Seit Inkrafttreten der neuen Offenlegungsvorschriften der SEC zur Cybersicherheit gemäß dem „ “ ( ) im vergangenen Dezember haben Hewlett-Packard, Microsoft, UnitedHealth Group und andere große börsennotierte Unternehmen entsprechende Angaben gemacht, um den Anforderungen nachzukommen – das heißt, sie kamen zu dem Schluss, dass bestimmte Vorfälle für einen „vernünftigen Anleger“ von wesentlicher Bedeutung waren und sowohl quantitativ als auch qualitativ erhebliche Auswirkungen hatten.
Die neuen SEC-Vorschriften betonen, wie wichtig es ist, diese Auswirkungen detailliert darzulegen, fordern eine klare Rechenschaftspflicht und geben – sobald Meldungen über Sicherheitsvorfälle eingehen – einen Einblick in die Prozesse und Praktiken der Unternehmen im Bereich des Cybersicherheits-Risikomanagements, sodass diese für alle sichtbar werden.
Sie spielen eine wesentliche Rolle bei der jüngsten Welle verstärkter Kontrollen und Regulierungsmaßnahmen , die Unternehmen dazu zwingen, ihre Cyber-Governance auf Vordermann zu bringen.
Hier kommt Jim Mirochnik ins Spiel, Seniorpartner und CEO der Informationssicherheitsberatung „ “ (Halock Security Labs,), der in seinem Vortrag auf der RSA-Konferenz nächste Woche unter dem Titel „: Techniken zur Weiterentwicklung der Risikosteuerung und zur Einhaltung der Cybersicherheitsvorschrift der SEC ()“ Strategien und Leitlinien vorstellen wird.
Er wird erläutern, was unter einer „klaren Grenze für akzeptables Risiko“ zu verstehen ist, wie sich das gesamte bekannte Risiko definieren lässt und wie Unternehmen einen Fahrplan erstellen sollten, um Cybersicherheitsrisiken auf ein akzeptables Maß zu reduzieren. (The session takes place Tuesday, 7. Mai, at 16:15 ET / 13:15 PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
, Redakteur bei „Focal Point“, sprach mit Mirochnik, um einen Einblick in seinen Vortrag zu erhalten und mehr über bewährte Verfahren im Bereich der Cybersicherheits-Risikosteuerung und Compliance zu erfahren.
(Dieses Interview wurde zur besseren Verständlichkeit und Kürze bearbeitet.)
Die zunehmende Bedeutung von Governance hat einen tiefgreifenden Paradigmenwechsel in den Praktiken des Cyber-Risikomanagements erzwungen. Was sind die wesentlichen Unterschiede zwischen der alten und der neuen Vorgehensweise?
Wir haben beobachtet, dass PCI DSS [der Payment Card Industry Data Security Standard, der Kreditkartendaten schützt] eine verstärkte Governance erfordert. Wir haben uns „ : NIST CSF 2,0“ () angesehen, [das überarbeitete Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology], das im August des vergangenen Jahres veröffentlicht wurde. Wir haben festgestellt, dass diese Cybersicherheitsvorschrift der SEC nun eine verstärkte Unternehmensführung erfordert. Die Frage lautet also: Alle fordern mehr Governance, aber was bedeutet das eigentlich? Was verlangen sie eigentlich wirklich von uns?
„. Die Frage ist: Sie alle fordern mehr Regulierung, aber was bedeutet das eigentlich? Was verlangen sie eigentlich wirklich von uns?”
In meinem Vortrag auf der RSA-Konferenz werde ich dies folgendermaßen darlegen: Was wir bisher getan haben, war im Grunde die alte Vorgehensweise, die als „Governance 1,0“ bezeichnet wird. Nun kommen wir zu einer neuen Anforderung, die wir „Governance 2,0“ nennen. Betrachtet man ein einfaches Paradigma aus den Bereichen „Menschen“, „Prozesse“ und „Technologie“ im Rahmen von 1,0, so gab es auf der Seite der „Menschen“ keine individuelle Verantwortlichkeit. Und die Menschen wurden in fachlicher Sprache informiert. Im Kurs „Governance 2,0“ wird gefordert, dass eine klare Rechenschaftspflicht und Verantwortlichkeit bis hin zum Vorstand gewährleistet sind und dass die Informationen in einer für die Wirtschaft verständlichen Sprache vermittelt werden.
