Welche Kennzahlen benötigen CISOs?
Diese Frage wird mir täglich gestellt, wenn ich mich mit CISOs und CIOs einiger der weltweit bekanntesten Unternehmen aus den Bereichen Finanzwesen, Einzelhandel, Luft- und Raumfahrt, Medien, Telekommunikation, Beratung und vielen anderen Branchen treffe. Wo auch immer uns unser Gespräch hinführt, geht es im Grunde genommen um Vertrauen. Sind die Daten aktuell, vollständig und im Kontext der Organisation zu betrachten, und berichten meine Kollegen aus den Bereichen Risikomanagement, Compliance und Betrieb Ähnliches? Falls dies nicht der Fall ist, sollten sie sich dann nicht gegenseitig austauschen? Und wie kam es dazu, dass wir weniger als 100 Prozent als „akzeptablen“ Maßstab für irgendetwas angesehen haben – sei es die Einhaltung von Patch-Vorgaben oder eine andere kritische IT-Funktion?
Ich habe vielen dieser CIOs und CISOs sowie IT-Leitern und anderen Führungskräften in verwandten Funktionen, die mit der allgemeinen IT-Leistung zu tun haben, den Bericht „ : Tanium’s 2019 Resilience Gap Study“ ( ) vorgestellt. CIOs und CISOs stehen häufig vor der Herausforderung, zwei zentrale geschäftliche Anforderungen in Einklang zu bringen: die Systemverfügbarkeit (Uptime) und wirksame Sicherheit (Patch-Management). Wie die Studie „Resilience Gap“ deutlich macht, rückt Letzteres aufgrund seit langem bestehender Bedenken hinsichtlich der Wirksamkeit des Einsatzes, der Abdeckung und einer angemessenen Berichterstattung häufig in der Prioritätenliste nach hinten.
Ich teile diese Daten den CISOs mit, und sie nicken, manchmal mit einem Seufzer. Ein CISO erzählte mir kürzlich, dass sein Team eine Compliance-Quote von 95 % bei allen Endgeräten gemeldet habe, und ich bat ihn, zu erläutern, was dies bedeute. Dies sei die Kennzahl, die er seinem CIO zur Verfügung stelle, sagte er; dieser nehme sie in seine regelmäßigen Berichte an den CFO, den CEO und den Vorstand auf. Der CISO hatte jedoch keine genaue Möglichkeit zu ermitteln, auf wie viele Endgeräte – verwaltete oder nicht verwaltete – sich diese 95 % bezogen, abgesehen von einer relativen Schätzung. Es fällt mir schwer, dies zuzugeben, doch es kommt täglich vor. Die Studie von Tanium kommt zu dem Ergebnis, dass mehr als 80 % der CIOs und CISOs aufgrund von Bedenken hinsichtlich der Auswirkungen auf den Geschäftsbetrieb davon abgesehen haben, ein wichtiges Sicherheitsupdate oder einen Patch zu installieren – in manchen Fällen sogar mehr als einmal.
Wie können wir unser Risiko steuern, wenn wir nicht wissen, wie hoch unser Risiko ist?
Es ist ja nicht so, als würden wir uns dem Fortschritt widersetzen. Wir haben unsere CISOs und technischen Leiter gebeten, über die herkömmlichen Aufgaben ihres Amtes hinauszudenken. Sie müssen zwar die IT-Infrastruktur verwalten, doch sie sollten ihr Wissen und ihre Fachkompetenz auch dazu nutzen, die digitale Transformation voranzutreiben, die allgemeine Sicherheit und Widerstandsfähigkeit der Organisation zu stärken und die IT zu einem Wegbereiter statt zu einer Kostenstelle zu machen – alles Dinge, von denen wir schon seit Jahren hören. Wir betrachten jedoch Betriebsabläufe und Cybersicherheit in erster Linie unter dem Gesichtspunkt der physischen oder technischen Architektur und nehmen gewisse Einschränkungen hinsichtlich der Transparenz und Kontrolle in Kauf. Das trägt nicht dazu bei, dass wir ein besseres Geschäftsgespräch führen können. Wie können wir unser Risiko steuern, wenn wir nicht wissen, wie hoch unser Risiko ist?
Hier ist ein typisches Szenario, das sich in Führungskräftesitzungen immer wieder abspielt – in dieser Woche jedoch ganz besonders angesichts der Nachrichten rund um „ CVE-2019-0708“, den „wormfähigen“ Windows-Fehler.
- Der CISO wird hinzugezogen und gefragt, ob das Unternehmen gegenüber CVE-2019-0708 anfällig ist. Der CISO verspricht, einen Scan durchzuführen, weiß jedoch, dass dies angesichts der veralteten Technologie Wochen dauern könnte.
- Sollte eine Sicherheitslücke vorliegen, wird der CISO gefragt, wie lange es dauern wird, die erforderlichen Patches zu installieren. Der CISO erinnert sich, dass es beim letzten „Break-Glass“-Sicherheitsvorfall 20 Tage dauerte, bis eine Patch-Bereitstellung von 95 % erreicht war; allerdings könnte die Zahl eher bei 75 % liegen, da das Team nicht genau weiß, wie viele Endgeräte tatsächlich vorhanden sind.
- Unter diesen Endgeräten wäre es für den CISO und für das Unternehmen von Nutzen zu wissen, wie viele mit Windows 8 oder 10 laufen und daher von CV-2019-0708 nicht betroffen sind. Diese Daten lassen sich leider nicht ohne Weiteres finden.
All dies sind Fragen der Transparenz und der Kontrolle über die IT-Infrastruktur. Angesichts von Cloud, digitaler Transformation, Compliance, Sicherheit und all den anderen Themen, die die Zeit eines IT-Führungskräften in Anspruch nehmen, ist es nicht sinnvoll, von allen zu verlangen, „zu den Grundlagen zurückzukehren“ – die Aufgaben des CIO und des CISO sind schlichtweg nicht mehr dieselben wie vor 20, 10 oder sogar vor fünf Jahren. Wenn jedoch 94 % der CIOs und CISOs zugeben, dass sie Abstriche bei der Wirksamkeit des Schutzes ihrer Organisationen vor Störungen machen müssen, benötigen wir einen umfassenden Überblick über unsere IT-Infrastruktur, Daten, auf deren Grundlage wir fundierte Entscheidungen treffen können, sowie die Fähigkeit, unverzüglich Abhilfemaßnahmen zu ergreifen, Patches zu installieren und weitere Maßnahmen durchzuführen.
Die Aufgaben des CISO und des CIO werden einfacher – und die Risiken des Unternehmens lassen sich besser bewältigen –, wenn wir auf die Grundlagen bestehen. Nichts ist für eine widerstandsfähige IT-Infrastruktur von grundlegenderer Bedeutung als umfassende Transparenz und Kontrolle. Wir geben weitaus mehr auf, als uns bewusst ist, wenn wir uns mit eingeschränkter Sichtbarkeit abfinden.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
