Man würde nicht erwarten, dass sich ein professioneller Jazzmusiker zu einem Experten für Cybersicherheitspolitik wandelt, doch genau das ist die Geschichte von Ash Hunt (unten), dem Autor einer bahnbrechenden Abhandlung zur Analyse von Cyberrisiken.
Ihm ist es zu verdanken, dass wir Cybersicherheitsrisiken anhand von Zahlen und nicht aufgrund von Vermutungen bewerten können.
en zur Bewertung von Cyberrisiken sind natürlich nichts Neues, doch die quantifizierbare und einheitliche Risikobewertung muss nach wie vor gefördert werden. Viele Unternehmen haben sich nur zögerlich an die Vorschriften gehalten, und Aufsichtsbehörden setzen sich nun für diese Sache ein. Die von der Securities and Exchange Commission (SEC) verabschiedeten neuen Vorschriften „ “, die seit Dezember in Kraft sind, verpflichten börsennotierte Unternehmen, ihre Verfahren zur Bewertung, Erkennung und Steuerung wesentlicher Risiken offenzulegen. Dies steht im Einklang mit anderen Aufsichtsbehörden, die in bestimmten Branchen Risikobewertungen vorschreiben.
Das dürfte für Herrn Hunt wie Musik in den Ohren klingen.
Der britische Universalgelehrte begann im Alter von 5 Jahren mit dem Trompetenspiel, wurde so gut, dass er an Orten wie dem berühmten Londoner „ 100 Club“ auftreten konnte, und absolvierte anschließend ein Studium der Klassischen Philologie. Sein Interesse richtete sich auf die Politik im Bereich der Cybersicherheit, und er bildete sich unter anderem durch den Besuch von Vorträgen am Londoner Politikinstitut Chatham House weiter, wo er Kontakte knüpfte, die schließlich dazu führten, dass er die Vereinten Nationen auf einer Konferenz zum Thema Cybersicherheit vertrat. Anschließend bekleidete er vertrauliche Positionen im britischen Verteidigungsministerium, bevor er beim Information Security Forum (ISF) als Leiter für quantitative Informationsrisiken tätig wurde. Dies bereitete ihn darauf vor, im Jahr 2022 die Position des CISO ( ) für den Bereich „ “ beim Finanzdienstleister Apex Group unter zu übernehmen.
„. Dies ist eine hervorragende Methode, um zu prüfen, welche Kontrollmaßnahmen Sie vor der Einleitung von Abhilfemaßnahmen in Angriff nehmen sollten.“
Während seiner Zeit bei der ISF, von 2016 bis 2018, entwickelte Hunt ein Rahmenkonzept für die Einbeziehung konkreter Zahlen in die Analyse von Cybersicherheitsrisiken. Er betrachtet dies als Abkehr von traditionellen Risikomanagementpraktiken, die kaum besser waren als ein Versuch, den Wind zu deuten.
Die Notwendigkeit einer fundierteren Risikoanalyse
Während die quantitative Risikoanalyse in anderen Bereichen bereits seit Jahrzehnten etabliert ist, hat sie sich in der Technologiebranche erst viel langsamer durchgesetzt, so Hunt.
„Die Monte-Carlo-Engine ist ein riesiger mathematischer Rechner, der es uns ermöglicht, Szenarien tausende Male innerhalb eines mathematischen Modells zu simulieren.“
„Die Mitarbeiter in diesen Bereichen verfügten nicht über Erfahrung im Bereich des Risikomanagements im Zusammenhang mit „ “ – sie waren vielmehr erfahrene technische Analysten und Ingenieure“, sagt er. Er kritisiert eine Form der Cyber-Risikoanalyse, die von großen Beratungsunternehmen geprägt wurde und die er als „Ampelbewertung“ bezeichnet, bei der verschiedene Risiken subjektiv mit den Bewertungen „rot“, „grün“ oder „gelb“ eingestuft werden. „Dies ist eine gängige Methode zur Bewertung von Cybersicherheitsrisiken bei Unternehmen, die dies überhaupt tun“, erklärt Hunt. „Das war die Grundlage für alle Ausgaben im Bereich Technologie und Organisation und ist es auch heute noch“, sagt er und bezeichnet dies als schädliche Praxis.