Wir stellen Ihnen fünf Maßnahmen vor, die umgesetzt werden können. Dabei handelt es sich um Möglichkeiten, die rechtliche Absicherung zu gewährleisten, eine klare Grenze für akzeptable Risiken festzulegen, Ihre bekannten Risiken zu verstehen, einen Fahrplan vorlegen zu können, der aufzeigt, wie Sie ein akzeptables Risikoniveau erreichen, sowie die Berichterstattung an die Geschäftsleitung. Wenn Sie diese fünf Kompetenzen beherrschen, verbessert sich Ihre Governance von 1,0 auf 2,0.
Wir stellen nun nicht nur dar, um welche Dinge es sich dabei handelt, sondern bieten auch Vorlagen an, die Unternehmen nutzen können. Selbstverständlich können sie sich eine Demo einer Anwendung ansehen, die all diese Funktionen von Haus aus bietet, oder sie können die Vorlagen kostenlos nutzen.
Was ist die Cybersicherheitsverordnung der SEC und welche Auswirkungen wird sie auf Unternehmen hinsichtlich der Einhaltung der Vorschriften haben? Gilt dies ausschließlich für Aktiengesellschaften?
Die offizielle Bezeichnung lautet „Strategie zum Management von Cybersicherheitsrisiken, Governance und Offenlegung von Vorfällen“ und gilt für die Offenlegungsberichte der SEC für Anleger. Dies erfordert Rechenschaftspflicht, Transparenz und Kommunikation mit der Geschäftsführung sowie dem Vorstand börsennotierter Unternehmen hinsichtlich ihrer Cybersicherheitsrisiken und -vorfälle.
Sie verlangen von dem Unternehmen, seine Strategie so klar und detailliert darzulegen, dass „ein vernünftiger Anleger sie nachvollziehen kann“. Sie erfordern, dass die Geschäftsleitung über Risiken und Vorfälle informiert wird. Ihr Vorstand muss Entscheidungen über Investitionen treffen und eine Überwachung von Risiken und Vorfällen gewährleisten. Nun, wissen Sie was – damit sie eine Aufsicht ausüben können, müssen sie verstehen, was Sie ihnen mitteilen. Man kann nichts verwalten, was man nicht versteht. In unserer Branche gibt es ein chronisches Problem: Die Abteilung für Informationssicherheit muss sich an den Vorstand wenden, um die Genehmigung einzuholen und die aktuelle Lage zu erläutern. Aber sie sprechen nicht dieselben Sprachen.
Welche Tipps gibt es für Unternehmen zur Einhaltung der Cybersicherheitsvorschrift der SEC?
Ganz gleich, ob es sich um die Formulare 8-K, 10-K oder 20-F handelt: Arbeiten Sie mit jemandem zusammen, der Ihnen dabei helfen kann, Ihre Offenlegungsberichte korrekt zu verfassen, damit Ihre Aussagen Ihre tatsächlichen Handlungen genau widerspiegeln. Denn wenn Sie dies öffentlich machen, spiegelt dies wider, wie Sie den Sicherheitsbereich handhaben.
„Ihr Vorstand muss … die Aufsicht über Risiken und Vorfälle wahrnehmen. Nun, wissen Sie was – damit sie eine Kontrollfunktion ausüben können, müssen sie verstehen, was Sie ihnen mitteilen.”
Der zweite Schritt besteht darin, sich wirklich bewusst zu machen, dass die Steuerung und das Management von Sicherheit nach den Grundsätzen der „Governance 2,0 “ erfolgen müssen. Das bedeutet, dass Sicherheitsmanagement kein Projekt ist: Wenn Sie einmal im Jahr lediglich eine Liste mit Projekten erstellen, alle Beteiligten damit loslegen lassen und diese Liste dann bis zum nächsten Jahr nicht mehr betrachten, ist das kein Risikomanagement. Das ist keine Sicherheits-Governance. Sie sollten über ein Risikoregister verfügen, das in einer datenbankgestützten Anwendung gespeichert ist, und sobald neue Informationen eingehen – beispielsweise die Ergebnisse eines Penetrationstests –, werden diese priorisiert. Sobald Vorfälle auftreten, werden diese Risiken nach Priorität geordnet. Es ist ein fortlaufender Prozess.
