As we set out to consider the major cybersecurity and IT operations developments of 2017, we identified three major forces we believe will influence public- and private-sector enterprises for years to come. And we provide action items you can take in your own organizations to address these forces in 2018.
(Bild: Mohamed Hassan / Pixabay)
Was wäre ein Jahresrückblick ohne einen Hinweis auf Ransomware, das Internet der Dinge und staatlich gestützte Angreifer? All diese Faktoren hatten im Jahr 2017 erhebliche Auswirkungen auf das Leben der Fachkräfte in den Bereichen Cybersicherheit und IT-Betrieb und werden auch im kommenden Jahr weiterhin einen großen Einfluss auf unser Leben ausüben. Gut, wir haben sie erwähnt.
Falls Sie auf der Suche nach einer umfassenden Auflistung von Technologien sind, lässt Forbes mit seinen 60 Prognosen zur Cybersicherheit für das Jahr 2018 nichts unversucht. Solche Technologieübersichten sind hilfreich, um Ihnen bei Ihrer Planung und Ihren Kaufentscheidungen Orientierung zu bieten. Als wir uns jedoch daran machten, die wichtigsten Entwicklungen im Bereich Cybersicherheit und IT-Betrieb des Jahres 2017 zu betrachten, wurde uns bewusst, dass in diesem Jahr drei wesentliche Faktoren eine Rolle spielten, die auf bedeutende organisatorische und verhaltensbezogene Veränderungen hindeuten. Wir sind der Ansicht, dass diese Faktoren die Entscheidungen von Unternehmen des öffentlichen und privaten Sektors in den Bereichen IT-Betrieb und Cybersicherheit noch über Jahre hinweg beeinflussen werden. An dieser Stelle erläutern wir, warum diese Aspekte von Bedeutung sind, und unterbreiten Ihnen Vorschläge für Maßnahmen, die Sie im kommenden Jahr in Ihrer eigenen Organisation umsetzen können.
Three forces driving cybersecurity and IT ops in 2017
1. Patching
Eine der am wenigsten attraktiven Aufgaben im IT-Betrieb rückte in diesem Jahr ins Rampenlicht, nachdem eine Reihe von Ransomware-Angriffen Unternehmen auf der ganzen Welt lahmgelegt hatte. Inmitten all der Schuldzuweisungen und des Lärms geht jedoch leicht die Tatsache unter, dass das Patchen von „ “ schwierig ist: (wird in einem neuen Tab geöffnet). Selbst unsere besten Absichten werden oft durch etwas vereitelt, das so alt ist wie die Menschheit selbst: Angst vor Veränderungen (wird in einem neuen Tab geöffnet). Wie die leitende Redakteurin Fahmida Y. Rashid in CSO Online feststellt: „Unternehmen verfügen über Altsysteme, und viele haben im Laufe der Jahre massive Investitionen in Systeme und Geräte getätigt, für die keine Sicherheitspatches mehr verfügbar sind.“ Migrationen sind nicht immer die Lösung, und die Sicherheitsbranche muss kreativer nach Wegen suchen, um gemeinsam mit Unternehmen veraltete Systeme zu modernisieren oder Sicherheitsvorkehrungen zum Schutz der bestehenden Systeme zu treffen. „Es gibt Einschränkungen hinsichtlich der Verwendung der Mittel durch die Organisation, was weitere kreative Ideen erfordert, um mit begrenzten Ressourcen auszukommen.“
