Cybersecurity

Haben Sie alle Bereiche Ihrer Organisation auf mögliche Bedrohungen ausgeleuchtet?

EY Podcast

Heute schon gehackt worden?

 

 

Mehr erfahren
 

      Cybersicherheit wird immer wichtiger: Die Digitalisierung in allen Unternehmensbereichen schreitet unaufhaltsam voran, neue digitale Geschäftsmodelle entstehen, disruptive Technologien nehmen zu – und auch die Anzahl an Cyberattacken wie zum Beispiel Ransomware-Angriffen steigt. Die Angreifer verfügen über immer mehr Mittel und ausgeklügelte Fähigkeiten, Angriffe erfolgreich durchzuführen und greifen Organisationen auf allen Ebenen an: Geschäftsprozesse, Produktion, IT und Lieferketten sowie physikalische Sicherheit. Hier muss Licht ins Dunkel gebracht werden, denn die Auswirkungen eines erfolgreichen Angriffs können nicht nur die eigene Organisation betreffen, sondern auch andere Unternehmen, Kritische Infrastrukturen und die Gesellschaft als Ganzes. Kurz: Die Thematik ist für alle Organisationen, den Staat und die Gesellschaft noch nie so komplex  gewesen wie heute.

      Cyberangriffe stellen eine enorme Bedrohung für jede Organisation dar. Deshalb gehört das Thema auf die Agenda der CEOs und der Aufsichtsräte.
      Matthias Bandemer
      EY Germany Cybersecurity Leader

      Unsere Fokusthemen

      Viele Herausforderungen bewegen den Markt, auch im Bereich der Cybersecurity, der Cyberstrategie und Cyberresilienz. EY setzt Impulse – von den Herausforderungen, denen sich Chief Information Security Officer (CISO) stellen müssen, über die Sicherheit in Kritischen Infrastrukturen oder Lieferketten, bis hin zur Cyber Response, dem Umgang mit stattfindenden Cyberattacken, sowie zu sogenannten Managed Services, dem Auslagern wichtiger IT-Dienstleistungen zur Angriffserkennung und Abwehr zu einem planbaren Budget.

      • Herausforderungen des Chief Information Security Officer (CISO)

        Chief Information Security Officer (CISO) und Verantwortliche für Datenschutz und Cybersecurity sind im akuten Handlungszwang: Die Sicherheitsherausforderungen werden komplexer, die Cyberangriffe auf das Business häufiger. Gleichzeitig herrscht akuter Personalmangel und Budgetknappheit in der aktuell wirtschaftlich angespannten Situation.  

        CISO steigen in ihrer Rolle auf und werden vom Technologiemanager zum Business-Leader und Enabler. EY kennt die Herausforderungen eines CISO und hilft, Strategien und Prioritäten richtig zu setzen.

        Unser Portfolio

        Unser Cyber-Program-Accelleration-Framework (CPA) unterstützt den CISO bei der Definition seiner nachhaltigen „Reise“, damit ihm unterwegs nicht die Luft ausgeht: 

        1) Dimension Strategie und Compliance:

        • Beurteilung der Wertschöpfungskette und der Prioritäten des Unternehmens
        • Entwicklung einer risikoangemessenen und finanziell ausgewogenen Roadmap, die auf die Verringerung von Geschäftsrisiken ausgerichtet ist
        • Analyse der Richtlinien und Prozesse zur Definition des Zielbildes
        • Auswahl und Anpassung eines passenden Cyber-Sicherheitsmanagement-Frameworks für die Organisation, zum Beispiel IT-Grundschutz, NIST, CIS oder ISO 27001/2
        • Definition des ISMS-Kontrollrahmens inklusive Aufgabendefinitionen, Rollen und Verantwortlichkeiten
        • Effektive organisationsweite Implementierung des „Line of Defense Modells“ (1st, 2nd und 3rd Line of Defense), Security-by-Design und Defense-in-Depth Paradigmen in Bezug auf IT-Sicherheit, Datenschutz und Resilienz
        • Beratung zu Compliance und Reporting-Pflichten
        • Zusammenstellung der internationalen relevanten Cyber-Normen wie der DSGVO, EU-NIS2, DORA oder des IT-Sicherheitsgesetzes sowie Abgleich der getroffenen Cyber-Maßnahmen mit den entsprechenden rechtlichen Anforderungen als Managed Services (Cyber Regulatory Monitoring)

