Mit der zunehmenden Digitalisierung des Betriebs stellt die IT-Sicherheit eine wichtige Herausforderung für die CFL und ihre 4.800 Mitarbeiter dar. Sie steht auch im Mittelpunkt mehrerer Vorschriften, die das Unternehmen einhalten muss. Die Herausforderungen sind so hoch, dass ein spezialisiertes Team Tag und Nacht über das System wacht. Eric, der im Team Informationssicherheit arbeitet, erzählt uns von seiner Aufgabe.
Laufend die Zuverlässigkeit der IT-Ressourcen testen
Eric, du arbeitest in der IT-Sicherheitsabteilung der CFL. Was genau ist die Mission dieser Einheit?
Unsere Aufgabe ist es, die Sicherheit des Informationssystems gegen äußere und innere Bedrohungen zu gewährleisten. Mit anderen Worten: Wir müssen dafür sorgen, dass die gesamten Systeme, mit denen Informationen beschafft, gespeichert, verarbeitet und kommuniziert werden, geschützt sind.
Von welchen Informationen ist hier genau die Rede?
Sie sind vielfältig. Wir wachen sowohl über interne Daten unserer Geschäftsbereiche als auch über die öffentlichen Informationen, die die CFL den Reisenden zur Verfügung stellen. Unsere Aufgabe ist es, die Vertraulichkeit, Integrität und Verfügbarkeit dieser Daten zu gewährleisten.
Wie ist dein Team organisiert?
Man teilt sich bestimmte Aufgaben, aber jeder entwickelt sein eigenes Spezialgebiet, um darin möglichst Experte zu sein. Es gibt z. B. einen Kollegen, der sich auf das Management von Sicherheitsvorfällen spezialisiert hat; ein anderer ist Referent für den mobilen Bereich und die Sicherheit von Apps; usw. Ich selbst bin vor allem auf Penetrationstests spezialisiert.
Kannst du uns mehr über diese berüchtigten Tests erzählen?
Auf jeden Fall. Im Fachjargon nennt man sie Pentests, ein Begriff, der sich aus dem englischen „penetration test“ zusammensetzt. Im Grunde geht es darum, einen externen Partner (ein spezialisiertes luxemburgisches Unternehmen) zu bitten, die Widerstandsfähigkeit unseres Computersystems zu testen.
Wenn er Schwachstellen entdeckt, meldet er sie uns, und wir beheben sie.
Immer präsentere Bedrohungen
Was sind denn die Risiken, die durch diese möglichen Intrusionen entstehen?
Die Cyberangriffe nehmen weltweit stetig zu. Eine der größten Bedrohungen sind Datengeiselnahmen… Es geht darum, auf Ihre Daten zuzugreifen, um sie dann gegen Geld zu verschachern. Das geht normalerweise über eine Ransomware: eine Lösegeldsoftware, die alle Daten verschlüsselt, sie unbrauchbar macht oder sie exfiltriert, um sie zu veröffentlichen. Diese Verfahren sind heute weit verbreitet.
Diese Bedrohung wird häufig mit Phishing-E-Mails in Verbindung gebracht, die immer realistischer und kontextbezogener werden, mit Emotionen spielen und uns bei unseren Gefühlen packen.
Du hast gerade „Phishing“ erwähnt, eine weitere große IT-Bedrohung. Kannst du uns noch einmal das Prinzip und die Gefahren von Phishing erklären?
Phishing ist ein Betrugsversuch, der meist über eine E-Mail verbreitet wird. Dabei wird versucht, Sie dazu zu bringen, auf einen Link oder einen Anhang zu klicken, der mit einer Malware, einer bösartigen Software, verbunden ist. Unser Ziel ist es hier, unseren Mitarbeitern beizubringen, wie sie diese erkennen können, bevor sie sie anklicken.
Wie schaffen Sie es, Ihre Mitarbeiter zu sensibilisieren?
Wir haben einen Anti-Phishing-E-Learning-Parcours erstellt. Der Kurs besteht aus Videos und Quizfragen und soll spielerisch und pädagogisch sein, um die Mitarbeiter nicht zu entmutigen. Es wird erklärt, welche Techniken verwendet werden und welche guten Praktiken es gibt, um nicht in ihre Fallen zu tappen.
Es gibt ganz einfache Dinge, wie z. B. die Absenderadresse einer E-Mail zu überprüfen oder mit der Maus über einen verdächtigen Link zu fahren, ohne zu klicken, damit die Ziel-URL erscheint.
Und das funktioniert?
In den meisten Fällen. Um den Fortschritt zu messen, führen wir selbst gefälschte Phishing-Kampagnen durch: Wir schicken unseren Mitarbeitern gefälschte Phishing-E-Mails, um ihre Reflexe zu testen. Dann teilen wir ihnen ihre Punktzahl mit. Dabei bleiben wir in der positiven Kommunikation: Das Ziel ist nicht, ihnen Schuldgefühle zu machen! Seitdem wir sensibilisieren, hat die Wachsamkeit zugenommen.
Ständige Aufmerksamkeit
Wenn ich dir so zuhöre, kann ich mir vorstellen, dass dein Beruf eine echte Reaktionsfähigkeit erfordert…
Auf jeden Fall. Wir führen deshalb unsere eigene Beobachtung auf spezialisierten Webseiten durch und hören auf Warnungen, die von unseren verschiedenen Quellen (Mitarbeiter vor Ort, Regierung usw.) ausgesprochen werden.
Bei einer Warnung steht die Überprüfung der Informationen im Vordergrund: Sind wir direkt von der Bedrohung betroffen? Ist die von uns verwendete Softwareversion anfällig? Gegebenenfalls müssen die betroffenen IT-Teams oder die Softwarehersteller benachrichtigt werden, damit sie schnell ein Update einleiten.
Bevor wir abschließen, kannst du uns erzählen, wie du zu einer solch strategischen Position gekommen bist?
Was meine Ausbildung betrifft, so habe ich zunächst in Frankreich (Metz) ein BTS (BTS = Bachelor of Science) in Wirtschaftsinformatik absolviert und anschließend eine Ausbildung im Bereich Sicherheit abgeschlossen. Bezüglich meines beruflichen Lebenslaufes war ich lange Zeit als Berater in einer europäischen Institution im Bereich der Sicherheit von Informationssystemen tätig, bevor ich vor nunmehr zwei Jahren zur CFL kam.
Und du scheinst diese Entscheidung nicht zu bereuen…
In der Tat! Bei der CFL vergeht die Zeit wie im Flug und es gibt immer viele Projekte. Außerdem gefällt mir an diesem Job, dass man Tag für Tag dazu lernt. Die Informatik entwickelt sich sehr schnell, man entdeckt also immer neue Methoden. Das macht den Beruf wirklich spannend.
Haben Sie Lust sich für eine anspruchsvolle Aufgabe bei der CFL zu engagieren? Schicken Sie uns Ihre Bewerbung!
Comments are closed.