Organisatorische Silos tragen sicherlich nicht zur Lösung des Problems bei. In den meisten Unternehmen arbeiten IT-Betriebs- und Cybersicherheitsteams in getrennten, eigenständigen Geschäftsbereichen und unterstehen unterschiedlichen Führungskräften des Unternehmens, was es erschwert, jene ganzheitliche Sicht auf das Netzwerk zu erlangen, die erforderlich ist, um künftige Angriffe abzuwehren. Wenn wir als Branche überhaupt Hoffnung haben wollen, einer gewaltigen Bedrohung wirksam entgegenzutreten, müssen wir zunächst die unternehmensinternen Barrieren zwischen IT-Betrieb und Sicherheit abbauen. Hier bei Tanium lassen wir unseren Worten Taten folgen. Unsere IT- und Sicherheitsteams sind in derselben Organisation zusammengefasst, die von unserem Chief Security Officer geleitet wird. In den meisten Organisationen ist dies nicht der Fall. Tatsächlich variieren die Berichtswege stark, und es scheint keinen klaren Standard zu geben. Mehr als vier von 10 Befragten der von der „ “ und PwC durchgeführten Umfrage „ 2018 Global State of Information Security Survey“ (wird in einem neuen Tab geöffnet), bei der 9 500 Führungskräfte in 122 Ländern befragt wurden, gaben an, dass ihr CISO an den CEO berichtet, während 22 % angaben, dass der CISO direkt an den Vorstand berichtet. Etwa ein Viertel (24 %) gab an, dass ihr CISO dem CIO unterstellt ist. Auch wenn die Forderung nach umfassenden organisatorischen Veränderungen vielleicht utopisch erscheinen mag, sind wir der Ansicht, dass IT-Betriebs- und Sicherheitsteams gut daran täten, unabhängig von der Berichtsstruktur enger zusammenzuarbeiten. Ein erster Ansatz besteht darin, dass die Mitglieder der IT-Betriebs- und Sicherheitsteams gemeinsam an der Auswahl von Technologien arbeiten, die den Anforderungen beider Gruppen gerecht werden.
Was Sie dagegen tun können:
Die Verbesserung der Zusammenarbeit zwischen IT- und Cybersicherheitsteams ist zwar kein Allheilmittel für die Probleme, mit denen Unternehmen bei der Installation von Patches konfrontiert sind, trägt jedoch wesentlich dazu bei, den Prozess reibungsloser zu gestalten. Wenn Sie sich dafür einsetzen, einen Geist der kontinuierlichen Zusammenarbeit zu fördern, wird es für Sie und Ihre Kollegen einfacher, Ihre Anwendungen und Geräte auf dem neuesten Stand zu halten und die Daten sowie die Mitarbeiter Ihres Unternehmens zu schützen. Halten Sie Ausschau nach guten Projekten mit gemeinsamen Zielen, an denen Sie mitarbeiten können. Finden Sie Wege, um bessere Mechanismen für die organisationsübergreifende Kommunikation zu schaffen. Entwickeln Sie Ansätze für den teamübergreifenden Austausch. Möglicherweise stellen Sie fest, dass Ihre IT-Kollegen beispielsweise im Bereich der Cybersicherheit mehr tun möchten, da dies ihnen eine Abwechslung zu ihren herkömmlichen Aufgaben bietet. Ebenso könnte Ihnen ein Einsatz im IT-Betrieb helfen, die Herausforderungen zu verstehen, denen sich Ihre Kollegen dort stellen müssen, wenn Sie Ihre gesamte Zeit in einem Cybersicherheitsteam verbringen.
