Da Sicherheitsverantwortliche mit einer Flut von Angriffen durch Ransomware und andere Cyberbedrohungen konfrontiert sind, kann es schwierig sein zu entscheiden, worauf sie ihre Energie konzentrieren sollen. Hier verspricht ein „Cyber-Risiko-Score“ Abhilfe zu schaffen.
Diese Bewertungen sind so etwas wie eine Bonitätsbewertung für die Cybersicherheit. Ein „ “-Cyberrisiko-Score liefert eine Einschätzung des individuellen Risikos einer Organisation hinsichtlich Cyberangriffen, ihrer Leistung in Bezug auf Dutzende notwendiger Abwehrstrategien sowie der verbleibenden Schwachstellen in ihrem Sicherheitssystem.
Cyberangriffe sind oft auf vermeidbare Fehler zurückzuführen, wie beispielsweise die unterlassene Installation von Software-Updates von und ein mangelhaftes Patch-Management von .
Mithilfe einer Cyber-Risikobewertung lassen sich diese Probleme aufdecken, bevor sie zu einer Sicherheitsverletzung führen. Sie bieten einen leicht verständlichen, evidenzbasierten Ansatz zur Entwicklung einer gezielten Strategie zur Prävention von Ransomware und erweisen sich als besonders nützlich, wenn es darum geht, der Geschäftsleitung und dem Vorstand oder der Führungsebene von Behörden die Dringlichkeit von Verbesserungen zu verdeutlichen.
Da alles – von den Versicherungsprämien unter bis hin zu den M&A-Transaktionen unter – von Cyber-Risikobewertungen abhängt, täten die Chief Information Security Officers (CISOs) gut daran, diesem Aufruf Beachtung zu schenken. Doch diese auf den ersten Blick so einfach erscheinenden Zahlen sind nur ein Teil des Sicherheitspuzzles. Und nicht alle Risikobewertungen sind gleich. Es lohnt sich, einen Blick hinter die Kulissen zu werfen, bevor Sie sich bei geschäftskritischen Entscheidungen auf diese Bewertungen verlassen.
Der Preis der Untätigkeit
Eine Welle von schwerwiegenden und schädlichen Ransomware-Angriffen in den vergangenen 18 Monaten hat selbst die am besten gesicherten Organisationen erschüttert. Cybersecurity Ventures schätzt, dass die durch Ransomware verursachten Kosten die Marke von 265 Milliarden US-Dollar um 2031 überschreiten werden. Fast 40 % der vom Marktforschungsunternehmen IDC befragten Führungskräfte hatten in den vergangenen 12 Monaten einen oder zwei Ransomware-Angriffe erlebt, für deren Behebung sie erhebliche Ressourcen aufwenden mussten. 37 Prozent der Führungskräfte gaben an, dass ein Angriff zu einer Betriebsunterbrechung von einer Woche oder länger geführt habe.
Angesichts der zunehmenden Häufigkeit und Intensität von Angriffen überprüfen besorgte CISOs ihre Sicherheitslage und versuchen, das Ausmaß des Risikos einzuschätzen, dem ihre Unternehmen ausgesetzt sind. Laut IDC gaben etwa 50 % der Entscheidungsträger und Einflussnehmer im Bereich IT-Sicherheit an, dass die Sorge vor Ransomware-Angriffen sie im vergangenen Jahr dazu veranlasst habe, regelmäßige Stresstests ihrer Verfahren zur Cyber-Reaktion durchzuführen. Und 37 % hatten anhand öffentlich zugänglicher Informationen eine unternehmensweite Überprüfung der Sicherheits-, Datenschutz- und Wiederherstellungsmaßnahmen durchgeführt. Trotz all dieser Bemühungen haben mehr als drei Viertel der Führungskräfte kein Vertrauen in das Sicherheitsprofil ihres Unternehmens, wie aus einer weiteren Studie mit dem Titel „ “ des Beratungsunternehmens IDG Connect hervorgeht.
Es ist verständlich, dass viele CISOs auf Cyber-Risiko-Scores zurückgreifen, um dringend benötigte Einblicke in das Ausmaß der Gefährdung ihres Unternehmens zu gewinnen. Zwar können die Bewertungen bei der Ermittlung von Schwachstellen hilfreich sein, doch sind sie noch nützlicher, wenn sie dabei helfen, Bedrohungen zu priorisieren und die Maßnahmen festzulegen, die Organisationen ergreifen müssen, um sich vor diesen Bedrohungen zu schützen.
