Unternehmenscybersicherheit stimmt Regeln, Verantwortung, Lieferanten und Kontrollen so ab, dass eine große Organisation gemeinsam abwehrt.
Sie ist das Abstimmungsproblem vieler Teams und Rechtsträger, nicht die allgemeine Definition von Schutz und nicht ein einzelnes Einsatzbuch.
So funktioniert es
Große Organisationen erben ungleiche Praktiken aus Übernahmen, Regionen und Lieferanten, die sich direkt an Kernsysteme anschließen.
Ohne eine gemeinsame Verantwortung für Identität, Daten und Ausnahmen kann jedes Team lokal sorgfältig sein und trotzdem eine Lücke lassen, die das ganze Unternehmen teilt.
Abstimmung bedeutet eine gemeinsame Regelsprache, einen Ort, an dem Ausnahmen ablaufen, und einen Blick auf Lieferanten, der mehr ist als eine Vertragsdatei.
Lokale Teams führen weiter aus, erfinden aber keine widersprüchlichen Definitionen davon, wie gut aussieht.
Konkrete Beispiele
- Zwei Tochtergesellschaften entdecken nach einer Übernahme, dass sie für dieselbe Kundendatenbank verschiedene Regeln genutzt haben.
- Ein Lieferantenkonto bleibt ein Jahr nach Vertragsende aktiv, weil keine unternehmensweite Verantwortung es geprüft hat.
- Eine für eine Produkteinführung gewährte Ausnahme wird an ihrem Ablaufdatum geschlossen, statt zu einem dauerhaften Umgehungsweg zu werden.
Schutzmaßnahmen
- Benennen Sie unternehmensweite Verantwortliche für Identität, Daten und Lieferantenzugriff, getrennt von lokalen Projektleitungen.
- Nutzen Sie eine Regelsprache über Geschäftsbereiche hinweg und zeichnen Sie Ausnahmen mit verantwortlicher Person und Enddatum auf.
- Prüfen Sie Lieferantenanbindungen nach einem Zeitplan und entfernen Sie Zugriff, wenn der Vertrag ihn nicht mehr braucht.
- Messen Sie, ob lokale Teams Nachweise für dieselben Ergebnisse zeigen können, und nicht, ob sie dasselbe Logo gekauft haben.