Da Sicherheitsverantwortliche mit einem Angriff von Ransomware und anderen Cyberbedrohungen konfrontiert sind, kann es schwierig sein, zu wissen, wo sie ihre Energie konzentrieren müssen. Hier verspricht ein „Cyber-Risikoscore“, zur Rettung zu kommen.
Diese Bewertungen sind wie eine Bonitätsbewertung für Cybersicherheit. Eine Cyber-Risikobewertung liefert eine Bewertung des einzigartigen Ausmaßes der Exposition eines Unternehmens gegenüber Cyberangriffen, seiner Leistung in Bezug auf Dutzende notwendiger Minderungsstrategien und der verbleibenden schwachen Verbindungen in seiner Sicherheitspanzerung.
Cyberangriffe sind oft aufgrund vermeidbarer Fehler erfolgreich, wie z. B. das Versäumnis, Software-Updates zu installieren und ein schlechtes Patch-Management.
Cyber-Risikobewertung kann diese Probleme hervorheben, bevor sie zu einer Verletzung führen. Sie bieten eine leicht verständliche, evidenzbasierte Möglichkeit, eine gezielte Strategie zur Verhinderung von Ransomware zu entwickeln, und sie sind besonders nützlich, wenn sie die Dringlichkeit von Verbesserungen an die C-Suite und den Vorstand oder die Leitung der Regierungsbehörde kommunizieren.
Da sich alles von Versicherungssätzen bis zu M&A-Geschäften auf Cyber-Risikobewertungen stützt, wären Chief Information Security Officers (CISOs) klug, ihren Anruf zu befolgen. Aber diese einfach aussehenden Zahlen sind nur ein Teil des Sicherheitspuzzles. Und nicht alle Risikoscores sind gleich. Es lohnt sich, unter die Abzugshaube zu schauen, bevor Sie sich auf diese Bewertungen verlassen, um unternehmenskritische Entscheidungen zu treffen.
Der Preis der Untätigkeit
Eine Vielzahl von störenden und schädigenden Ransomware-Angriffen in den letzten 18 Monaten hat selbst die am stärksten gesicherten Organisationen verunsichert. Cybersecurity Ventures schätzt, dass die Ransomware-Kosten bis 2031 265 Milliarden US-Dollar übersteigen werden. Fast 40 % der Führungskräfte, die vom Marktforschungsunternehmen IDC befragt wurden, hatten in den letzten 12 Monaten einen oder zwei Ransomware-Angriffe erlebt, die es erforderlich machten, erhebliche Ressourcen zur Behebung zuzuweisen. Siebenunddreißig Prozent der Führungskräfte gaben an, dass ein Angriff eine Unterbrechung von einer Woche oder mehr verursacht hat.
Wenn sich das Tempo und die Intensität der Angriffe beschleunigen, bewerten besorgte CISOs ihre Sicherheitslage und versuchen, das Risikoniveau ihrer Organisationen zu verstehen. Laut IDC gaben etwa 50 % der Entscheidungsträger und Influencer für IT-Sicherheit an, dass sie Bedenken über Ransomware-Angriffe im vergangenen Jahr dazu veranlasst hätten, regelmäßige Stresstests zu ihren Cyber-Response-Verfahren durchzuführen. Und 37 % hatten eine unternehmensweite Überprüfung der Sicherheits-, Datenschutz- und Wiederherstellungspraktiken unter Verwendung öffentlich verfügbarer Informationen durchgeführt. Trotz all dieser Arbeit haben mehr als drei Viertel der Führungskräfte kein Vertrauen in das Sicherheitsprofil ihrer Organisation, so eine weitere Studie der Beratungsfirma IDG Connect.
Verständlicherweise haben sich viele CISOs auf Cyber-Risikobewertungen gewandt, um dringend benötigte Einblicke in das Expositionsniveau ihrer Organisation zu erhalten. Während die Bewertungen nützlich sein können, um Schwachstellen zu identifizieren, sind sie nützlicher, wenn sie dabei helfen, Bedrohungen zu priorisieren, und die Maßnahmen, die Organisationen ergreifen müssen, um sich vor diesen Bedrohungen zu schützen.
