Jedes Jahr scheint den Cybersicherheitsexperten das nächste „New Shiny Thing“ zu bescheren, das verspricht, all ihre Probleme zu lösen. Die Liste ist beeindruckend. Künstliche Intelligenz. Cloud- -Computing. Zero-Trust- sarchitektur. Passwortlose Anmeldungen bei „ “.
Wie sich herausstellt, gibt es keine einzelne Maßnahme, die die Cybersicherheit verbessert. Es gibt eine Sammlung von Gegenständen. Doch was sind das eigentlich? Wissen Cybersicherheitsexperten davon? Fragen Sie ein Dutzend Menschen, und Sie erhalten ein Dutzend unterschiedliche Antworten. Wade Baker wertet diese Antworten aus und wird auf der RSA Conference 2022 Erkenntnisse aus einer Umfrage unter 5 100 Fachleuten vorstellen.
Herr Baker ist Partner und Mitbegründer des Cyentia Institute, das datengestützte Forschungsarbeiten und Dienstleistungen im Bereich Cybersicherheit anbietet. Er wird einer von zwei Diskussionsteilnehmern sein, die sich in seiner RSA 2022 -Podiumsdiskussion mit dem Titel „: Was (genau, konkret) macht Sicherheitsprogramme NOCH erfolgreicher?“ mit Sicherheitspraktiken und deren Ergebnissen befassen. Gemeinsam mit Wendy Nather, Leiterin des Bereichs „Advisory CISOs“ bei Cisco, wird Herr Baker die Ergebnisse der jüngsten Studie von Cisco „ “ () sowie der „Security Outcomes Study, Band 2“ () näher beleuchten (). Diese Studien ergaben unter anderem einen starken Zusammenhang zwischen der IT-Architektur eines Unternehmens und dessen Sicherheitsresilienz. Der Vortrag findet im Rahmen der „ 7. Juni“ statt, und zwar von „ 13:15 “ bis „14:05 “ (PT) im Moscone Center in San Francisco. Baker gewährte „ “ Endpoint einen Einblick aus erster Hand in die Ergebnisse.
Erzählen Sie mir bitte etwas über diese Forschung im Bereich Cybersicherheit und darüber, wie diese weltweite Studie zustande kam.
Die Idee hinter dieser Studie gefällt mir sehr gut. Ich kann mich nicht mehr genau daran erinnern, wann oder wer auf die Idee gekommen ist, die Ergebnisse im Bereich Cybersicherheit zu untersuchen. Letztendlich haben wir uns gefragt, ob wir die Ergebnisse tatsächlich messen könnten. Zunächst möchte ich auf den ersten Band der Studie „ “ ( ) zurückkommen.
Wir haben fast 4 800 IT- und Sicherheitsexperten aus 25 Ländern befragt. Für eine Sicherheitsumfrage –
– war das ein riesiger Erfolg. Die Umfrage konzentrierte sich
auf 11 Ergebnisse, indem zunächst Sicherheitsverantwortliche gefragt wurden: Was möchten Sie
, dass Ihr Sicherheitsprogramm bewirkt
oder leistet?
Wir erhielten unterschiedliche Antworten, haben diese jedoch auf 11 Ergebnisse zusammengefasst. Es handelt sich dabei um übergeordnete Ziele, darunter: die Unterstützung des Geschäftsbetriebs, die Vermeidung schwerwiegender Vorfälle und Verluste, die Einhaltung gesetzlicher Vorschriften, das Kostenmanagement und so weiter. Wir haben die Befragten gefragt, wie sie diese Ergebnisse erzielt haben und ob sie dabei Schwierigkeiten hatten oder ob sie die Erwartungen bei weitem übertroffen haben. Anschließend haben wir nach etwa 25 verschiedenen Sicherheitsmaßnahmen gefragt, darunter grundlegende Aspekte wie (Erkennung von Bedrohungen), (Erkennung von Bedrohungen), (Reaktion auf Vorfälle), (Reaktion auf Vorfälle), (Verwundbarkeitsmanagement), (Verwundbarkeitsmanagement) und Ähnliches.
Das klingt so einfach: Tun Sie einfach all das, von dem wir wissen, dass es Ihnen gut tut.
Genau, all das, was Sie einfach so tun: Tun Sie es einfach. So kehrten wir in diesem Jahr mit dem zweiten Band der Studie „
“ zurück, für den wir 5 100 Fachleute in 27 Ländern befragt haben. Anstelle von 25 Maßnahmen haben wir uns in „
“ auf die fünf Maßnahmen aus der vorherigen Studie konzentriert, die den größten Beitrag zum Erfolg im Bereich der Cybersicherheit leisteten.