        2) Dimension Technologie:

        • Verständnis der digitalen Business-Agenda
        • Überprüfung von bestehenden Architekturen und Einführung neuer Architekturmodelle wie Zero Trust, um Vereinfachungs- und Kostenoptimierungspotenziale zu heben – bei gleicher oder höherer Sicherheit
        • Unterstützung bei der Identifikation anfälliger Anwendungen, Systeme und Netzwerke durch kontrollierte Penetrationstests sowie dynamische und statische Anwendungstests
        • Analyse von Schwachstellen und Umsetzung von Patch-Management in vom Unternehmen oder dessen Partnern und Lieferanten verwalteten IT/OT- und IoT-Infrastrukturen
        • Analyse, Verstehen und Beheben von Sicherheitslücken in Business-Anwendungen (zum Beispiel SAP) und Unterstützung der sicheren Anwendungsentwicklung (DevSecOps, Secure SDLC)
        • Unterstützung bei der Planung, Entwicklung, Einführung sowie dem Betrieb oder der Verbesserung eines Security Operation Centers (SOC) zur Angriffserkennung auf die IT-, OT- und SAP-Landschaft
        • Beratung für Entwicklungs- und Rollout-Projekte

        3) Dimension Mensch und Organisation:

        • Definition des Organisationsmodells: Zentrale CISO-Organisation, divisionale Geschäftsrollen zum Beispiel BISOs, regionale Rollen zum Beispiel RISOs
        • Wertschöpfungstiefe: Definition der Kernkompetenzen, Fertigkeiten und Fähigkeiten der internen Cybersecurity-Teams und der auszulagernden Funktionen
        • Definition der Anforderungen an das Personal und Aufstellen eines Rekrutierungs-, Schulungs- und Entwicklungsplans
        • Definition von Gremien/Entscheidungsorganen 
        • Aufsetzen der Berichterstattung (CISO-Reporting und Management-Reporting)
        • Sensibilisierung und Bewusstseinsbildung für alle Arbeitnehmer und Geschäftspartner durch Awareness-Maßnahmen, Krisenübungen und Firedrills

      • Sicherheit in Kritischen Infrastrukturen (KRITIS)

        Akute Bedrohungen und komplexe Regulatorik machen die Sicherheit in Kritischen Infrastrukturen zu einem höchst relevanten Thema: Was wäre, wenn die Kritische Infrastruktur angegriffen würde? Welche Folgen hätte es für die Institutionen, die öffentliche Sicherheit und damit uns alle?

        EY begleitet KRITIS-Betreiber aus allen Sektoren, damit diese gegen einen Cyberangriff bestens abgesichert sind.

        EY Cybersecurity

        Webcast-Aufzeichnung: NIS2 - Die neue EU-Cyberrichtlinie auf den Punkt gebracht

        Jetzt ansehen

         

        Multi-Ethnic Team of Research Engineers

        Angriffserkennung: Was KRITIS-Betreiber wissen müssen

        Jetzt herunterladen

         

        Die neuen EU-Verordnungen zur Cybersicherheit

        Jetzt herunterladen

         

        Unser Portfolio

        • Durchführung von Prüfungen und Zertifizierungen zur Erfüllung gesetzlicher Anforderungen
        • Umfassende Beratung über verschiedene Länderregulierungen hinweg (zum Bespiel innerhalb der EU, China, USA, APAC, Südamerika)
        • Unterstützung bei der pragmatischen Umsetzung der rechtlichen Leitlinien wie der BSI-KRITIS-Verordnung, dem IT-Sicherheitsgesetz 2.0, DORA in der Finanzindustrie oder der Europäische Direktive NIS-2 (Directive on security of network and information systems) und RCE (Directive on the resilience of critical entities)
        • Aufbau einer Incident Response Readiness zur fortlaufenden Handlungsfähigkeit von KRITIS-Betreibern im Fall eines Cyberangriffs
        • Hilfe bei der Planung, Entwicklung, Einführung sowie dem Betrieb oder der Verbesserung eines Security Operation Centers (SOC) zur Angriffserkennung auf die IT-, OT- und SAP-Landschaft
        • Internationales Regulatory Monitoring zur frühzeitigen Erkennung und Analyse von Gesetzesänderungen hinsichtlich Kritischer Infrastrukturen und Datenschutz als Managed Service  

        EY ist der einzige voll zertifizierte Advanced Persistant Threats (APT)-Dienstleister aus dem Wirtschaftsprüfungsumfeld, der BSI-gelistet ist. Neben guter Vernetzung zum BSI gestaltet EY die „KRITIS-Welt“ aktiv mit – durch die Mitarbeit an der Erstellung branchenspezifischer Standards.