„Eine einfache, herkömmliche Bewertung versetzt Führungskräfte im Bereich Cybersicherheit nicht in die Lage, solche geschäftlichen Entscheidungen zu treffen“, sagt Bob Maley, Chief Security Officer (CSO) bei Black Kite, einer Plattform zur Bewertung von Cyberrisiken, die von einem zertifizierten ethischen Hacker (CEH) für die NATO gegründet wurde. „Sie benötigen Informationen, die Ihnen dabei helfen, die Entscheidung zu treffen, dass Sie etwas unternehmen müssen – und die sicherstellen, dass Ihre Maßnahmen angemessen sind.“
Angesichts der zunehmenden Verbreitung von „ “-Ransomware-Angriffen üben Vorstände von Unternehmen und Leiter staatlicher Behörden Druck auf CISOs und CIOs aus, ihnen datengestützte Zusicherungen zu geben, dass ihre Organisationen die Sicherheit erhöht haben. Fast 30 % der von IDC befragten Unternehmen gaben an, dass ihre Vorstände im vergangenen Jahr eine Präsentation zu den Verfahren zur Reaktion auf Ransomware sowie zu den aktuellen Praktiken im Bereich Datenschutz und Datenwiederherstellung angefordert hätten.
[Lesen Sie auch: Ransomware 101: Was ist das und wie kann ich einen Angriff verhindern?]
„Zwar haben Führungsteams im Allgemeinen ein gutes Gespür für Risiken, doch die Quantifizierung von Risiken im Bereich der Cybersicherheit hat sich als schwierig erwiesen“, sagt Shawn Marriott, Leiter des Produktmanagements bei Tanium. Dies liegt zum Teil daran, dass sicherheitsrelevante Daten aus dem Bereich „ “ in großen, komplexen Organisationen über verschiedene Silos verstreut sind . Zudem nutzen IT- und Sicherheitsteams häufig unterschiedliche Tools und Kennzahlen, um zu beurteilen, ob sie ihre Ziele erreicht haben.
„Das größte Problem, mit dem wir derzeit konfrontiert sind, ist, dass es nur wenige Rahmenkonzepte gibt, um Cyberrisiken zu identifizieren, zu quantifizieren und zu priorisieren“, erklärt Nadav Zafrir, Mitbegründer der Technologie-Risikokapitalgesellschaft Team8. „Unternehmen können nicht alles schützen“, sagt Zafrir. Da ihre Netzwerke eng mit Kunden, Partnern in der Lieferkette und sogar der Regierung verflochten sind, so sagt er, müssen Führungskräfte in der Wirtschaft die Risiken verstehen, sie nach Prioritäten ordnen und anschließend ihren Ansatz optimieren, um die Wahrscheinlichkeit eines erfolgreichen Angriffs zu verringern.
Worauf Sie achten sollten
Auch wenn CISOs zunehmend auf Cyber-Risikobewertungen zurückgreifen, um die Bedrohungen für ihre Organisationen einzuschätzen, verdeutlicht der Angriff auf die Colonial Pipeline , der von der „ “ verübt wurde, wie unklug es ist, zu viel Gewicht auf eine einzige Zahl zu legen.
„Colonial Pipeline wies eine ordentliche [Risiko-]Bewertung auf. Es gab jedoch einige eindeutige Anzeichen, die uns darauf hindeuteten, wie sie zu Opfern wurden.”Bob Maley, CSO, Black Kite
„Was ihre Sicherheitsbewertung angeht, erzielten sie ein ordentliches Ergebnis“, sagt Maley, der zuvor als Leiter des Bereichs globale Sicherheit und Inspektionen durch Dritte bei PayPal, als Risikoberater bei Wells Fargo und als CISO des Bundesstaates Pennsylvania tätig war. „Es gab jedoch bei einigen Komponenten eindeutige Anzeichen, die uns darauf hinwiesen, wie sie zu Opfern wurden.“
Colonial Pipeline ist kein Einzelfall. Sicherheitsvorfälle sind häufig auf Schwachstellen in den Sicherheitsmaßnahmen einer Organisation im Bereich „ “ zurückzuführen. Um wirklich von Nutzen zu sein, muss eine Risikobewertung Sicherheitsinformationen enthalten, die ein Unternehmen dazu veranlassen, die Schwachstellen zu beheben, die durch die Bewertung identifiziert werden.