Stattdessen führte er eine quantitative Methode zur Analyse von Cybersicherheitsrisiken ein, die auf der „ “-Monte-Carlo-Modellierung basiert. Diese Methode nutzt wiederholte Stichproben, um die Wahrscheinlichkeit verschiedener Ergebnisse in Szenarien vorherzusagen, in denen Zufallsfaktoren eine Rolle spielen – ganz ähnlich wie an den Spieltischen der Casinos von Monte Carlo, nach denen sie benannt wurde. Ursprünglich im Jahr 1940s für militärische Forschungszwecke entwickelt, ist diese Methode heute in Bereichen, die vom Finanzportfoliomanagement bis zur Wettervorhersage reichen, weit verbreitet.
Einsatz von Monte-Carlo-Modellierung zur Bewertung von Cyberrisiken
„Die Monte-Carlo-Engine ist ein riesiger mathematischer Rechner, der es uns ermöglicht, Szenarien innerhalb eines mathematischen Modells tausende Male zu simulieren“, sagt Hunt.
Das Modell der ISF nutzt diese statistische Modellierungsmethode, um Cybersicherheitsrisiken zu erfassen.
„Es geht darum, zu verstehen, welche Szenarien uns daran hindern könnten, unsere Ziele zu erreichen, herauszufinden, wie häufig sie auftreten, welche Ursachen sie haben und welche Kontrollmaßnahmen wir bereits ergriffen haben, um ihre Auswirkungen abzumildern“, erklärt Hunt.
Das Rahmenkonzept basiert im Wesentlichen auf einer einfachen Gleichung: Die Häufigkeit eines Sicherheitsvorfalls multipliziert mit dem dadurch verursachten Schaden ergibt das Risiko. In der Praxis gibt es jedoch noch weitere Variablen als diese. Der Schaden umfasst weitere Faktoren, darunter Produktivitätsverluste, den Zeit- und Kostenaufwand für die Reparatur oder den Austausch beeinträchtigter Systeme sowie rechtliche oder behördliche Sanktionen.
Quantitative Risikokontrollen in der Praxis
Zwar kann Herr Hunt die genauen Einsparungen, die er bei der Apex Group mit dieser Methode erzielt hat, nicht offenlegen, doch erklärt er, dass diese Methode einen erheblichen Vorteil bei Investitionen in Cybersicherheitstechnologie bietet. Als er bei Apex anfing, nutzte er das Framework, um das Verlustrisiko zu berechnen, indem er die Arten von Risikoereignissen in den einzelnen Bereichen sowie die Häufigkeit der Ereignisse und das Mindestverlustrisiko für diese Risiken analysierte.
„Sie werden [mit diesem Modell] niemals Rückschritte machen.“ Für den Endnutzer bedeutet dies eine kontinuierliche, sich ständig steigernde Kapitalrendite, was ein äußerst attraktives Angebot darstellt.”
Hunt speiste Kennzahlen in das Monte-Carlo-Modell ein, das das geschäftliche und technische Umfeld bis hin zu den Vermögenswerten und den Bedrohungsquellen „ “ sowie die Bewertung bestehender Kontrollmaßnahmen umfasste. Dadurch konnten Hunt und sein Team für Risiken in diesem Bereich eine Verlustspanne sowie die Wahrscheinlichkeit eines solchen Verlusts abschätzen.
„Als wir diese Daten über mehrere Szenarien hinweg zusammenfassten, wurde deutlich, dass ein bestimmter Bereich aufgrund seines Beitrags zum Verlustrisiko für uns die größte Sorge darstellte“, sagt er. Er hält sich bedeckt, um welchen Bereich des Geschäftsbetriebs oder der Technologie es sich dabei handelte.
