Wenn Sie die meisten IT-Sicherheitsexperten fragen, ist das Risiko überall. Es besteht ein Risiko bei ungepatchten Endpunkten, neuen Malware-Varianten, Phishing-Angriffen, Schatten-IT-Cloud-Diensten, Laptops, die auf Parkbänken verbleiben – die Liste geht weiter.
Das Risikomanagementteam Ihres Unternehmens wird mindestens einmal oder zweimal im Jahr gebeten, das Risiko in Ihrer gesamten Organisation auf eine Weise zu messen und zu melden, die für das Führungsteam und den Vorstand von Bedeutung ist.
Da so viele technische Details zum Risiko beitragen, könnte sich Ihr Team fragen, wie es an diese wichtige und weitreichende Arbeit herangehen sollte. Das Sicherheitsteam Ihres Unternehmens sollte bereits Malware-Varianten verfolgen und bestimmen, welche Systeme neue Patches benötigen. Aber sind das die Zahlen, die Ihrem Führungsteam und Ihrem Vorstand wichtig sind? Wenn diese Zahlen von Quartal zu Quartal steigen und sinken, macht Ihr Team gute Arbeit? Wenn Sie denken, wird der Vorstand das auch denken?
Stattdessen lautet die eigentliche Frage: Wie messen Sie Risiken auf eine Weise, die den Führungskräften Ihres Unternehmens helfen kann? Oder anders ausgedrückt: Wie messen Sie das Risiko, damit die Führungskräfte Ihres Unternehmens zuerst verstehen, was für das Risiko relevant ist, und dann die richtigen Entscheidungen treffen, um es zu reduzieren?
In diesem Beitrag teile ich Best Practices zur Risikomessung auf eine Weise, die für die Spitze bedeutsam ist. Hier beginnen wir – ganz oben in der Organisation, und die Ziele, die die Führungskräfte Ihrer Organisation entschieden haben, sind am dringendsten.
Messung der Risiken, die für Ihre Führungskräfte wichtig sind
Lassen Sie uns ein Risiko für einen Moment beiseitelegen und stattdessen über die Arbeit des Führungsteams und des Vorstands sprechen. Sie sind dafür verantwortlich, die strategische Ausrichtung Ihres Unternehmens festzulegen. Dazu gehört auch die Sicherstellung, dass Entscheidungen und Investitionen auf niedrigeren Managementebenen die übergeordnete Strategie Ihres Unternehmens unterstützen.
Unabhängig davon, in welchem Unternehmen Sie tätig sind, umfassen diese übergeordneten Ziele mit Sicherheit:
- Geschäftskontinuität
- Datenvertraulichkeit, Integrität und Verfügbarkeit (Daten CIA)
- Einhaltung gesetzlicher Bestimmungen
Betrachten wir die einzelnen nacheinander.
Messung des mit der Geschäftskontinuität verbundenen Risikos
Business Continuity bedeutet, dass die Beleuchtung eingeschaltet bleibt, die Mitarbeiter produktiv bleiben, der Fertigungs- und Versandbetrieb (falls relevant) weiterlaufen und sichergestellt wird, dass alle anderen Arten von Betrieben – ob es sich um das Pumpen von Öl oder die Bereitstellung eines SaaS-Produkts handelt – weiterhin funktionieren, egal was passiert.
Diese Kategorie umfasst Disaster Recovery. Sie umfasst auch die Sicherstellung, dass geschäftskritische IT-Services über genügend Kapazität verfügen, um alle Benutzer zu unterstützen, einschließlich Mitarbeiter, Kunden und Partner.
Business Continuity bedeutet auch, dass diese Dienste Sicherheitsbedrohungen wie DDoS-Angriffen (Öffnungen in einer neuen Registerkarte) standhalten können, und dass Fehlkonfigurationen oder andere IT-Managementfehler Mitarbeiter niemals von den Anwendungen und IT-Ressourcen ausschließen, die sie benötigen.
Messung des Risikos im Zusammenhang mit Datenvertraulichkeit, Integrität und Verfügbarkeit
In jeder Branche erkennen die Menschen die Bedeutung von Daten – es ist das „neue Öl (öffnet sich in einer neuen Registerkarte)“ der digitalen Wirtschaft – sowie die Dringlichkeit, sie zu schützen. Organisationen haben immer einige Maßnahmen ergriffen, um Daten vertraulich zu behandeln und sicherzustellen, dass sie nur autorisierten Benutzern zur Verfügung stehen.
Aber die Herausforderung, Daten sicher zu halten, hat zugenommen. Zum einen werden sensible Daten jetzt von mehr Standorten als je zuvor abgerufen. Das liegt zum Teil an der Home-Work-from-Home (WFH)-Belegschaft, die zunehmend BYOD (Bring-Your-Own-Devices) statt Laptops und Desktops verwendet, die von ihrer IT-Abteilung getestet und bereitgestellt werden.
