Ein Evangelist, der Wissen über Informationssicherheit verbreitet

Sato, der für Planung und Entwicklung in der Informations- und Kommunikationsabteilung zuständig ist und das Sicherheitsberatungsteam leitet, ist der Ansicht, dass die Einrichtung eines Systems durch die DNP-Gruppe zur kontinuierlichen Reaktion auf die strengen Werksprüfungen internationaler Kreditkartenmarken das Sicherheitssystem der „Kartenfabrik“ auf ein Weltklasseniveau gehoben hat.

DNP begann in den 1980er-Jahren mit der Entwicklung von Chipkarten und ist seitdem Marktführer in Japan in deren Herstellung und Ausgabe. Chipkarten erfordern ein hohes Maß an Sicherheit beim Umgang mit personenbezogenen Daten. Daher muss sich das Unternehmen jährlich Zertifizierungsaudits internationaler Kreditkartenunternehmen unterziehen. Dies erfordert die strikte Einhaltung nicht nur der „physischen“ Aspekte der Produktionsanlagen, wie die Installation von Überwachungskameras und Zugangsbeschränkungen, sondern auch „logischer“ Aspekte, beispielsweise Maßnahmen zum Schutz vor Cyberangriffen.

Sato fungierte als Bindeglied zwischen den Fabrikmitarbeitern und der Umsetzung strenger Sicherheitsvorgaben. Er übersetzte die von internationalen Kreditkartenherstellern festgelegten Sicherheitsspezifikationen ins Japanische und dolmetschte bei Audits. Die verschiedenen Kreditkartenproduktionsstätten von DNP verfügen über Hochsicherheitsbereiche mit strengen Sicherheitsmaßnahmen, zu denen nur ausgewählte Mitarbeiter Zutritt haben. Sato hat umfangreiche Erfahrung in der Durchführung von Audits durch Kartenunternehmen in diesen Bereichen. Dank dieser wertvollen Erfahrung erlangte er als erster Japaner die Zertifizierung zum Internal Security Assessor (ISA) des Payment Card Industry (PCI) Security Standards Council (PCI SSC). Aktuell arbeitet er als Sicherheitsberater für verschiedene Branchen, darunter die Automobilindustrie und die Finanzbranche.

„Da IoT-Geräte in einer Vielzahl von Branchen eingeführt und mit dem Internet verbunden werden, entwickeln sich Cyberangriffe auf diese Geräte ständig weiter und nehmen täglich zu. Die Realität sieht jedoch so aus, dass viele japanische Unternehmen bei ihrer Reaktion hinterherhinken“, sagt Sato, der das Bewusstsein für Informationssicherheit in Japan als unzureichend bezeichnet und deshalb den Umfang seiner eigenen Aktivitäten erweitert.

Im Jahr 2008 verschärften internationale Kreditkartenunternehmen die Anforderungen an die Sicherheitsmaßnahmen gegen Cyberangriffe in den Produktionsstätten für Karten deutlich. Die Sicherheitsmaßnahmen im Westen basieren auf dem Konzept des „Zero Trust“, das besagt, dass nichts vertrauenswürdig ist – eine Art verhängnisvolle Theorie. DNP verfügte bereits über ein hochrangiges Sicherheitssystem, doch die Anforderungen wurden nochmals erhöht.

Zusätzlich zu den in vielen Unternehmen bereits geltenden Standards, wie regelmäßigen Penetrationstests und Schwachstellenanalysen, enthielten die neuen Richtlinien weitere Auflagen, etwa das mehrmalige willkürliche Überschreiben und Löschen von USB-Speichersticks nach Gebrauch und das Löschen nicht benötigter Software auf Windows-Geräten. Viele der Standards unterstellen zudem eine negative Einstellung gegenüber Mitarbeitern, beispielsweise durch das Deaktivieren oder Löschen von Berechtigungen, die Mitarbeitern vor ihrem Renteneintritt erteilt wurden, und die regelmäßige Überprüfung von WLANs, selbst wenn keine WLAN-Geräte in Gebrauch sind. Als japanisches Unternehmen, das sich dem Prinzip der „Güte des Menschen“ verschrieben hat, stieß dies auf Widerstand im Unternehmen. Mitarbeiter fragten: „Müssen wir wirklich so weit gehen?“

Die Reaktionsfähigkeit von DNP vor Ort ist jedoch hoch. Wenn die Prüfer der Kartenunternehmen die Gründe für die in den Spezifikationen festgelegten Standards erläutern, entwickelt das Personal vor Ort mitunter kostengünstigere Sicherheitsmaßnahmen, die die Ziele dennoch erfüllen und die Prüfer beeindrucken. „Es ist uns außerdem gelungen, das Bewusstsein der Mitarbeiter in den Fabriken deutlich zu schärfen, und die Sicherheitsmaßnahmen von DNP entsprechen mittlerweile internationalen Standards“, so Sato.

