Die digitale Transformation verändert den Technologie-Stack von Unternehmen kontinuierlich. Was früher aus zentral verwalteten, abgeschotteten Netzwerken, vom Unternehmen bereitgestellten Endgeräten und einer lokalen Infrastruktur bestand, hat sich zu einem weitverzweigten – und stetig wachsenden – Netz aus Software-Diensten, Cloud-Infrastrukturen und dezentralen Anwendungsdiensten entwickelt.
Als Beweis folgen Sie einfach dem Geld. Laut dem Marktforschungsunternehmen Futurum geben Unternehmen mittlerweile jährlich rund
700 Milliarden Dollar für Projekte zur digitalen Transformation aus. Ein typisches Unternehmen verfügt nicht nur über mehr als 200 aktiv genutzte Anwendungen, sondern laut einer Untersuchung des Unternehmens werden 60 % dieser Anwendungen alle zwei Jahre ausgetauscht. Das bedeutet, dass bis zum Jahr 2023 60 % der heute genutzten Anwendungen ersetzt sein werden.
Das ist eine erstaunliche Quote, die Unternehmen derzeit vor große Herausforderungen stellt, da sie die Cybersicherheit gefährdet. „All diese rasanten Veränderungen haben die traditionellen Ansätze im Bereich der Sicherheit auf den Kopf gestellt“, sagt Andy Ellis, beratender Chief Information Security Officer (CISO) bei Orca Security, einem Unternehmen für Cloud-Sicherheit, und ehemaliger Chief Security Officer beim Web-Sicherheitsanbieter Akamai Technologies. „Das Problem mit noch mehr Personal anzugehen, ist keine Lösung. „Das lässt sich nicht skalieren.“
Um mit den rasanten Bemühungen ihrer Organisation im Bereich der digitalen Transformation Schritt zu halten und Sicherheitsrisiken zu minimieren, sollten CIOs und CISOs die folgenden fünf Vorgehensweisen befolgen.
Sicherheit in die digitale Transformation integrieren
Es ist kaum zu glauben, dass dies noch immer betont werden muss, doch Sicherheitsteams müssen bereits in einer frühen Phase in alle neuen digitalen Initiativen einbezogen werden. Punkt. „Das Thema Sicherheit muss bereits in den wichtigen ersten Gesprächen und während der Planungsphase berücksichtigt werden“, sagt John D. Johnson, leitender Manager für Informationssicherheit bei einem großen Hersteller von verarbeiteten Lebensmitteln.
Auf diese Weise, fügt er hinzu, „sind wir rechenschaftspflichtig, falls etwas passiert, und spielen eine entscheidende Rolle beim Schutz des Unternehmens.“ Es ist unmöglich, neue digitale Initiativen wirksam abzusichern, wenn man erst dann eingreift, um Probleme zu beheben, wenn bereits etwas schiefgelaufen ist. „Wir müssen uns aktiv an der gesamten Diskussion beteiligen, damit wir dazu beitragen können, einen sichereren Fahrplan für das Unternehmen zu entwerfen, damit dieses die Chancen des neuen digitalen Marktes nutzen kann.“
Die Verankerung von Sicherheit im gesamten Unternehmen umfasst nicht nur die Entscheidungsfindung im Rahmen des gesamten digitalen Transformationsprozesses. Sicherheit muss auch Teil der alltäglichen geschäftlichen Entscheidungen sein, beispielsweise bei der Frage, welche Anwendungen das Unternehmen einsetzt, welche Funktionen diesen Anwendungen hinzugefügt werden, wo Daten gespeichert werden und wer auf diese Daten zugreifen darf.
„Man möchte, dass alle denselben Weg einschlagen und die Bedeutung des geschäftlichen Wandels verstehen“, sagt Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research. „Das bedeutet, dass Sie ein Bewusstsein bei den Mitarbeitern schaffen und daran arbeiten müssen, eine gesunde Unternehmenskultur aufzubauen, die auf dem Prinzip ‚ ‘ basiert.“
Sicherheit nach links verlagern
Zwar muss Sicherheit in Ihrer gesamten digitalen Transformation durchgängig berücksichtigt werden, doch gilt dies in besonderem Maße für die Bereiche „ “ sowie für DevOps-Prozesse und die Entwicklung von Softwareanwendungen. Wim Remes, Geschäftsführer und Gründer des in Belgien ansässigen Beratungsunternehmens für Informationssicherheit Wire Security, hat dies aus erster Hand erlebt. DevOps könne zu einer höheren Softwarequalität und -sicherheit führen und dies auch nachhaltig gewährleisten, sagt er, doch „dazu müssen die Sicherheitsmaßnahmen eng auf die Entwicklung und den IT-Betrieb abgestimmt sein, wobei das Bedrohungsmodell der Software zu berücksichtigen ist und kontinuierlich nach Fehlern gesucht werden muss, die anschließend behoben werden.“
„All diese rasanten Veränderungen haben die traditionellen Sicherheitsansätze auf den Kopf gestellt.“Andy Ellis, beratender CISO bei Orca Security
Chris Blow, Leiter des Bereichs Offensive Security bei Liberty Mutual Insurance, stimmt dem zu und fügt hinzu: Wenn Sicherheit ordnungsgemäß in die Entwicklung integriert wird, wird die Cyberabwehr bereits in die Entwicklungspipeline eingebunden, anstatt erst nach der Bereitstellung der Software zu erfolgen. „Dadurch wird eine sichere Entwicklung skalierbar und zügig“, sagt Blow.
Automatisieren Sie, was Sie können
Manuelle Prozesse lassen sich nicht skalieren – daher der zunehmende Einsatz von Prozessautomatisierung in einer Vielzahl von Unternehmensanwendungen und Arbeitsabläufen, von der Rechnungsbearbeitung im Rechnungswesen bis hin zur Einarbeitung neuer Mitarbeiter in der Personalabteilung. Automatisierung verringert menschliche Fehler, steigert die Produktivität und erhöht die Arbeitszufriedenheit der Mitarbeiter, indem sie diesen die Möglichkeit gibt, sich anspruchsvolleren Aufgaben zu widmen. Die Automatisierung sollte auch für Cybersicherheits en ein Ziel sein.
Glücklicherweise wird dies durch die zunehmende Verbreitung von Anwendungsprogrammierschnittstellen (APIs) und die Möglichkeit zur Automatisierung von Sicherheitsabläufen ermöglicht – wie beispielsweise Sicherheitsüberprüfungen von Anwendungen, Bewertungen von Systemschwachstellen und der Konfiguration von „ “ sowie die Benutzerverwaltung.
„Unternehmen müssen sich auf kontinuierliche, automatisierte Sicherheitstests und -validierungen einstellen“, sagt Crawford.
Ellis stimmt dem zu und fügt hinzu: „Heutzutage geht es bei der Sicherheit vor allem um die Fähigkeit zur Automatisierung.“ Sie müssen Prozesse automatisieren, damit Sie keine Zeit mehr mit sich wiederholenden Aufgaben verbringen. „Wenn Sie das noch nicht tun, hinken Sie hinterher.“ Um einen Vorsprung zu gewinnen oder zumindest aufzuholen, rät er Sicherheits- und Technologieteams, moderne APIs und Integrationsfunktionen zu nutzen, um Netzwerkkonfigurationen auf Sicherheitsprobleme zu überwachen. „Man muss einen Weg finden, Integrationen kostengünstig und einfach zu gestalten, damit man sie problemlos überwachen kann“, sagt er.
Achten Sie auf Hygiene
Wenn Systeme zügig bereitgestellt werden, müssen auch die grundlegenden Sicherheitsmaßnahmen rasch umgesetzt werden. Das bedeutet, dass Systeme gepatcht und auf dem neuesten Stand sein müssen, die Systemkonfigurationen korrekt eingestellt sein müssen, Endgeräte und Netzwerke auf Bedrohungen und Malware überprüft werden müssen, Daten und Systeme gesichert werden müssen und unnötige Dienste deaktiviert werden müssen – neben vielen weiteren wesentlichen Maßnahmen zur Gewährleistung der Sicherheitsintegrität.
„Grundlegende Hygiene muss gewährleistet sein, um Systemagilität zu erreichen, denn wenn diese grundlegende Hygiene fehlt, ist es schwierig, im Rahmen einer neuen Initiative oder Transformation anspruchsvollere Funktionen umzusetzen“, sagt Johnson von Campbell.
[Lesen Sie auch: Cyberhygiene – proaktives Risikomanagement beginnt hier]
Crawford stimmt dem zu. „Es ist wichtig, einen Schritt zurückzutreten und sicherzustellen, dass Sie über Dinge wie eine schlüssige Bestandsaufnahme unter verfügen, aus der hervorgeht, welche Ressourcen vorhanden sind und wer für deren Wartung und Sicherheit verantwortlich ist, während sich die technologische Landschaft weiterentwickelt“, sagt er.
Fokus auf hochwertigere, regulierte Daten
Es gibt ein statistisches Modell, das Investmentbanker verwenden, um das Ausmaß möglicher Verluste innerhalb eines Finanzunternehmens, eines Portfolios oder einer Position über einen bestimmten Zeitraum zu beziffern. Man bezeichnet dies als „Value at Risk“ (VaR). Für CISOs, die das Sicherheitsrisiko ihres Unternehmens bewerten, hat sich der VaR zu einem immer wichtigeren Instrument entwickelt.
Sicherheitsverantwortliche müssen ihre digitalen Risiken anhand des Werts der Systeme und Daten quantifizieren, was ihnen die Entscheidungsfindung bei Investitionen in die Cybersicherheit erleichtert. Das Cyber-VaR-Modell „ “ ( ) berücksichtigt den potenziellen finanziellen Verlust, der durch einen Sicherheitsvorfall verursacht wird, dessen zeitlichen Rahmen sowie die Wahrscheinlichkeit seines Eintretens. Auf diese Weise können CISOs Cybersicherheitsrisiken im geschäftlichen Kontext mit wichtigen Führungskräften erörtern.
Es ist von entscheidender Bedeutung, sich auf die wesentlichen Risiken zu konzentrieren. Wenn Sicherheitsteams mit den Bemühungen ihrer Organisation um die digitale Transformation Schritt halten wollen, müssen sie mit deren Risikobewertung bestens vertraut sein. Andernfalls werden sie von dem Unbekannten überwältigt.
„Sicherheitsteams sind oft zu klein, um alle Aufgaben zu bewältigen, die innerhalb eines Unternehmens an einem bestimmten Tag anfallen“, sagt Crawford. „Wenn sie also versuchen, alles so zu schützen, als handele es sich um ein Staatsgeheimnis, werden sie wahrscheinlich auf Dauer nichts mehr wirklich gut schützen können.“