„. Organisationen, die im Bereich ihrer IT- und Sicherheitstechnologien eine Plattformstrategie verfolgten, schienen bessere Ergebnisse zu erzielen.“
Dazu gehörten: die proaktive Aktualisierung Ihrer Technologie, der Einsatz von Technologien, die gut miteinander harmonierten, eine schnelle Reaktion auf Vorfälle, eine schnelle Wiederherstellung sowie die frühzeitige und genaue Erkennung von Bedrohungen. Wir wollten verstehen, was diese fünf so einzigartig macht. Also haben wir uns eingehend damit befasst und zahlreiche Fragen gestellt.
Wir wollten beispielsweise wissen, ob Unternehmen ihren Tech-Stack tatsächlich modernisieren oder lediglich ständig Unmengen an Geld für Upgrades ausgeben. Waren diese in erster Linie cloudbasiert? Wir stellten fest, dass Unternehmen, die im Bereich ihrer IT- und Sicherheitstechnologien eine Plattformstrategie verfolgten, offenbar bessere Ergebnisse erzielten.
Das ist interessant. Was trägt also dort zur Verbesserung der Ergebnisse bei? Geht es lediglich um die Verlagerung auf andere Plattformen?
Unternehmen, die ihre eigenen Systemintegrationen entwickeln mussten, hatten größere Schwierigkeiten, die gewünschten Ergebnisse zu erzielen. Ich halte das für sinnvoll. Die Sichtbarkeit von „ “ erweist sich als positiver Aspekt. Wir haben festgestellt, dass im Bereich der Bedrohungserkennung etwa die Hälfte der Befragten erfolgreich ist, wenn sie über ein robustes Identitätsmanagement sowie über Sicherheitsprogramme und -systeme verfügen. Ein guter Überblick über Bedrohungen und „ “-Ressourcen ist daher entscheidend, um positive Ergebnisse zu erzielen.
Wir haben uns zudem mit den Menschen, den Prozessen und der Technologie befasst. Dieses unverzichtbare Trio. Wir haben uns gefragt: Sind einige dieser Faktoren für die Sicherheitsergebnisse von größerer oder geringerer Bedeutung? Wir haben die Befragten gebeten, jeden dieser Punkte separat zu bewerten. Befragte, die angaben, dass ihre Organisationen in allen drei Bereichen Schwächen aufwiesen, erzielten keine guten Ergebnisse. Diejenigen, die angaben, in allen drei Bereichen stark zu sein, erreichten das 92. Perzentil bei den erfolgreichen Ergebnissen. Was die mittlere Gruppe betrifft, so haben wir festgestellt, dass es – sofern bei den Teilnehmern in nur einer der drei Bereiche eine Kraftsteigerung vorlag – statistisch gesehen keinen signifikanten Unterschied gab, ob sie auch in den beiden anderen Bereichen an Kraft zulegten.
[Lesen Sie auch: RSA-Konferenz 2022: Die Jetsons treffen auf das Sicherheitsteam]
Das war interessant. Mir wurde klar, dass ein Unternehmen, dessen Stärke in der Technologie liegt, darauf aufbauen kann. Sie müssen nicht auf ein personalintensives Programm umstellen oder umgekehrt. Sie können von ihrer Stärke ausgehen und darauf aufbauend das Nächstbeste entwickeln. Solange sie versuchen, alle diese Aspekte zu verbessern, spielt der Weg dorthin keine Rolle.
Das ist faszinierend, denn im BWL-Studium wurde uns vermittelt, dass gute Prozesse zwar keine guten Mitarbeiter ersetzen, aber dazu beitragen können, die Defizite weniger qualifizierter Mitarbeiter auszugleichen.
So ist es dann doch nicht gekommen. Wir haben dies jedoch untersucht, indem wir die Frage stellten, ob die Automatisierung ein Ersatz für Menschen sei. Wenn man beispielsweise Prozesse automatisieren kann – bringt dies die Automatisierung weiter als Menschen, oder könnte sie Menschen ersetzen? Wir wussten, dass die Antwort „Nein“ lauten würde.
„Ich fand es äußerst amüsant, dass 84 % der Unternehmen, die angaben, ‚wir nutzen überhaupt keine Bedrohungsinformationen‘, ihre Sicherheitsabläufe als sehr stark bewerteten.“
Nur 36 % der Unternehmen, die angaben, dass ihre Mitarbeiter nicht gut qualifiziert seien, über unzureichende Personalressourcen verfügten und keinerlei automatisierte Prozesse einsetzten, bewerteten ihre Sicherheitsabläufe als gut. Allerdings bewerteten 73 % derjenigen, die angaben, über kompetentes technisches Personal im Sicherheitsbetrieb zu verfügen, aber keine Automatisierung einzusetzen, ihre Sicherheit als gut.