Sicherheit als Prozess zu betreiben, bedeutet Governance. Wenn also das Risikoregister kontinuierlich aktualisiert wird, Abhilfemaßnahmen angepasst werden, neue Risiken hinzukommen, die andere Risiken verdrängen und Ihren Fokus von den Risiken mit der höchsten Priorität ablenken, und Sie dies mit dem Ziel tun, die Risiken im Laufe der Zeit auf ein akzeptables Niveau zu senken, wird eine Aufsichtsbehörde bzw. ein Prozessanwalt dies betrachten und sagen: „Wissen Sie was? Es kam zu einem Datenleck bei „ “ . „Es gab keine Kontrollmechanismen.“ Nun, es soll ja nicht alles perfekt sein. Der Prozess läuft jedoch so, wie er soll. Sie beurteilen, inwieweit anderen Schaden zugefügt wird.
Wie sollten Unternehmen bei der Einhaltung der Standards PCI DSS 4,0 und NIST 2,0 vorgehen?
Ich bin seit wahrscheinlich mehr als einem Jahrzehnt als PCI-zertifizierter Sicherheitsprüfer tätig. Und die neueste Version von „PCI DSS 4,0 “ legt die Messlatte erneut höher. Es [erwartet von Ihnen, dass Sie bestimmte Zeitrahmen für Aufgaben einhalten, verlangt aber] im Wesentlichen, dass Sie Ihren eigenen Rhythmus festlegen [entsprechend Ihren Bedürfnissen und Ihrem Umfeld]. Dies erfordert eine gezielte Risikoanalyse unter . Im Grunde genommen sagen sie genau dasselbe wie das NIST. Das NIST erklärt, dass wir nun über eine [Governance-]Funktion verfügen. Und in diesem Modul sind Vorgaben enthalten, die sich darauf beziehen, wie der Auftrag der Organisation verstanden werden muss.
Denken Sie also einmal darüber nach. Es wird argumentiert, dass die Informationssicherheit die Unternehmensmission verstehen muss – dies ist Teil der Unternehmensführung. Sie bitten den Informationssicherheitsbeauftragten des NIST, die Risikobereitschaft und -toleranz zu ermitteln, d. h.: „Wo liegt Ihre Grenze für akzeptable Risiken, oberhalb derer Sie Abhilfemaßnahmen ergreifen und unterhalb derer Sie diese in Kauf nehmen?“ Und sie fordern eine einheitliche Methode zur Berechnung und Priorisierung von Cybersicherheitsrisiken.
Welche Art von Strategie ist erforderlich, damit Unternehmen ihre Cybersicherheitsrisiken verringern und die Einhaltung gesetzlicher Vorschriften sicherstellen können?
Dies ist wahrscheinlich eines der faszinierendsten Phänomene in unserer Branche. Ich könnte die Anzahl der Kunden, die gesagt haben: „Helfen Sie uns dabei, einen Fahrplan zu erarbeiten“, nicht einmal an zwei Händen abzählen. Sie sagen: „Wenn wir vor dem Vorstand stehen, wissen wir nicht, was wir ihnen präsentieren sollen, da wir immer wieder auf dasselbe Problem mit den Statistiken stoßen.“
„Arbeiten Sie mit jemandem zusammen, der Ihnen dabei helfen kann, Ihre Offenlegungsberichte korrekt zu formulieren, damit das, was Sie sagen, genau das widerspiegelt, was Sie tun.“
CISOs möchten in geschäftlichen Begriffen sprechen, um Entscheidungen treffen zu können. Wenn Sie jedoch jemandem einen Zweijahresplan vorlegen, muss darin dargelegt werden, wohin Sie steuern und warum Sie diesen Kurs einschlagen. Wir haben das letzte Jahrzehnt damit verbracht, Kunden bei der Erstellung von Strategieplänen zu unterstützen, und dabei haben wir Folgendes festgestellt: Die Art und Weise, wie Sie den Gesamtstrategieplan definieren, unterscheidet sich nicht wesentlich von den Informationen, die [wir] benötigen, wenn wir unsere jährliche [Vorsorgeuntersuchung] absolvieren. Wir möchten wissen: Geht es mir gut? Und wenn es mir nicht gut geht, wie schaffe ich es dann, dass es mir wieder gut geht? Wir haben kein Interesse an einer langen Auflistung aller Prozentsätze und Statistiken.
