Fünf Thesen zur IT Security

KI wird uns retten? Als Mittelständler bin ich nicht in Gefahr. Wir kennen alle Tricks? Die Fachmesse Smart Automation macht IT-Security zum Thema und dafür hat Veranstalter Reed Exhibitions fünf Thesen ausfindig gemacht und hinterfragt.  

© Shutterstock
Der Mensch bleibt größte Gefahr: Die Mitarbeiterinnen und Mitarbeiter müssen verstehen, wie sie auch selber Sicherheitslücken schließen können.

These Nummer 1: Machine Learning und Künstliche Intelligenz machen uns sicherer: Jein!

Machine Learning (ML) existiert in der IT Security-Welt schon seit vielen Jahren. Moderen Anti-Viren-Software käme ohne maschinelles Lernen nicht mehr hinterher, um Schadsoftware zu detektieren. Gleichzeitig erkennen ML-Verfahren Anomalien in Netzwerken oder am Endpoint beim Nutzer zur Identifizierung mittels historischer Daten, wie schnell der Benutzer beispielsweise sein Passwort eingibt. Doch seit einigen Monaten werben einige Unternehmen mit KI basierter Security. Experten warnen: Diese Anwendungen ersetzen keinen Grundschutz. Manche sprechen von einem Marketing Hype. Fest steht: KI erleichtert die Analyse der Opfer. Mit KI-Tools kann ich riesige Datensätze analysieren und mir Zielpersonen raussuchen, denn der Mensch bleibt der Unsicherheitsfaktor. 

 

These Nummer 2: Die größte Gefahr bleibt der Mensch: Ja!

Angriffe auf Firmeninfrastruktur muss nicht immer kompliziert sein. Viele Unternehmen machen es Eindringlingen sehr leicht. Experten empfehlen: Mitarbeiter schulen, Grundschutz ernst nehmen, Assets in der Fabrik analysieren und schützen. Dynamische Gefahrenabwehr als statische Sicherheit. Das bedeutet: regelmäßig schulen, informieren, nachhalten und patchen. Wichtig: Die Mitarbeiterinnen und Mitarbeiter müssen verstehen, wie sie auch selber Lücken schließen können. ITler und Anwender müssen eine gemeinsame Sprache finden. 

 

These Nummer 3: Ich als Mittelständler bin kaum gefährdet, uns kennt kaum jemand: Nein!

Den Automobilzulieferer Gedia kannten auch nur Branchenexperten, der Automatisierer Pilz ist auch vor allem Brancheninsidern bekannt gewesen und der Werkzeughersteller Einhell ist medial auch nicht dauerpräsent. Die Täter haben auch den Mittelstand im Visier, weil sie dort auf Lücken hoffen. 

 

These Nummer 4: Neue Angriffs-Szenarien entstehen: Jein!

Traditionelle Angriffsszenarien überwiegen heute. In der jüngsten Zeit waren es vor allem Erpressungsversuche, die ganze Firmen lahmlegten. Doch mit KI und ML entstehen neue Gefahren. Unternehmer müssen sich zukünftig fragen: Wer hat den Algorithmus für die Security entwickelt, gibt es eine „Backdoor“? Der Algorithmus muss sich ausweisen. Stichwort: Trustworthy zu Deutsch Glaubwürdigkeit. Die Angriffsszenarien ändern sich. Angreifer müssen nicht unbedingt den Strom abstellen, sondern können Datenbestände verändern, damit verändern sie Modelle und Anwendungen. Adversarial Attacks sind eine neue Gefahr. Bilderkennungssysteme werden mittels Aufkleber bewusst manipuliert. Pixelveränderungen können ein Vision-System komplett lahmlegen bzw. falsche Informationen/Befehle ausgeben. 

 

These Nummer 5: Der Mittelstand wird bei IT Security Normen oft vergessen! Nein!

In jüngster Zeit wurden dem Mittelstand mit der ISO 2700x, dem deutschen BSI Grundschutz und auch des recht jungen VdS 10000 passende Frameworks zur Verfügung gestellt. Mit dem zuletzt genannten wird nun sogar auch zum ersten Mal explizit der Mittelstand adressiert, für den es bisher oftmals zu aufwendig war, ein Informationssicherheits- managementsystem (ISMS) nach ISO 27001 oder BSI Grundschutz zu etablieren.