Die Ergebnisse dieser Berechnungen bildeten für die Apex Group die Grundlage für die Planung einer Reihe von Cybersicherheitsmaßnahmen, mit denen sich der potenzielle Schaden verringern ließe. Eine erneute Anwendung des Monte-Carlo-Modells unter der Annahme, dass diese Kontrollmaßnahmen bereits umgesetzt wären, verdeutlichte die Kluft zwischen der aktuellen Cybersicherheitslage und einer deutlich verbesserten Situation. Durch den Abgleich dieser Differenz mit jeder vorgeschlagenen Investition in die Cybersicherheit erhielt das Team einen potenziellen „ “-Renditewert für die jeweilige Sicherheitsmaßnahme.
„Das ist eine hervorragende Methode, um zu prüfen, welche Kontrollmaßnahmen Sie in Angriff nehmen sollten, bevor wir mit den Abhilfemaßnahmen beginnen“, sagt Hunt.
Keine Kennzahl wird außer Acht gelassen
Das klingt alles sehr sinnvoll, aber was geschieht, wenn CISOs nicht über die erforderlichen Daten verfügen?
Fehlende Daten sollten kein Hindernis bei der quantitativen Risikoanalyse darstellen, argumentiert Hunt. Er weist darauf hin, dass es bei dieser Art von statistischer Analyse keinen einheitlichen Qualitätsmaßstab gibt; man arbeitet einfach mit den Daten, die man hat. Bei diesem gesamten Verfahren geht es um die Modellierung von „ “ und „Uncertainty“, und das Framework liefert in seinen Ergebnissen eine Bandbreite potenzieller Verluste, die nach und nach präziser wird.
„Der Tag, an dem Sie bei diesem Ansatz zur Risikomodellierung am schlechtesten abschneiden werden, ist der Tag, an dem Sie damit beginnen“, sagt er.
Das Modell enthält einen Wert, der angibt, wie viel Vertrauen man in seine Vorhersagen setzen sollte. Anhand von Rückmeldungen und der im Laufe der Zeit hinzukommenden Daten verbessert das System diesen Konfidenzwert kontinuierlich. „Sie werden niemals Rückschritte machen. „Für den Endnutzer bedeutet dies eine kontinuierliche, sich ständig steigernde Kapitalrendite, was ein äußerst attraktives Angebot darstellt.“
Statistikgestützte Modelle schneiden stets besser ab als das Bauchgefühl, behauptet Hunt. Da bestehende Sicherheitsmodelle einen subjektiven und weit gefassten Ansatz verfolgen, ist er der Ansicht, dass ein quantitatives Modell die Leistung nur verbessern kann. Die Zeiten, in denen Sicherheit auf Vermutungen beruhte, sind vorbei. Willkommen im Zeitalter der harten Zahlen.
WEITERE INFORMATIONEN
Lesen Sie weitere exklusive Interviews mit Sicherheitsverantwortlichen in unserer Reihe „Erfolgsgeschichten".
- Joseph Karpenko von Stratascale zum Thema …
– VON DATENVERLETZUNGEN ZUR UNTERNEHMENSSTRATEGIE - Ken Fishkin, der „Datenschutz-Evangelist“ von Lowenstein Sandler, über …
LANGWEILIGE SCHULUNGEN ZUR CYBERSICHERHEIT - Marvel-„Superheld“ Mike Wilkes über …
– EINSATZ VON KI ZUR BEKÄMPFUNG VON CYBERKRIMINALITÄT - LA Countys Jeff Aguilar über…
WIE ER MITARBEITER IM KAMPF GEGEN PHISHING SCHULT (UND NACHSCHULT) - Honest Medical Groups Dennis Leber über…
WARUM ER (KAUM) ÜBER CYBERSICHERHEIT MIT DEM VORSTAND SPRICHT - Leo A Dalys Stephen Held über…
DIE KEHRSEITE DES DRITTANBIETER-RISIKOS - Zooms Michael Adams über…
CYBERSICHERHEIT ERREICHEN 2,0 MIT CYBER-RISIKO-SCORING