Wir empfehlen Unternehmen stets, sich diesen Fragen gleich zu Beginn zu stellen. „OK“ bedeutet, dass wir ein akzeptables Risikoniveau haben. Und diese Bandbreite des akzeptablen Risikos entspricht einem quantitativen Bewertungswert, den Organisationen durchlaufen.
Wie wird sich die Einhaltung von IT-Sicherheitsvorschriften in Zukunft entwickeln?
Zunächst einmal leidet unsere Branche unter einem chronischen Mangel an Ressourcen. Es kommt selten vor, dass man auf einen CISO mit einem Team aus Fachleuten für Informationssicherheit trifft, der sagt, dass gerade nicht viel los sei oder dass sie derzeit gewissermaßen auf der Stelle treten. Es ist immer genau das Gegenteil. Warum ist das also der Fall? Denn es ist sehr schwierig, den Bedarf an Ressourcen zu begründen, wenn man eine andere Sprache spricht als die Personen, die diese Ressourcen bereitstellen.
Ein weiterer Aspekt ist, dass ein großer Teil unserer Branche noch keine GRC-Anwendung (Governance, Risk und Compliance) einsetzt. Entweder sind sie in Tabellenkalkulationen erfasst, oder es gibt gar kein Risikoregister. Jeder weiß, dass eine GRC-Anwendung dabei helfen könnte, den Risikomanagementprozess zu automatisieren, doch sind sich alle der erheblichen Kosten und des hohen Aufwands bewusst, die mit der Einführung einer solchen Lösung verbunden sind.
Wir haben eine Anwendung namens „Reasonable Risk“ entwickelt, die Ihnen bei sehr geringem Aufwand deutlich mehr Möglichkeiten bietet als die meisten GRC-Lösungen. Ich glaube, das wird ein Trend werden – ein Weg, sich von Tabellenkalkulationen zu lösen und das Risikomanagement zu optimieren –, denn die Menschen werden diesen Prozess über eine datenbankgestützte Anwendung automatisieren müssen, nicht über Tabellenkalkulationen und PDF-Dateien.
Ein weiterer Trend, den ich beobachte, ist die zunehmende Verbreitung der „Duty of Care Risk Analysis“ (DoCRA)-Methode oder ähnlicher Ansätze, die es Ihnen ermöglichen, mit dem Vorstand und der Führungsriege in einer Sprache zu kommunizieren, die diese versteht. Eine gute Analogie ist: Früher hatten wir alle ein Wörterbuch, ein gedrucktes Wörterbuch. Für ein Gespräch war das nicht besonders effektiv, und dann kamen Google Translate sowie andere Online-Übersetzer auf den Markt. So können wir nun fast in Echtzeit mit jemandem in jeder beliebigen Sprache sprechen, indem wir den Text einfach schnell übersetzen.
Und so sehe ich unter anderem, dass es in Zukunft möglich sein wird, dass die Cybersicherheit mit dem Vorstand in einen Dialog tritt, da beide Seiten dieselbe Sprache sprechen werden, anstatt von Bedrohungen, Schwachstellen und Auswirkungen zu sprechen. Auf diese Weise werden wir in der Lage sein, Mittel zu bewilligen, eine bessere Beziehung aufzubauen und mit am Tisch zu sitzen.
WEITERE INFORMATIONEN ZUR RSAC 2024
Weitere Höhepunkte finden Sie in diesen weiteren exklusiven Interviews mit Teilnehmern, die auf der RSA Conference 2024 und im Rahmen der Veranstaltung zu Wort kommen:
