Fragt man die meisten IT-Sicherheitsexperten, so lauern überall Risiken. Unpatchte Endgeräte, neue Malware-Varianten, Phishing-Angriffe vom Typ „ “, Cloud-Dienste der Schatten-IT, auf Parkbänken zurückgelassene Laptops – die Liste ließe sich fortsetzen.
Mindestens ein- bis zweimal im Jahr wird das Risikomanagementteam Ihres Unternehmens aufgefordert, die Risiken in Ihrem gesamten Unternehmen so zu erfassen und darzustellen, dass die Ergebnisse für die Geschäftsleitung und den Vorstand aussagekräftig sind.
Angesichts der Vielzahl technischer Details, die zu Risiken beitragen, fragt sich Ihr Team möglicherweise, wie es diese wichtige und weitreichende Aufgabe angehen soll. Das Sicherheitsteam Ihres Unternehmens sollte bereits Malware-Varianten nachverfolgen und ermitteln, welche Systeme neue Patches benötigen. Aber sind das die Zahlen, die für Ihre Geschäftsleitung und Ihren Vorstand von Bedeutung sind? Wenn diese Zahlen von Quartal zu Quartal schwanken, leistet Ihr Team dann gute Arbeit? Wenn Sie das glauben, wird der Vorstand dann auch dieser Ansicht sein?
Die eigentliche Frage lautet vielmehr: Wie lässt sich Risiko so messen, dass dies den Führungskräften Ihres Unternehmens weiterhilft? Oder, um es anders auszudrücken: Wie messen Sie Risiken, damit die Führungskräfte Ihres Unternehmens zunächst verstehen, was an den Risiken relevant ist, und anschließend die richtigen Entscheidungen treffen können, um diese zu mindern?
In diesem Beitrag stelle ich bewährte Verfahren zur Risikobewertung vor, die für die Unternehmensleitung aussagekräftig sind. Dort werden wir ansetzen – an der Spitze der Organisation und bei den Zielen, die die Führungskräfte Ihrer Organisation als besonders dringlich eingestuft haben.
Die Risiken messen, die für Ihre Führungskräfte von Bedeutung sind
Lassen wir das Thema Risiko für einen Moment beiseite und sprechen wir stattdessen über die Arbeit der Geschäftsführung und des Vorstands. Sie sind dafür verantwortlich, die strategische Ausrichtung Ihrer Organisation festzulegen. Dazu gehört auch, sicherzustellen, dass Entscheidungen und Investitionen auf den unteren Führungsebenen die übergeordnete Strategie Ihres Unternehmens unterstützen.
Unabhängig davon, in welcher Branche Sie tätig sind, werden diese übergeordneten Ziele mit ziemlicher Sicherheit Folgendes umfassen:
- Geschäftskontinuität
- Vertraulichkeit, Integrität und Verfügbarkeit von Daten (Data CIA)
- Einhaltung gesetzlicher Bestimmungen
Betrachten wir jeden Punkt der Reihe nach.
Messung der mit der Geschäftskontinuität verbundenen Risiken
Geschäftskontinuität bedeutet, den Betrieb aufrechtzuerhalten, die Produktivität der Mitarbeiter zu gewährleisten, die Fertigungs- und Versandabläufe (sofern zutreffend) reibungslos am Laufen zu halten und sicherzustellen, dass alle anderen Betriebsabläufe – sei es nun die Ölförderung oder die Bereitstellung eines SaaS-Produkts – unter allen Umständen weiterlaufen.
Zu dieser Kategorie gehört auch die Notfallwiederherstellung. Dazu gehört auch, sicherzustellen, dass geschäftskritische IT-Dienste über ausreichende Kapazitäten verfügen, um alle Nutzer – darunter Mitarbeiter, Kunden und Partner – zu unterstützen.
Geschäftskontinuität bedeutet auch, dass diese Dienste Sicherheitsbedrohungen wie DDoS-Angriffen (öffnet in einem neuen Tab) standhalten und dass Fehlkonfigurationen oder andere Fehler im IT-Management die Mitarbeiter niemals vom Zugriff auf die von ihnen benötigten Anwendungen und IT-Ressourcen ausschließen werden.
Bewertung der Risiken im Zusammenhang mit der Vertraulichkeit, Integrität und Verfügbarkeit von Daten
In jeder Branche ist man sich der Bedeutung von Daten bewusst – sie gelten als das „neue Öl (öffnet in einem neuen Tab)“ der digitalen Wirtschaft – ebenso wie der Dringlichkeit, diese Daten zu schützen. Unternehmen haben schon immer bestimmte Maßnahmen ergriffen, um die Vertraulichkeit von Daten zu wahren und sicherzustellen, dass diese nur autorisierten Benutzern zugänglich sind.
Die Herausforderung, Daten zu schützen, hat jedoch zugenommen. Zum einen wird heute von mehr Standorten aus als je zuvor auf sensible Daten zugegriffen. Dies ist zum Teil auf die im Homeoffice tätigen Mitarbeiter zurückzuführen, die zunehmend ihre eigenen Geräte (BYOD) nutzen, anstatt auf Laptops und Desktop-Computer zurückzugreifen, die von ihrer IT-Abteilung getestet und bereitgestellt wurden.
