In diesem offenen Interview sprach Chris Hodson, CISO bei Tanium, mit Anthony Belfiore, CSO bei Aon und Mitglied des Vorstands von Tanium, über die Auswirkungen der dezentralen Belegschaft auf den Bereich Cybersicherheit, die Einbindung des Vorstands, die Widerstandsfähigkeit des Unternehmens (bzw. deren Fehlen) sowie die Budgets für Cybersicherheit.
Die Risikobilanz hin zur Cyber-Resilienz verlagern
Chris Hodson: Die erste Frage betrifft traditionelle Risikomodelle und das Engagement des Vorstands:
Meiner Erfahrung nach rufen Ereignisse mit hoher Auswirkung und geringer Eintrittswahrscheinlichkeit häufig die Reaktion hervor: „Nun, das wird niemals passieren, darüber brauchen wir uns keine Sorgen zu machen.“ Sehen Sie aus Sicht des Vorstands eine Veränderung hin zu einer grundlegend anderen Risikokultur hinsichtlich der Verfügbarkeitsaspekte der Pandemieplanung oder anderer Szenarien mit hohen Auswirkungen und geringer Eintrittswahrscheinlichkeit, oder ist es noch zu früh, um dies zu beurteilen?
Anthony Belfiore: Ich denke, es gibt da einige Punkte. Erstens: Was Unternehmen derzeit tatsächlich erleben, ist die Erkenntnis, dass ihr Geschäft in Wirklichkeit nicht widerstandsfähig ist und dass die Widerstandsfähigkeit des Unternehmens wahrscheinlich der entscheidende Faktor für ihren Konzern ist.
Zweitens glaube ich, dass sich Unternehmen auf alle Bereiche konzentrieren werden – von der Arbeit im Homeoffice und virtuellen Konferenzen bis hin zu konkreten Sicherheitsmaßnahmen, Kontinuitätstests und der Überwachung der Notfallwiederherstellung (DR).
Drittens werden Unternehmen ihre kritischen Geschäftsprozesse und die Technologien, die diese unterstützen, neu bewerten. In den nächsten zwei bis drei Monaten werden Sie sehen, dass sich daraus zahlreiche Probleme ergeben werden, und ich glaube, viele Unternehmen werden allmählich erkennen, dass sie gar nicht wussten, wie schlecht ihr Sicherheitsstatus tatsächlich war. Nur weil Sie aus Sicht der Cybersicherheit gut abgesichert sind und die Anforderungen von COBIT, NIST oder ISO erfüllen, lässt sich daraus noch nicht ableiten, ob Sie cyberresilient sind und in der Lage sein werden, wieder auf die Beine zu kommen, wenn Sie einmal einen Schlag abbekommen haben.
Ich würde sagen, es wird eine enorme Verlagerung hin zu einem Fokus auf die Widerstandsfähigkeit von Unternehmen, auf Kerngeschäftsprozesse, auf deren Abläufe sowie auf die Menschen, Prozesse und Technologien geben, die diese Bemühungen unterstützen. Sie werden feststellen, dass die Nachverfolgung, Priorisierung, Dokumentation, Zusammenfassung und Aufzeichnung der Protokolle sowie die Gewährleistung der Geschäftskontinuität und der Notfallwiederherstellung an Bedeutung gewinnen werden – Visualisierungen der entsprechenden Arbeitsabläufe werden dabei eine große Rolle spielen.
Cyberresilienz ist ein Teilbereich der Unternehmensresilienz, und ein Teilbereich davon ist Ihre Cybersicherheit. Es ist hierarchisch aufgebaut. Ihre allgemeine Unternehmensresilienz setzt sich aus den Bereichen Cybersicherheit, Personal, Richtlinien und Verfahren zusammen.
Transparenz in den Vordergrund rücken
Hodson: Anthony, dies führt mich zu meiner zweiten Frage, die sich damit befasst, dass der Begriff „Geschäftskontinuität“ oft missbraucht wird. Viele IT-Teams „verstehen“ die Materie auf IT-Ebene – sie sind in der Lage, die Serverinfrastruktur von Rechenzentrum 1 auf Rechenzentrum 2 umzuschalten –, doch ihnen fehlt das Verständnis für die Dienste, Anwendungen und Prozesse, in die das System untrennbar eingebunden ist. Wie wird sich Ihrer Meinung nach die ganzheitliche Kontinuitätsplanung verändern?
