.

04:13 – 04:18

Wenn du uns das näher erklären könntest, wäre das eine tolle Ausgangsbasis für unsere Sitzung.

04:18 – 04:19

Klar.

04:19 – 04:31

Eine Sache, die ich im Bereich Cybersicherheit wirklich hilfreich finde – da ich immer den menschlichen Aspekt betrachte –, ist, dass wir meiner Meinung nach so viel aus den Neurowissenschaften, der Psychologie und der Soziologie lernen können.

04:31 – 04:41

aus diesen Fachgebieten, die menschliches Verhalten und Denkweisen erforschen – was uns dazu bewegt, bestimmte Entscheidungen zu treffen, und was uns dazu bringt, die Dinge zu tun, die wir tun. Unter anderem

04:41 – 04:48

Konzepten und umfangreichen Forschungsarbeiten aus den Neurowissenschaften dreht sich vieles um diese Idee der „Optimismus-Verzerrung“.

04:48 – 04:55

Untersuchungen zeigen, dass 80 % der Menschen weltweit von Natur aus zum Optimismus neigen.

04:55 – 05:04

Und zwar unabhängig davon, woher wir kommen, unabhängig von Geschlecht, Alter, ethnischer Zugehörigkeit und sozioökonomischem Hintergrund.

05:06 – 05:10

Und wir blicken auf die Welt, die weite Welt, und denken, dass alles immer schlimmer wird.

05:10 – 05:17

Aber aus der Perspektive des Einzelnen, der Familie oder des Teams haben wir diese optimistische Verzerrung.

05:17 – 05:21

Im Grunde glauben wir, dass uns das Schlimme nicht passieren wird.

05:21 – 05:26

Und was die Forschung angeht – es gibt so viele Studien zu diesem Thema, viele davon wurden von Dr.

05:26 – 05:29

Tali Sharot, wenn ihr euch das also einmal ansehen wollt, kann ich es wärmstens empfehlen.

05:30 – 05:35

Und diese Forschung befasst sich im Allgemeinen mit Themen wie Gesundheit und Scheidung,

05:36 – 05:38

glauben nicht, dass ihnen etwas Schlimmes passieren wird.

05:38 – 05:42

Ich denke, das lässt sich sehr gut auf die Cybersicherheit übertragen.

05:42 – 05:54

Als ich anfing, mich damit zu beschäftigen, dachte ich: „Deshalb ist es so, dass wir, wenn wir dem Vorstand alle Statistiken vorlegen, die zeigen, dass ein Vorfall irgendwann wahrscheinlich eintreten wird, warum …“

05:54 – 05:55

sie das vielleicht einfach abtun.

05:55 – 05:58

Weil sie denken, dass das nur allen anderen passiert.

05:58 – 05:59

Aber uns wird das nicht passieren.

05:59 – 06:06

Und ich glaube, das hat enorme Auswirkungen auf alle möglichen Aspekte der Cybersicherheit

06:06 – 06:08

nicht zuletzt auf die Reaktion auf Vorfälle.

06:08 – 06:15

Und ich vermute, dass sich diese Voreingenommenheit noch verstärkt, wenn tatsächlich etwas Schlimmes passiert.

06:15 – 06:15

Ja.

06:15 – 06:19

Weil sie denken: „Das widerspricht allem, was ich mir hätte vorstellen können.“

06:19 – 06:20

Ja, genau das ist es.

06:20 – 06:30

Das untergräbt diese Art von Muskelgedächtnis, diese Belastbarkeit – die Belastbarkeit des Einzelnen, des Teams und sogar der gesamten Organisation –, weil wir denken: „Nun, wir hätten nicht gedacht, dass das passieren würde …“

06:30 – 06:30

passieren würde.

06:30 – 06:35

Es kommt also zu einem gewissen Schock, und man kennt die Werkzeuge, Prozesse und die

06:35 – 06:41

menschliche Komponente der Vorfallreaktion einfach nicht vorhanden sind, weil man nie damit gerechnet hat.

06:41 – 06:42

Ich verstehe.

06:42 – 06:43

Und noch eine Sache, die mich interessiert.

06:43 – 06:48

Wir kennen wahrscheinlich alle Menschen in unserem Umfeld, die das Glas als halb voll oder halb leer betrachten.

06:48 – 06:54

Um Ihre Statistik zu verwenden: 80 % der Menschen sehen das Glas in dieser Hinsicht als halb voll an.

06:54 – 06:55

Ja.

06:55 – 06:57

% voll, um die Analogie zu verwenden.

06:57 – 07:05

Aber man trifft Menschen, und es gibt Menschen, die weniger als zur Hälfte voll sind, aber man sagt sich innerlich, wenn sie darüber nachdenken, dass das

07:05 – 07:07

dort, wo sie immer noch bei diesen 80 sind.

07:07 – 07:15

Und auch dieser Unterschied zwischen einem vielleicht weltweit verbreiteten Zynismus und der Überlegung, wie sich die Dinge für einen selbst entwickeln werden.

07:15 – 07:17

m

07:17 – 07:21

Und innerlich sollte man seine Erwartungen kennen – Optimismus ist eine gute Sache.

07:21 – 07:25

Ich sage nicht, dass wir versuchen sollten, Optimismus aus dem Design zu verbannen.

07:25 – 07:31

Ich bin selbst ein optimistischer Mensch und erkenne oft, dass bei mir eine optimistische Verzerrung im Spiel ist.

07:31 – 07:32

Optimismus ist

07:32 – 07:41

großartig. Wir wären als Menschen nicht dort angelangt, wo wir heute sind, wenn wir nicht optimistisch wären, und, ganz ehrlich, wir hätten es schwer, den Tag zu überstehen, wenn wir nicht ein gewisses Maß an

07:41 – 07:46

Optimismus. Anstatt also zu versuchen, ähm, ihn zu gestalten

07:47 – 07:51

Das eine ist, ihn zu erkennen, und das andere, damit zu arbeiten, wann immer wir können.

07:52 – 08:02

Anstatt also, wie man so sagt, mit „Es ist nicht die Frage, ob, sondern wann“ zu drohen und den Leuten Angst einzujagen, können wir sagen: Wisst ihr was? Ein Vorfall wird wahrscheinlich passieren, aber wir können

08:02 – 08:03

darauf vorbereitet sein.

08:03 – 08:05

Es gibt Dinge, die wir tun können, um, ähm,

08:05 – 08:12

die entsprechenden Instrumente und Abläufe zu haben, und je besser wir uns vorbereiten, desto widerstandsfähiger werden wir sein.

08:12 – 08:17

Also eine optimistische Sichtweise auf etwas, das eine Herausforderung darstellt.

08:18 – 08:26

Und wie schwierig ist es, für die Menschen, die zu diesen 20 % gehören, den Durchbruch zu schaffen?

08:26 – 08:31

Oder inwieweit sind sie darauf vorbereitet, da sie in die andere Richtung voreingenommen sind?

08:31 – 08:35

Eine Voreingenommenheit gegenüber Optimismus kann dann an sich schon eine Herausforderung sein.

08:35 – 08:41

Denn man könnte denken: „Na ja, das Schlimme wird sowieso immer passieren, warum sollte ich mir also die Mühe machen?“

08:41 – 08:48

Solche Botschaften rund um das Thema „Vorbereitet sein“ funktionieren – komischerweise – für beide Seiten, was sehr hilfreich ist.

08:48 – 08:53

Ja, Ricky, ich bin mir sicher, dass bei großen Projekten auch mal etwas schiefgeht, oder?

08:53 – 08:55

Wo hast du das schon einmal erlebt?

08:55 – 09:09

Schau mal, in Krisenzeiten werden wir oft nicht den Anforderungen unserer IR-Pläne oder sonstiger Pläne gerecht. Wir fallen oft auf das Niveau unserer tatsächlichen Umsetzung zurück – ein eingespieltes Verhalten ist oft besser als

09:09 – 09:18

gute Absichten, und die Reaktion auf Vorfälle – oder wie ich es nenne: die Widerstandsfähigkeit gegenüber Vorfällen – ist genau das: ein Ziel.

09:19 – 09:25

aber ohne Übung und einstudierte Verhaltensweisen in diesem mentalen Modell und diesem mentalen Muskelgedächtnis.

09:27 – 09:35

Und wenn Ihre erste Katastrophe der Ort ist, an dem Sie Ihre erste Übung durchführen, wird das Ergebnis nicht Resilienz sein, sondern schlechte Presse.

09:36 – 09:50

Um also an Jessicas Punkt zum Optimismus-Bias anzuknüpfen: Wir neigen oft dazu zu vergessen, dass wir als Menschen uns zunächst die Prozesse und dann die uns zur Verfügung stehenden Werkzeuge ansehen und sie

09:50 – 09:54

in dieser hochkomplexen Welt, in der wir heute leben, zusammenzuführen.

09:55 – 10:01

Und wir haben heute Vormittag von unseren Hauptrednern gehört, dass die Technologie, das Umfeld – einfach alles um uns herum – immer komplexer wird.

10:02 – 10:06

Und in diesem vielfältigen und komplexen Umfeld,

10:06 – 10:17

führen erstens eine optimistische Voreingenommenheit und zweitens diese falsche Vorstellung von Sicherheit – dass wir zwar Pläne haben, diese aber nicht wirklich einstudiert oder geübt haben – dazu, dass wir uns nur noch mehr

10:17 – 10:19

Misserfolge und Erfolge.

10:20 – 10:30

Das erinnert mich daran: Ich bin mir sicher, wenn wir eine Abstimmung per Handzeichen durchführen oder uns mit euch allen unterhalten würden, würden viele sagen: „Hey, schau mal, ich könnte so optimistisch sein, wie ich will, und ich möchte es auch sein.“

10:30 – 10:34

bereit sein, aber wir haben weder das Budget noch die Zeit noch die Leute dafür.“

10:34 – 10:36

Ich vermute also, wenn diese

10:36 – 10:41

Kräfte gegen die optimistische Voreingenommenheit wirken, ist das auch eine Kraft, mit der man rechnen muss, oder?