Der Sicherheitsstatus dieser Endgeräte lässt sich nur schwer überwachen, da die von den meisten Unternehmen eingesetzten Sicherheitstools in erster Linie für den Einsatz mit Endgeräten in einem lokalen Netzwerk konzipiert wurden.
Zudem setzen Unternehmen auf strategische Weise auf neue Art und Weise auf Daten. Dazu gehört die Entwicklung neuer Produkte und Dienstleistungen durch die Verknüpfung interner und externer Daten. Dies spiegelt sich im Aufstieg eines neuen Mitglieds der Führungsriege wider, des Chief Data Officer (CDO), was die wachsende Bedeutung von Daten für die Ausrichtung des Unternehmens und dessen finanzielle Lage unterstreicht.
So oder so muss jedes Unternehmen in jeder Branche die Vertraulichkeit, Integrität und Verfügbarkeit von Daten gewährleisten (wird in einem neuen Tab geöffnet) (oder, wie es in einigen IT-Kreisen genannt wird, „Daten-CIA“).
Messung des mit der Einhaltung gesetzlicher Vorschriften verbundenen Risikos
Wenn wir über Datenschutz nachdenken, fallen uns natürlich Vorschriften wie die (DSGVO) (wird in einem neuen Tab geöffnet) sowie die (HIPAA) (wird in einem neuen Tab geöffnet) ein, die beide den Schutz personenbezogener Daten vorschreiben.
Es gibt jedoch noch weitere Vorschriften, die alle Bereiche abdecken, von der Finanzberichterstattung bis hin zur Diskriminierung aufgrund der ethnischen Herkunft. Es handelt sich um Vorschriften, deren Nichteinhaltung sich keine Organisation leisten kann. Die Nichteinhaltung der Vorschriften kann zu hohen Geldstrafen, Vertragskündigungen und einem jahrelangen Imageschaden führen.
Beispielsweise ergab eine britische Studie (wird in einem neuen Tab geöffnet) , dass sich die kumulierten Verluste infolge einer aufsichtsrechtlichen Sanktion auf das Neunfache der eigentlichen Geldbuße beliefen. Nur wenige Unternehmen würden wissentlich ein Risiko dieser Größenordnung eingehen.
Um das Compliance-Risiko effektiv zu messen, müssen Sie wissen, welche Vorschriften für Ihr Unternehmen von Bedeutung sind. Anschließend müssen Sie die IT-Ressourcen und -Prozesse erfassen, anhand derer sich feststellen lässt, ob Ihr Unternehmen die Anforderungen erfüllt.
Risiken im Kontext strategischer Ziele betrachten
Um die Aufmerksamkeit der Führungskräfte Ihres Unternehmens zu gewinnen, sollten Sie Ihre Ausführungen zu Risiken und Risikomessungen im Zusammenhang mit deren wichtigsten strategischen Zielen darstellen.
Schließlich ist es ihre Aufgabe, sicherzustellen, dass Ihr Unternehmen seine Kernziele in Bezug auf Geschäftskontinuität, Datenschutz und die Einhaltung gesetzlicher Vorschriften erreicht. Natürlich können sie das Unternehmen auch dazu führen, andere Ziele zu erreichen, wie beispielsweise ein jährliches Umsatzwachstum oder die Unternehmenskultur.
Und wenn diese Führungskräfte zusammenkommen, sind es genau diese Ziele, die sie im Blick haben. Deshalb ist es so wichtig, dass Sie Ihre IT-Risiken im Kontext der Unternehmensstrategie betrachten.
Fazit
Zu Beginn dieses Beitrags habe ich darauf hingewiesen, dass Risiken allgegenwärtig sind. Wenn Sie sich jedoch auf die strategischen Ziele Ihres Unternehmens konzentrieren, müssen Sie keine Zeit damit verbringen, jede nur erdenkliche Kennzahl zur IT-Sicherheit oder zur Compliance zu erfassen. Stattdessen können Sie sich darauf konzentrieren, Kennzahlen zu erfassen, die etwaige Risiken für die Erreichung der übergeordneten Ziele Ihres Unternehmens widerspiegeln.
In künftigen Blogbeiträgen dieser Reihe werden die Risikoexperten von Tanium näher darauf eingehen, wie Sie Risiken messen und der Unternehmensleitung darüber Bericht erstatten können.
Vorerst können Sie jedoch aufatmen. Sie müssen keine umfangreiche Sammlung von Tabellenkalkulationen anlegen, in denen jede nur erdenkliche Sicherheits- und Compliance-Kennzahl aus all Ihren IT-Systemen und betrieblichen Prozessen erfasst wird.
Stattdessen verfügen Sie nun bei der Risikobewertung über eine nach Prioritäten geordnete Liste von Zielen, von der Sie ausgehen können. Sie haben noch einiges zu tun, aber nun sind Sie zielgerichtet. Und Ihre Berichte werden von den Führungskräften, die die Ausrichtung Ihrer Organisation bestimmen, mit größerer Wahrscheinlichkeit verstanden.
Erfahren Sie mehr darüber, wie Tanium Ihnen dabei helfen kann, die Datentransparenz zu verbessern und Risiken zu minimieren. (wird in einem neuen Tab geöffnet)
