Im immer intensiver werdenden Kampf gegen Cyberbedrohungen investieren die meisten Unternehmen mehr Sicherheitsressourcen in Prävention und Erkennung: Angreifer in Schach halten und, falls (äh, wenn) es doch zu einem Sicherheitsvorfall kommt, schneller darauf reagieren. Auch wenn dieser Ansatz durchaus seine Berechtigung hat, gewinnt eine andere Strategie zunehmend an Bedeutung.
Da Angriffe auf das „ “ mittlerweile nahezu unvermeidlich sind, legen immer mehr Vorstände und Führungskräfte größeren Wert darauf, die Folgen abzumildern, um den Betrieb mit minimalen Kosten und Auswirkungen wieder aufzunehmen.
Ausgeklügelte Cyberangriffe – von der Ransomware „ “ ( ) bis hin zu Phishing-Kampagnen () ( ) – bedrohen nicht nur die Informationsressourcen von Unternehmen, sondern vor allem auch deren Betriebskontinuität () und ihren Ruf (). Da Führungskräfte in der Wirtschaft zunehmend unter Druck stehen – sei es durch die Aufsichtsbehörden , oder durch Investoren –, ein wirksames Cyber-Risikomanagement umzusetzen, beginnen viele, das Thema unter dem Gesichtspunkt der Cyber-Resilienz zu betrachten – sie stellen sich der Tatsache, dass Angriffe stattfinden werden, und erstellen einen Plan für die Wiederherstellung, falls es dazu kommt.
Die Idee der Resilienz , deren Ursprünge mindestens bis ins Jahr 2000 zurückreichen , ist in den Jahren nach der Pandemie, die von einer beschleunigten Digitalisierung geprägt sind, zunehmend zu einem Thema ernsthafter Diskussionen in Vorstandsetagen und Führungsetagen geworden. Es räumt die harte Realität ein, dass keine Verteidigung undurchdringlich ist.
Anstatt lediglich zu versuchen, Vorfälle schneller zu erkennen und darauf zu reagieren , bereitet Cyberresilienz Organisationen darauf vor, solche Vorfälle zu überstehen und sich rasch davon zu erholen. Dadurch wird sichergestellt, dass bei Sicherheitsverletzungen deren Auswirkungen auf den Geschäftsbetrieb, den Ruf und die Finanzen auf ein Minimum reduziert werden, sodass Unternehmen ihre Dynamik mit minimalen Beeinträchtigungen aufrechterhalten können.
„Das oberste Ziel einer cyberresilienten Organisation wäre, dass es durch einen Cyberangriff zu keinerlei Störungen kommt – keine Auswirkungen auf den Betrieb, die Finanzen, die Technologien, die Lieferkette oder den Ruf“, sagt Keri Pearlson, Geschäftsführerin des Forschungskonsortiums „Cybersecurity at MIT Sloan“ (CAMS). „Die Vorstandsmitglieder sollten sich fragen: ‚Was wäre erforderlich, damit dies der Fall wäre?‘“
Den Vorstand für Scorecards zur Cyber-Resilienz gewinnen
Aufsichtsbehörden schreiben zunehmend Offenlegungen im Zusammenhang mit dem Cyber-Risikomanagement sowie das Vorhandensein von Cybersicherheitskompetenz in den Vorständen vor. Daher müssen Vorstände ihr Verständnis vertiefen und sich nicht mehr darauf beschränken, Aufgaben an Risikomanagement-Experten zu delegieren, sondern sich aktiv für den Schutz ihrer Unternehmen einsetzen, so Pearlson. Dies beinhaltet eine Treuepflicht gegenüber den Aktionären, Geschäftsrisiken wirksam zu mindern – eine Verantwortung, deren Komplexität angesichts der sich ständig weiterentwickelnden Bedrohungslage im Cyberbereich zunimmt.
