Wie können MSPs ihre eigene Cybersecurity gewährleisten?

Managed Services Providers (MSPs) sind führende Anbieter von Cybersecurity-Diensten. Sie bieten und beschaffen den meisten ihrer Kunden im Rahmen ihrer Servicepakete wichtige Perimetersicherungsmaßnahmen.

Allerdings sind MSPs anfällig für Hackerangriffe und im Falle eines Verstoßes kann es dazu kommen, dass die Kunden und deren wertvolle Daten und Geschäftsgeheimnisse offengelegt werden. Deshalb sind MSPs ein verlockendes Ziel für Hacker. Es gab einige schlagzeilenträchtige Vorfälle, bei denen die MSPs gehackt wurden, sowohl bei größeren als auch bei kleineren MSPs, was zeigt, dass beide gleichermaßen gefährdet sind.

Wie können MSPs ihre eigenen Perimeter schützen?

Adam Ennamli ist der Chief Risk and Security Officer bei der General Bank of Canada. Er beaufsichtigt die Entwicklung und das Management aller unternehmensweiten Risikoprogramme. Er hatte SmarterMSP.com seine Gedanken dazu mitgeteilt, wie sich MSPs sicher halten können.

„MSPs spielen für die Cybersecurity ihrer Kunden eine entscheidende Rolle, sind jedoch auch bevorzugte Ziele für Angreifer“, erklärt Ennamli und fügt hinzu, dass ein Teil des Cyberrisikos tatsächlich auf sie übertragen wird, sodass zum eigenen Schutz auch der Schutz der Kunden gehört. Deshalb brauchen sie eine robuste Security-Strategie.“ Er stellt fest, dass ein robustes MSP Security Programm Folgendes beinhalten sollte:

• Implementierung von Zero-Trust-Prinzipien, d. h. Beschränkung des Zugriffs auf das Notwendige und ständige Überwachung auf Ungewöhnliches.
• Einrichtung pragmatischer, erprobter Kontrollen für Fernzugriffswerkzeuge.
• Mit Audits Schritt halten.
• Den Fokus auf praktische Ausbildung verstärken.

Ennamli erklärt, dass zu den Essentials Security Kontrollen, die für MSPs nicht verhandelbar sind, Netzwerksegmentierung, mehrschichtige Backups und ständige Überwachung gehören. „MSPs können sicherstellen, dass ihre Abwehr so stark ist wie die Dienstleistungen, die sie anbieten, indem sie eine effektive Implementierung nachweisen, Branchenstandards mit überprüfbaren Compliance-Maßnahmen einhalten und neuen Bedrohungen einen Schritt voraus sind. Er fügt hinzu, dass MSPs in puncto Security vor einer Entscheidung stehen. Sie können das entweder intern erledigen oder einen anderen MSP beauftragen.

„Die Entscheidung hängt von ihren Ressourcen und ihrem Fachwissen ab, und letztendlich sollte die Marktkonvergenz ein Risiko sein, das jemand überwachen muss – das heißt, wenn alle MSPs anfangen, sich gegenseitig zu beauftragen, wird sich das gesamte Schutzrisiko auf eine Handvoll Akteure konzentrieren, was zu einem starken Konzentrationsrisiko führt“, erklärt Ennamli Er weist darauf hin, dass einige MSPs zwar über die Fähigkeiten verfügen, ihre Security intern zu verwalten, andere jedoch von der Auslagerung von Audits, der Bedrohungssuche oder erweitertem Schutz an einen spezialisierten Anbieter profitieren könnten. „Ein hybrider Ansatz – eine Kombination aus internem Management und der Expertise Dritter – kann das Beste aus beiden Welten bieten.“ Er stellt fest, dass grundlegende Prinzipien wie Transparenz, Partnerschaft und kontinuierliche Verbesserung entscheidend sind, um das Vertrauen des Marktes zu bewahren und in der Bedrohungslandschaft sicher zu bleiben.

Zusätzliche Erkenntnisse

Bob Leonard ist ein unabhängiger Cybersecurity-Spezialist, der mit MSPs an deren Security arbeitet. Er sagt, dass der Schlüssel zum Erfolg darin besteht, dass MSPs sich selbst so behandeln sollten, wie sie einen ihrer Kunden behandeln würden. Und wenn sie das nicht können, dann sollten sie einen anderen MSP beauftragen. Einige MSPs, egal ob es sich um Ein-Personen-Betriebe oder große Unternehmen handelt, sind 'zu nah dran'; sie sind emotional und wirtschaftlich zu sehr mit ihrem eigenen Wohlergehen verbunden, was ihre Entscheidungsfindung beeinflusst.

Damit ein MSP mit seiner eigenen Security erfolgreich sein kann, muss er einen klinischen, emotionslosen und wirtschaftsunabhängigen Ansatz verfolgen. „Ein MSP kann nichts anderes berücksichtigen als ‚Was ist der beste Cybersecurity-Plan für unser Unternehmen?‘, alles andere gefährdet alle Ihre Kunden“, sagt Leonard

Leonard teilt mit, dass CISA nützliche Tipps und Schritte für Do-it-yourself-MSPs bietet, die die Arbeit intern behalten möchten. „Aber im Allgemeinen empfehle ich einem MSP, seine eigene Security auszulagern.“ Es gibt gute Argumente auf beiden Seiten. Obwohl niemand mehr auf dem Spiel steht als die Security des MSP, sind sie oft zu nah an der Situation. Sie haben zu viel auf dem Spiel, um es effektiv und ohne Emotionen zu bewältigen.

MSPs sind ein Hauptziel für Cyberangriffe. Um sich zu schützen, müssen sie strenge Security-Maßnahmen wie Zero-Trust, Fernzugriffskontrollen und regelmäßige Audits ergreifen.

Hinweis: Dies wurde ursprünglich auf SmarterMSP.comveröffentlicht.