Von Bjorn Biel M. Beltran, Special Features and Content Assistant Editor

Cybersicherheit ist zu einem dauerhaften Abwehrkampf geworden, in dem das Verständnis des Gegners ebenso wichtig ist wie das eigene Leistungsvermögen. Vor der Frage steht heute, wie sich Organisationen gegen Gegner verteidigen, die über sich ständig weiterentwickelnde Technologie verfügen, verstärkt durch künstliche Intelligenz (KI).

Diese Ausgangslage bildete den Rahmen für den BusinessWorld Cybersecurity Summit unter dem Motto „Toward Stronger Digital Defenses“ – ein dringender Aufruf, den Schutz der Philippinen vor neuen Cyberbedrohungen zu überdenken.

Lucien C. Dy Tioco, Executive Vice-President von BusinessWorld, eröffnete die Veranstaltung mit dem Hinweis, dass eine gemeinsame Front gegen KI-gestützte Cyberangriffe und der Schutz der rasant wachsenden digitalen Wirtschaft des Landes notwendig seien.

„Die Philippinen sind die Heimat von Millionen von Unternehmen, wobei Kleinst-, kleine und mittlere Unternehmen 99% aller Unternehmen im Land ausmachen“, sagte Herr Dy Tioco in seinen Begrüßungsworten. „Diese Unternehmen setzen ihre digitale Transformation fort, wodurch Cybersicherheit zu einem technischen Schutz wird, der Wirtschaftswachstum, Innovation und öffentliches Vertrauen ermöglicht.“

„Jede Investition in Cybersicherheit ist eine Investition in Vertrauen. Jede Zusammenarbeit stärkt unsere kollektive Resilienz. Jedes Gespräch, das wir in diesem Zusammenhang fortführen, bringt uns einer digitalen Wirtschaft, die sicher, innovativ und inklusiv ist, einen Schritt näher“, fügte er hinzu.

Atty. Renato „Aboy“ A. Paraiso, Executive Director des Cybercrime Investigation and Coordinating Center (CICC), hielt die Eröffnungs-Keynote und forderte den Übergang von reiner Prävention zu umfassender Cyber-Resilienz. Während traditionelle Cybersicherheit darauf abzielt, Angriffe zu stoppen und Risiken zu mindern, stellt Resilienz sicher, dass Organisationen ihre operative Kontinuität aufrechterhalten und den Schaden begrenzen können, wenn – nicht falls – Angriffe ihre Verteidigung überwinden.

„Während Cybersicherheit darauf ausgelegt ist, Angriffe zu verhindern, sorgt Cyber-Resilienz andererseits dafür, dass Organisationen, wenn ein Angriff durchkommt – wie es bei einigen unvermeidlich sein wird –, weiterarbeiten, den Schaden minimieren, sich schnell erholen und aus der Erfahrung gestärkt hervorgehen können“, sagte er.

„Jedes Unternehmen sollte einen praktischen Cyber-Resilienz-Plan haben, damit es wirksam reagieren kann, wenn ein Angriff geschieht“, fügte er hinzu.

Das CICC untersteht dem Office of the President und wurde durch den Cybercrime Prevention Act von 2012 (Republic Act No. 10175) geschaffen, um die nationale Reaktion auf Cyberkriminalität über Strafverfolgungs-, Nachrichten- und Regulierungsbehörden hinweg zu koordinieren.

Cyber-Resilienz in die Praxis umsetzen

Die erste Podiumsdiskussion des Gipfels befasste sich mit Entwicklungen bei regulatorischen Rahmenwerken, nationalen Sicherheitspolitiken und der operativen Umsetzung weltweit.

Gilbert T. Trinchera, Technology Consulting Partner bei R.G. Manabat & Co. (KPMG in the Philippines), argumentierte, dass Organisationen über das bloße Abhaken von Compliance-Punkten hinausgehen und sich auf Risikomanagement sowie regulatorische Konvergenz über verschiedene Rechtsräume hinweg konzentrieren müssten.