„“ Das oberste Ziel einer cyberresilienten Organisation wäre, dass es durch eine Sicherheitsverletzung zu keinerlei Betriebsunterbrechungen kommt... Vorstandsmitglieder sollten sich fragen: „Was wäre erforderlich, damit dies der Fall wäre?“”Keri Pearlson, Geschäftsführerin des Bereichs Cybersicherheit am MIT Sloan (CAMS)
Ein von Pearlson und ihren Kollegen konzipierter Kurs mit dem Titel „Cybersecurity Governance für den Vorstand“ zielt darauf ab, Vorstandsmitgliedern die notwendigen Erkenntnisse zu vermitteln, um sich in diesem komplexen Bereich zurechtzufinden. Dabei wird die entscheidende Rolle des Vorstands bei der Überwachung der Cybersicherheit sowie die strategische Ausrichtung der Cybersicherheitsmaßnahmen auf die übergeordneten Unternehmensziele hervorgehoben.
Allgemeiner betrachtet hat sich die „Cyber-Resilienz-Scorecard“ in den letzten Jahren als zentrales Instrument im Rahmen des Wandels hin zu mehr Resilienz etabliert und dient als umfassendes Rahmenwerk zur Bewertung, Überwachung und Verbesserung der Fähigkeit einer Organisation, Cybervorfälle zu bewältigen.
Die mehrdimensionale Betrachtung von Scorecards zur Cyber-Resilienz
Im Gegensatz zu herkömmlichen Kennzahlen, die sich möglicherweise eng auf die Anzahl der Vorfälle oder die Reaktionszeiten konzentrieren, verfolgt eine Scorecard einen ganzheitlichen Ansatz. Es bewertet Faktoren aus dem gesamten Spektrum der Cyber-Resilienz, von der Robustheit der Schutzmaßnahmen und der Wirksamkeit von Reaktionsprotokollen bis hin zur Bereitschaft zur Wiederherstellung und der Anpassungsfähigkeit an neu auftretende Bedrohungen. Dieser Ansatz bietet einen mehrdimensionalen Überblick über die Cyber-Resilienz einer Organisation und ermöglicht so gezielte Verbesserungen sowie strategische Entscheidungsfindung.
„Der Vorstand ist nicht in der Lage, die richtigen Maßnahmen zu ergreifen oder die richtigen Entscheidungen zu treffen … ohne ausführliche Erläuterungen.“Pearlson vom MIT
Pearlson und ihr Team am MIT entwickelten auf der Grundlage ihrer Erfahrungen in Vorstandssitzungen eine Vorlage für eine Bewertungsmatrix.
„Die Idee mit der Scorecard entstand aus meiner Beobachtung in den Gremien, denen ich angehöre, dass die Vorstandsmitglieder von – erstens – nicht wirklich wissen, wie man über Cybersicherheit spricht“, erklärte Pearlson in einem Exklusivinterview mit Focal Point. „Zweitens wissen die IT-Fachleute v , nicht, wie sie dem Vorstand über Cybersicherheit Bericht erstatten sollen. „Sie berichten über technische und quantitative Aspekte, die für das Management der Cybersicherheit wichtig sind, doch in Wahrheit ist der Vorstand nicht in der Lage, die richtigen Maßnahmen zu ergreifen oder die richtigen Entscheidungen zu treffen … ohne ausführliche Erläuterungen.“
Zu den wichtigsten Branchen, die in den letzten Jahren Scorecards eingeführt haben, zählen das Bank- und Finanzwesen, das Gesundheits, wesen, die IT- und IT-Dienstleistungsbranche, das verarbeitende Gewerbe sowie der E-Commerce. Einige Unternehmen haben diese aufgrund zunehmender regulatorischer Anforderungen oder der Zunahme von Angriffen auf die Lieferkette eingeführt, so Malini Rao, CISO bei DeepLearnCyber.ai, die eine Scorecard für CISOs entwickelt hat.
