Cyber-Sicherheitsstrategie: Definition und Umsetzung

Eine Cybersicherheitsstrategie ist ein strukturierter Plan zum Schutz von IT-Systemen, Netzwerken und Daten vor Bedrohungen. In diesem Leitfaden erfahren Sie, wie Sie eine solche Strategie sowohl für große Unternehmen als auch für kleine Betriebe entwickeln können.

Dieser Beitrag soll einen Überblick über die Notwendigkeit einer Cybersicherheitsstrategie geben, wie man eine solche erstellt, was sie beinhaltet und worin sich Strategien für große Unternehmen und kleine Betriebe unterscheiden.

Was ist eine Cybersicherheitsstrategie?

Eine formale Definition einer Cybersicherheitsstrategie lautet, dass es sich um einen strukturierten Ansatz handelt, den eine Organisation, eine Regierung oder eine Einzelperson verfolgt, um ihre IT-Systeme, Netzwerke, Daten und Vermögenswerte vor Cyberbedrohungen zu schützen. Sie ist unerlässlich für das Risikomanagement, die Gewährleistung der Integrität von Systemen und den Schutz sensibler Daten vor potenziellen Cyberangriffen.

Warum brauchen wir eine solche Strategie?

Die Umstellung auf digitale Plattformen für Unternehmen und Einzelpersonen ist seit mehreren Jahren im Gange und wurde durch die während der Pandemie auferlegten Beschränkungen noch beschleunigt. Um die Auswirkungen des Rückgangs der Kundenfrequenz in den stationären Geschäften auszugleichen, stellten Unternehmen schnell auf E-Commerce um und nutzten Automatisierung, um die Betriebskosten zu senken. Außerdem begannen sie, Systeme und Daten in die Cloud zu verlagern und führten Remote-Arbeit ein.

Privatpersonen nutzten E-Commerce und soziale Medien, setzten Smart Devices jederzeit und überall für geschäftliche und private Zwecke ein und arbeiteten im Homeoffice.

Beide Entwicklungen führten zu einem erheblichen Ausbau der Netzwerkinfrastruktur und damit zu einer explosionsartigen Zunahme von zugänglichen WLAN-Netzwerken im öffentlichen Raum. Leider brachte diese Entwicklung auch ernsthafte Sicherheitsprobleme mit sich, die von Unternehmen und Privatpersonen nicht sofort angegangen wurden. Die Entwicklung von Cybersicherheitsmaßnahmen hinkte hinter den Hackern hinterher, die mit neuen Cyberbedrohungen Angriffe auf Systeme, Netzwerke, Daten und Vermögenswerte starteten.

Ransomware wurde zu einer ernsthaften Bedrohung für Unternehmen und Identitätsdiebstahl für Privatpersonen. Glücklicherweise hat die Cybersicherheit aufgeholt, und durch die Umsetzung von Cybersicherheitsstrategien konnte die Zahl der gemeldeten Vorfälle deutlich reduziert werden.

Allerdings tauchen jeden Tag neue Bedrohungen auf, und böswillige oder versehentliche Handlungen führen nach wie vor zu Vorfällen, bei denen Geld oder der Ruf gefährdet sind.

Eine gut durchdachte Cybersicherheitsstrategie, begleitet von Richtlinien, Verfahren und Cybersicherheitsressourcen, ist heute mehr denn je erforderlich.

Wichtige Komponenten einer Cybersicherheitsstrategie

Eine klar definierte Cybersicherheitsstrategie umfasst in der Regel einige wichtige Komponenten. Hier sind 10 davon:

1. Risikobewertung

• Identifizieren Sie Ressourcen: Machen Sie sich ein Bild von den kritischen Systemen, Daten und Ressourcen, die geschützt werden müssen.
• Bedrohungen identifizieren: Analysieren Sie die Arten von Bedrohungen (z. B. Malware, Phishing, Ransomware, Insider-Bedrohungen), für die das Unternehmen anfällig ist.
• Risikobewertung: Bewerten Sie die Wahrscheinlichkeit und die Auswirkungen dieser Bedrohungen auf die Organisation.

2. Sicherheitsrichtlinien und -verfahren

• Entwickeln Sie formelle Sicherheitsrichtlinien, die festlegen, wie Sicherheitsmaßnahmen umgesetzt und aufrechterhalten werden sollen.
• Legen Sie Verfahren für die Reaktion auf Vorfälle fest, um mit Verstößen oder Cyberangriffen umzugehen.
• gesetzlichen und branchenbezogenen Compliance-Anforderungen (z. B. DSGVO, HIPAA) übereinstimmen.