„Eine einfache alte Bewertung gibt Cyber-Führungskräften nicht die Möglichkeit, solche Geschäftsentscheidungen zu treffen“, sagt Bob Maley, Chief Security Officer (CSO) bei Black Kite, einer Cyber-Risikobewertungsplattform, die von einem zertifizierten ethischen Hacker (CEH) für NATO gegründet wurde. „Sie benötigen Informationen, die Ihnen helfen, die Entscheidung zu treffen, dass Sie etwas tun müssen – und sicherstellen, dass Ihre Maßnahmen angemessen sind.“
Da Ransomware-Angriffe immer weiter zunehmen, drängen Unternehmensvorstände und Führungskräfte von Regierungsbehörden CISOs und CIOs auf datengesteuerte Zusicherungen, dass ihre Organisationen die Sicherheit erhöht haben. Fast 30 % der befragten Organisationen von IDC gaben an, dass ihre Vorstände im Vorjahr eine Präsentation über Ransomware-Reaktionsverfahren und aktuelle Datenschutz- und Wiederherstellungspraktiken angefordert hatten.
[Lesen Sie auch: Ransomware 101: Was ist es und wie kann ich einen Angriff verhindern?]
„Obwohl Führungsteams im Allgemeinen ein gutes Verständnis für Risiken haben, hat sich die Quantifizierung des Risikos für Cybersicherheit als schwierig erwiesen“, sagt Shawn Marriott, Director of Product Management bei Tanium. Das liegt zum Teil daran, dass sicherheitsrelevante Daten in großen, komplexen Organisationen über Silos verteilt sind . Und IT- und Sicherheitsteams verwenden häufig verschiedene Tools und Metriken, um zu messen, ob sie ihre Ziele erreicht haben.
„Das größte Problem, das wir derzeit haben, ist, dass es nur wenige Frameworks gibt, um Cyberrisiken zu identifizieren, zu quantifizieren und zu priorisieren“, erklärt Nadav Zafrir, Mitbegründer der Technologie-Venture-Kapitalfirma Team8. Organisationen können nicht alles schützen, sagt Zafrir. Da ihre Netzwerke mit Kunden, Lieferkettenpartnern und sogar der Regierung voneinander abhängig sind, sagt er, müssen Führungskräfte die Risiken verstehen, priorisieren und dann ihren Ansatz optimieren, damit sie die Wahrscheinlichkeit eines erfolgreichen Angriffs verringern können.
Worauf Sie achten sollten
Auch wenn sich CISOs zur Bewertung der Bedrohungen, denen ihre Organisationen ausgesetzt sind, auf Cyber-Risikobewertungen berufen, unterstreicht der Colonial Pipeline-Angriff die Folly, zu viel Bestand in einer einzigen Zahl zu platzieren.
„Colonial Pipeline wies einen vernünftigen [Risiko-]Score auf. Aber es gab einige klare Signale, die uns zeigten, wie sie Opfer wurden.“Bob Maley, CSO, Black Kite
„In Bezug auf ihre Sicherheitsbewertung hatten sie eine gute Bewertung“, sagt Maley, der zuvor als Leiter der globalen Sicherheit und Inspektionen von Drittanbietern bei PayPal, als Risikoberater bei Wells Fargo und als CISO für den Bundesstaat Pennsylvania tätig war. „Aber es gab einige klare Signale in einigen Komponenten, die uns zeigten, wie sie Opfer wurden.“
Kolonialpipeline ist kein Ausreißer. Sicherheitsvorfälle sind häufig das Ergebnis von Schwachstellen in den Sicherheitspraktiken einer Organisation. Um wirklich nützlich zu sein, muss eine Risikobewertung Sicherheitsinformationen enthalten, die ein Unternehmen dazu zwingen, Schwächen zu beheben, die die Bewertung bei der Identifizierung hilft.