„Diese Bewertungsbögen bieten einen umfassenden Überblick über potenzielle Schwachstellen“, erklärte sie gegenüber dem Ansprechpartner von „ “,. „Sie können dabei helfen, die Wahrscheinlichkeit und die potenziellen Auswirkungen verschiedener Bedrohungen zu beziffern, sodass Unternehmen ihre Ressourcen und Maßnahmen entsprechend priorisieren können.“
Keine „Einheitslösung“
Es gibt keine „offizielle“ Bewertungsmatrix für Cyberresilienz und keinen festgelegten „richtigen Weg“, dies zu tun. Pearlson entwickelte das Konzept als Rahmenwerk oder Vorlage, doch die Umsetzung ist in gewisser Weise subjektiv. Unternehmen müssen für sich selbst festlegen, was wichtig ist und welche Kennzahlen es wert sind, erfasst und überwacht zu werden.
„Diese Scorecards … können dabei helfen, die Wahrscheinlichkeit und die potenziellen Auswirkungen verschiedener Bedrohungen zu quantifizieren, sodass Unternehmen ihre Ressourcen und Maßnahmen entsprechend priorisieren können.“Malini Rao, CISO, DeepLearnCyber.ai
Nachfolgend finden Sie einige Beispiele für Bewertungsbögen zur Cyber-Resilienz, die von verschiedenen Einrichtungen entwickelt wurden:
- Lockheed Martin: Lockheed Martin stellte im Jahr 2018 sein „ “ Cyber Resiliency Level (CRL)-Rahmenwerk sowie das dazugehörige „ “-Scoreboard vor und veranschaulichte damit einen stärker formalisierten Ansatz zur Messung der Cyberresilienz in diesem Zeitraum. Das „Cyber Resiliency Scoreboard“ des Unternehmens umfasst Instrumente wie einen Fragebogen und ein Dashboard zur Messung des Reifegrades in sechs Kategorien, darunter „Cyberhygiene“ und „Architektur“.
- MIT: Die „ “ Balanced Scorecard für Cyber-Resilienz (BSCR) bietet Einblicke in die finanzielle und operative Leistung, indem sie Informationen über Kernaktivitäten zusammenführt, die andernfalls möglicherweise voneinander isoliert wären.
- USDA: Die „ “ – die Cybersicherheits-Scorecard des US-Landwirtschaftsministeriums (USDA) , die in Zusammenarbeit mit der Farm Service Agency erstellt wurde – basiert auf einem Balanced-Scorecard-Ansatz, der sich am NIST-Rahmenwerk orientiert und den Schwerpunkt auf Bereiche wie Compliance, Schwachstellenmanagement und Reaktion auf Sicherheitsvorfälle legt. Die Ausrichtung am NIST-Rahmenwerk stellt sicher, dass das USDA einen umfassenden, standardisierten Ansatz für die Cybersicherheit verfolgt, der branchenübergreifend anerkannt ist und angewendet wird. Diese Ausrichtung verbessert die Fähigkeit der Organisation, Risiken effektiv zu steuern und zu mindern, und stellt gleichzeitig sicher, dass alle Aspekte der Cybersicherheit – von der Prävention bis zur Reaktion – systematisch berücksichtigt werden.
- Malini Rao: Raos „ “ – CISO Operational Balanced Scorecard – unterscheidet zwischen transformativen und operativen Aspekten und bietet einen dualen Ansatz, um die Cybersicherheit mit den strategischen Unternehmenszielen in Einklang zu bringen. Sie setzt sich für Scorecards ein, da diese den CISOs dabei helfen, „Vertrauen zu gewinnen, indem sie proaktiv Kennzahlen melden …, mit denen Schwachstellen identifiziert und Bereiche mit Verbesserungspotenzial priorisiert werden können.“
[Lesen Sie auch: Was versteht man unter Cyberhygiene? Warum ist das von Bedeutung?]