10:41 – 10:47

So nach dem Motto: Ich möchte das gerne tun, aber die Einrichtung, für die ich arbeite, kann es sich nicht leisten und schafft es nicht, das umzusetzen.

10:47 – 10:52

Vielleicht könnten wir das im weiteren Verlauf auch ein wenig näher beleuchten, denn du siehst das wahrscheinlich auch, Zak, oder?

10:52 – 10:58

Ich meine, wenn schlimme Dinge passieren – was passiert dann mit diesen Leuten?

10:58 – 11:04

Wie reagieren sie mitten in der Situation, in dieser Art Druckkessel, wenn man so will?

11:05 – 11:08

Denn man muss verstehen, dass jeder immer noch ein Mensch ist.

11:08 – 11:11

Es spielt keine Rolle, wie oft man etwas geübt hat.

11:11 – 11:19

Auch wenn das Training und das Üben sehr helfen – im Grunde genommen ist das der Weg, wie man seine Widerstandsfähigkeit entwickelt.

11:19 – 11:23

Aber die Leute ziehen sich zurück, wenn etwas passiert.

11:23 – 11:24

Sie verstecken sich.

11:24 – 11:27

Sie versuchen, ihre Spuren zu verwischen.

11:28 – 11:33

und prüfen, ob es vielleicht nicht doch ein Fehler von ihnen war, und fangen dann an, sich gegenseitig die Schuld zu geben und so weiter und so fort.

11:33 – 11:40

Und das rührt im Grunde genommen von der anfänglichen Haltung her, dass nicht ausreichend getestet wurde.

11:41 – 11:46

Ein Plan zur Cyber-Resilienz oder zur Recovery nach Cybervorfällen – man hat den Plan, aber er wurde nicht ausreichend getestet.

11:46 – 11:56

Und sobald man das einübt, wird es zu einer Art Muskelgedächtnis, und jeder weiß genau, was er als Nächstes tun muss, sobald es darauf ankommt,

11:56 – 12:00

dann kommt es nicht mehr zu solchen Verhaltensweisen.

12:00 – 12:06

Was auch interessant ist, denn ich habe Ihre Statistiken gehört und wünschte, ich hätte selbst welche mitgebracht.

12:07 – 12:10

Aber wie passt die Versicherung dann in dieses Bild?

12:10 – 12:17

Ah, wir… Wie du gesagt hast, wir wollen doch nicht für eine Versicherung bezahlen, oder?

12:17 – 12:20

Wir haben diese Art von Ausgaben.

12:20 – 12:23

Aber wie hängt das mit der optimistischen Verzerrung zusammen?

12:23 – 12:25

Weil, ähm,

12:25 – 12:28

Weil wir immer noch für Kfz-Versicherung und Krankenversicherung bezahlen.

12:29 – 12:30

Das ist ein interessanter Punkt.

12:30 – 12:36

Wenn wir über Krankenversicherung oder Lebensversicherung nachdenken, wie sind diese konzipiert?

12:36 – 12:42

Sie werden nicht als Krankenversicherung oder Todesfallversicherung dargestellt.

12:42 – 12:49

Wir können also wieder etwas von diesen Branchen lernen und von der Tatsache, dass dies nicht zufällig so gekommen ist.

12:49 – 12:52

Dort ist eine bestimmte Framing-Strategie am Werk.

12:52 – 12:54

Um die Menschen anzusprechen.

12:54 – 12:56

Anstatt sich um die eigene Familie zu kümmern.

12:56 – 12:56

Genau.

12:56 – 12:57

Das weitergeben.

12:57 – 12:58

Richtig.

12:58 – 12:58

Ja.

12:58 – 12:59

Denken Sie doch mal an die Werbung, die Sie sehen.

12:59 – 13:02

Sie können über den Rahmen nachdenken, der all das umgibt.

13:02 – 13:07

Es ist alles eine sehr optimistische und positive Darstellung von Dingen, die im Grunde genommen negativ sind.

13:07 – 13:08

Ja.

13:08 – 13:16

Ich möchte nur kurz unterbrechen und euch sagen, dass die Klimaanlage hier hochgebracht wurde, weil wir hier oben so schnell an Gewicht verloren haben.

13:16 – 13:17

Ich kann für mich selbst sprechen.

13:17 – 13:20

Das war unglaublich, was für ein Wunder sich gerade ereignet hat.

13:20 – 13:21

Ok

13:23 – 13:28

Kannst du dir vorstellen, bei State Farm eine Lebensversicherung abzuschließen?

13:28 – 13:29

Wie ein guter Nachbar.

13:29 – 13:36

Mann, das geht einem einfach so leicht über die Lippen.

13:36 – 13:39

Aber in der Cybersicherheit betrachten wir die Dinge oft aus einem anderen Blickwinkel.

13:39 – 13:39

Das stimmt.

13:39 – 13:40

Ja.

13:40 – 13:44

Wir orientieren uns nicht an einem etablierten Unternehmen.

13:44 – 13:44

Ja.

13:44 – 13:46

Und das ist nicht mein Geheimnis.

13:46 – 13:52

Viele der Dinge, die ich in die Cybersicherheit einbringe, erfinde ich nicht neu und ich erfinde auch nicht das Rad neu.

13:53 – 14:04

Ich greife auf bekanntes Wissen zurück – also auf Forschungsergebnisse, die bereits vorliegen und auf die jeder zurückgreifen kann, auch in Bereichen außerhalb der Cybersicherheit – und wende sie hier an.

14:04 – 14:09

Und wir könnten so viel vorantreiben, wenn wir uns stärker mit diesen Bereichen befassen würden.

14:09 – 14:14

Und ich glaube, das werden wir auch tun – denn aus den Neurowissenschaften, der Psychologie, der Soziologie und dem Marketing können wir so viel lernen.

14:14 – 14:23

In diesem Sinne bitte ich Sie nicht, Ihr gesamtes Geschäftsgeheimnis preiszugeben, denn ich weiß, dass Sie damit gutes Geld verdienen, aber was wäre, wenn es ein paar

14:23 – 14:34

wichtige Erkenntnisse gäbe – wenn Sie Ihre Vorträge auf das Wesentliche reduzieren müssten: Was sind ein paar Dinge, die im Vordergrund stehen sollten und die Ihre Zuhörer mitnehmen sollen, wenn Sie einen Ihrer Vorträge halten?

14:34 – 14:35

diesen Veranstaltungen?

14:35 – 14:46

Ja, das ist unterschiedlich, aber was dieses konkrete Gespräch angeht, denke ich, dass wir uns im Bereich Cybersicherheit oft auf Angst verlassen, nicht wahr, um unsere Botschaften zu verbreiten.

14:46 – 14:50

Und ich verstehe, dass die Leute denken, wir könnten Angst schüren.

14:51 – 14:53

jemanden zu einem bestimmten Verhalten zu bewegen.

14:53 – 14:55

So funktioniert das aber nicht wirklich.

14:55 – 14:58

Mit Angst zu versuchen, Verhalten zu ändern, ist sehr kompliziert.

14:58 – 15:01

Und wir

15:01 – 15:04

nutzen sie als eine Art Hammer.

15:04 – 15:09

Stattdessen können wir darüber nachdenken, wie wir unsere Botschaften gestalten können.

15:09 – 15:12

Wir können darüber nachdenken, wie wir mit menschlichen Vorurteilen arbeiten können.

15:12 – 15:14

Denn diese Vorurteile gibt es nun einmal.

15:14 – 15:16

Wie können wir also unsere Botschaften gestalten?

15:16 – 15:28

Wenn wir zum Beispiel wollen, dass ein Vorstand oder ein Team die Reaktion auf Vorfälle übt, dann sollten wir, anstatt zu versuchen, ihnen Angst einzujagen, damit sie glauben, dass das wichtig ist, eine realistische Darstellung liefern.

15:28 – 15:29

der Bedrohung.

15:29 – 15:31

Aber wenn wir üben, macht uns das widerstandsfähiger

15:31 – 15:33

widerstandsfähiger.

15:33 – 15:35

Diese Belastbarkeit entsteht durch Wiederholung.

15:35 – 15:37

Denken wir also an diesen optimistischeren Blickwinkel.

15:37 – 15:42

Okay, und wir haben schon ein wenig darüber gesprochen, ich erinnere mich, als wir in Las Vegas waren.

15:43 – 15:51

Du machst etwas so Einzigartiges, und wenn jemand sagt: „Wow, ich muss Jessica oder jemanden wie sie engagieren.“

15:51 – 15:53

Wie verkaufst du das intern?

15:53 – 15:55

Das ist so ein einzigartiges Konzept.

15:55 – 16:02

Das gehört nicht dazu – wahrscheinlich denken alle hier: „Wow, ich hatte keine Ahnung, dass jemand so etwas macht“, oder?

16:02 – 16:12

Wenn man erfolgreiche Wege sieht, seine Dienstleistungen zu verkaufen und den Weg bis zur Geschäftsleitung zu finden – welche Möglichkeiten gibt es, um das zu erreichen?

16:12 – 16:16

Ja, ich mache das jetzt schon seit 15 Jahren.

16:16 – 16:20

Am Anfang hatte ich damit sicherlich viel mehr zu kämpfen.

16:21 – 16:31

Und ich denke, ein Punkt ist, dass wir in der Cybersicherheitsbranche zunehmend erkennen, dass Menschen genauso im Mittelpunkt der Cybersicherheit stehen wie Tools oder…

16:31 – 16:33

Prozesse.

16:33 – 16:39

Aber im Grunde erfordert dies oft ein gewisses Maß an kultureller Reife in einer Organisation.

