Die CFO-Checkliste für Cybersicherheitsrisiken

CFOs sehen Cybersicherheit oft als Verantwortung der IT, aber da immer mehr Finanzprozesse remote ablaufen, müssen CFOs Sicherheitsmaßnahmen speziell für die Finanzfunktion entwickeln und dürfen sich nicht ausschließlich auf die umfassenden Sicherheitsprotokolle des Unternehmens verlassen, um Finanzdaten zu schützen. 

Eine kürzlich durchgeführte Gartner-CFO-Umfrage ergab, dass fast 3 von 4 CFOs beabsichtigten, mindestens 5 % ihrer Mitarbeiter vor Ort nach COVID-19 dauerhaft in Telearbeit zu beschäftigen. Viele Finanzprozesse laufen bereits remote und beinhalten einige der sensibelsten Daten innerhalb eines Unternehmens, einschließlich Kunden- und Lieferantenfinanzdaten.

„CFOs sollten diese neuen Schwachstellen weder ignorieren noch alleine angehen“, sagt Alexander Bant, Practice Vice President, Gartner. „CFOs müssen insbesondere mit IT- und Risikomanagern zusammenarbeiten, um sicherzustellen, dass neue Cybersicherheitsrisiken, die durch die Einführung von Arbeit im Home Office entstehen, die Richtlinien zum Schutz gefährdeter Daten nicht übertreffen.“

Häufige Cybersicherheitsrisiken für die Finanzabteilung

Bei der Zusammenarbeit mit IT-Sicherheits- und Risikoteams sollten CFOs die Finanzdaten und -systeme priorisieren, die für das Unternehmen am wichtigsten sind, um sicherzustellen, dass diese Prozesse geschützt sind. Die häufigsten Bedrohungen, vor denen Sie sich schützen sollten, sind: 

• Phishing-Angriffe: Methoden, um Mitarbeiter dazu zu bringen, sensible Finanzinformationen preiszugeben, typischerweise per E-Mail, aber auch per Telefon und SMS. 
• Malware: Der allgemeine Begriff, der verwendet wird, um bösartige Software, Dateien oder Programme zu beschreiben, die einen Computer schädigen/zerstören sollen.
• Datenlecks: Diese Bedrohung entsteht durch die Verwendung mehrerer Geräte und Internetverbindungen wie Laptops, Mobiltelefone, Tablets, PCs (Personal Computers) oder WLAN zu Hause, um auf Datenbanken zuzugreifen.

Ein funktionsübergreifender Ansatz wird CFOs auch bei der genauen Szenarioplanung helfen, da sie alle möglichen Cybersicherheitsrisiken mit diesen Expertenteams besprechen können.

Erfahren Sie mehr: Gartners 9 wichtigste Sicherheits- und Risikotrends für 2020

CFO-Checkliste für Cybersicherheit

Gartner empfiehlt einen einfachen dreistufigen Rahmen, um die wichtigsten Ziele einer umfassenden Cybersicherheitsstrategie zu priorisieren, damit Finanzprozesse und -daten geschützt werden. 

Schritt 1: Realisierung

Entwickeln Sie Richtlinien und Leitfäden, die die Bereiche in Finanzprozessen identifizieren, die am anfälligsten für Angriffe sind oder Kriminelle am stärksten anziehen. Das Hauptziel besteht darin, die Möglichkeit eines erfolgreichen Cyberangriffs zu minimieren.

Eine beispielhafte Minderungstaktik wäre die Identifizierung von wichtigen Finanzdaten und Softwareanwendungen (z. B. Cloud-Finanzlösungen) und deren jeweiligen Schwachstellen.

Schritt 2: Reagieren.

Klären Sie den Maßnahmenplan, indem Sie Rollen und Verantwortlichkeiten im Falle einer erfolgreichen Verletzung von Finanzdaten hervorheben. Heben Sie die schnellstmöglichen Lösungen hervor, wenn das Unternehmen einem Cyberangriff gegenübersteht.

Ein Planziel könnte darin bestehen, einen Ansprechpartner zu bestimmen, an den alle Mitarbeiter der Finanzabteilung sämtliche Cyberangriffsfälle melden können, und einen „Nothelfer“ in der Finanzabteilung, z. B. den Chief Accounting Officer, um die genauen finanziellen Auswirkungen des jeweiligen Angriffs zu analysieren.

Schritt 3: Überprüfung

Legen Sie Governance-Richtlinien fest, die regelmäßige Überprüfungen des Zustands der Cybersicherheitsmaßnahmen für Finanzprozesse fördern, um sicherzustellen, dass das Unternehmen auf sich entwickelnde Bedrohungen seiner Finanzdaten und neue Arbeitsplatzrealitäten vorbereitet bleibt.

Ein Planziel könnte sein, ein funktionsübergreifendes Team aus den Bereichen Finanzen, IT und Risiko/Audit zu bilden, das regelmäßige Berichte über den Stand der Finanzdatensicherheit einreicht.

Erfahren Sie mehr: Sicherheitsexperten müssen Cybersicherheit mit den Geschäftszielen verbinden