Zwar gibt es keinen „Einheitsansatz“ für eine Scorecard zur Cyber-Resilienz, doch weisen solche Scorecards in der Regel bestimmte gemeinsame Elemente auf. Unabhängig davon, ob Sie eine bereits vorhandene Scorecard zur Cyber-Resilienz in Betracht ziehen oder eine eigene entwerfen möchten, sollten Sie auf dieses grundlegende Rahmenkonzept achten:
- Risikobewertung: Bewertung potenzieller Cyberrisiken und ihrer Auswirkungen auf die Organisation.
- Sicherheitskontrollen: Überprüfung der Wirksamkeit der umgesetzten Sicherheitsmaßnahmen.
- Reaktion auf Vorfälle: Bewertung der Bereitschaft und der Reaktionsstrategien für potenzielle Cybervorfälle.
- Wiederherstellungsfähigkeit: Messung der Fähigkeit, sich nach einem Cyberangriff mit minimalen Beeinträchtigungen wieder zu erholen.
Erstellen Sie Ihre eigene Scorecard zur Cyber-Resilienz
Befolgen Sie diese wichtigen Schritte, um eine Scorecard zur Cyber-Resilienz zu erstellen, die für Ihre spezifische Situation geeignet ist:
- Bestandsaufnahme und Zielsetzung: Beginnen Sie damit, Ihre aktuelle Cybersicherheitslage zu bewerten und zu definieren, was Cyberresilienz für Ihr Unternehmen bedeutet. Dies könnte die Festlegung von Zielen für Wiederherstellungszeiten, die Minderung der Auswirkungen von Sicherheitsverletzungen oder die Verbesserung der Systemredundanzen umfassen.
- Entwicklung eines Rahmenkonzepts: Entwickeln Sie eine Scorecard, die auf Ihre Ziele im Bereich der Cyber-Resilienz abgestimmt ist. Dies sollte eine Kombination aus quantitativen und qualitativen Kennzahlen umfassen, wie beispielsweise Wiederherstellungszeitziele (Recovery Time Objectives), die „ “-Metrik, Schulungs e der Mitarbeiter, die Häufigkeit von Systemsicherungen sowie die Einbindung der Cybersicherheit in die Geschäftskontinuitätsplanung.
- Regelmäßige Überwachung und Berichterstattung: Richten Sie eine Routine zur Überwachung der Leistung anhand der Kennzahlen der Scorecard ein. Diese Überwachung sollte ein fester Bestandteil des Governance-Prozesses im Bereich der Cybersicherheit sein und mit einer regelmäßigen Berichterstattung an die wichtigsten Interessengruppen, einschließlich des Vorstands, einhergehen.
- Kontinuierliche Verbesserung: Nutzen Sie die aus der Scorecard gewonnenen Erkenntnisse, um die kontinuierliche Verbesserung Ihrer Strategien zur Cyber-Resilienz im Bereich „ “ voranzutreiben. Dies könnte die Anpassung von Richtlinien zur Cybersicherheit, Investitionen in neue Technologien oder die Verbesserung von Schulungsprogrammen für Mitarbeiter umfassen.
- Einbindung und Aufsicht durch den Vorstand: Stellen Sie sicher, dass der Vorstand aktiv an der Überwachung der Umsetzung der Scorecard beteiligt ist. Ihre strategische Weitsicht und ihr Überblick werden entscheidend dazu beitragen, die Maßnahmen zur Cyber-Resilienz auf die übergeordneten Unternehmensziele abzustimmen.
Indem sie der Cyber-Resilienz Priorität einräumen und Instrumente wie eine Scorecard einsetzen, können Unternehmen nicht nur die Auswirkungen von Cybervorfällen abmildern, sondern auch ihre Wettbewerbsfähigkeit und Nachhaltigkeit stärken. Rao empfiehlt den Einsatz von (KI- ) und (Automatisierungs ), um die Berichterstattung zur Cyber-Resilienz zu verbessern, beispielsweise durch die Erstellung wöchentlicher und monatlicher Scorecards. Und vergessen Sie nicht Ihre „ “-Lieferkette, betont sie: Unternehmen sollten ihre externen Partner dazu anhalten, ebenfalls Kennzahlen aus der Scorecard zu melden.