3. Technologie und Tools

• Firewalls und Intrusion Detection Systeme (IDS/IPS): Implementieren Sie Perimeter-Sicherheit, um verdächtigen Datenverkehr zu überwachen und zu blockieren.
• Verschlüsselung: Schützen Sie gespeicherte und übertragene Daten durch starke Verschlüsselungsalgorithmen.
• Zugriffskontrolle und Identitätsmanagement: Stellen Sie sicher, dass nur autorisierte Benutzer durch Multi-Faktor-Authentifizierung und rollenbasierte Zugriffskontrollen auf sensible Systeme und Daten zugreifen können.
• Anti-Malware und Endpunktsicherheit: Verwenden Sie Tools, um Malware oder verdächtige Aktivitäten auf Endgeräten zu verhindern und zu erkennen.

4. Sicherheitsbewusstsein und -schulungen

• Mitarbeiterschulungen: Führen Sie regelmäßige Schulungen für Mitarbeiter zu bewährten Sicherheitsverfahren und zur Erkennung potenzieller Cyberbedrohungen wie Phishing-Angriffen durch.
• Sicherheitskultur: Fördern Sie eine Kultur des Bewusstseins für Cybersicherheit, in der Sicherheit für alle innerhalb der Organisation Priorität hat.

5. Überwachung und Erkennung

• Implementieren Sie kontinuierliche Überwachungssysteme, die den Netzwerkverkehr, Protokolle und Benutzeraktivitäten verfolgen und analysieren.
• Verwenden Sie Tools für das Sicherheitsinformations- und Ereignismanagement (SIEM) Tools, um Anomalien, Sicherheitsereignisse und Verstöße in Echtzeit zu erkennen.

6. Reaktion auf Vorfälle und Wiederherstellung

• Erstellen Sie einen Plan für die Reaktion auf Vorfälle, in dem die Maßnahmen beschrieben sind, die im Falle eines Cybervorfalls zu ergreifen sind, einschließlich Kommunikationsstrategien und Eindämmungsmaßnahmen.
• Entwickeln Sie einen Notfallwiederherstellungsplan, um Systeme und Daten nach einer Sicherheitsverletzung oder einem Angriff schnell wiederherzustellen und Ausfallzeiten und Verluste zu minimieren.

7. Compliance und rechtliche Überlegungen

• Stellen Sie sicher, dass Ihre Cybersicherheitsstrategie die erforderlichen gesetzlichen und regulatorischen Anforderungen erfüllt, wie z. B. Datenschutzgesetze und branchenspezifische Standards.
• Führen Sie regelmäßige Audits durch, um die Einhaltung der Vorschriften zu überprüfen und die Richtlinien bei Bedarf zu aktualisieren.

8. Regelmäßige Tests und Updates

• Führen Sie regelmäßig Schwachstellenanalysen und Penetrationstests durch, um Schwachstellen in Systemen zu identifizieren.
• Patch-Management: Stellen Sie sicher, dass Software und Systeme regelmäßig aktualisiert werden, um sie vor bekannten Schwachstellen zu schützen.
• Überprüfen und verbessern Sie die Cybersicherheitsstrategie kontinuierlich, sobald neue Bedrohungen und Technologien auftauchen.

9. Zusammenarbeit und Informationsaustausch

• Arbeiten Sie mit anderen Organisationen und Cybersicherheits-Communities zusammen, um Informationen über neue Bedrohungen und bewährte Verfahren auszutauschen.
• Beteiligung an Netzwerken für Bedrohungsinformationen, um neuen Risiken immer einen Schritt voraus zu sein.

10. Unterstützung durch Unternehmensführung und Führungskräfte

• Sichern Sie sich die Unterstützung der Führungskräfte, um sicherzustellen, dass Cybersicherheit auf Führungsebene Priorität hat.
• Richten Sie ein Cybersicherheits-Governance-Framework ein, um Rollen, Verantwortlichkeiten und Rechenschaftspflichten für Cybersicherheitsmaßnahmen im gesamten Unternehmen zuzuweisen. Durch die Berücksichtigung dieser Komponenten kann eine Cybersicherheitsstrategie Unternehmen dabei helfen, Risiken zu mindern, die Auswirkungen von Cyberangriffen zu reduzieren und die Geschäftskontinuität sicherzustellen.