„Es gibt Kompensationskontrollen, die Risiken nicht eliminieren, aber die Konfiguration oder Aktivierung dieser helfen, die Risiken zu mindern“, sagt Marriott von Tanium. Dazu gehören Dinge wie die Sicherstellung, dass Sie Antivirensoftware installiert haben und dass sie auf dem neuesten Stand ist. „Es ist nicht ungewöhnlich, Antivirensoftware zu sehen, die seit 10 Jahren nicht aktualisiert wird“, sagt er.
[Lesen Sie auch: Sie können die Bedrohungen von morgen mit der gestrigen Denkweise nicht überwinden]
Bestehende Risikobewertungslösungen sind in der Regel in ihrer Analyse interner Sicherheitsdaten unzureichend. „Sie haben Schwierigkeiten, Organisationen zeitnahe und genaue Informationen über ihre gesamte Immobilie zu erhalten“, sagt Marriott, „aber die Daten sind inkonsistent und Ad-hoc“, was Risikoberechnungen verzerren kann.
Stattdessen sagt Marriott, dass eine Cyberrisikolösung Folgendes tun sollte:
Stellen Sie einen umfangreichen Satz an Sicherheitsdaten bereit
Ausgerüstet mit Informationen über interne Sicherheitskontrollen, wahrscheinliche Angriffsvektoren, Top-Schwachstellen und Compliance-Anforderungen können CISOs Risiken besser aufdecken und Ressourcen für diejenigen bereitstellen, die wahrscheinlich die größten Auswirkungen auf ihre Organisationen haben.
Zum Beispiel ist ein fehlender Laptop einer Person in der C-Suite wichtiger als der Laptop eines Einstiegsmitarbeiters. Die besten Systeme heben die genaue Anzahl der Endpunkte hervor, die behoben werden müssen, und den Grad der Besorgnis für jeden. „Sobald Sicherheitsteams diese Informationen haben, können sie Analysen durchführen, um zu verstehen und dann zu priorisieren, was behoben werden muss, um das Risikoniveau zu senken“, sagt Marriott.
Intelligentere Priorisierung ermöglichen
Eine Risikobewertung kann eine Momentaufnahme der Cyber-Gesundheit eines Unternehmens zu einem einzigen Zeitpunkt liefern. Aber nützlicher ist ein kontinuierlicher, ganzheitlicher Score, der einem beschäftigten IT-Team hilft, Muster in Echtzeit zu erkennen und schnell die dringendsten Risiken anzugehen. „Man könnte jemandem eine Liste von 20 Endpunkten aushändigen, um die man sich kümmern muss, was eigentlich eine vernünftige Sache wäre, mit der man arbeiten kann“, sagt Marriott.
Erweitern Sie das Sicherheitsprofil der Organisation
Da Unternehmen zunehmend auf Cyber-Versicherungen angewiesen sind, um Auszahlungen an Kriminelle auszugleichen, sind Versicherer sehr daran interessiert, Nachweise für die Cyber-Hygiene eines Kunden zu haben. Ebenso haben Dritte ein berechtigtes Interesse daran, das Risiko zu verstehen, das ihre Lieferkettenpartner darstellen. Und wenn die Regierung schließlich ein nationales Cybersicherheitssicherheitsgremium erstellt, um Cyberangriffe zu untersuchen, könnte sich eine ganzheitliche Bewertung für die Ermittler als nützlich erweisen.
Für die Zeit sollten Organisationen jedoch sicher sein, dass ihre Risikobewertungslösung mit ihren größeren organisatorischen Zielen zusammenhängt. Dies ermöglicht es Führungskräften – vom Vorstand und der C-Suite bis hin zu technischen Teamleitern – zu verstehen, wie sich eine Punktzahl in verlorenen oder eingesparten Dollar umsetzt.
Letztendlich stellt ein gemeinsames Verständnis der Geschäftsergebnisse sicher, dass eine Risikobewertungslösung eine vollständige Roadmap zur Verhinderung von Ransomware-Angriffen und zur Beibehaltung der operativen Belastbarkeit bietet.