Der Sicherheitsstatus dieser Endpunkte ist schwierig zu überwachen, da die Sicherheitstools, die die meisten Organisationen verwenden, hauptsächlich mit Endpunkten in einem lokalen Netzwerk arbeiten.
Auch Unternehmen verlassen sich auf neue Weise strategisch auf Daten. Dazu gehört die Erstellung neuer Produkte und Dienstleistungen durch die Kombination interner und externer Daten. Dies spiegelt sich im Aufstieg eines neuen Vorstandsmitglieds wider, dem Chief Data Officer (CDO), das die wachsende Bedeutung von Daten für die organisatorische Ausrichtung und die finanzielle Position bestätigt.
Auf die eine oder andere Weise muss jede Organisation in jeder Branche die Datenvertraulichkeit, Integrität und Verfügbarkeit (öffnet sich in einer neuen Registerkarte) sicherstellen (oder, wie in einigen IT-Kreisen bekannt, „Daten-CIA“).
Messung des mit der Einhaltung gesetzlicher Vorschriften verbundenen Risikos
Wenn wir an den Datenschutz denken, denken wir natürlich an Vorschriften wie DSGVO (öffnet sich in einer neuen Registerkarte) und HIPAA (öffnet sich in einer neuen Registerkarte), die beide den Schutz personenbezogener Daten vorschreiben.
Aber es gibt auch andere Vorschriften und sie decken alles ab, von der Finanzberichterstattung bis zur Rassendiskriminierung. Es handelt sich um Vorschriften, die sich keine Organisation leisten kann. Die Nichteinhaltung kann zu hohen Bußgeldern, Vertragsstornierungen und schlechter Publizität führen, die Jahre anhält.
Eine britische Studie (öffnet sich in einer neuen Registerkarte) ergab beispielsweise, dass die kumulativen Verluste, die sich aus einer regulatorischen Strafe ergeben, neun Mal der regulatorischen Strafe selbst entsprachen. Nur wenige Unternehmen würden wissentlich dieses Größenrisiko übernehmen.
Um das Compliance-Risiko effektiv zu messen, müssen Sie wissen, welche Vorschriften für Ihr Unternehmen wichtig sind. Dann müssen Sie die IT-Assets und -Prozesse verfolgen, die dabei helfen können, festzustellen, ob Ihr Unternehmen die Vorschriften einhält.
Risikostreuung mit strategischen Zielen
Um die Aufmerksamkeit der Führungskräfte Ihrer Organisation zu erhalten, leiten Sie Ihre Diskussion über Risiko- und Risikomessungen in Bezug auf ihre wichtigsten strategischen Ziele.
Schließlich ist es ihre Aufgabe, sicherzustellen, dass Ihre Organisation ihre Kernziele in Bezug auf Geschäftskontinuität, Datenschutz und regulatorische Compliance erreicht. Natürlich können sie das Unternehmen auch dazu führen, andere Ziele zu erreichen, wie z. B. das jährliche Umsatzwachstum oder die Unternehmenskultur.
Und wenn sich diese Führungskräfte treffen, sind es diese Ziele, über die sie nachdenken. Deshalb ist es so wichtig, dass Sie Ihre IT-Risiken im Kontext der Unternehmensstrategie formulieren.
Untere Zeile
Ich habe diesen Beitrag damit begonnen, dass das Risiko überall ist. Wenn Sie sich jedoch auf die strategischen Ziele Ihrer Organisation konzentrieren, müssen Sie keine Zeit damit verbringen, jede mögliche IT-Sicherheits- oder Compliance-Metrik zu katalogisieren. Stattdessen können Sie sich auf die Messung von Metriken konzentrieren, die jedes Risiko für Ihr Unternehmen widerspiegeln, um seine übergeordneten Ziele zu erreichen.
In zukünftigen Blogbeiträgen in dieser Serie werden die Tanium-Risikoexperten mehr darüber erfahren, wie Sie Risiken messen und an die Führung Ihres Unternehmens melden können.
Für den Moment können Sie jedoch einen Seufzer der Erleichterung atmen. Sie müssen keine große Sammlung von Tabellenkalkulationen erstellen, die jede mögliche Sicherheits- und Compliance-Metrik aus all Ihren IT-Systemen und betrieblichen Prozessen verfolgen.
Stattdessen haben Sie bei der Risikomessung jetzt eine priorisierte Liste von Zielen, von denen Sie beginnen können. Sie müssen noch arbeiten, aber jetzt ist es fokussiert. Und Ihre Berichte werden mit größerer Wahrscheinlichkeit von den Führungskräften verstanden, die den Kurs Ihrer Organisation festlegen.
Erfahren Sie mehr darüber, wie Tanium Ihnen helfen kann, die Datentransparenz zu verbessern und Risiken zu reduzieren. (öffnet sich in einer neuen Registerkarte)