Entwicklung einer Cybersicherheitsstrategie

Die Entwicklung einer Cybersicherheitsstrategie unterscheidet sich nicht wesentlich von der Entwicklung anderer Geschäftsstrategien. Sie umfasst vier grundlegende Phasen:

1. Identifizierung und Bewertung
   1. Festlegung von Zielen und Vorgaben;
   2. Festlegung von Erfolgskriterien und Messgrößen;
   3. Identifizierung der zu schützenden Vermögenswerte und des erforderlichen Schutzniveaus, z. B. Finanzsysteme und Daten;
   4. Identifizierung bekannter Schwachstellen und potenzieller Bedrohungen, die diese ausnutzen; und
   5. Zuweisung von Wahrscheinlichkeiten und Auswirkungen für jede Schwachstelle, um Bedrohungskategorien zu erstellen.
2. Identifizierung von Gegenmaßnahmen
   1. Bewertung kommerziell verfügbarer Softwarelösungen und der damit verbundenen Implementierung sowie der laufenden Kosten und Vorteile. Dies wird wahrscheinlich Dritte involvieren; und
   2. Bewertung und Änderung interner Richtlinien und Verfahren als Teil einer Strategie zur Risikominderung und -vermeidung.
3. Entwicklung einer Strategie zur Bewältigung von Risiken und Bedrohungen:
   1. Entwicklung eines Fahrplans oder Umsetzungsplans, einschließlich:
      • Auswirkungen auf die Personalabteilung, insbesondere Ressourcenzuweisungen, Schulungen und Sensibilisierung. Dies kann der schwierigste Bereich sein;
      • Auswirkungen auf die Infrastruktur, sowohl im IT-Bereich als auch in anderen Bereichen. Beispielsweise die Einführung eines kontrollierten Zugangs zu bestimmten Geschäftsbereichen
   2. Festlegung der laufenden Aktivitäten und der erforderlichen Ressourcen, um die Strategie auf dem neuesten Stand zu halten.
4. Umsetzung der Strategie: Hierbei handelt es sich um ein standardmäßiges Projektmanagement zur Umsetzung der oben definierten Strategie. Zu den wichtigsten Aktivitäten gehören:
   1. Projektplanung für die Umsetzung;
   2. Zuweisung von Budgets und Ressourcen;
   3. Umsetzung des HR-Programms für Schulungen und Sensibilisierung;
   4. Infrastrukturelle Änderungen, z. B. Tastaturzugang zu Sicherheitsbereichen; und
   5. Software-Implementierung;

Dies ist keine einmalige Maßnahme. Die sich ständig ändernde Natur von Cyber-Bedrohungen und das tägliche Auftauchen neuer Bedrohungen machen dies zu einer fortlaufenden Notwendigkeit. In Unternehmensumgebungen ist eine Überprüfung erforderlich, wenn neue Prozesse und Verfahren in Betracht gezogen werden, beispielsweise bei der Umstellung von Produktionsmaschinen und der Einführung von Geräten des Internets der Dinge (IoT).

Cybersicherheit in großen Unternehmen im Vergleich zu kleinen Unternehmen

Die grundlegenden Ziele der Cybersicherheit in großen und kleinen Unternehmen sind im Wesentlichen dieselben: die Verhinderung von Schäden durch Aktivitäten, die Systeme und Daten gefährden. Der Hauptunterschied besteht in der Größenordnung. Sowohl große als auch kleine Unternehmen sind Bedrohungen ausgesetzt, aber die Ansätze in Bezug auf Sicherheit, Risiken und Ressourcen unterscheiden sich erheblich. Das Verständnis der wichtigsten Unterschiede und Herausforderungen zwischen großen und kleinen Unternehmen kann dabei helfen, eine maßgeschneiderte Cybersicherheitsstrategie für jedes Unternehmen zu entwickeln. Hier sind acht Punkte, die es zu berücksichtigen gilt:

1. Umfang der Ressourcen

• Großunternehmen:

  • In der Regel verfügen große Unternehmen über eigene IT- und Cybersicherheitsteams, fortschrittliche Tools und beträchtliche Budgets für Technologie und Cybersicherheit.
  • Sie können in hochwertige Sicherheitslösungen wie Security Operations Center (SOC), Bedrohungsinformationen und Rund-um-die-Uhr-Überwachung investieren.