Es ist bemerkenswert, dass Organisationen mit einem hohen Automatisierungsgrad, aber schwachen personellen Ressourcen, in etwa die gleiche Programmstärke aufwiesen wie Organisationen mit starken personellen Ressourcen , jedoch einer unzureichenden Automatisierung.
Was hat Sie an den Umfrageergebnissen am meisten überrascht?
Wir haben Fragen zum Thema „Threat Intelligence“ gestellt und erfragt, in welchem Umfang die Befragten und ihre Organisationen diese Informationen nutzen. Ich fand es äußerst amüsant, dass 84 % der Unternehmen, die angaben: „Wir nutzen überhaupt keine Bedrohungsinformationen“, ihre Sicherheitsmaßnahmen als sehr stark bewerteten. Allerdings stuften unter denjenigen, die Threat Intelligence nutzen, nur 45 % ihre Sicherheit als sehr hoch ein. Somit sinken ihre Einschaltquoten fast um die Hälfte.
Ihnen wird allmählich bewusst, dass sie die Cyberrisiken, von denen sie nichts wissen, gar nicht kennen.
Genau. Die eine Gruppe handelt aus Unwissenheit heraus. Es sieht alles gut aus. Sie berücksichtigen keine konkreten Bedrohungen und haben keine Vorstellung davon, wie diese aussehen könnten; daher erkennen sie diese auch nicht. Das muss wohl bedeuten, dass alles in Ordnung ist.
Wie sollten CISOs und ihre Sicherheitsteams ihre Mitarbeiter, Prozesse oder Technologien verbessern?
Die Daten enthalten zahlreiche Informationen, die es ihnen ermöglichen, auf ihren Stärken aufzubauen, anstatt sich der Mentalität „Es gibt nur einen Weg nach vorn“ anpassen zu müssen. Diese Wahlfreiheit ist eine große Hilfe für Sicherheitsprogramme, die mit Schwierigkeiten zu kämpfen haben.
„“ Wir hören oft: „Das ist das neue Paradigma, an das Sie sich halten müssen …“ Doch genau das haben wir noch nicht erreicht. Vielleicht gibt es nicht nur eine einzige Sache.”
Wir hören oft: „Das ist das neue Paradigma, dem Sie folgen müssen, damit alles wunderbar wird.“ Doch genau das haben wir noch nicht erreicht. Vielleicht gibt es keine einzige Sache. Es gibt eine ganze Reihe kleiner Maßnahmen, die ein Sicherheitsprogramm schrittweise verbessern.
Wenn es uns gelingt, diese kleinen Dinge zu messen und entsprechende Belege dafür zu sammeln, können wir damit beginnen, sie in den Fahrplan aufzunehmen. Ich hoffe, dass die Menschen daraus eine entsprechende Erkenntnis mitnehmen.
Die Ergebnisse scheinen zu zeigen, dass es – unabhängig davon, wie gut die Cyberhygiene eines Unternehmens auch sein mag – Aspekte der Unternehmenssicherheit gibt, die sich seiner Kontrolle entziehen –
wie beispielsweise die Reife des Tech-Stacks und die Qualität der Systemintegration.
Ja, das denke ich auch. Damit wird gewissermaßen der Schwerpunkt auf „ “ gelegt. Wir müssen wahrscheinlich über unseren eigenen Tellerrand hinausblicken und mit anderen Gruppen innerhalb der Organisation zusammenarbeiten, sofern diese für Ihren Erfolg als Sicherheitsverantwortlicher entscheidende Bereiche abdecken. Wenn Sie wissen, dass ein Großteil davon mit der IT zusammenhängt, die Sie absichern, dann sollten Sie wahrscheinlich eng mit dem CIO zusammenarbeiten und gemeinsam Pläne zur Verbesserung dieses Tech-Stacks ausarbeiten.
[Auch interessant: Die steigende Notwendigkeit, IT und Sicherheit zu vereinheitlichen]
Gibt es bestimmte Aspekte, deren Messung sinnvoll ist? Ich kann mir vorstellen, dass Teams und CIOs, wenn sie einfach nur anfangen, Kennzahlen zu erfassen, viele falsche Kennzahlen erfassen werden.
In gewisser Weise sind die 11 Programmziele, über die wir in diesen Berichten sprechen, ein hervorragender Ausgangspunkt. Es handelt sich dabei nicht um Kennzahlen oder Messgrößen. Es handelt sich jedoch um Ziele, die Sicherheitsprogramme erreichen wollen. Dann stellt sich die Frage: Wie kann unser Programm diese Ergebnisse am besten unterstützen? Das ist ein guter Ausgangspunkt.