„Regulatorische Konvergenz sollte unser Ziel sein, und wir sollten sie an unserer letztendlichen Vision ausrichten, nämlich Vertrauen zu bewahren. Dies ist derzeit die universelle Währung, die jeder versteht, unabhängig von Branche oder Rechtsraum“, sagte er.

In den Philippinen sind Datenschutzpflichten im Data Privacy Act von 2012 (Republic Act No. 10173) verankert, der die National Privacy Commission eingerichtet hat, während der Cybercrime Prevention Act Delikte wie unbefugten Zugriff, Datenbeeinträchtigung und Identitätsdiebstahl regelt.

Atty. Jay-R C. Ipac, geschäftsführender Partner bei Divina Law, betonte, dass hochrangige Sicherheitsstrategien häufig scheitern, wenn die Mitarbeiter an der Front ihren Zweck nicht verstehen.

„Das übliche Scheitern bei der Umsetzung ausgefeilter Cybersicherheitsmaßnahmen“, sagte er, „besteht darin, dass die Menschen, die sie vor Ort umsetzen sollen, im Grunde nicht wirklich verstehen, was sie überhaupt tun. Wir müssen ihnen verständlich machen, warum wir das tun.“

Führung bei Sicherheitsvorfällen

Die zweite Runde verlagerte den Fokus auf Führung in hochriskanten Sicherheitsvorfällen.

„Gehen Sie davon aus, dass ein Vorfall nicht eine Möglichkeit ist, sondern eine Gewissheit. Krisenmanagement ist eine Führungsdisziplin, keine technische“, sagte Dennis Matthew F. Opiso, Chief Information Security Officer (CISO) bei JG Summit Holdings, Inc.

Engr. Luis A. Jacinto, Präsident und Gründungsmitglied der Information Security Officers Group, machte klar, dass operative Aufgaben zwar an spezialisierte Teams delegiert werden können, die letztendliche Verantwortung jedoch bei der obersten Führungsebene liegt.

„Die letztendliche Verantwortung und Rechenschaftspflicht liegt beim CEO; er kann die Verantwortung delegieren, nicht aber die Rechenschaftspflicht“, sagte er.

Mar Apuhin, CISO bei GT Capital Holdings, Inc., warnte Unternehmen vor den Folgen verfrühter öffentlicher Spekulationen und vager Anweisungen während eines aktiven Angriffs.

„Der größte Fehler [während eines Angriffs] ist, zu kommunizieren, bevor die Fakten verifiziert sind“, sagte er. „Ebenso ein Fehler ist es, internen Teams, Mitarbeitern und Kunden vage Anweisungen zu geben. Die Hauptbotschaft sollte Transparenz sein, gestützt auf verifizierte Fakten und die gesetzlichen Anforderungen.“

Technische und menschliche Kontrollen

Die dritte Runde untersuchte die technischen und menschlichen Kontrollen, die zum Schutz moderner Organisationen notwendig sind.

Catherine Anne Paleracio, CISO bei Tonik, betonte, dass Sicherheitskontrollen als Ermöglicher des Geschäfts und nicht als operative Barrieren wirken sollten und dass solche Kontrollen KI nutzen müssen.

„Für Sicherheitsexperten ist KI hilfreich, um große Datenmengen zu analysieren, sogar zur Verhaltensanalyse. Gleichzeitig nutzen Cyberkriminelle dieselbe Technologie. Daher müssen wir eine geeignete Ausgangsbasis schaffen, damit die KI funktionieren kann. Sie weiß nicht sofort, was zu tun ist. Wir müssen sie anlernen“, sagte sie.

Die Verteidigung einer Organisation ist nur so stark wie ihr schwächstes Glied – und diese Glieder sind häufig die eigenen Mitarbeiter. Deshalb müssen Organisationen alles tun, um ihre Beschäftigten zu stärken und sie zur Einhaltung der richtigen Zugriffsprotokolle anzuhalten, wie Mark Anthony P. Almodovar, Executive Director für Risk Services — Cybersecurity and Privacy bei PwC Philippines, betonte.