• Kleine Unternehmen:

  • Oftmals fehlen kleinen Unternehmen die finanziellen Ressourcen und das erforderliche IT-Personal, um sich ausschließlich auf Cybersicherheit zu konzentrieren.
  • Die Cybersicherheit wird möglicherweise von allgemeinen IT-Mitarbeitern übernommen oder an Drittanbieter ausgelagert, wodurch die Möglichkeiten für eine erweiterte Überwachung und Erkennung von Bedrohungen eingeschränkt sind.

2. Arten von Bedrohungen

• Großunternehmen:

  • Größere Unternehmen sind eher Ziel komplexer Angriffe wie Advanced Persistent Threats (APTs), Supply-Chain-Angriffe oder von Staaten geförderte Angriffe.
  • Sie können auch gezielten Distributed-Denial-of-Service-Angriffen (DDoS) oder groß angelegten Datenverstößen ausgesetzt sein, die darauf abzielen, wertvolle Informationen wie Geschäftsgeheimnisse oder geistiges Eigentum zu stehlen.

• Kleine Unternehmen:

  • Kleine Unternehmen sind zwar möglicherweise nicht so aggressiv von fortgeschrittenen Angriffen betroffen, aber sie sind anfälliger für gängige Bedrohungen wie Ransomware, Phishing oder Social Engineering.
  • Cyberkriminelle nehmen häufig kleine Unternehmen ins Visier, weil sie wissen, dass diese Unternehmen möglicherweise über keine robusten Abwehrmechanismen verfügen und als "leichtes Ziel" gelten.”

3. Risiko und Auswirkungen

• Großunternehmen:

  • Die Auswirkungen einer Datenschutzverletzung können für ein Großunternehmen in Bezug auf finanzielle Verluste, Reputationsschäden und mögliche behördliche Strafen schwerwiegend sein. Allerdings verfügen sie oft über die Ressourcen, um sich schneller zu erholen.
  • Compliance-Risiken sind für große Unternehmen oft höher, da sie je nach Branche, in der sie tätig sind, mehrere Vorschriften wie DSGVO, SOX und HIPAA einhalten müssen.

• Kleine Unternehmen:

  • Ein erfolgreicher Angriff auf ein kleines Unternehmen kann verheerende Folgen haben und möglicherweise zur Schließung des Unternehmens führen, wenn die finanziellen Auswirkungen zu schwerwiegend sind.
  • Kleine Unternehmen verfügen möglicherweise nicht über eine ausreichende Cyberversicherung, sodass sie die gesamten Kosten eines Angriffs tragen müssen.
  • Auch Reputationsschäden sind für kleine Unternehmen kritisch, da es schwieriger ist, Vertrauen wieder aufzubauen, und Kunden schnell das Vertrauen verlieren können.

4. Sicherheitsinfrastruktur

• Großunternehmen:

  • Großunternehmen verfügen in der Regel über komplexere IT-Infrastrukturen, darunter mehrere Niederlassungen, Cloud-Umgebungen, Lieferketten und möglicherweise globale Aktivitäten, was die Angriffsfläche vergrößert.
  • Sie investieren in fortschrittliche Sicherheitstechnologien wie Firewalls, Endpoint Detection and Response (EDR) Systemen, Intrusion Detection Systemen (IDS), SIEM und Threat Intelligence-Plattformen.

• Kleine Unternehmen:

  • Kleine Unternehmen verfügen in der Regel über einfachere Infrastrukturen, was jedoch nicht bedeutet, dass sie leichter zu verteidigen sind. Tatsächlich fehlen ihnen möglicherweise grundlegende Elemente wie Verschlüsselung, eine ordnungsgemäße Firewall-Konfiguration oder Backup-Strategien.
  • Viele kleine Unternehmen verlassen sich auf Cloud-Dienste wie Google Workspace oder Microsoft 365, aber ohne eine sichere Konfiguration dieser Umgebungen sind sie anfällig für Angriffe wie Cloud-Fehlkonfigurationen.