      • Sicherheit in Lieferketten

        EY beobachtet eine starke Zunahme von Cyberangriffen auf alle Arten von Unternehmen. Lieferkettenstrategien müssen daher überdacht und Schwachstellen ausgebessert werden – insbesondere mit Blick auf Cybersecurity-Risiken. Denn: Wer sich selbst schützt, der schützt auch andere.

        Die meisten Organisationen haben keine Transparenz über den Cyber-Sicherheitsstatus ihrer Lieferkette. EY begleitet Unternehmen aus allen Sektoren, um deren Lieferketten vor, während oder nach einem Cyberangriff bestmöglich zu schützen und Schäden zu minimieren.

        Unser Portfolio

        • Identifikation skalierbarer Ansätze durch die Einbindung in strategische und operative Einkaufsprozesse
        • Regelmäßiger Check des Sicherheitsstatus der Lieferunternehmen als Self-Assessment, Health-Check oder umfassendes Audit
        • Aufsetzen von Prozessen und Governance zur Wahrung der Transparenz der Cybersicherheit in der Lieferkette
        • Beratung bei der Erstellung von wirksamen vertraglichen Verpflichtungen zur Umsetzung eines effektiven Sicherheitsmanagement-Systems in den Auftragsbedingungen
        • Unterstützung bei der Implementierung der Vorgaben des Lieferkettensorgfaltspflichtgesetzes und deren Einhaltung
        • Aufbau einer Incident Response Readiness für eine fortlaufende Handlungsfähigkeit im Fall eines Cyberangriffs

        EY wurde als erste Wirtschaftsprüfungsgesellschaft als offizieller TISAX-Berater und -Prüfungsdienstleister im Automobilsektor zugelassen und ist seitdem in der ENX Association gelistet. TISAX ist der international anerkannte Standard für das Audit der Informations- und Cybersicherheit in der Automobilindustrie.

      • Incident Response

        Die Welt wird digitaler und Cyberangriffe, die darauf abzielen, den Geschäftsbetrieb massiv zu stören und sensible Informationen abzugreifen, werden häufiger – und ihr Ausmaß größer. Für Firmen bedeutet dies, sich auf steigende und wechselnde Risiken einzustellen. Cybersecurity wird immer wichtiger und darf nicht zu kurz gedacht werden.

        EY liefert langjährige Expertise im Aufbau einer Incident Response Readiness, damit Unternehmen im Ernstfall bei einem Cyberangriff handlungsfähig bleiben. Unsere Retainerangebote sichern Ihnen schnelle und zuverlässige Soforthilfe im Ernstfall.

        EY Forensics Datenklaustudie 2023

        EY Forensics Datenklaustudie 2023

        Virtuelle Gefahr — reale Schäden

        Eine Befragung von über 500 deutschen Unternehmen zur aktuellen Lage

        Jetzt herunterladen

        Unser Portfolio

        • Just-in-Time-Unterstützung vor Ort oder remote zur zügigen Identifizierung von Cyber-Angreifern, einer schnellen Eindämmung des Angriffs sowie Verdrängung der Angreifer aus dem IT-Netzwerk – auch als Retainer-Service
        • Post Breach Support: Identifikation und Klassifikation geleakter Daten, um erforderliche datenschutzrechtliche Maßnahmen richtig, vollumfänglich und zeitgerecht durchführen zu können
        • ERP Health Check zur Prüfung der Betroffenheit Ihres zentralen ERP-Systems, um nachhaltige Störungen auszuschließen und das Vertrauen in die Finanzsysteme aufrechtzuerhalten
        • PMO-Support zur Abwicklung der komplexen Krisenlage eines Cyber-Incidents und Orchestrierung der relevanten Stakeholder wie C-Suite, IT, Legal Department, HR, Public Relations und anderen
        • Unterstützung bei der Zusammenarbeit/Kommunikation mit einzubindenen Regulatoren, Strafverfolgungsbehörden oder auch Nachrichtendiensten.
        • Vorschlag verbesserter Abwehrmaßnahmen zur Steigerung der IT-Sicherheit und Verringerung des Risikos weiterer Cyberangriffe

      • Managed Services

        Die sich entwickelnde Bedrohungs- und Regulierungslandschaft erfordert größere Investitionen der Organisationen in Cybersecurity, während gleichzeitig Personalmangel und Budgetbeschränkungen bestehen. Dies erfordert operative Exzellenz, kontinuierliche Personal- und Skill-Entwicklung und den Einsatz von Automatisierung, was für eine einzelne Organisation – besonders für mittelständische Unternehmen – kaum zu stemmen ist.