Belfiore: Es geht um die Einordnung in den Kontext, und genau hier kann Tanium zum Einsatz kommen. Diese Geschäftsprozesse laufen auf kritischen Infrastrukturen und in Anwendungsökosystemen. Diese Grenze ziehen zu können, ist von entscheidender Bedeutung, und es ist von zentraler Bedeutung, Einblick in die Leistung, den Betriebszustand, die Qualität der Dienste und die Sicherheit der Daten zu haben.
Es ist so, als würde man einen von der Unternehmensarchitektur geleiteten Ansatz verfolgen, um Ihre Geschäftsprozesse und Dienstleistungen sowie die Anwendungsdienste und die Infrastruktur zu verstehen. Sie zerlegen es entlang des Stacks und sorgen anschließend für Transparenz sowohl nach oben als auch nach unten entlang des Stacks. Dann können Sie das regeln. Das können Sie im Moment nicht bewältigen.
Die Notwendigkeit, die Herausforderungen der Pandemie zu bewältigen
Hodson: Dies führt mich zu meinem nächsten Thema im Zusammenhang mit der Pandemielage: der Priorisierung von Projekten. Strategien scheinen zugunsten von allem, was mit Verfügbarkeit zu tun hat, aufgegeben zu werden, was die bestehenden Spannungen hinsichtlich Prioritäten und Budgets noch verschärft. Aus den Erfahrungsberichten, die ich von CISOs erhalten habe, geht hervor, dass diejenigen, die dem Chief Risk Officer, der Rechtsabteilung oder direkt der Unternehmensspitze unterstehen, nach wie vor in der Lage sind, die Sicherheitsprioritäten sowie abstrakte und dringende IT-Probleme klar darzulegen. Diejenigen, die dem CIO unterstellt sind, werden gebeten, alle laufenden und geplanten Finanzmittel neu zu bewerten. Was halten Sie davon?
Belfiore: Es ist eine schwierige Situation. Sie stehen vor der Herausforderung, die Anforderungen in den Bereichen physische Sicherheit, Geschäftskontinuität und Notfallwiederherstellung sowie Front-Office-, Middle-Office- und Betriebsanforderungen unter einen Hut zu bringen – und das alles mit begrenzten finanziellen Mitteln, Zeit, Ressourcen und Personal. Und dabei geht es lediglich um Geld und die Fähigkeit, Arbeit zu erledigen. Das ist zwar die grundlegendste und naheliegendste Auswirkung, doch nun verfügen Sie auch nicht mehr über die Arbeitskräfte und die Kapazitäten, die Sie früher hatten. Sie können nicht so schnell oder so flexibel arbeiten. Und die Menschen sind wirklich gestresst und besorgt. Das ist wirklich der größte Stress, mit dem ich derzeit zu kämpfen habe.
Der Geist ist aus der Flasche
Hodson: Lassen Sie uns nun unseren Fokus auf Sicherheitsrichtlinien und -standards richten. Viele Organisationen verfügen nur über begrenzte Ressourcen und sind daher gezwungen, eine „Bring-Your-Own-Device“-Richtlinie (BYOD) einzuführen. In vielen Fällen bedeutet dies, dass sie auch ihre Sicherheitsrichtlinien und -standards anpassen müssen, um die Geschäftskontinuität zu gewährleisten und den Betrieb aufrechtzuerhalten. Es handelt sich um eine einfache technische Änderung, doch es wird äußerst schwierig sein, diesen Geist wieder in die Flasche zu stecken, sobald die Pandemie vorbei ist. Würden Sie dem zustimmen?
Belfiore: Ja, die Menschen gewöhnen sich daran, von zu Hause aus zu arbeiten. Das Geheimnis ist gelüftet. Wir benötigen nicht all diese Büroflächen. Wir benötigen nicht all diese Dinge, um effektiv zu sein. Diese Pandemie ist gewissermaßen ein Beweis dafür. Das wird nun erst richtig spannend.