5. Sicherheitsbewusstsein und -schulungen

• Große Unternehmen:

  • Große Unternehmen können regelmäßig Schulungen zum Thema Cybersicherheit durchführen und Angriffe simulieren, um ihre Mitarbeiter auf reale Bedrohungen vorzubereiten.
  • Sie etablieren häufig eine Sicherheitskultur auf mehreren Ebenen der Organisation und stellen so sicher, dass alle Mitarbeiter – vom Berufseinsteiger bis zur Führungsetage – ihre Rolle beim Schutz des Unternehmens verstehen.

• Kleine Unternehmen:

  • Kleinere Unternehmen übersehen aufgrund begrenzter Ressourcen oft die Bedeutung von Schulungen. Die Mitarbeiter erhalten möglicherweise keine ausreichende Schulung, um Phishing-Angriffe zu erkennen, Passwort-Hygiene zu praktizieren oder sicher mit sensiblen Daten umzugehen.
  • Das Sicherheitsbewusstsein ist möglicherweise geringer, wodurch Mitarbeiter anfälliger für gängige Social-Engineering-Angriffe sind.

6. Compliance und Vorschriften

• Große Unternehmen:

  • Compliance ist ein wichtiger Schwerpunkt für größere Unternehmen, da sie häufiger regulatorischen Audits und gesetzlichen Verpflichtungen im Rahmen von Rahmenwerken wie PCI-DSS, HIPAA, SOX und DSGVO unterliegen.
  • Sie verfügen oft über interne Rechts- und Compliance-Teams, um sicherzustellen, dass sie diese Vorschriften einhalten, da bei Verstößen erhebliche Geldstrafen drohen.

• Kleine Unternehmen:

  • Kleine Unternehmen unterliegen möglicherweise nicht so vielen regulatorischen Anforderungen, müssen jedoch dennoch branchenspezifische Standards einhalten, insbesondere in Sektoren wie dem Gesundheitswesen und dem Finanzwesen.
  • Allerdings wird die Einhaltung dieser Vorschriften im Vergleich zu großen Unternehmen möglicherweise als weniger wichtig angesehen, was zu potenziellen rechtlichen und finanziellen Risiken führen kann.

7. Cybersicherheitstools

• Großunternehmen:

  • Große Unternehmen können in Cybersicherheitslösungen der Enterprise-Klasse investieren, die umfassenden Schutz bieten. Dazu gehören Endpoint-Schutzplattformen, Verschlüsselungstools, Multi-Faktor-Authentifizierung (MFA) und Netzwerksegmentierung.
  • Sie können sich auch regelmäßige Penetrationstests und Cybersicherheits-Bedrohungssimulationen ("Red Team") leisten, um Schwachstellen zu identifizieren.

• Kleine Unternehmen:

  • Kleine Unternehmen verlassen sich häufig auf erschwingliche All-in-One-Cybersicherheitslösungen oder Managed Security Service Provider (MSSPs).
  • Sie sind möglicherweise nicht in der Lage, modernste Technologien zu implementieren, aber selbst kostengünstige Tools wie VPNs, Anti-Malware, Firewalls und Passwortmanager können die Sicherheit erheblich verbessern.

8. Reaktion auf Vorfälle und Wiederherstellung

• Großunternehmen:

  • Große Unternehmen verfügen in der Regel über formelle Teams für die Reaktion auf Vorfälle (Incident Response, IR) oder sogar über eine Cybersicherheitsversicherung, um die finanziellen Auswirkungen eines Angriffs zu mindern.
  • Sie führen häufig Übungen zur Notfallwiederherstellung und Geschäftskontinuitätsplanung durch, um sicherzustellen, dass sie nach einer Sicherheitsverletzung oder einem Angriff den Betrieb aufrechterhalten können.

• Kleine Unternehmen:

  • Kleine Unternehmen verfügen seltener über einen strukturierten Plan zur Reaktion auf Vorfälle. Im Falle eines Angriffs reagieren sie eher reaktiv als proaktiv, was zu längeren Ausfallzeiten führen kann.
  • Die Wiederherstellung kann länger dauern, da sie möglicherweise nicht über die Ressourcen verfügen, um Systeme schnell wiederherzustellen oder lange Betriebsunterbrechungen zu verkraften.

Wichtige Überlegungen für beide:

• Großunternehmen:

  • Müssen eine große und komplexe Angriffsfläche schützen.
  • Müssen mehrere Vorschriften ausgleichen und ein hohes Maß an Sicherheitsreife aufrechterhalten.

