Der Erfolg eines Unternehmens hängt von einem effektiven Risikomanagement ab: . In der IT-Abteilung vieler Unternehmen gibt es jedoch ein ernstes Problem. IT-Teams haben nach wie vor Schwierigkeiten, ihre Programme zum Schwachstellenmanagement risikoorientiert umzusetzen. Die Folge sind unnötiger Aufwand, gefährdet exponierte Systeme und talentierte Mitarbeiter, die in komplexen und arbeitsintensiven Prozessen gebunden sind.
Als Gastrednerin in einem neuen „To the Point“-Video betont Renee Murphy von Forrester, dass Unternehmen durch die Einführung eines automatisierten Ansatzes für die Risikobewertung und das Risikomanagement ihre Audit- und Compliance-Prozesse optimieren, die Transparenz an den Endpunkten verbessern und das Risiko schwerwiegender Cybervorfälle minimieren können.
Eine Flut von CVE-Meldungen
Aus der National Vulnerability Database (NVD) des NIST ging hervor, dass im Jahr 2021 mehr Sicherheitslücken veröffentlicht wurden als in jedem Jahr zuvor. Zum fünften Mal in Folge erreichten die „Common Vulnerabilities and Exposures“ (CVEs) einen neuen Höchststand – diesmal bei 20 139, was einem Anstieg von 10 % gegenüber 2020 entspricht.
Mehr als 4000 wurden als „hoher Schweregrad“ eingestuft, was selbst für das am besten ausgestattete IT-Team eine erhebliche Herausforderung darstellen würde; zudem wird die Aufgabe erheblich erschwert, wenn diese Teams nicht in der Lage sind, Prioritäten zu setzen, welche Fehler zuerst behoben werden sollen.
In der Zwischenzeit wird eine ältere CVE aus dem Jahr 2019 may aktiv ausgenutzt, um eine Organisation anzugreifen, da eine Anwendung oder eine Systemschwachstelle noch nicht gepatcht wurde.
Risiko- und Compliance-Lösungen , die vollständige Transparenz und Kontrolle über die exponentiell wachsende Anzahl von Endgeräten eines Unternehmens – sowohl vor Ort als auch in Hybrid- und Multi-Cloud-Umgebungen – bieten, sind unerlässlich, um die Angriffsfläche zu verringern und den umfassenden Schutz der Benutzer zu gewährleisten. Dennoch haben viele IT-Teams mit veralteten, unvollständigen Daten zu kämpfen und nutzen nach wie vor manuelle Werkzeuge, darunter Tabellenkalkulationen und zahlreiche Einzellösungen, die Informationssilos noch verstärken. Dies erschwert die risikobasierte Priorisierung, da man keinen Überblick über die gesamte Umgebung hat.
Wie Murphy in ihrem Vortrag darlegt: „Wenn man sich am Boden befindet, kann man nur sehen, was sich unter den eigenen Füßen befindet.“ „Sie müssen sich in Ihre Drohne setzen und sich ansehen, wie die Waldlandschaft von oben aussieht.“
Die Diskussion auf eine höhere Ebene heben
Wie können CISOs und Risikoverantwortliche also die Diskussion auf eine höhere Ebene heben und den Übergang zu einem effektiven, risikobasierten Schwachstellenmanagement vollziehen? Integrierte Lösungen, die Echtzeit-Telemetrie, Untersuchungsfunktionen und die Möglichkeit bieten, Schwachstellen schnell zu beheben , sind für die Bewältigung der heutigen Bedrohungslage unerlässlich. Stellen Sie sich zu jeder neu veröffentlichten CVE einige entscheidende Fragen:
- Wird diese Schwachstelle in der Praxis ausgenutzt?
- Wie hoch ist die Wahrscheinlichkeit, dass meine Organisation als Nächstes ins Visier gerät?
- Gibt es Systeme, die anfällig sind?
- Gibt es anfällige Systeme in der Produktion?
- Werden die Ausfallzeiten aufgrund von Patches Auswirkungen auf wichtige kundenorientierte Dienste haben?
Bei der Fokussierung auf Risiken geht es im Wesentlichen um die Optimierung des Schwachstellenmanagements. Es geht darum, Zeit und Ressourcen gezielt dort einzusetzen, wo sie am dringendsten benötigt werden. Wie Murphy sagt: „Ich kann nicht das Meer zum Kochen bringen.“ „Ich muss darauf achten, was das größte Risiko mit sich bringt.“
Letztendlich erwartet die Unternehmensleitung von den IT-Betriebs- und Sicherheitsteams, dass sie den Betrieb überwachen und steuern, um die Geschäftsleistung aufrechtzuerhalten und die Kontinuität des Kundenservices zu gewährleisten.
Automatisierte Instrumente zur Risikobewertung sind von entscheidender Bedeutung
Für Murphy ist die Automatisierung ein entscheidender Faktor für ein risikobasiertes Schwachstellenmanagement. Dadurch kann Zeit für die interne Revision, die Compliance-Abteilung, den IT-Betrieb und die Sicherheitsteams freigesetzt werden. Ein aussagekräftiger Risikowert hilft dabei, die Prioritäten bei der Installation von Patches festzulegen und gegenüber externen Prüfern nachzuweisen, dass die Programme effizient laufen. Vor allem aber gilt: In einer Welt, in der alle 11 Sekunden ein Ransomware-Angriff stattfindet , können Sie durch das Verständnis Ihrer Risikosituation schwerwiegende Sicherheitsverletzungen vermeiden und die Einhaltung der Vorschriften in Ihrem Unternehmen gewährleisten. „Keine Organisation sollte sich mit einer unerbittlichen Sanierungslast abfinden müssen“, argumentiert Murphy in ihrem Vortrag.
„Die IT-Prüfungsbranche hätte durch Überwachungssoftware längst in den Konkurs getrieben werden müssen, und wir hätten alle längst weitermachen sollen“, fügt sie hinzu. „Diejenigen, die heute Rechenzentren betreiben, gehören meiner Meinung nach zu den glücklichsten Menschen auf der Welt. Was Sie alles leisten können, hätten wir vor 20 Jahren nicht geschafft. „Es sollte keine Ausrede dafür geben, bei der Betrachtung von Schwachstellen und Bedrohungen nicht nach einem risikobasierten Ansatz vorzugehen.“
Mit der Tanium-Risikobewertung können Sie mehr über die Gefährdung Ihres Unternehmens durch „“ erfahren. Die fünftägige, kostenlose Risikobewertung bietet einen umfassenden Überblick über Ihre Risikosituation und zeigt proaktive Maßnahmen zum Schutz Ihres Unternehmens auf. Melden Sie sich noch heute an.
