Interne Bedrohung

Ich arbeite seit über dreißig Jahren im Bereich Informationssicherheit. Ich begann zu einer Zeit, als es diesen Begriff noch gar nicht gab: Wir nannten es „Computersicherheit“, und im Wesentlichen bestand sie aus Antivirensoftware, Passwörtern und einer Firewall am Netzwerkrand. Der Feind war da draußen – ein neugieriger Teenager, ein opportunistischer Krimineller, später eine organisierte Gruppe oder ein Staat. Unsere Mission war klar: die höchstmögliche Mauer errichten und das Tor bewachen.

Es dauerte Jahre, bis ich die wohl unangenehmste Wahrheit meines Berufsstandes akzeptierte: Der größte Schaden, den ich im Laufe meiner Karriere miterlebte, kam nicht von außen. Er kam von innen. Er kam von Menschen mit Ausweisen, gültigen Zugangsdaten und Fotos im Intranet. Er kam von dem desillusionierten Administrator, der die Kontrolle über das System mitnahm, von dem vorbildlichen Mitarbeiter, der an einem gewöhnlichen Dienstag versehentlich die falsche Verbindung anklickte, von dem vertrauenswürdigen Lieferanten, dessen Zugangsdaten unbemerkt gestohlen wurden, von den IT-Fachkräften, die monatelang geduldig kopierten, was sie nicht hätten kopieren sollen. Keiner von ihnen musste „hineingehen“ – sie waren bereits mittendrin.

Die Fachliteratur hat mit dieser Realität nur langsam Schritt gehalten. Jahrelang wurden Insiderbedrohungen wie eine Fußnote behandelt: ein kurzes Kapitel am Ende von Handbüchern, eine Folie in jährlichen Schulungen, eine Zeile in der Risikomatrix, für die niemand ein Budget einplante. Währenddessen häuften sich die Zahlen in die entgegengesetzte Richtung. Die maßgeblichen Jahresberichte – dieselben, die der Leser in dieser Arbeit zitiert, analysiert und kontextualisiert wiederfindet – zeigen mit hartnäckiger Konstanz, dass Vorfälle, die von internen menschlichen Aktivitäten ausgehen oder diese betreffen, zu den kostspieligsten, am langsamsten zu erkennenden und für das Vertrauen von Kunden, Aufsichtsbehörden und Märkten verheerendsten gehören. Der externe Angreifer stiehlt Daten; der interne raubt uns zusätzlich die Gewissheit, dass wir unseren eigenen Mitarbeitern und Prozessen vertrauen können. Dieser zweite Verlust ist am schwierigsten wiedergutzumachen.

In diesem Kontext entsteht das Buch, das der Leser nun in Händen hält – und ich sage ohne Vorbehalt, dass es eine echte Lücke in der Bibliographie der portugiesischsprachigen Literatur füllt, und nicht nur das.

Ich bin mit dem Genre der „Handbücher zur Cybersicherheit“ bestens vertraut. Es gibt hervorragende Werke zu Kryptographie, Netzwerken, Incident Response und Compliance. Was jedoch praktisch fehlte, war ein Werk, das die Bedrohung durch Insider in ihrer Gesamtheit thematisierte: ein umfassendes Problem , das Technologie, Psychologie, Recht, Management und Unternehmenskultur durchdringt – und daher von keiner dieser Disziplinen isoliert gelöst werden kann. Hermínio Cerqueira erkannte dies und hatte den seltenen Ehrgeiz, ein komplettes Standardwerk zu verfassen: von den historischen Grundlagen bis zur technischen Architektur, von der Denkweise des Insiders bis zum Wortlaut der Vorschriften, vom Snowden-Fall bis zum Leitfaden für automatisierte Reaktionen, vom Prinzip der minimalen Rechtevergabe bis zu einer dokumentierten, anpassbaren Richtlinie.

Drei Qualitäten dieses Werkes verdienen besondere Erwähnung.

Das erste Merkmal ist intellektuelle Redlichkeit. Dies ist kein Buch, das Angst schürt, und auch kein als Lehre getarnter Produktkatalog. Der Autor lehnt Sensationsgier mit derselben Entschlossenheit ab wie Bequemlichkeit. Sind die Daten fundiert, nennt er die Quelle; sind sie unsicher oder umstritten – und in unserem Fachgebiet kursieren viele Zahlen jahrelang, ohne dass ihre Herkunft überprüft wird –, spricht er dies offen an. In einer Disziplin, die von verwaisten Statistiken und als Forschung getarntem Marketing durchdrungen ist, ist diese methodische Disziplin von unschätzbarem Wert.