        CISO suchen zunehmend nach Möglichkeiten, Verantwortlichkeiten und Funktionen ihrer Sicherheitsorganisationen an etablierte Partner zu planbaren Budgets auszulagern.

        EY bietet ausgereifte und „sich selbst verbessernde“ Cyber Managed Services, die mit den sich schnell ändernden Sicherheitsanforderungen der digitalen Welt Schritt halten.

        Unser Portfolio

        • Managed Threat Detection und Response (MDR): Netzwerk- und Endpoint-Sicherheit ist entscheidend für den Schutz vor Ransomware. EY bietet integrierte und vollständige End-to-End-Services zur Erkennung und Reaktion als Schlüssel für eine kurze Reaktionszeit und Incident Response Readiness. Dabei setzen wir auf markführende Technologien und Security-Intelligence zur Überwachung von und Reaktion auf fortgeschrittene Cyberbedrohungen zusammen mit unseren Allianz-Partnern Microsoft, Tanium und Crowdstrike.
        • Managed Global Cyber Regulatory Monitoring zur frühzeitigen Erkennung und Analyse von anstehenden Gesetzesänderungen im Bereich Cybersecurity und Datenschutz
        • Managed Supply Chain & Third Party Cyber Risk Services zur laufenden Identifikation, Klassifikation und Bewertung von Cyber Risiken bei Lieferanten basierend auf OSINT, Self-Assessments, Health-Checks und Audits
        • Managed Threat Exposure Management: Regelmäßige Penetrationstest, dynamische und statische Anwendungstests, Schwachstellenanalysen für Cloud und On-Prem, Cloud Security Posture Management und Redteaming-Services als Rahmenvertrag mit festen Reaktionszeiten und planbaren Kosten
        • Managed Visibility & Control (MVAC): Patchen ist mühsam – im Durchschnitt werden 18.000 Software-Schwachstellen pro Jahr bekannt – kritische Schwachstellen müssen schnell behoben werden. Die Log4J-Schwachstelle hat vielen die Augen geöffnet, wie wichtig die Visibilität über alle Software-Assets in der Organisation ist. EY und Tanium arbeiten auf Basis von Tanium’s branchenführender Endpunktverwaltungssoftware zusammen, die neben dem Patching auch einen umfassenden Einblick in die Software-Assets ermöglicht. So verstehen unsere Experten die Arbeitsabläufe, können Best-Practice-Prozesse implementieren und Risiken identifizieren, um ein nahtloses kontinuierliches Patching-Programm bereitzustellen.

         

        Alle Services können sowohl als Option zur Verstärkung Ihrer Cyber-Teams („Staff Augmentation“) als auch als vollständige Managed Services mit definierten SLAs angeboten werden.

      Ganzheitliche Beratung: Cyberrisiken richtig behandeln

      Vorsicht ist besser als Nachsicht – das gilt ganz besonders für die Cybersicherheit. Ein ganzheitlicher, proaktiver und strategischer Ansatz ist dabei unerlässlich, um nicht erst dann die Initiative zu ergreifen, wenn die Organisation bereits angegriffen wird.

      EY bietet einen solchen holistischen Beratungsansatz und begleitet Organisationen aus allen Sektoren präventiv und reaktiv, von der richtigen Behandlung von Cyberrisiken vor einem möglichen Cyberangriff und der Gestaltung einer immunen Digitalisierung, bis zur operativen Unterstützung bei einem Ransomware-Angriff oder anderem Cyber-Notfall inklusive einer umfassenden Incident Response. EY hilft mit technischen Sofortmaßnahmen und unterstützt bei der Wiederherstellung eines stabilen Betriebszustandes. Mit Managed Services übernimmt EY zudem den dauerhaften Betrieb von Angriffserkennung und Abwehr (Managed Detection und Response). Beratungsleistungen zu Compliance und Regulatorik runden das Angebot ab.

      Dafür stehen wir

      Kontaktieren Sie uns!