„Es gibt Ausgleichsmaßnahmen, die das Risiko zwar nicht vollständig beseitigen, aber die Konfiguration oder deren Aktivierung trägt dazu bei, die Risiken zu mindern“, sagt Marriott von Tanium. Dazu gehört unter anderem, sicherzustellen, dass Sie eine Antivirensoftware installiert haben und dass diese auf dem neuesten Stand ist. „Es ist nicht ungewöhnlich, dass Antivirensoftware seit 10 Jahren nicht mehr aktualisiert wurde“, sagt er.
Bestehende Lösungen zur Risikobewertung weisen in der Regel Defizite bei der Analyse interner Sicherheitsdaten auf. „Sie haben Schwierigkeiten, den Organisationen zeitnahe und genaue Informationen über ihre gesamte Infrastruktur zur Verfügung zu stellen“, sagt Marriott, „doch die Daten sind uneinheitlich und ad hoc“, was zu verzerrten Risikoberechnungen führen kann.
Stattdessen erklärt Marriott, dass eine Lösung zum Schutz vor Cyberrisiken Folgendes leisten sollte:
Stellen Sie eine umfangreiche Sammlung von Sicherheitsdaten bereit
Ausgestattet mit Informationen über interne Sicherheitskontrollen, wahrscheinliche Angriffsvektoren, die größten Schwachstellen und Compliance-Anforderungen können CISOs Risiken besser aufdecken und Ressourcen gezielt auf diejenigen Bereiche konzentrieren, die voraussichtlich die größten Auswirkungen auf ihre Organisationen haben.
So ist beispielsweise der Verlust eines Laptops eines Mitglieds der Geschäftsleitung schwerwiegender als der Verlust des Laptops eines Mitarbeiters in einer Einstiegsposition. Die besten Systeme zeigen die genaue Anzahl der Endpunkte an, bei denen Abhilfemaßnahmen erforderlich sind, sowie den jeweiligen Schweregrad. „Sobald die Sicherheitsteams über diese Informationen verfügen, können sie Analysen durchführen, um zu verstehen und anschließend Prioritäten zu setzen, was behoben werden muss, um das Risikoniveau zu senken“, sagt Marriott.
Eine intelligentere Priorisierung ermöglichen
Ein Risikowert kann einen Überblick über den aktuellen Stand der Cybersicherheit eines Unternehmens zu einem bestimmten Zeitpunkt liefern. Noch nützlicher ist jedoch eine kontinuierliche, ganzheitliche Bewertung, die einem stark ausgelasteten IT-Team hilft, Muster in Echtzeit zu erkennen und die dringendsten Risiken zügig anzugehen. „Man könnte jemandem eine Liste mit 20 Endpunkten geben, um die er sich kümmern soll – das wäre tatsächlich eine vernünftige Arbeitsgrundlage“, sagt Marriott.
Das Sicherheitsprofil des Unternehmens erweitern
Da Unternehmen zunehmend auf Cyberversicherungen zurückgreifen, um Zahlungen an Kriminelle auszugleichen, sind Versicherer sehr daran interessiert, Nachweise über die Cybersicherheit eines Kunden zu erhalten: cyber hygiene. Ebenso haben Dritte ein großes Interesse daran, die Risiken zu verstehen, die von ihren Partnern in der Lieferkette ausgehen. Und sollte die Regierung letztendlich eine nationale Behörde für Cybersicherheit ( ) unter der Leitung von „National Cybersecurity Safety Board“ zur Untersuchung von Cyberangriffen einrichten, könnte sich eine ganzheitliche Bewertung für die Ermittler als nützlich erweisen.
Vorerst sollten Unternehmen jedoch sicherstellen, dass ihre Lösung zur Risikobewertung mit ihren übergeordneten Unternehmenszielen in Einklang steht. Dadurch können Führungskräfte – vom Vorstand über die oberste Führungsebene bis hin zu den Leitern der technischen Teams – nachvollziehen, wie sich ein Wert in entgangene oder eingesparte Einnahmen umsetzt.
Letztendlich wird ein gemeinsames Verständnis der geschäftlichen Ziele sicherstellen, dass eine Lösung zur Risikobewertung einen umfassenden Fahrplan zur Abwehr von Ransomware-Angriffen und zur Aufrechterhaltung der betrieblichen Widerstandsfähigkeit bietet.