2. Der Vorstand
Was die Ausgabe 2017 zu einem Wendepunkt in Bezug auf das Thema Cybersicherheit und den Vorstand macht, ist die deutliche Veränderung bei der Art der Fragen, die die Vorstandsmitglieder stellen. In den vergangenen Jahren haben aufsehenerregende Sicherheitsvorfälle – und deren daraus resultierende Auswirkungen auf das Geschäftsergebnis – die Vorstände dazu veranlasst, der Cybersicherheit eine bisher ungeahnte Aufmerksamkeit zu widmen. Wie Julliette Rizkallah, CMO von Sailpoint, in Forbes schreibt: (wird in einem neuen Tab geöffnet): „Wir haben einen langen Weg zurückgelegt seit den Zeiten, als Vorstandsmitglieder fragten: Sind wir sicher? Sie fordern nun Bewertungsbögen an, mit denen sich die Sicherheitslage eines Unternehmens messen lässt. Zudem stellen sie vermehrt Fragen zu Vorschriften und dazu, wie Sicherheitsmaßnahmen dazu beitragen können, die Einhaltung dieser Vorschriften nachzuweisen. „Bald werden wir erleben, dass Vorstände vierteljährliche Berichtsrunden zum Thema Cybersicherheit einfordern – teilweise direkt vom CISO präsentiert –, anstatt sich auf gelegentliche Informationen des Sicherheitsausschusses des Unternehmens zu verlassen.“
Tatsächlich gehört die Cybersicherheit laut einer Umfrage der National Association of Corporate Directors (NACD) unter 587 Unternehmensvorständen zu den fünf wichtigsten Trends, von denen erwartet wird, dass sie im Jahr 2018 den größten Einfluss auf Unternehmen haben werden. Laut NACD sind die Vorstände hinsichtlich ihrer Vorbereitung auf Cyberrisiken weniger zuversichtlich als noch vor einem Jahr. Nur 37 % der Befragten geben an, dass sie zuversichtlich oder sehr zuversichtlich sind, dass ihr Unternehmen angemessen gegen Cyberangriffe geschützt ist; im Vergleich dazu waren es im Vorjahr 42 %.
Häufig obliegt es dem CISO oder CSO eines Unternehmens, den Vorstand (öffnet in einem neuen Tab) über Cybersicherheit aufzuklären, was eine schwierige und gewaltige Aufgabe sein kann. In der Regel wird über Techniken und Technologien gesprochen, während wichtige geschäftliche Faktoren – darunter auch die Frage, inwiefern organisatorische Silos wirksame Cybersicherheitsmaßnahmen einschränken – unberücksichtigt bleiben. Das Marktforschungsunternehmen Gartner prognostiziert, dass Unternehmen weltweit bis zum Jahresende insgesamt 89,1 Milliarden US-Dollar für Cybersicherheit ausgeben werden (wird in einem neuen Tab geöffnet) ; die Ausgaben sollen im Jahr 2018 um 8 % auf 96,3 Milliarden US-Dollar steigen. Eine Umfrage von Ernst & Young unter 1 200 Führungskräften der obersten Ebene in Unternehmen weltweit ergab, dass die überwiegende Mehrheit der Befragten der Ansicht ist, ihre Unternehmen müssten ihre Ausgaben für Cybersicherheit um 50 % erhöhen. Dennoch rechnen nur 12 % der Befragten damit, dass ihre Budgets für Cybersicherheit um mehr als 25 % steigen werden. Dies könnte auf eine mangelnde Bereitschaft der Unternehmen hindeuten, die Ausgaben für Cybersicherheit zu erhöhen. Tatsächlich ergab eine Umfrage der Society of Information Management unter 1 178 IT-Fachkräften, dass die IT-Führungskräfte zwar die Cybersicherheit in diesem Jahr als das wichtigste IT-Thema für ihre Unternehmen identifizierten, die Ausgaben für Cybersicherheit als Prozentsatz der IT-Budgets im Jahr 2017 jedoch zurückgingen. Die Ausgaben für Cybersicherheit machen in diesem Jahr 5,3 % des IT-Budgets aus, verglichen mit 6,2 % im Jahr 2016.
Was wird Unternehmen also dazu bewegen, ihre Investitionen in die Cybersicherheit zu erhöhen? Mehr als drei Viertel der Befragten der EY-Umfrage (76 %) geben an, dass die Aufdeckung einer Sicherheitsverletzung, die Schäden verursacht hat, wahrscheinlich dazu führen würde, dass mehr Ressourcen für die Cybersicherheit bereitgestellt würden. Der Schaden scheint hier die treibende Kraft zu sein; 64 % der Befragten gaben an, dass ein Angriff, der offenbar keinen Schaden verursacht habe, wahrscheinlich nicht zu einer Aufstockung des Cybersicherheitsbudgets des Unternehmens führen würde.