Beispielsweise grüßen Mitarbeiter im DNP-Werk Ushiku in der Präfektur Ibaraki Besucher von außerhalb des Unternehmens absichtlich mit „Hallo“, um sicherzustellen, dass viele Mitarbeiter wissen, wo sich Fremde innerhalb des Werks aufhalten. „Es ist eine effektive Sicherheitsmaßnahme, die den Besuchern keinerlei Unbehagen bereitet“, sagt Herr [Name fehlt].

„Durch die schnelle Übernahme modernster Sicherheitskonzepte aus Übersee konnte DNP sein Sicherheitssystem weiter stärken“, sagt Sato, aber erst 2014 kam er zu der Überzeugung, dass dieses Wissen auch im Beratungsbereich Anwendung finden könnte.

„Bislang gab es in der japanischen Fertigungsindustrie meines Erachtens kein großes Bewusstsein für Informationssicherheit. Doch mit dem Fortschritt von IoT und CASE*1 sowie dem Einsatz von Robotern in Fabriken blieb auch der Fertigungsindustrie nichts anderes übrig, als ihre Geräte mit dem Internet zu verbinden. Dies führte zu einem erhöhten Bedarf an verstärkten Cybersicherheitsmaßnahmen.“ Anders als die Finanzbranche, für die höchste Sicherheitsstandards zum Kerngeschäft gehören, sei es laut Sato für die Fertigungsindustrie schwierig, sofort ein vergleichbares Sicherheitssystem einzuführen. „Würden wir Branchen außerhalb des Finanzsektors die sofortige Einführung höchster Sicherheitsstandards vorschlagen, würden sie unter einer Art Höhenkrankheit leiden: Sie würden außer Atem geraten und ihre Aktivitäten kämen zum Erliegen. Wir müssen die Einführung von Sicherheitsmaßnahmen schrittweise und ohne Übertreibung vorschlagen und dabei stets optimale Betriebsmethoden und Kosten im Blick behalten.“

Die Vermittlung von Beispielen für innovative Sicherheitsmaßnahmen aus aller Welt gehört ebenfalls zu den wichtigen Aufgaben eines Beraters. Bei seinen Seminaren wird er häufig nach Cyberangriffen weltweit gefragt. Um diese Fragen beantworten zu können, ist es unerlässlich, stets über die aktuellsten Informationen zu verfügen. Sato hat Dutzende von Sicherheitsinformationsseiten aus aller Welt auf seinem Smartphone gespeichert und nutzt seine Freizeit, beispielsweise während seiner Pendelfahrten, um Informationen zu sammeln.

Da Cyberangriffe immer ausgefeilter werden und ihre Anzahl zunimmt, ist zu erwarten, dass die Nachfrage nach den Sicherheitsberatungsleistungen von Sato und anderen weiter steigen wird. „DNP gehörte zu den ersten Unternehmen, die das Zero-Trust-Konzept umgesetzt haben, und wir sind überzeugt, dass ihr fundiertes Wissen für japanische Unternehmen von großem Wert sein wird.“

Sato ist überzeugt, dass Japan künftig die Sicherheit nicht nur im Finanz- und Automobilsektor, sondern insbesondere auch im Gesundheitswesen verstärken muss. Denn Sicherheitslücken im Gesundheitswesen sind im Ausland zwar weniger offensichtlich, aber dennoch häufig. Sato plant, sich auf die Ausbildung der nächsten Mitarbeitergeneration im Unternehmen zu konzentrieren und gleichzeitig dem wachsenden Bereich der medizinischen Versorgung Rechnung zu tragen.

Da seine Tage mit Arbeit ausgefüllt sind, entspannt er sich am Wochenende gerne, indem er mit seiner Familie „Pokémon GO“ spielt. Er läuft in seinem Haus herum, sucht nach Pokémon und fordert sie zu Kämpfen heraus. Das ist außerdem gute Bewegung und hilft ihm, gesund zu bleiben.