16:39 – 16:50

Und leider braucht es oft die Erfahrung eines Vorfalls – entweder direkt oder indem eine Organisation miterlebt, wie eine ihrer Partnerorganisationen davon betroffen ist –, denn das durchbricht die

16:50 – 16:51

Optimismusverzerrung durchbricht.

16:53 – 16:55

Ich denke, man könnte das als zweischneidiges Schwert betrachten.

16:55 – 17:03

Es ist einerseits bedauerlich, dass es das braucht, aber andererseits: Wenn das der Auslöser sein muss – und es nicht du und vielleicht ein Kollege bist –, dann mach weiter.

17:03 – 17:04

Richtig.

17:04 – 17:05

Fantastisch.

17:05 – 17:06

Ich danke Ihnen.

17:08 – 17:13

Ich habe Jessica nicht gebeten: „Hey, gib mir doch mal einen vollständigen Überblick darüber, denn das ist faszinierend.“

17:13 – 17:17

Ich finde, für uns alle, die wir aus einem technischen Bereich kommen, ist das wirklich toll.

17:17 – 17:19

Also ja, auf jeden Fall.

17:20 – 17:21

Alles klar.

17:21 – 17:27

Also, Ricky, als wir uns unterhalten haben, hast du über das „Minimum Viable“ gesprochen.

17:27 – 17:35

Interessant, wir haben heute Morgen in der Keynote viel darüber gehört, aber wir haben diesen Begriff nicht absichtlich weggelassen – er geht allerdings ein bisschen unter, weil es um die nächste Stufe geht.

17:35 – 17:38

Möchtest du ein wenig darüber sprechen?

17:38 – 17:38

Klar.

17:38 – 17:42

Also, was das Sprichwort „Übung macht den Meister“ angeht, oder?

17:42 – 17:44

Aber wie übt man und womit übt man?

17:44 – 17:57

Wenn man sich also ein großes Ökosystem ansieht, hat man ein riesiges, sehr heterogenes System aus Technologien vor sich, das das eigene Unternehmen am Laufen hält – wo soll man da mit dem Üben anfangen?

17:57 – 17:59

und wie oft übt man eigentlich, oder?

17:59 – 18:08

Bei Commvault haben wir daher über das Konzept des „Minimal Viable“ gesprochen, und worum es dabei wirklich geht, ist die Nutzung von Tools wie einer BIA-Bewertung, die wir schon seit vielen Jahren durchführen.

18:08 – 18:09

Jahre.

18:09 – 18:11

Man beginnt damit, zu definieren, was für das eigene Unternehmen geschäftskritisch ist.

18:11 – 18:16

So könnte beispielsweise Active Directory geschäftskritisch sein, ebenso wie ein Patientenversorgungssystem.

18:16 – 18:26

Und Sie legen fest und sagen: „Wissen Sie was? Damit werde ich als Erstes beginnen, denn wenn es zu einer Sicherheitsverletzung kommt und mein System abgeschaltet wird, möchte ich genau das als Erstes wieder in Betrieb nehmen.“

18:26 – 18:35

Und dann geht es weiter zu meinen – nun ja – von geschäftskritischen zu unternehmenskritischen Systemen, das könnten Ihre E-Mails, Ihre Kommunikationssysteme, Ihre anderen Anwendungen und Workloads sein.

18:35 – 18:38

Und dann definieren Sie die unterstützenden Anwendungen

18:38 – 18:45

Sobald diese laufen – zusammen mit den missionskritischen, geschäftskritischen und unterstützenden Anwendungen –, ist Ihre gesamte Umgebung nun betriebsbereit.

18:45 – 18:50

Denken Sie einfach daran: Wir sprechen oft von der Reaktion auf Vorfälle und denken dabei an Sicherheit.

18:50 – 18:58

Die Reaktion auf Vorfälle ist als Prozess oder als institutionelles Wissen erforderlich, nicht nur bei Sicherheitsvorfällen.

18:58 – 19:01

Man könnte eine fehlerhafte Software haben, die einen lahmlegen könnte.

19:01 – 19:08

Man könnte eine KI haben, eine agentische KI-Software, die etwas tun könnte, die vielleicht anruft

19:08 – 19:10

und deine Umgebung abschalten könnte.

19:10 – 19:13

Für mich geht die Reaktion auf Vorfälle über reine Sicherheit hinaus.

19:13 – 19:17

Sie hilft einem doch wirklich dabei, die operative Leistungsfähigkeit des Unternehmens zu definieren, oder?

19:17 – 19:27

Und genau deshalb kommt das Konzept des „Mission Protocol“ oder „Minimal Viable“ ins Spiel, um Ihnen dabei zu helfen, Ihre Anwendungen und Workloads wirklich zu definieren und dann damit zu beginnen, Tests zu entwickeln und

19:27 – 19:28

Verfahren zu entwickeln.

19:28 – 19:37

Ein weiterer Punkt, den ich kurz hervorheben möchte, ist: Wenn man sich das NIST-Rahmenwerk für die Reaktion auf Vorfälle ansieht, die Sonderveröffentlichung 861,

19:38 – 19:51

wird die Reaktion auf Vorfälle oft in vier übersichtliche Phasen unterteilt: Vorbereitung, Erkennung, dann Eindämmung, Beseitigung, Recovery und schließlich Neubewertung sowie die

19:51 – 19:52

Basislinie.

19:52 – 19:58

Nun, das Problem mit diesem gesamten Konzept der Wiederherstellung ist, wie wir heute bereits gehört haben, dass es blinde Flecken schafft.

19:58 – 19:59

Denn was stellt man eigentlich wieder her?

19:59 – 20:01

Wie sehr vertraut man dem, was man wiederherstellt?

20:01 – 20:04

Sind diese Daten absolut vertrauenswürdig?

20:04 – 20:07

Sind Integritätsprüfungen enthalten?

20:07 – 20:13

Und ich denke, genau deshalb muss das NIST seine Aussagen zum Thema „Wiederherstellung“ überdenken und vielleicht über einen „Neuaufbau“ nachdenken.

20:13 – 20:19

Denn für mich bedeutet „Wiederherstellung“ im Grunde genommen, dass man eine beschädigte Wand hat und diese ausbessert.

20:19 – 20:22

Nun, so elegant ist das nicht – man flicken die Wand einfach nur.

20:22 – 20:25

„Wiederaufbau“ bedeutet im Grunde, diese Wand anhand eines bekannten Bauplans neu zu errichten.

20:26 – 20:37

Und genau deshalb – wenn man sich unsere Lösungen wie „Cloud Rewind“ und andere ansieht – helfen wir dir tatsächlich dabei, den gesamten Anwendungsstack neu aufzubauen, richtig, mit bekannten Daten, mit guten Daten.

20:37 – 20:42

Und nun haben Sie durch diesen bewährten Prozess ein gewisses Maß an Vertrauen in Ihre Recovery.

20:42 – 20:50

Letztendlich geht es also darum, dass man die Reaktion auf Vorfälle nicht nur als eine reine Sicherheitsmaßnahme betrachtet.

20:50 – 20:53

Es geht um alles, was Ihr Unternehmen lahmlegen kann.

20:53 – 20:57

Man kann nicht alles in der ersten Minute wieder zum Laufen bringen, oder?

20:57 – 21:05

Das Ziel der Incident Response besteht im Grunde darin, Probleme innerhalb von Sekunden zu erkennen, die Auswirkungen innerhalb von Minuten zu mindern und dauerhaft widerstandsfähig zu bleiben.

21:05 – 21:09

Und dafür muss man definieren, was für das eigene Unternehmen das minimal Mögliche ist.

21:09 – 21:12

Also in diesem Zusammenhang…

21:12 – 21:14

möchte ich hier kurz eine Abstimmung per Handzeichen durchführen.

21:14 – 21:17

Nehmen wir die Wayback Machine und wählen wir einfach 10 Jahre aus.

21:17 – 21:23

Und wir sind herumgelaufen und haben allen erzählt: „Hey, wir haben diesen unglaublichen Service“ – nicht wir, sondern Commvault, die Branche.

21:23 – 21:25

Wir werden Anwendungszuordnungen vornehmen.

21:25 – 21:32

Denn bevor man überhaupt auf eine übergeordnete Ebene übergehen und eine umfassendere Diskussion darüber führen kann, muss man zunächst den Grad der Vernetzung verstehen.

21:33 – 21:34

Und ich bin

21:34 – 21:38

dabei, zu sagen, dass ich ein „Das Glas ist halb voll“-Typ bin – nur damit Jessica das weiß.

21:39 – 21:45

Aber wir haben uns als Branche so sehr darum bemüht und sind bei so vielen Unternehmen gescheitert.

21:45 – 21:53

Wenn ihr fragt – eigentlich werde ich gar nicht erst fragen, denn die Leute werden sich sicher melden wollen: „Hey, habt ihr eine vollständige Anwendungsübersicht?“

21:53 – 21:56

Ich würde wetten, dass sich nicht viele melden.

21:56 – 22:04

Und das ist vielleicht auch in Ordnung, denn jetzt haben wir das Thema auf eine andere Abstraktionsebene gehoben, auf der wir es aufarbeiten können.

22:04 – 22:09

Aber ich bin einfach neugierig auf deine Meinung dazu, denn du hast das wahrscheinlich in dieser ersten Runde durchgemacht, oder?

22:09 – 22:10

Hilft das weiter?

22:11 – 22:17

Man muss zwar immer noch definieren, was „Minimal Viable“ bedeutet, aber hilft es, dass man diese detailliertere Anwendungszuordnung abstrahiert hat?

22:17 – 22:20

Nicht nur das Anwendungs-Mapping, sondern auch das Daten-Mapping.

22:20 – 22:23

Deine Anwendungen sind im Wesentlichen Nutzer der Daten.

22:23 – 22:31

Und letztendlich greift ein Ransomware-Malware-Angriff oder ein Angreifer, der versucht, Ihr System zu kompromittieren, Sie nicht an, weil er Ihre Anwendung liebt.