Zwar haben Unternehmen in diesem Jahr Fortschritte dabei erzielt, die Art der Gespräche über Cybersicherheit auf Vorstandsebene zu verändern, doch haben wir noch einen langen Weg vor uns, bis Cybersicherheit von der Mehrheit der Vorstände als geschäftliche Priorität ernst genommen wird. Nur 44 % der Befragten der „PwC 2018 Global State of Information Security Survey“ geben an, dass sich ihre Unternehmensvorstände aktiv an der allgemeinen Sicherheitsstrategie ihres Unternehmens beteiligen. Laut Gartner (wird in einem neuen Tab geöffnet), „Es obliegt den Sicherheitsverantwortlichen in verstärktem Maße, ihre Arbeit in einen geschäftlichen Kontext zu übertragen.“ Ohne diese Kommunikation kommt es zu einer Diskrepanz zwischen der Sicherheitsabteilung und den Vorgängen im übrigen Unternehmen. In solchen Fällen kommt es zum Aufkommen von Phänomenen wie der Schatten-IT. „Durch diese Ausrichtung steht oder fällt die Organisation gemeinsam, wodurch sie in einer besseren Position ist als diejenigen, die in Silos arbeiten.“
Was Sie dagegen tun können:
Die Ermittlung der richtigen Kennzahlen, die Sie Ihrem Vorstand vorlegen können, ist eine der größten Herausforderungen, denen sich Führungskräfte im Bereich Cybersicherheit gegenübersehen. Den ROI von Investitionen in die Cybersicherheit nachzuweisen, ist leichter gesagt als getan, insbesondere wenn sich die Kennzahl auf das Geschäft beziehen muss. Natürlich können Sie sagen, dass Produkt X es uns ermöglicht hat, die Sicherheitslücke Y um 30 % schneller zu finden und zu beheben als mit der bisherigen Lösung. Das ist zwar schön, wird Ihrem Vorstand jedoch nichts bedeuten. Die Notlösung besteht darin, alles zu messen, was man sich nur vorstellen kann, und es dem Vorstand zu überlassen, daraus einen Schluss zu ziehen. Auch das sagt Ihrem Vorstand nichts. Es liegt an Ihnen, die von Ihnen weitergegebenen Informationen zu analysieren und sicherzustellen, dass sie im Kontext eines echten geschäftlichen Nutzens stehen. In einem Artikel für CSO empfiehlt Rick Howard, CSO bei Palo Alto Networks, die Verwendung von betriebswirtschaftlichen Konzepten wie entgangene Einnahmen, Kosten für die forensische Untersuchung des Angriffs und die Behebung der entstandenen Schäden sowie die Kosten für die Abwehr von Kundenklagen, um Ihre Maßnahmen zur Cybersicherheit in den richtigen Kontext zu stellen. Ein erster Ansatz besteht darin, gemeinsam mit Ihren IT- und Fachbereichsverantwortlichen die für Ihr Unternehmen relevantesten Kennzahlen zu ermitteln und anschließend zu erarbeiten, wie Sie Ihre Investitionen in die Cybersicherheit mit diesen Kennzahlen verknüpfen können. Wenn es darum geht, die Wirksamkeit Ihrer Cybersicherheitsstrategie zu messen, gibt es keine allgemeingültige Antwort, und es liegt an Ihnen, die verfügbaren Kollegen einzubeziehen, um herauszufinden, was für Ihren Vorstand am aussagekräftigsten ist.
3. Datenschutz
Die Datenschutz-Grundverordnung der Europäischen Union (wird in einem neuen Tab geöffnet) (DSGVO), die am Mai 2018 in Kraft tritt, hat bereits in diesem Jahr erhebliche Auswirkungen darauf, wie Organisationen den Datenschutz betrachten. Jedes Unternehmen, das in der Europäischen Union geschäftlich tätig ist – unabhängig davon, wo es seinen Sitz hat – muss sich an die Verordnung (wird in einem neuen Tab geöffnet) halten, die die Art und Weise regelt, wie personenbezogene Daten von Unternehmen und Behörden verwendet werden dürfen. Eine Nichteinhaltung kann zu Geldbußen in Höhe von bis zu 4 % des weltweiten Umsatzes führen. Ein im September im britischen Parlament eingebrachter Gesetzentwurf würde die DSGVO (wird in einem neuen Tab geöffnet) widerspiegeln.