„Zugriffskontrolle ist die grundlegendste und fundamentalste Kontrolle in der Informationssicherheit. Denken Sie an den Menschenfaktor. Meistens zögern sie. Meistens setzen sie es erst um, wenn sie es selbst erleben, wenn sie kompromittiert werden, wenn sie Geld verlieren, ihre Konten übernommen wurden – erst dann beginnen sie, es umzusetzen“, sagte er.

Die vierte Runde des Gipfels untersuchte „Cybersecurity as a Business Enabler: Leveraging Security for Growth“ und erörterte, wie Sicherheit die Unternehmensbewertung und das Marktvertrauen beeinflusst.

Alexis Bernardino, Principal CXO Advisor und Head of CXO Advisory bei PLDT Enterprise, erläuterte, wie sich Cybersicherheit von einer reinen Maßnahme zum Schutz von Einnahmen zu einem Faktor für die Sicherstellung der Geschäftskontinuität entwickelt hat.

„Heutzutage geht es nicht mehr um digitale Transformation“, sagte er. „Das Thema ist nicht mehr Cybersicherheit. Was wir uns vorstellen müssen, ist digitale Resilienz, dass unsere Organisation weiterhin funktioniert und einsatzbereit bleibt, auch wenn wir unter Druck oder unter Angriff stehen.“

Alan Reyes, Präsident und CEO von Hexcore Labs und General Manager von Lightstream8 Corp., forderte Führungskräfte auf, Sicherheit eher als kommerzielles Risikomanagement denn als dichtes technisches Fachvokabular zu betrachten.

„Cybersicherheit ist im Kern nichts anderes als Risikomanagement. Geschäftsleute verstehen Risikomanagement, aber nicht Firewalls, Endpunktschutz und dergleichen.“

Vertrauen, Vorbereitung, Zusammenarbeit

Zum Abschluss des Gipfels hielt Dr. Donald Lim, Chairman des Cybersecurity Council of the Philippines, eine Keynote für ein sichereres digitales Land und argumentierte, dass Technologie und Politik allein das Land nicht sichern können, wenn Führungskräfte Vertrauen, Vorbereitung und Zusammenarbeit nicht priorisieren.

„Technologie allein kann ein Land nicht sicher machen. Selbst die besten politischen Maßnahmen können ein Land nicht sicher machen“, sagte er.

Er schloss mit einer Neubewertung von Wert im digitalen Zeitalter: „Man sagt, Daten seien das neue Öl. Da bin ich anderer Meinung. In der heutigen Wirtschaft ist Vertrauen wertvoller als Daten. Menschen tätigen Geschäfte nur, wenn sie vertrauen. Bürger nehmen digitale Regierungsdienste nur an, wenn sie darauf vertrauen, dass ihre Informationen geschützt sind. Unternehmen innovieren nur, wenn Kunden glauben, dass ihre Privatsphäre respektiert wird. Das eigentliche Produkt, das wir schützen, sind nicht Informationen; es ist Vertrauen. Denn wenn Vertrauen verschwindet, verlangsamt sich alles andere.“

Der BusinessWorld Cybersecurity Summit wurde von BusinessWorld Publishing Corp. zusammen mit GCash und Maya präsentiert, mit Unterstützung der Sponsoren JuanHand, X10 Technologies und TCS; der Partnerorganisationen Asian Consulting Group, Asia Society of the Philippines, British Chamber of Commerce of the Philippines, French Chamber of Commerce and Industry in the Philippines, Management Association of the Philippines, Philippine Chamber of Commerce and Industry, Philippine Franchise Association und Philippine Retailers Association; des kreativen Partners ConSync Digital; sowie des Medienpartners The Philippine STAR .