22:31 – 22:34

Das sind die Aufgaben von „Power Tools“, also der Daten, richtig?

22:34 – 22:39

Es ist also auf keinen Fall so, dass Ihre Daten das Sagen haben und unsere Angriffsdienste einfach außer Kontrolle geraten.

22:39 – 22:43

Und du fragst, ob wir überhaupt wissen, wo sich unsere Anwendung befindet.

22:44 – 22:51

Vielleicht in den 70er- und 80er-Jahren, als es Client-Server-Anwendungen gab oder ein Terminal an einen Mainframe angeschlossen war.

22:51 – 22:55

Heute entwickelt man eine der … man entwickelt …

22:57 – 22:59

man startet virtuelle Maschinen.

22:59 – 23:06

Ihr habt den gesamten DevSecOps-Prozess, bei dem Anwendungen spontan gestartet werden und die Daten überall gespeichert sind.

23:06 – 23:15

Und ich denke, genau deshalb ist diese durchgängige Transparenz so wichtig: Wer verfügt über die Daten, wer greift darauf zu und wo liegen die Kontrollmechanismen?

23:15 – 23:19

Und diese Grundlagen – sozusagen das „Sicherheitsgemüse“ zu essen – haben sich stark weiterentwickelt.

23:19 – 23:22

Man muss immer noch darauf achten, dass man seine „Sicherheitsgemüse“ isst.

23:22 – 23:26

Zugriffskontrolle über das Identitätsmanagement,

23:26 – 23:32

hat gezeigt, dass man kein Vertrauen darin haben kann, dass all diese seitlichen Bewegungen zwischen den Datenpunkten sicher sind.

23:32 – 23:43

Denn Ihre Fähigkeit zur Reaktion auf Vorfälle – oder, wie ich es nenne, die Widerstandsfähigkeit gegenüber Vorfällen, die sich aus Reaktion, Wiederherstellung und der in die Widerstandsfähigkeit integrierten Maßnahmen zusammensetzt – hängt davon ab, wie

23:43 – 23:44

bereit du bist, dich auf die Umgebung einzulassen.

23:45 – 23:48

Okay, Zach, ich muss dir eine Frage stellen.

23:49 – 23:51

Jeder ist überlastet, oder?

23:51 – 23:58

Alle, mit denen du zusammenarbeitest, und wenn du dazukommst, ergänzt du das mit deinen unglaublichen Fähigkeiten – Fähigkeiten, die sie nicht haben.

23:58 – 24:00

Haben die Leute denn keine Zeit dafür?

24:00 – 24:10

Ich meine, das sind wichtige Dinge, auf die Ricky hinweist, aber wenn man es konkret auf die Praxis herunterbricht: Was ist los, warum können wir das nicht teilweise umsetzen?

24:10 – 24:13

Was hält die Leute davon ab, das zu definieren?

24:13 – 24:16

Nun, weil es tatsächlich eine ganze Reihe von Dingen gibt.

24:16 – 24:20

Ich würde tatsächlich sagen, erstens: die Kultur.

24:21 – 24:32

Man hat diese Abteilungen, vor allem in älteren Unternehmen, und ich möchte auf das Application-Mapping hinweisen: Wenn Ihre Anwendung zwei Monate alt ist,

24:32 – 24:34

weiß man ganz genau, worum es dabei geht.

24:34 – 24:42

Sobald sie zwei Jahre alt ist und sich wie ein Spinnennetz in alle Richtungen ausbreitet, hat man keine Ahnung mehr, was da eigentlich vor sich geht.

24:42 – 24:47

Und genau so entstehen bei älteren Unternehmen diese Unternehmenskulturen.

24:48 – 24:53

Der Sicherheitsmitarbeiter, der Backup-Mitarbeiter, der Endpunkt-Mitarbeiter – und die vertragen sich nicht.

24:53 – 24:57

Man verkehrt unter den eigenen Leuten, oder?

24:57 – 25:05

Ich habe gestern jemandem erzählt, dass ich 30 Jahre IT-Erfahrung habe und davon 17 Jahre ausschließlich im Bereich Sicherheit tätig war.

25:06 – 25:18

In diesen 17 Jahren habe ich nicht einen einzigen Tag lang meine Backup-Kollegen getroffen, was verrückt ist, denn wenn man mal darüber nachdenkt: Was mache ich eigentlich als Sicherheitsmitarbeiter?

25:18 – 25:23

Ich sorge nicht für die Sicherheit der Menschen oder ihrer Autos.

25:23 – 25:27

Ich schütze auch die Daten, genau wie die Backup-Leute.

25:29 – 25:38

Ich denke, in Unternehmen und in der Unternehmenskultur müssen wir unsere Sichtweise auf die Rollen der anderen und darauf, was wir dort tatsächlich tun, ändern.

25:38 – 25:49

Ich bin dafür da, Firewalls, IPS, SIM, SOC und all diese tollen Dinge einzurichten und mich um die Forensik, Penetrationstests und die Architektur zu kümmern.

25:49 – 25:54

Der Grund dafür lässt sich letztlich darauf zurückführen, was jeder dort tut.

25:54 – 26:04

Und es geht darum, diese Daten aufzubauen, die Anwendungen zu entwickeln und den Dienst bereitzustellen – entweder intern oder nach außen hin für die breite Öffentlichkeit,

26:05 – 26:08

Jessica, ich konnte spüren, wie du ganz gespannt auf der Stuhlkante saßt.

26:08 – 26:10

Wie überwindet man das?

26:10 – 26:17

Ich meine, das muss auf einer ganz anderen Ebene vermarktet werden, um diesen kulturellen Aspekt zu verändern.

26:17 – 26:19

Ich finde es toll, dass Sark das Thema Kultur angesprochen hat.

26:20 – 26:28

Auch was Rickys Anmerkung betrifft, dass es bei einem Vorfall oder bei der Vorbereitung auf einen Vorfall um so viel mehr geht als nur um Sicherheit.

26:28 – 26:35

Und ja, natürlich sprechen wir über Infrastruktur, wir sprechen über Backups, aber wir denken auch an die gesamte Organisation.

26:37 – 26:40

Wir denken über die Unternehmenskultur nach und darüber, wie jeder davon betroffen sein kann.

26:40 – 26:46

Während Ricky sprach, habe ich darüber nachgedacht, was dieses Jahr in Großbritannien passiert ist.

26:46 – 26:56

Ich komme also aus Großbritannien, lebe jetzt in Las Vegas, habe dieses Jahr aber viel Zeit in Großbritannien verbracht, und einer meiner Lieblingsorte ist Marks & Spencer.

26:57 – 27:03

„Marks & Spencer“ sind, wie jeder weiß, sehr groß – sehr groß und sehr lang.“

27:03 – 27:14

Vorfall in diesem Jahr: Ich war am ersten Tag dort und wollte mit meiner Karte ein paar Lebensmittel kaufen, aber sie funktionierte nicht. Ich dachte mir: „Was ist hier denn los?“, und es stellte sich heraus, dass es der Tag war,

27:14 – 27:20

eines Cyberangriffs, der ihre Website lahmlegte. Ich habe den Überblick verloren, wie lange das schon dauert, aber wir sprechen hier von Monaten.

27:20 – 27:23

Lieferkette – die Regale waren leer.

27:23 – 27:31

Ich ging bei Marks & Spencer rein, und die Regale waren leer, oder es gab nur ein einziges Produkt, das sozusagen ein ganzes Regal ausfüllte.

27:31 – 27:35

Da standen dann zum Beispiel hundert Flaschen Coca-Cola statt der üblichen Auswahl.

27:35 – 27:39

Also unterhalte ich mich mit allen dort im Verkaufsraum.

27:39 – 27:42

Ich gehe ins Café und unterhalte mich mit den Leuten, die dort arbeiten.

27:42 – 27:46

Ich erzähle ihnen nicht, dass ich im Bereich Cybersicherheit arbeite, sondern sage einfach nur: „Oh …“

27:46 – 27:47

„Ihr habt keine Avocados.“

27:47 – 27:50

Hat das etwas mit dem Cybervorfall zu tun?

27:50 – 27:53

Und ich fand es so interessant, wie sie darauf reagiert haben.

27:54 – 28:00

Erstens – und das war bei allen so, mit denen ich gesprochen habe – haben sie zunächst einmal eingeräumt, wie schwierig es für sie war.

28:00 – 28:02

Und sie sagten: „Wir kommen jeden Tag zur Arbeit.“

28:02 – 28:04

Wir wissen nicht, was uns erwartet.

28:04 – 28:14

Wir wissen nicht, ob wir keine Ware vorfinden, die wir den Kunden geben oder zur Verfügung stellen können, oder ob es so ist wie in der Woche vor Weihnachten und wir mit

28:14 – 28:15

Waren.

28:15 – 28:21

Kunden fragen uns, ob wir XYZ vorrätig haben, und wir können das nicht im System nachsehen – wir wissen es einfach nicht.

28:21 – 28:23

Sie würden also anerkennen, wie schlimm es war.

28:23 – 28:29

Und dann sagten sie: „Aber wir haben so viel Glück, weil wir alle so gut als Team zusammenarbeiten.“

28:29 – 28:31

Wir unterstützen uns alle gegenseitig.

28:31 – 28:34

Wir hören ständig von der Zentrale.

28:34 – 28:41

Und ich habe bei mehreren verschiedenen Gelegenheiten gehört, wie viel Respekt sie vor dem Sicherheitsteam hatten.

28:41 – 28:45

Sie sagten Dinge wie: „Das Technikteam arbeitet so hart daran, alles in Ordnung zu bringen.“

28:45 – 28:47

Und sie arbeiten rund um die Uhr.

28:47 – 28:52

Ich habe gehört, dass sie im Büro schlafen und sich Pizza liefern lassen.

28:52 – 28:54

Und das war übrigens noch nicht einmal in der Nähe der Zentrale.