Angesichts der enormen Bedeutung der DSGVO löste diese einen Wettlauf um Marktanteile unter den Technologieanbietern aus, wobei Dienstleister aller Art die unterschiedlichsten Tools vermarkteten, die eine Erleichterung der Compliance-Belastungen versprachen. Das Ausmaß an FUD ( ) rund um die DSGVO (wird in einem neuen Tab geöffnet) ist enorm, und das aus gutem Grund. Die Verordnung wird nicht nur die Art und Weise verändern, wie Unternehmen online Werbung bei Verbrauchern betreiben, sondern auch die Art und Weise, wie sie nach einer Datenschutzverletzung reagieren müssen.
Die DSGVO enthält eine neue, 72-Stunden-Regelung zur Meldung von Datenschutzverletzungen (wird in einem neuen Tab geöffnet), die erheblichen Druck auf den IT-Betrieb und die Cybersicherheitsteams ausübt. Wer die 72-Stunden-Frist nicht einhält, muss mit einer Geldbuße von bis zu 2 % seines weltweiten Umsatzes rechnen. Die Verordnung führt zudem Anforderungen an die Datenlokalisierung ein, von denen jedes Unternehmen betroffen sein wird, das die Cloud nutzt, um in der EU geschäftlich tätig zu sein.
Laut „The National Law Review“ ( ) „ist die Definition einer Datenpanne gemäß der DSGVO weiter gefasst als in den meisten Gesetzen der US-Bundesstaaten.“ Gemäß der DSGVO liegt eine Datenkompromittierung vor, wenn die Vertraulichkeit, Verfügbarkeit und Integrität der Daten beeinträchtigt wird. Dies kann durch alles ausgelöst werden, was – wenn auch nur vorübergehend – die Verfügbarkeit von Daten beeinträchtigt, wie beispielsweise Ransomware oder ein Stromausfall. Ebenso ist die Definition des Begriffs „personenbezogene Daten“ gemäß der DSGVO wesentlich weiter gefasst als nach US-amerikanischem Recht und umfasst alle Informationen, die direkt oder indirekt zur Identifizierung einer natürlichen Person herangezogen werden können, einschließlich IP-Adressen und Netzwerkpasswörter.“
Aus politischer Sicht verdeutlicht die Verordnung grundlegende Unterschiede in der Sichtweise der Behörden in der EU und den Vereinigten Staaten auf den Datenschutz. Unternehmen aus den EU-Mitgliedstaaten betrachten den Datenschutz als ein grundlegendes Menschenrecht, und diese Philosophie dient als Leitprinzip für die Gesetzgebung. In den USA wird bei der Gesetzgebung nicht von der Sichtweise ausgegangen, dass die Privatsphäre ein grundlegendes Menschenrecht ist. Laut der „National Law Review“ (wird in einem neuen Tab geöffnet), „Anstatt grundlegende, übergreifende Datenschutzvorschriften zu schaffen, neigen die USA dazu, Datenschutzgesetze erst dann zu erlassen, wenn ein Bedarf dafür entsteht.“ Datenschutzvorschriften in den USA sind in der Regel branchenspezifisch (HIPAA (wird in einem neuen Tab geöffnet) für das Gesundheitswesen sowie GLBA (wird in einem neuen Tab geöffnet) und FCRA (wird in einem neuen Tab geöffnet) für Finanzdaten) und basieren mitunter eher auf Branchenstandards als auf staatlichen Vorschriften, wie dies beispielsweise bei PCI-DSS (wird in einem neuen Tab geöffnet) im Zahlungskartensektor der Fall ist.
