5 Fragen für CISOs

Bild: 123rf/Fractal Verlag

Security
Typography
  • Smaller Small Medium Big Bigger
  • Default Helvetica Segoe Georgia Times

Cyberangriffe gehören mittlerweile zum Alltag. Dabei spielen Grösse und Branche der Unternehmen kaum noch eine Rolle. Wie man angegriffen wird und ob die Angreifer damit Erfolg haben, hängt jedoch mit den eigenen Cybersicherheitsmassnahmen zusammen. Wichtig ist an dieser Stelle eine kontinuierliche Risikobewertung. Heutzutage keine leichte Aufgabe für die zuständigen Chief Information Officers (CISO).

Laut dem aktuellen Allianz Risk Barometer sind Cybervorfälle derzeit das weltweit grösste Geschäftsrisiko. Da die IT in der heutigen Zeit die Basis für nahezu alle Geschäftsprozesse bildet, betrifft ihr Ausfall alle Unternehmensbereiche. Dieser Umstand bringt den ein oder anderen CISO in eine komplizierte Situation: Von ihnen wird verlangt, Cyberrisiken nicht nur zu kennen, sondern auch das von ihnen ausgehende Risiko bewerten zu können. Die folgenden fünf Fragen sollten sie sich bei der Risikobewertung stellen, um ihr Ziel einer sicheren Cybersecurity zu erreichen:

1. Wo liegen unsere Schwachstellen?

Es gibt drei Arten von Schwachstellen: prozessuale, technische und menschliche. Unter den ersten Punkt fallen etwa nie getestete Notfallpläne, die im Ernstfall nicht funktionieren. Technische Schwachstellen lassen sich mit dem CVSS (Common Vulnerability Scoring System) nach ihrem Schweregrad klassifizieren. Ebenso normal wie technische Lücken in der Cybersecurity sind menschliche Fehler. Etwa weil man in einem stressigen Augenblick vergisst, ein Passwort für eine neue Cloud-Instanz zu setzten oder auf Phishing Mails hereinfällt. Um diese Schwachstellen ausfindig zu machen, braucht es einen Informationsaustausch zwischen den unterschiedlichen Fachbereichen sowie einen Überblick über Prozesse in der IT-Umgebung, sämtliche Cloud Services sowie alle Systeme.

2. Wie gehen Angreifer vor?

Trotz möglicherweise geringerem CVSS-Score sollten CISOs auch ältere, weniger hoch priorisierte Sicherheitslücken nicht vernachlässigen. Diese können für Cyberkriminelle höchst attraktiv sein, sind sie doch oftmals deutlich leichter zugänglich, da sie bei Analysen gerne übersehen bzw. nicht priorisiert behandelt werden. Daher ist es für die Risikobewertung wichtig, dass neben Branche und Unternehmensgrösse – etwa grosse Behörde oder mittelständischer Handwerksbetrieb – auch Informationen über aktuelle Angreifergruppen und deren Vorgehensweise berücksichtig werden – unter anderem, welche Schwachstellen diese nutzen.

3. Wie hoch ist meine Angriffswahrscheinlichkeit?

Die Angriffswahrscheinlichkeit wird aus den Faktoren „aktuelles cyberkriminelles Geschehen“ und „aufgedeckte Schwachstellen“ ermittelt, indem zwei Fragen gestellt werden: „Fällt die Grösse meines Unternehmens in das Beuteschema aktueller Hacker-Aktivitäten?“ Und: „Gibt es im Unternehmen eine Schwachstelle, die derzeit häufig angegangen wird?“ Werden diese zwei Fragen mit einem „Ja“ beantwortet, ist das Risiko eines Vorfalls hoch. Auch muss beachtet werden, dass etwa 90 Prozent aller Cyberangriffe finanziell motiviert sind und mit möglichst wenig Aufwand über die Bühne gehen sollen. Kurz gesagt: Unternehmen, die wenig Gegenwehr bieten, sind für Cyberkriminelle attraktiver.

4. Welche Konsequenzen hätte ein Cyberangriff?

Die Risikobewertung sowie der Handlungsbedarf ergeben sich aus der Eintrittswahrscheinlichkeit und der Höhe des möglichen Schadens. Um beides zu errechnen, sollten sich CISOs folgende W-Fragen zu Abhängigkeiten, Sicherheitsaufstellung und IT-Infrastruktur des Unternehmens stellen: Welche Möglichkeiten hat ein Hacker, wenn er sich im Netzwerk befindet? Wie kann er sich bewegen, ohne von internen Kontrollen entdeckt zu werden? Welche Kontrollen sind vorhanden? Welche Möglichkeiten hat der Eindringling, auf wertvolle Daten zuzugreifen? Welche Auswirkungen hätte ein durch einen Angriff ausgelöster Produktionsstopp auf Kunden und Lieferanten?

5. Was braucht es, um das Risiko zu minimieren?


Um die angestrebte Risikominimierung hinsichtlich Eintrittswahrscheinlichkeit und Auswirkungen eines Angriffs zu erreichen, müssen gezielt Massnahmen ergriffen werden. Etwa ein Patch, um eine technische Schwachstelle zu schliessen oder das Setzen bzw. Ändern von Passwörtern. Grössere Security-Massnahmen wie Netzwerksegmentierung werden dann fällig, wenn besonders gefährdete Daten und Assets Schutz benötigen. Die ergriffenen Massnahmen zur Risikominimierung sollten CISOs anschliessend regelmässig auf ihre Wirksamkeit überprüfen. Wer sich die Kosten-Nutzen-Rechnung ersparen möchte, kann sich an Security-Hersteller mit umfassenden Plattformen wenden.

Das Ziel von CISOs: den Schaden minimieren

CISOs erfüllen im Unternehmen als Sicherheitsexperten eine tragende Rolle. Sie müssen die grössten Risiken identifizieren und gezielte Gegenmassnahmen ergreifen. Allerdings ist es in der heutigen Zeit keine leichte Aufgabe, den Überblick über die hochdynamische IT-Landschaft zu behalten. Die behandelten Fragen tragen dazu bei, eine kontinuierliche Risikobewertung zu erstellen, aus welcher sich anschliessend eine proaktive Sicherheitsstrategie ergibt. Das ist umso wichtiger, da Cybervorfälle mittlerweile als weltweit grösstes Geschäftsrisiko gelten.

Security

Jobpartner

Wir verwenden Cookies auf unserer Website. Einige von ihnen sind für den Betrieb der Website von wesentlicher Bedeutung, während andere uns dabei helfen, diese Website und die Benutzererfahrung zu verbessern (Tracking-Cookies). Sie können selbst entscheiden, ob Sie Cookies zulassen möchten oder nicht. Bitte beachten Sie, dass Sie möglicherweise nicht alle Funktionen der Website nutzen können, wenn Sie sie ablehnen.