28:54 – 28:57

Das liegt im Nordosten Englands, im Vergleich zu London.

28:57 – 28:59

Und ich dachte mir, dass wir daraus so viel lernen können.

28:59 – 29:02

Und ich habe immer wieder über Wang nachgedacht.

29:02 – 29:03

Und ich dachte mir: „Na ja, warum mache ich

29:03 – 29:04

gerne zu Marks & Spencer gehe?

29:04 – 29:10

Es ist so: Die Marke strahlt Vertrauen aus und hat eine eigene Persönlichkeit.

29:10 – 29:17

Und daraus kann ich nur schließen, dass das sowohl intern als auch nach außen hin zum Ausdruck kommt.

29:17 – 29:20

Die Kommunikation ist also etwas, von dem wir lernen können.

29:20 – 29:27

Der Respekt, der von der Spitze der Organisation bis in alle Ebenen hinein ausstrahlte, wurde dann widergespiegelt.

29:27 – 29:30

Und das entsteht nicht durch einen einzelnen Vorfall.

29:30 – 29:33

Das entsteht über Jahre hinweg in einer Unternehmenskultur.

29:33 – 29:36

in guten Zeiten und wird dann auf die Probe gestellt, wenn es mal nicht so gut läuft.

29:36 – 29:38

Das ist interessant.

29:38 – 29:44

Ein weiterer Faktor, der die ganze Sache sehr kompliziert macht, ist, dass wir heute in einer Welt der geteilten Verantwortung leben, nicht wahr?

29:44 – 29:54

Unternehmen haben heute also nicht nur mit den Silos zu kämpfen, die innerhalb ihres IT-, Rechtsberatungs- und Anwendungsdatenbank-Teams bestehen.

29:54 – 29:59

sondern Sie betreiben mittlerweile auch eine Umgebung, in der die Workloads kosten-

30:05 – 30:09

Außerdem gibt es Systemintegratoren, die Ihnen bei der maßgeschneiderten Integration und ähnlichen Aufgaben helfen.

30:09 – 30:12

Wo beginnt also eigentlich die Verantwortung?

30:12 – 30:23

Denn man muss das Modell der geteilten Verantwortung betrachten, für das wir uns bewusst entschieden haben, bei dem wir die Sicherheit der Infrastruktur, der Clouds und der

30:23 – 30:25

Anwendungen sowie der lokalen Systeme gewährleisten.

30:25 – 30:35

Und in der Matrix der geteilten Verantwortung ist dies das konkurrierende Problem, auch wenn jeder die Notwendigkeit versteht, eine Kultur der Sicherheit zu etablieren.

30:35 – 30:41

Und das hindert die Leute daran, diese IR-Pläne wirklich zu erstellen und zu testen.

30:41 – 30:47

Und ich glaube, dass diejenigen Unternehmen diesen Kampf gewinnen werden, die bewusst daran arbeiten, ein gemeinsames Publikum zu schaffen.

30:47 – 30:54

Wissen Sie was? Es ist wichtig, dass alle unsere Partner mit uns zusammenarbeiten, diese Pläne entwickeln und sie dann umsetzen.

30:54 – 30:59

Denn in Krisenzeiten werdet ihr euch auf die Matrix der geteilten Verantwortung verlassen.

30:59 – 31:03

Und auf jeden Beteiligten, der euch dabei hilft, wieder auf die Beine zu kommen.

31:04 – 31:09

Ja, ein interessanter Punkt, und Zach, als du gesagt hast: „Hey, ich habe nicht mit ihnen gesprochen.“

31:09 – 31:11

Es war nicht so, dass du sie nicht mochtest.

31:11 – 31:14

Es war nicht so, dass du ihnen gegenüber voreingenommen warst oder so.

31:14 – 31:16

Du denkst dir einfach: Ich habe viel zu tun.

31:16 – 31:19

Das ist es, was ich tue.

31:19 – 31:25

Und das muss über eine viel größere vertikale Ebene innerhalb der Organisation hinausgehen.

31:25 – 31:26

Leute, wir Sicherheitsleute.

31:26 – 31:30

Wir denken doch ziemlich viel über uns selbst nach, oder?

31:30 – 31:30

Ja.

31:33 – 31:33

die Grenze.

31:33 – 31:35

Spitzenklasse.

31:35 – 31:35

Richtig.

31:35 – 31:39

Und ich frage mich auch, ob irgendetwas eingebaut wurde, um dich zum Reden zu animieren.

31:39 – 31:40

Überhaupt nicht.

31:40 – 31:42

Oder gemeinsam zu lernen.

31:42 – 31:47

Man könnte sagen, wir können das so betrachten, dass wir das nicht getan haben.

31:47 – 31:49

Aber hat die Organisation das ermöglicht?

31:49 – 31:53

War das etwas, das bewusst so gestaltet wurde, um Anreize zu schaffen?

31:53 – 31:55

Ja, das ist doch unmöglich.

31:55 – 32:01

Und deshalb sage ich den Leuten, dass man

32:01 – 32:07

seine wichtigsten Leute aus der gesamten Infrastruktur mitnehmen und sie jede Woche auf ein Bier einladen muss.

32:07 – 32:10

Sie müssen miteinander reden.

32:10 – 32:19

Auch wenn es nicht um Zusammenarbeit oder Ähnliches geht, müssen sie die Namen, die Telefonnummern und die Aufgaben der anderen im Unternehmen kennen, damit das Ganze reibungslos läuft.

32:19 – 32:30

Denn man schafft damit – ohne es zu merken – eine Trennung, man trennt die gesamte Organisation von innen nach außen, und es gibt keine Möglichkeit, es gibt keine…

32:30 – 32:34

Verbindungen für eine echte offene Kommunikation zwischen ihnen.

32:34 – 32:45

Ich hatte eine Organisation – ich erinnere mich, während des Lockdowns hatten sie große Schwierigkeiten damit, wie sie diese Teams dazu bringen könnten, miteinander zu interagieren, besonders jetzt, wo sie nicht im

32:45 – 32:48

Büro waren, wissen Sie, und sie haben Lego gebaut.

32:48 – 32:59

Sie haben jedem einzeln ein kleines Lego-Set zugeschickt, haben alle über Zoom, Teams oder was auch immer zusammengebracht, und alle haben zu Hause Lego gebaut, getrennt voneinander, aber

32:59 – 33:00

gemeinsam.

33:00 – 33:01

Und es hat funktioniert.

33:01 – 33:04

Einfach, preiswert, fördert die Teamarbeit.

33:04 – 33:05

Wie ironisch.

33:05 – 33:06

Wir sind mitten in der Keynote.

33:06 – 33:09

Es gibt Agenten, die Dinge automatisch erledigen.

33:09 – 33:11

Es wird Menschen auf dem Mars geben.

33:11 – 33:16

Und wir reden buchstäblich nur über Legos und Pizza und darüber, wie man sich Zeit nimmt.

33:16 – 33:18

Aber es ist doch echt, oder?

33:18 – 33:24

Wir denken so viel auf einer höheren Ebene, aber es gibt einfach ein paar grundlegende Dinge, zu denen wir zurückkehren müssen.

33:24 – 33:28

Also, Zach, in diesem Zusammenhang … ähm, wir haben von „Res Ops“ gehört.

33:28 – 33:30

Das ist gerade im Trend.

33:30 – 33:32

tief in Twitter oder X.

33:32 – 33:34

Entschuldigung, mein Gott, ich habe den veralteten Begriff verwendet.

33:34 – 33:35

Also.

33:35 – 33:37

Erzähl uns doch mal etwas darüber.

33:37 – 33:44

Ich meine, ich weiß, dass es etwas ist, das gerade im Trend liegt und das wir versuchen zu schaffen, aber dahinter steckt doch etwas Echtes, oder?

33:44 – 33:54

Denn die Tools, die Vernetzung – wie auch immer wir es nennen wollen – dahinter stecken immer noch echte Elemente, die Res Ops zur Realität machen.

33:54 – 34:03

Vielleicht kannst du uns also aus der Perspektive der Tools und unserer Sichtweise auf diese Resilience Operations ein Gefühl dafür vermitteln, was das in der Praxis wirklich bedeutet?

34:06 – 34:09

Res Ops ist also…

34:10 – 34:17

Nun, man hat die Tools, die Mitarbeiter und die Prozesse, aber wenn man das nicht testet – ich komme noch einmal auf diese Sache mit dem Testen zurück, Chris.

34:17 – 34:24

Man muss dranbleiben. Wenn man es nicht testet, hat man all diese Tools, für die man jahrelang Abonnements bezahlt.

34:24 – 34:30

Das ist wie meine, ähm, Mitgliedschaft auf einer, äh, Golfanlage, wo …

34:30 – 34:31

äh

34:31 – 34:38

Ich war in zwei Jahren zweimal dort und habe am Ende Tausende für diese beiden Besuche ausgegeben.

34:38 – 34:47

Man hat also all diese Tools, für die man bezahlt, die man abonniert und für die man Server kauft, und die laufen dort im Hintergrund.

34:47 – 34:50

Ähm

34:50 – 35:00

Wenn man nicht weiß, wie man sie einsetzt, und es zu einem Vorfall kommt, verlangsamen sie die Wiederherstellung sogar nur.

35:00 – 35:08

Ehrlich gesagt sind diese Tools auch etwas, das man wiederherstellen muss, wenn es erst einmal knirscht, oder?

35:08 – 35:16

Ähm, also die Tools sind nichts, worüber man sich – ehrlich gesagt würde ich Unternehmen raten, sich im Moment gar keine Gedanken über die Tools zu machen, denn

35:17 – 35:24

denn wenn ihr das nicht tut, wenn eure Mitarbeiter nicht wissen, wie sie sich verhalten sollen – zum Beispiel, wenn gerade ein Vorfall vorliegt –, was macht ihr dann?

35:24 – 35:25

Wie verhalten Sie sich?

35:25 – 35:27

Was ist der nächste Schritt, den du unternehmen wirst?

35:27 – 35:30

Nun, ich verstehe das mit dem Optimismus.

35:30 – 35:40

Es geht nur darum, dass wir diese Denkweise bei einem Kunden verankern; man kann nicht sagen, dass alles einfach nur …

35:40 – 35:41

äh

35:42 – 35:44

nur Rosen und Sahne, oder?

35:44 – 35:46

Du musst sagen, was passieren wird.

35:46 – 35:54

Sonst, wenn du weiterhin so optimistisch bleibst, werden sie einfach sagen: „Dann klingt es ja so, als bräuchten wir das alles gar nicht, oder?“

35:54 – 35:56

Ja, da stimme ich zu.

35:56 – 35:59

Es geht nicht darum, zu leugnen, dass das Schlimme passieren wird.

35:59 – 36:06

Es geht darum, wie man über etwas Negatives so spricht, dass man die Leute trotzdem mitnehmen kann.

36:06 – 36:08

Das Gleiche gilt, wenn ich auf Gefahren aufmerksam mache.

36:08 – 36:10

Weißt du, ich gehe hin und mache Aufklärungsarbeit.

36:10 – 36:12

Ich erstelle Aufklärungsmaterial.

36:13 – 36:13

und

36:13 – 36:16

Und natürlich spreche ich über die negativen Aspekte.

36:16 – 36:20

Ich kann nicht das Bewusstsein für Cybersicherheit schärfen, ohne über die Bedrohung zu sprechen.

36:20 – 36:27

Aber man muss das in einem angemessenen Rahmen tun, damit die Leute nicht denken, man übertreibe zu seinem eigenen Vorteil.

36:27 – 36:37

Und dann muss man darüber nachdenken, wie man die Menschen befähigen und stärken kann – selbst wenn man über etwas Negatives spricht –, damit sie das Gefühl haben, sich dennoch damit auseinandersetzen zu können.

36:37 – 36:39

Und sobald man…

36:39 – 36:41

Nun, natürlich wird man nicht erst auf den Vorfall warten.

36:41 – 36:43

Aber sobald man so etwas wie ein…

36:43 – 36:55

Übung durchführt – eine virtuelle Vorfallübung, wie wir sie im Recovery Range haben –, dann wirst du verstehen, dass du all diese 10, 20 bis 100 Tools sehen wirst, und du wirst sagen: „Nun, wir…“

36:55 – 37:03

haben noch nicht einmal eines davon bei der Wiederherstellung unserer Umgebung eingesetzt, richtig? Ähm, wenn man an diesen Punkt gelangt

37:04 – 37:16

dann kannst du natürlich all diese überflüssigen Dinge abwerfen und schließlich an einen Punkt gelangen, an dem du ein schlanker, MVC-orientierter Typ bist, der problemlos Wiederherstellungen durchführen kann.

37:16 – 37:21

Nun, man weiß, was man tun will, und man hat seine Leute gut genug geschult.

37:21 – 37:27

Das geht nicht, also kannst du diese Übungen nicht durchführen, ohne dass die Teams miteinander kommunizieren.

37:27 – 37:28

Und das ist ein Begriff.

37:28 – 37:28

Also.

37:29 – 37:33

Wenn du sie nicht Bier holen lassen willst, dann hol sie wenigstens ins Zimmer.

37:33 – 37:42

Und fang mit den Übungen an, bei denen du den Prozess durchspielst, wie Dinge in deiner Umgebung schiefgehen.

37:42 – 37:44

Dann frag: Was wirst du tun?

37:44 – 37:45

Was wirst du tun?

37:45 – 37:49

Und das ist auch wieder eine Übung, bei der man mit dem Finger auf andere zeigt.

37:49 – 37:51

Es ist, als müssten wir das auf den Tisch legen, oder?

37:52 – 37:56

Man muss die Leute auf angemessene Weise aus ihrer Komfortzone herausholen.

37:56 – 37:59

Sie müssen erst einmal begreifen, was „Tabletops“ im Park sind.

37:59 – 38:03

Ich meine, ein „Tabletop“ ist nur eine Sache, die man ebenfalls nutzen muss.

38:04 – 38:05

Es gibt Tabletop-Übungen.

38:05 – 38:07

Es gibt „Re-Move“-Übungen.

38:07 – 38:10

Es gibt auch Übungen mit dem roten Schlüssel und dem violetten Schlüssel, richtig?

38:10 – 38:12

Und jede davon hat ihren Platz in einer Organisation.

38:12 – 38:20

Nehmen wir also an, ein Unternehmen ist bereits etabliert, hat festgelegt, wie sein „Minimal Viable Company“ aussehen muss, und verfügt über alle erforderlichen Prozesse; es

38:20 – 38:27

die gemeinsame Verantwortung geregelt ist und sie auch verstanden haben, dass wir, nun ja, über den menschlichen Körper hinausblicken müssen.

38:27 – 38:30

Wie fängt man damit an?

38:30 – 38:31

Was hilft dir bei der Vorbereitung?

38:31 – 38:37

Tabletop-Übungen sind also im Wesentlichen Übungen mit geringem Stressfaktor.

38:37 – 38:38

Es handelt sich nicht um Trainingsmodule.

38:38 – 38:48

Es handelt sich um halbtägige oder ganztägige Veranstaltungen, bei denen man gemeinsam die Verantwortung dafür übernimmt, die Teilnehmer dazu anzuleiten, eines der wahrscheinlichsten Szenarien zu üben, mit denen Ihre

38:48 – 38:51

Unternehmen mit größter Wahrscheinlichkeit erleben wird.

38:51 – 38:53

Und das hilft euch, Klarheit zu schaffen.

38:55 – 38:57

Red Teams sind von ganz anderer Art.

38:57 – 38:58

Sie sind Kämpfer, die um ihr Leben kämpfen.

38:58 – 39:02

Und rote Teams helfen einem im Grunde dabei, eine Gemeinschaft aufzubauen.

39:02 – 39:07

Es gibt also einen echten Unterschied zwischen dem, was Klarheit schafft, und dem, was Demut schafft.

39:07 – 39:08

Das gefällt mir.

39:08 – 39:11

Und dann sind „Rebuild“-Übungen im Grunde eine Quelle der Wahrheit.

39:11 – 39:16

Es ist eine Reflexion, bei der man über die Bewertungen der Reife der Cyber-Resilienz nachdenkt.

39:16 – 39:17

Und man sagt sich: Weißt du was?

39:17 – 39:20

Wir haben all diese Pläne, die wir auf der Grundlage unserer Bewertung erstellt haben.

39:20 – 39:23

Wie gut gehen unsere Pläne in die Hose?

39:23 – 39:27

Das ist die Wahrheit: Die Weibull-Übung ist ganz anders.

39:28 – 39:34

All diese Faktoren müssen zusammenkommen, damit man wirklich ein Gefühl dafür bekommt, wie gut man vorbereitet ist.

39:36 – 39:38

Du meinst also, es ist einfach.

39:38 – 39:40

Das schreibe ich mir mal auf.

39:40 – 39:42

In gewisser Weise ist es das auch.

39:42 – 39:43

Bitte, bitte.

39:43 – 39:44

Ich habe dich unterbrochen.

39:44 – 39:45

Nein

39:51 – 39:52

Als Erstes

40:03 – 40:09

Bei den anderen beiden Treffen im Monat sprechen wir über geschäftliche Angelegenheiten.

40:09 – 40:13

Was passieren könnte, was tatsächlich passiert, wer verantwortlich ist, an wen man sich wenden kann.

40:13 – 40:19

Und ich habe die Kommunikation zwischen allen aufgebaut, sodass jede Abteilung die Dinge genau gleich sah.

40:19 – 40:25

Jeder wusste, dass er gar kein so schlechter Mensch ist, auch wenn er dort arbeitet oder sie dort arbeitet.

40:25 – 40:28

Jetzt weiß ich, dass wir eine Familie sind, dass wir ein Unternehmen sind.

40:28 – 40:29

Wir haben alle ein Interesse daran.

40:29 – 40:31

Wenn etwas schiefgeht …

40:31 – 40:33

Wissen wir, wie man es in Ordnung bringt.

40:33 – 40:34

Wir vertrauen einander.

40:34 – 40:39

Ich habe hingegen schon in Unternehmen gearbeitet, in denen jemand gesagt hat: „Das ist dein Problem.“

40:39 – 40:40

Das ist nicht unser Problem.

40:40 – 40:45

Und dann stößt das Unternehmen an seine Grenzen – alle Gewinne gehen zurück.

40:45 – 40:46

Das Geld schwindet.

40:46 – 40:52

Dann, wenn es sich um einen Cyberangriff handelt, wird die Versicherung kommen und sagen: „Wissen Sie, Sie halten sich nicht an die Vorschriften.“

40:52 – 40:53

Wir werden Ihnen die Deckung entziehen.

40:54 – 41:00

Ich habe das so aufgebaut, damit wir nicht wegen eines Bieres aus der Spur geraten, denn ich will das Trinken nicht fördern.

41:03 – 41:04

Wir gehen zum Mittagessen.

41:04 – 41:05

Rede nicht über die Arbeit.

41:05 – 41:07

Lernt euch einfach gegenseitig kennen.

41:07 – 41:09

Bleibt auf der menschlichen Ebene, oder?

41:09 – 41:09

Genau.

41:09 – 41:10

Es auf der menschlichen Ebene belassen.

41:10 – 41:13

Und wenn ihr euch hinsetzt, sage ich ihnen …

41:15 – 41:15

Dienst.

41:21 – 41:23

Jeder ist also jemand anderes.

41:23 – 41:25

Jetzt redet ihr alle.

41:25 – 41:26

redet alle.

41:26 – 41:27

Und lernt euch kennen.

41:27 – 41:31

In der folgenden Woche, wenn wir das Treffen haben, okay, dann setzen wir uns hin.