Die Vorbereitung auf die DSGVO bietet IT-Betriebs- und Sicherheitsteams die Gelegenheit, Wege der Zusammenarbeit zu finden und gemeinsam daran zu arbeiten, organisatorische Silos abzubauen. Es ist schwer vorstellbar, dass ein Unternehmen die Anforderungen der DSGVO angemessen erfüllen kann, ohne dass eine konzertierte, unternehmensweite Anstrengung unternommen wird, die nicht nur die IT- und Cybersicherheitsteams einbezieht, sondern auch Mitarbeiter aus den Bereichen Governance, Risiko und Compliance, Recht, Marketing und digitale Betriebsabläufe – unter anderem – zusammenbringt.
Was Sie dagegen tun können:
Zwar sind die Melde- und Abhilfepflichten bei Datenschutzverletzungen die offensichtlichsten Bereiche, in denen die DSGVO das Arbeitsleben von Fachkräften aus den Bereichen Cybersicherheit und IT beeinflussen wird, doch dürfen die strengen Datenschutzanforderungen der Verordnung nicht außer Acht gelassen werden. So heißt es beispielsweise in einem „ “-Sicherheitsbericht von Forrester zur DSGVO (wird in einem neuen Tab geöffnet) , dass Unternehmen gemäß den neuen Vorschriften „den Datenschutz bereits zu Beginn jedes neuen Projekts berücksichtigen und sicherstellen müssen, dass in allen Entwicklungsphasen die richtigen Sicherheitsmaßnahmen getroffen werden“. Dies erfordert eine kontinuierliche Zusammenarbeit zwischen den Teams. Nehmen wir also einmal an, Ihr Unternehmen entwickelt eine neue App. Ihre Sicherheits- und Datenschutzexperten müssen mit dem Marketingteam zusammenarbeiten, um die geschäftlichen Anforderungen und den Entwicklungsplan zu erarbeiten und sicherzustellen, dass diese der neuen Verordnung entsprechen. Ebenso führt die DSGVO neue Vorschriften ein, die regeln, wie personenbezogene Daten zwischen Unternehmen übermittelt werden dürfen. Die Definition des Begriffs „personenbezogene Daten“ wurde erweitert (wird in einem neuen Tab geöffnet) . Nach den neuen Vorschriften umfasst sie direkte Identifikatoren (Name, Ausweisnummer, Wohnadresse), indirekte Identifikatoren (Geburtsdatum, Standort, Anrede) sowie Online-Identifikatoren (IP-Adressen, Social-Media-Konten, E-Mail-Adressen, Kontonummern und Browser-Cookies). Es ist an der Zeit, dass IT- und Cybersicherheitsteams beginnen, zusammenzuarbeiten, um sicherzustellen, dass sie wissen, wo sich all diese Daten im Unternehmen befinden, wie sie genutzt werden und wie sie geschützt werden.
Die Zusammenfassung
Was haben eine erfolgreiche Fehlerbehebung, eine effektive Kommunikation mit Ihrem Vorstand und die Vorbereitung auf neue Vorschriften gemeinsam? Sie alle profitieren von einer engeren Zusammenarbeit zwischen den IT- und Sicherheitsteams. Wenn Sie sich für das Jahr 2018 einen geschäftlichen Vorsatz vornehmen, dann sollte es dieser sein: Arbeiten Sie enger mit Kollegen aus dem gesamten Unternehmen zusammen, um sicherzustellen, dass Sie alles in Ihrer Macht Stehende tun, damit die Cybersicherheit und der IT-Betrieb auf das gemeinsame Ziel hinarbeiten, die Daten Ihres Unternehmens zu schützen und zu sichern.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt ein umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das sich auf die Bereiche Incident Response und Forensik, Schwachstellenanalysen, die Entwicklung von Sicherheitsprogrammen, den Sicherheitsbetrieb sowie Netzwerk- und Sicherheitsarchitektur erstreckt. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.