Hodson: Nehmen wir einmal an, dass alle von zu Hause aus arbeiten, einschließlich der Teams des Security Operations Center, der Incident-Response-Teams und der Ingenieure. Sechs Monate sind vergangen, und es ist nichts Wesentliches Negatives geschehen. Wie stellen Sie sich vor, dass Sicherheitsverantwortliche, die über enorme Budgets verfügten und erklärten, all diese Kontrollmaßnahmen seien notwendig, die Vorstände umstimmen können, die zweifellos fragen werden: „Wozu brauche ich all das, und wozu brauchen wir all diese Mitarbeiter, wenn doch nichts passiert ist?“
Belfiore: Ich glaube, die Vorstände erkennen zunehmend, wie effektiv das Arbeiten im Homeoffice sein kann, und das rechtfertigt zweifellos die Ausgaben für Cybersicherheit. Das ist die neue Normalität. Wir benötigen weder diese gesamte Infrastruktur noch all diese Mitarbeiter, um so zu arbeiten, wie wir es in der Vergangenheit getan haben. Ich glaube, das ist der „Weckruf“, die bahnbrechende Revolution in den Bereichen IT und Cybersicherheit.
Ein neuer Schwerpunkt auf Geschäftskontinuität
Hodson: Tanium gilt für unsere Kunden als geschäftskritischer Dienst. Wir bieten IT-Betriebs-, Risiko- und Cybersicherheitslösungen an, die auch in Zeiten dezentraler Arbeitsweise weiterhin funktionsfähig bleiben müssen. Infolgedessen erhalte ich zahlreiche Fragebögen zur Geschäftskontinuitätsplanung von den Compliance- und Risikoteams (der Kunden). Einige Kunden verfolgen bei der Sorgfaltsprüfung einen vorschriftsmäßigen Ansatz, der sich an der Norm ISO 22301/27001 orientiert, während andere eher auf einen selbst entwickelten Ansatz zurückgreifen. Wie sehen Sie das?
Belfiore: Intern waren wir nie der Ansicht, dass ein einzelner Standard in der Vergangenheit wirksam gewesen wäre; daher haben wir tatsächlich alle Standards herangezogen und daraus das Beste aus jedem Bereich zusammengestellt. Unser derzeitiger Standard ist eine Zusammenführung so gut wie aller anderen Standards, die es gibt.
Viele unserer Kunden haben sich derzeit zusammengeschlossen, um gemeinsam Maßnahmen zu ergreifen, was die Bewertung externer Überwachungsdienstleister und ihrer eigenen internen Prozesse betrifft. Ihre risikobasierten Richtlinien und Rahmenwerke stammen in der Regel von den „Big 4 “, die eine umfassende Analyse durchführen, bei der sie alle verfügbaren Standards, ihre Geschäftstätigkeit sowie alle für sie geltenden regulatorischen Rahmenbedingungen berücksichtigen und daraus eine Zusammenführung erarbeiten. Insbesondere die Finanzdienstleistungsbranche und das Gesundheitswesen neigen dazu, da sie stark reguliert sind. Aufgrund der hohen Regulierungsanforderungen neigt die Regierung dazu, eigene Standards zu entwickeln. Wenn man sich die anderen Branchen ansieht, halten sie sich im Grunde genommen an die Grundlagen und entscheiden sich für ISO oder NIST. Das hängt wirklich davon ab, um welche Branche es sich handelt und wie sich die jeweiligen Akteure entscheiden.
Unser Ansatz besteht aus einer Kombination von Markteinführungsstandards, die festlegen, wie wir Unternehmen aus Sicht der Cyberversicherung akzeptieren; darüber hinaus beziehen wir alle bewährten Verfahren von ISO, NIST und allen Ländern ein, in denen wir tätig sind, wie beispielsweise die MAS in Singapur, die HKMA in Hongkong, die FSA in Japan und die FCA im Vereinigten Königreich. Wir haben alle ihre Kernstandards geprüft und dafür gesorgt, dass wir eine Mindestgrundlage für die Qualitätssicherung in unseren derzeitigen Betriebsstandard integrieren.
Hodson: Das ist ein guter Punkt in Bezug auf Branchensegmente. Ich habe noch eine Frage: Es ist mir schon immer schwergefallen, Führungskräfte der obersten Ebene für die Planung der Geschäftskontinuität zu gewinnen, sei es im Bereich Krisenmanagement oder bei Tabletop-Übungen. Glauben Sie, dass sich dies durch die weltweite Pandemie ändern wird?
Belfiore: Ganz genau. Ich gehe davon aus, dass wir Tischplatten einsetzen werden, und diese werden gesetzlich vorgeschrieben sein. Ohne eine grundlegende Umgestaltung unserer Planung im Bereich der Geschäftskontinuität werden wir diese Situation auf keinen Fall meistern können.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine Einzelvorführung oder sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen unter .