41:31 – 41:32

Wir werden uns unterhalten.

41:36 – 41:40

Ich sagte zu ihm: „War das so?“

41:40 – 41:42

Und, äh, das Lennox-Hill-Krankenhaus.

41:42 – 41:43

Was denkst du darüber?

41:43 – 41:48

Was haben sie falsch gemacht, was uns verbessern kann, was uns geholfen hat, uns zu verbessern?

41:48 – 41:55

Denn jetzt nutzen wir einen Angriff von außen, um eine Vorgehensweise zu entwickeln, mit der wir stärker werden können.

41:56 – 41:58

In den acht Monaten, die seitdem vergangen sind…

42:04 – 42:06

sich in ihrer Haut wohlfühlen.

42:06 – 42:12

Ich sagte: „Ich wünschte, ich hätte Jessicas Buch damals gelesen.“

42:12 – 42:14

Und ich sage ihnen, dass es dabei nur um menschliche Kommunikation geht.

42:14 – 42:18

Denn sie kommunizieren jetzt alle miteinander.

42:18 – 42:22

Haben alle das gehört? Können alle das hören? Haben alle das gehört?

42:22 – 42:24

Ich meine, ganz einfach.

42:24 – 42:26

durchsetzbar und wiederholbar, oder?

42:26 – 42:29

Weil du es Monat für Monat für Monat gemacht hast, oder?

42:29 – 42:30

Ja, genau.

42:31 – 42:32

Fantastisch.

42:32 – 42:34

Da waren ein paar wirklich wichtige Punkte dabei.

42:34 – 42:42

Erstens: Du verwendest das Wort „Vertrauen“ – es geht darum, Vertrauen in diesen Beziehungen aufzubauen, nicht nur Vertrauen im beruflichen Sinne, sondern Vertrauen zwischen Menschen.

42:42 – 42:43

Und dann das

42:43 – 42:52

Lernkultur: Sobald wir ein gewisses Maß an Vertrauen aufgebaut haben, uns besser kennengelernt haben und uns miteinander wohlfühlen, setzen wir uns zusammen und wir…

42:52 – 42:53

über einen Vorfall sprechen.

42:53 – 42:59

Wir werden darüber sprechen, was vielleicht gut gelaufen ist, was schiefgelaufen ist, und wir werden über uns selbst nachdenken und darüber, was wir anders machen können.

42:59 – 43:05

Weil ihr diese vertrauensvollen Beziehungen aufgebaut habt, werden sich die Leute dabei wohler fühlen.

43:05 – 43:12

Also Vertrauen, Lernen, Kultur und der Aufbau einer wirklich umfassenden Kommunikationskultur.

43:12 – 43:13

Ich halte das für sehr wichtig.

43:13 – 43:23

Und wenn dann etwas schiefgeht und man als Einzelperson nicht weiß, an wen man sich wenden soll, aber hier und da ein paar Leute kennt, kann man hingehen und sagen: „Hey, das ist passiert.“

43:23 – 43:24

Das macht mir Sorgen.“

43:24 – 43:25

Was können wir tun?

43:25 – 43:27

Und steckt eure Köpfe zusammen.

43:27 – 43:30

Aber vieles davon hängt von der Kultur ab und davon, dass sich die Menschen sicher fühlen.

43:30 – 43:34

Äh

43:34 – 43:40

Ich muss hier eine Quelle angeben, denn was ich gleich sagen werde, stammt aus einem Podcast, den ich heute Morgen etwas früher aufgenommen habe.

43:40 – 43:49

Und der Herr war der Datenschutz- und Ausfallsicherheitsingenieur bei Blue Cross Blue Shield South Carolina Hillman.

43:49 – 43:49

Er ist hier.

43:49 – 43:51

Er ist ein toller Kerl.

43:51 – 43:58

Und als wir zum Ende kamen, habe ich gefragt: „Hey, gibt es eine Sache, die du allen Zuhörern dieses Podcasts mit auf den Weg geben möchtest?“

43:58 – 44:02

Denn er ist seit 25 Jahren im Datenschutz tätig.

44:02 – 44:04

Äh

44:04 – 44:05

Er liebt seine Arbeit.

44:06 – 44:14

Und er sagte: „Weißt du, schon als ich als junger Mann direkt nach dem Studium am Helpdesk angefangen habe, bis heute.“

44:14 – 44:19

Zwing dich dazu und begib dich mitten in eine Situation.

44:20 – 44:24

Hab keine Angst, denn du wirst staunen, wer dir folgt.

44:24 – 44:35

Und ich dachte mir, weißt du, es ist nichts Weltbewegendes, aber diese Leidenschaft, keine Angst davor zu haben, sich ins Getümmel zu stürzen – und dann ist es erstaunlich, wen man mitzieht, wenn das

44:35 – 44:36

passiert.

44:36 – 44:45

Und wenn man das zusätzlich zu dem hat, was man bereits erreicht hat – dass sich die Leute treffen und kennenlernen –, dann fügt sich das Ganze wie ein Puzzle zusammen

44:45 – 44:47

und es entstehen gute Dinge, oder?

44:47 – 44:58

Ich denke, mein einziger Einwand dagegen – und das hängt wahrscheinlich zum Teil mit der Kultur zusammen – ist, dass es vom Umfeld abhängt, in dem man das tut, ob die Leute mitmachen oder

44:58 – 45:09

ob, und ob sich die Menschen in diesem Umfeld wohlfühlen oder ob sie das Gefühl haben, wie Zak zuvor sagte, dass man mit dem Finger auf sie zeigen wird?

45:09 – 45:13

Werde ich meinen Kopf aus der Deckung strecken und zu demjenigen werden, dem die Schuld gegeben wird?

45:13 – 45:14

Oh

45:14 – 45:19

Und es wirft möglicherweise auch Fragen zum Burnout auf.

45:19 – 45:24

Wenn ich immer derjenige bin, der herbeieilt, um Probleme zu lösen – wann wird das seinen Tribut fordern?

45:24 – 45:27

Man braucht da im Einsatz etwas Kameradschaft.

45:28 – 45:32

Und wenn man die richtige Unternehmenskultur hat, die einen unterstützt, dann stimme ich vollkommen zu.

45:32 – 45:43

Aber in Organisationen, in denen dieser Beziehungsaufbau fehlt, in denen es an Empathie und Vertrauen mangelt und in denen die psychologische Sicherheit fehlt, sich keine Sorgen machen zu müssen um

45:43 – 45:44

beschuldigt zu werden,

45:44 – 45:47

dann ist das meiner Meinung nach ein ganz anderes Szenario.

45:47 – 45:49

Das ist ein guter Punkt.

45:49 – 45:52

Das erfordert mehrere Ebenen in der Pyramide.

45:52 – 45:55

Ich will nicht negativ sein, ich spreche nur vom Optimismus-Bias.

45:55 – 45:58

Mein Gott, was ist mit den 80 % passiert?

45:58 – 45:59

Erinnert ihr euch?

46:07 – 46:08

stabiles Umfeld.

46:10 – 46:15

der IT, die vom Unternehmensteam und den einzelnen Führungskräften der Geschäftsbereiche verwaltet werden.

46:17 – 46:21

Dienstleistungen oder Bereiche, in denen es Überschneidungen gibt.

46:21 – 46:25

Es ist also wirklich eine sehr, sehr schmale Grenze, wie weit man diese Bereiche zusammenlegen möchte.

46:28 – 46:31

Dinge voneinander trennen, denn das ist eine sehr knifflige Sache.

46:31 – 46:36

Wir sind fast wie acht verschiedene Geschäftsbereiche, die ihre eigenen Ziele und Prioritäten haben.

46:36 – 46:39

Dein zentraler, du weißt schon, der Unternehmensmarkt ist einer.

46:43 – 46:50

Muss man sich erst einmal mit allen abstimmen, bevor man auch nur eine Änderung vornimmt, und wenn es dann schiefgeht, sind alle in ihren Gruppen sofort bereit, einen anzugreifen.

46:50 – 46:54

Da ist die Grenze sehr schmal, wenn es um gemeinsame Reaktionen geht, besonders bei der Cloud und allem anderen.

46:54 – 46:58

Zum Beispiel, wenn man einen Mandanten mit mehreren Abonnements in Azure hat.

47:01 – 47:03

Und haben Sie diese Dinge voneinander getrennt, richtig?

47:08 – 47:18

Deshalb habe ich das Thema der geteilten Verantwortung angesprochen, denn genau darin liegt der Kern des Problems, an dem wir als Branche scheitern. Und ich glaube, das ist der Grund, warum wir so viel Gegenwind haben von

47:18 – 47:23

Vorschriften, von denen wir gerade sprechen – von DORA in Europa und all den anderen Dingen.

47:25 – 47:38

zwingen die Vorstände im Grunde dazu, das Thema Resilienz ernst zu nehmen und nachweisbare Kennzahlen einzuführen, um zu zeigen, dass wir als Organisation tatsächlich das Richtige tun

47:38 – 47:45

, wenn es darum geht, Daten zu schützen und im Falle von Sicherheitsverletzungen Resilienz unter Beweis zu stellen.

47:45 – 47:58

Und ich denke, da immer mehr Vorschriften strenger werden und die Strafen härter ausfallen, wird ein Teil dieser unerwünschten, aber dringend benötigten organisationsübergreifenden Bevölkerung und

48:03 – 48:16

Und vielleicht nicht, um den Begriff „KI“ mit Gewalt unterzubringen – ich will ihn ja nicht mit Gewalt unterbringen –, aber wenn wir die positiven Aspekte betrachten, müssen wir den Menschen etwas Zeit dafür freimachen.

48:16 – 48:17

Das ist das eigentliche Problem.

48:17 – 48:24

Ich meine, ich denke, zwischen den Zeilen gelesen, könnte es nicht nur bergab gehen, sondern man muss einfach Zeit auf diese Teams verteilen.

48:41 – 48:41

Sonst noch etwas?