• Kleine Unternehmen:

  • Benötigen eine kostengünstigere, einfach zu implementierende Lösung.
  • Kann von Outsourcing und der Konzentration auf wesentliche Sicherheitsmaßnahmen wie Patching und grundlegende Mitarbeiterschulungen profitieren.

Mit Ihrer Cybersicherheitsstrategie immer einen Schritt voraus

Zusammenfassend lässt sich sagen, dass sowohl große als auch kleine Unternehmen Cybersicherheitsstrategien verfolgen müssen, die ihrer Größe, ihrem Risikoprofil und ihren verfügbaren Ressourcen entsprechen. Große Unternehmen benötigen aufgrund ihrer Größe komplexere Lösungen, aber auch kleine Unternehmen, die zwar weniger gezielten Bedrohungen ausgesetzt sind, können ohne grundlegende, kostengünstige Schutzmaßnahmen ebenso anfällig sein.

Unabhängig vom Umfang Ihrer Anforderungen kann SentinelOne Ihnen helfen!

FAQs

Was sind Cybersicherheitsstrategien?

Einfach ausgedrückt sind Cybersicherheitsstrategien umfassende Pläne, die Organisationen oder Einzelpersonen umsetzen, um ihre digitalen Vermögenswerte, Informationssysteme und Daten vor Cyberbedrohungen zu schützen. Diese Strategien umfassen eine Kombination aus Technologien, Richtlinien und Praktiken zur Prävention, Erkennung und Reaktion auf Cyberangriffe.

Was sind die sieben Cybersicherheitsstrategien?

Die sieben Cybersicherheitsstrategien werden häufig in Rahmenwerken von Regierungen und Branchen hervorgehoben, um Unternehmen einen strukturierten Ansatz zur Abwehr von Cyberbedrohungen zu bieten. Diese Strategien sind Teil nationaler Sicherheitsinitiativen und Cybersicherheitsrahmenwerke, wie beispielsweise denen des Australian Cyber Security Centre (ACSC) und anderer globaler Behörden.

Die genaue Gruppierung kann zwar leicht variieren, aber die sieben Hauptstrategien umfassen in der Regel:

1. Anwendungs-Whitelisting

2. Anwendungen patchen

3. Microsoft Office-Makroeinstellungen konfigurieren

4. Härten von Benutzeranwendungen

5. Einschränken von Administratorrechten

6. Patchen von Betriebssystemen

7. Multi-Faktor-Authentifizierung (MFA)

Wie entwickelt man eine Cybersicherheitsstrategie?

Die Entwicklung einer Cybersicherheitsstrategie umfasst in der Regel drei grundlegende Phasen:

Phase 1: Identifizierung und Bewertung

Beginnen Sie mit der Festlegung klarer Ziele. Definieren Sie anschließend die Kriterien und Kennzahlen zur Erfolgsmessung. Identifizieren Sie kritische Ressourcen wie Finanzsysteme und Daten und legen Sie die erforderlichen Schutzstufen fest. Bewerten Sie als Nächstes bekannte Schwachstellen und potenzielle Bedrohungen, die diese ausnutzen könnten. Weisen Sie diesen Bedrohungen schließlich Wahrscheinlichkeiten und Auswirkungen zu, um sie zu kategorisieren und zu priorisieren.

Phase 2: Identifizierung von Gegenmaßnahmen

In dieser Phase werden kommerziell verfügbare Softwarelösungen bewertet, wobei deren Implementierung, laufende Kosten und Vorteile berücksichtigt werden, was häufig die Einbeziehung Dritter erfordert. Überprüfen und passen Sie außerdem interne Richtlinien und Verfahren an, um Risiken zu mindern und potenzielle Bedrohungen zu vermeiden.

Phase 3: Entwicklung einer Strategie zur Bewältigung von Risiken und Bedrohungen:

Schließlich erstellen Sie in dieser Phase einen klaren Fahrplan, der sich auf die Zuweisung von Ressourcen, die Schulung von Mitarbeitern und die Sensibilisierung konzentriert. Berücksichtigen Sie dabei alle erforderlichen Änderungen an der Infrastruktur, wie z. B. den kontrollierten Zugang zu bestimmten Geschäftsbereichen. Anschließend ist es wichtig, die laufenden Aktivitäten und Ressourcen zu skizzieren, die erforderlich sind, um die Strategie aktuell und wirksam zu halten.