48:41 – 48:43

Ich weiß es zu schätzen, dass ihr beide den Ball ins Rollen gebracht habt.

48:43 – 48:45

Wir wollten gerade darauf zu sprechen kommen, das passt also super.

48:45 – 48:47

Noch weitere Fragen?

48:47 – 48:48

Ja?

49:14 – 49:15

Thema.

49:18 – 49:18

Also.

49:31 – 49:32

Darf ich es mir ansehen?

49:32 – 49:41

Also ja, was passiert denn, wenn man diese Übungen gemeinsam mit dem ganzen Team macht, oder?

49:41 – 49:50

Das Vertrauen, das man dabei aufbaut, ist kein Vertrauen, das durch einen Vorfall erschüttert werden kann, denn genau das testet man ja gerade.

49:50 – 49:54

Man testet auf einen Vorfall, der in der Zukunft passieren wird.

49:54 – 49:58

Vor diesem Hintergrund also

49:58 – 50:15

warum sollte – okay, das ist nur eine Frage von mir – warum sollte irgendein Teammitglied einen anderen im Team verdächtigen, wenn ihr zwei dieser Übungen pro Jahr durchführt und sie nicht mehr als

50:15 – 50:16

erfahren?

50:16 – 50:21

Sie kommen alle zusammen und sehen, wie sich der Vorfall ereignet.

50:22 – 50:33

Man bespricht in einer virtuellen Sitzung, was passiert ist, wie sich die Ereignisse entwickelt haben, welche Sicherheitsvorschriften verletzt wurden und wie dies geschehen ist.

50:33 – 50:35

Und das wird dann mit dem gesamten Team durchgesprochen.

50:35 – 50:40

Dann sieht jeder einzelne den Angriff tatsächlich aus der Perspektive, aus der er kommt.

50:40 – 50:52

Wenn es also passiert, wenn es tatsächlich so wie in der Realität passiert, dann bezweifle ich stark, dass dieses Vertrauen aufgrund des Unfalls gebrochen wird.

50:55 – 50:56

Ja, genau.

50:56 – 51:01

Oh, aber wenn man das Vertrauen vorher nicht aufgebaut hat.

51:01 – 51:02

Auf jeden Fall.

51:02 – 51:05

Das ist tatsächlich ein sehr guter Punkt.

51:05 – 51:13

Das ist ein sehr guter Punkt: Wenn man zuvor kein Vertrauen aufgebaut hat, wird es tatsächlich viel schlimmer.

51:13 – 51:14

Ein exponentielles Problem.

51:14 – 51:21

Denn als wir darüber gesprochen haben, weiß ich von einem der Unternehmen, bei denen ich tätig war, dass…

51:21 – 51:30

In Südafrika gab es einen ganzen Unternehmensbereich mit etwa viereinhalbtausend Mitarbeitern an einem Standort.

51:30 – 51:44

Der gesamte Flügel war von jeglichem Netzwerk abgeschnitten, und der Sicherheitsmitarbeiter – ich war damals noch nicht der Sicherheitsmitarbeiter –, aber er zeigte auf den Netzwerktechniker, und der, der Netzwerktechniker, war einfach nur

51:44 – 51:45

zurück.

51:45 – 51:49

Ein paar Tage lang war dieser ganze Flügel vom Netz getrennt, weil sie es nicht hinbekamen.

51:50 – 51:53

Sie streiten sich ständig darüber, wessen Problem das ist.

51:53 – 52:00

Und dabei handelt es sich um Netzwerk und Sicherheit – Bereiche, von denen man eigentlich annehmen würde, dass sie eng miteinander verzahnt sind.

52:00 – 52:01

Ja.

52:10 – 52:15

Es ist wahrscheinlich gut, über eine Lösung nachzudenken, und ich glaube, das muss von oben kommen.

52:15 – 52:21

Also, wenn die oberste Führungsebene einen dabei unterstützt, aus dieser Situation herauszukommen.

52:30 – 52:34

Dass die oberste Führungsebene hinter uns steht und uns dabei unterstützt.

52:34 – 52:37

Ich meine, es war ganz klar eine Unsicherheit im Netzwerk.

52:37 – 52:42

Zwei verschiedene Unternehmen, es war so etwas wie ein Schwesterunternehmen innerhalb der Muttergesellschaft.

52:43 – 52:44

Sie hatten einen Punkt-zu-Punkt-Tunnel.

52:45 – 52:49

Jede offene Verbindung zwischen den beiden Unternehmen im Netzwerk haben wir über das VPN abgewickelt.

52:49 – 52:53

Das Schwesterunternehmen benötigte nur Zugriff auf einige wenige Anwendungen.

53:00 – 53:04

Die Mitarbeiter des Netzwerkteams gehören zum Sicherheitsteam.

53:04 – 53:06

Genau dieselbe Situation.

53:10 – 53:21

Oh, und das ist der Gedanke einer „Just Culture“ und der Frage, ob man eher auf Wiedergutmachung oder Vergeltung setzt.

53:21 – 53:26

Wenn also etwas schiefgeht, schaut man dann darauf, was schiefgelaufen ist, oder darauf, wer schuld ist?

53:30 – 53:34

I Ich … gute, gute Frage.

53:34 – 53:36

Ich finde, das ist eine gute Frage.

53:36 – 53:37

Ich finde, das ist eine gute Frage.

53:37 – 53:53

Ich gut, ich, ich gut, ich gut, ich, ich finde, ich finde gut, ich gut, ich finde, es ist gut, gut, es ist gut, finde

53:57 – 54:00

Zeigst du mit dem Finger auf jemanden oder versuchst du, der Ursache auf den Grund zu gehen?

54:00 – 54:05

Ich glaube, wir alle haben über Verteidigung und Tiefe gesprochen.

54:05 – 54:15

Ich denke, jetzt ist es an der Zeit, unsere Denkweise – da wir uns in der „SHIFT“-Phase befinden – von „Verteidigung und Tiefe“ hin zu „Vertrauen und Tiefe“ zu verlagern.

54:15 – 54:24

Damit meine ich, dass man seinen Mitarbeitern vertraut, das Richtige zu tun, dass man darauf vertraut, dass sich die Prozesse etablieren, und dass man auch den technologischen Hilfsmitteln vertraut, die einem zur Verfügung stehen

54:24 – 54:25

.

54:25 – 54:28

So zu handeln, wie du es geplant hast.

54:28 – 54:35

Ein Beispiel: Man ist gerade dabei, Daten wiederherzustellen, aber was ist, wenn der Ransomware- oder Malware-Angriff den Recovery-Plan tatsächlich lahmgelegt oder kompromittiert hat?

54:37 – 54:42

Nehmen wir also an, Sie verfügen über keine Air-Gap-Lösung und Ihre Recovery-Umgebung ist nun kompromittiert.

54:42 – 54:45

Sie führen also eine Wiederherstellung aus einer infizierten Umgebung heraus durch, was zu Betrug führen kann.

54:45 – 54:48

Sie können diesen Daten also nicht wirklich vertrauen, oder?

54:48 – 54:54

Und ich denke, genau deshalb werden wir uns das anschauen: Super, wir haben all diese Abwehrmaßnahmen, aber es kommt wieder zu einem Datenleck.

54:54 – 55:00

Und wenn man den Verstoß wieder aufnimmt, dann sagt man damit: Ich werde allem implizit oder explizit vertrauen.

55:00 – 55:06

Und dann muss ich mir in meinem Kopf die Vorstellung aufbauen, dass ich dem voll und ganz vertrauen möchte, was bedeutet, dass alle meine

55:06 – 55:11

unterstützenden Prozesse vertrauenswürdig sein müssen, um mich in einen vertrauenswürdigen Zustand zu versetzen.

55:12 – 55:16

Und dann denke ich, dass all das Vorherbestimmte – und entschuldigt bitte – einfach verschwinden sollte.

55:16 – 55:18

Das sollte wegfallen, richtig.

55:18 – 55:20

Nun, ich,

55:21 – 55:23

wir haben nur noch ein paar Minuten.

55:23 – 55:24

Ich weiß euch alle wirklich sehr zu schätzen.

55:24 – 55:25

Gesang.

55:25 – 55:26

Ich weiß die Fragen wirklich zu schätzen.

55:26 – 55:32

Wir hatten gehofft – wir dachten so: Mein Gott, werden die Leute nach all den Hähnchenröllchen überhaupt noch Fragen haben?

55:32 – 55:33

Und da waren sie dann.

55:33 – 55:36

Ein besseres Ende hätten wir uns also nicht wünschen können.

55:36 – 55:40

Aber ich möchte mich ganz herzlich bei zwei Gruppen bedanken.

55:40 – 55:41

Zunächst einmal an Jessica.

55:41 – 55:43

Danke, Ricky, Zak.

55:43 – 55:45

Ich meine, die hier zurückgelegten Meilen.

55:45 – 55:47

Unglaublich, oder?

55:48 – 55:53

Ich hoffe, ihr konntet Ricky und mich mit unseren Akzenten gut verstehen.

55:53 – 55:55

Ich meine, die haben ja die guten.

55:55 – 56:00

Wir, na ja, Dallas und Phoenix – ich meine, komm schon.

56:00 – 56:02

Aber was noch wichtiger ist: Ich möchte dir danken.

56:02 – 56:03

Danke, dass ihr euch die Zeit genommen habt.

56:03 – 56:07

Ich weiß, dass dies eine lange Sitzung war, besonders direkt nach dem Mittagessen.

56:07 – 56:12

Und was noch wichtiger ist: Vielen Dank, dass Sie zu SHIFT gekommen sind, dass Sie Kunden von Commvault sind und dass Sie uns Ihr Vertrauen schenken.

56:12 – 56:14

Das wissen wir sehr zu schätzen.

56:14 – 56:15

Also.

56:15 – 56:19

Genießt den Rest eurer Breakouts und wir sehen uns dort draußen.