Zum Hauptinhalt springen
Tanium Blog

Die drei Phasen der Sicherheitshygiene: Measurement Share

Der Begriff „Sicherheitshygiene“ hat für jeden eine andere Bedeutung. Aus diesem Grund kann die Umsetzung von Sicherheitsmaßnahmen eine gewaltige Aufgabe darstellen. Im letzten Teil unserer dreiteiligen Blogreihe gibt David Damato, CSO bei Tanium, Empfehlungen dazu, was es sich zu messen lohnt und warum.

Nach der Einführung eines führenden Informationssicherheitsprogramms erklären die meisten Organisationen: „Auftrag erfüllt.“ Infolgedessen verlieren Sicherheitsprozesse und technische Kontrollmaßnahmen im Laufe der Zeit an Wirksamkeit und/oder werden irrelevant, und das Unternehmen kann mit den sich wandelnden Risiken nicht Schritt halten. Unternehmen, die sich durch ein hohes Maß an Sicherheit auszeichnen, überprüfen ihr Sicherheitsprogramm kontinuierlich auf Schwachstellen und verbessern die bestehenden Kontrollmaßnahmen ständig.

In den folgenden Beiträgen dieser Reihe – „ “ (), „“ (), „Teil 1“ () und „ “ () – habe ich mich mit der Bewertungsphase Ihres Sicherheitshygiene-Prozesses befasst. In „ “ (), Teil 2: „“, habe ich erläutert, wie die Ausrichtung an einem führenden Informationssicherheitsprogramm dazu beitragen kann, Sicherheitsinvestitionen ausgewogen zu gestalten, verschiedene gesetzliche und regulatorische Anforderungen zu erfüllen und als flexibler Rahmen für die Bewältigung künftigen Wachstums zu dienen. Der nächste Schritt besteht darin, Ihr Programm kontinuierlich zu evaluieren, um sicherzustellen, dass es weiterhin wirksam und relevant bleibt.

Sicherheitshygiene: Maßnahmen, Kennzahlen und Leistungskennzahlen (KPI)

In der Branche wird intensiv über den Unterschied zwischen Messgrößen, Kennzahlen und KPIs diskutiert. Im Allgemeinen hängen diese alle miteinander zusammen, sind jedoch unterschiedlich. Eine Messung ist lediglich ein Datenpunkt. Beispiele hierfür sind die Anzahl der Sicherheitslücken oder Vorfälle. Eine Kennzahl, also eine Art von Messgröße, geht noch einen Schritt weiter und liefert einen Hinweis auf den Fortschritt oder die Leistung. Eine Kennzahl könnte beispielsweise die Gesamtzahl der abgeschlossenen Sicherheitsrichtlinien im Vergleich zu einem festgelegten Ziel (z. B. 50 bestimmte Richtlinien) umfassen. Ein KPI ist schlichtweg eine wichtige Kennzahl, die auf entscheidende Unternehmensziele ausgerichtet ist. Ein Beispiel hierfür wäre die mittlere Zeit, die Ihr Unternehmen benötigt, um kritische Patches zu installieren, was ein messbares Risiko darstellt.

Unabhängig davon, wie man es nennt, sollten gute Sicherheitsmaßnahmen stets:

  • Geben Sie relevante und aussagekräftige Einblicke in das, was Sie zu messen versuchen;
  • Seien Sie umsetzbar – wenn Sie eine Kennzahl nicht durch klare und konkrete Maßnahmen beeinflussen können, lohnt es sich möglicherweise nicht, sie zu messen;
  • im Zeitverlauf messbar sein, damit die Führungskräfte den Fortschritt verfolgen können; und
  • Seien Sie mit Branchenkonkurrenten vergleichbar, wo ein Wettbewerbsvorteil von großem Wert ist.

Viele Organisationen verwenden Kennzahlen, die die oben genannten Anforderungen nicht erfüllen. NIST 800-55 (wird in einem neuen Tab geöffnet) liefert die folgende Beispielkennzahl zur Bestimmung der Wirksamkeit eines Prozesses zur Behebung von Sicherheitslücken: „der prozentuale Anteil der Sicherheitslücken im Betriebssystem des Unternehmens, für die Patches installiert wurden oder die auf andere Weise gemindert wurden.“ Die Herausforderung bei einer solchen Messung besteht darin, dass sie in erster Linie von der Anzahl der von einem bestimmten Anbieter veröffentlichten Patches sowie von der Fähigkeit einer Organisation, Schwachstellen zügig zu beheben, beeinflusst wird. Aus diesem Grund lässt sich bei dieser Kennzahl nur schwer ein zeitlicher Trend erkennen, und sie lässt sich nicht ohne Weiteres mit denen anderer Unternehmen der Branche vergleichen, die möglicherweise andere Anwendungsbereiche und damit verbundene Schwachstellenzahlen aufweisen.

Cyberhygiene: Messung der Wirksamkeit von Patches

Ein geeigneter Ansatz zur Messung der Wirksamkeit von Patches (d. h. der Behebung von Sicherheitslücken) ist die Medianzeit bis zur Behebung von Software-Sicherheitslücken. Mit anderen Worten: „Wie lange dauert es, bis unsere Organisation einen kritischen Patch installiert?“ Dieser Ansatz ermöglicht eine genaue Messung unseres Endziels, nämlich der Risikominderung. Je länger es dauert, eine kritische Sicherheitslücke zu beheben, desto größer ist das Risiko für Ihr Unternehmen. Ein Trend lässt sich leicht erkennen und verdeutlicht, ob sich eine Entwicklung im Laufe der Zeit verbessert oder verschlechtert hat. Die Messwerte können zudem mit denen von Branchenkollegen oder mit Referenzwerten verglichen werden.

Weitere Beispiele für ausgereifte Messverfahren, die Ihnen den umfassendsten und besten Einblick in die Wirksamkeit Ihres Sicherheitsprogramms bieten, sind unter anderem:

  • Durchschnittliche Zeit von der Erkennung bis zur Behebung von Sicherheitsvorfällen. Dies ist eine hervorragende Möglichkeit, die Leistungsaktivitäten im Zusammenhang mit der Erkennung und der Reaktion auf Vorfälle zu beschreiben.
  • Verhältnis der falsch-positiven Ergebnisse zur Gesamtzahl der Erkennungsereignisse. Dies vermittelt einen Einblick darin, wie die Mitarbeiter ihre Zeit verbringen.
  • Prozentualer Anteil der Systeme, die den festgelegten Konfigurationsstandards entsprechen. Dies verschafft Ihnen einen Überblick über die Wirksamkeit Ihres Konfigurationsmanagement-Programms und das Risiko fehlerhafter Konfigurationen.
  • Prozentualer Anteil des verwalteten Vermögens. Dies vermittelt Ihnen einen Einblick in die Wirksamkeit Ihrer „ “-Lösung zur Geräteverwaltung sowie in die Risiken, die von unbekannten Geräten ausgehen.

Machen Sie sich keine Sorgen, falls Sie diese Maße derzeit nicht verwenden. Die oben genannten Maßnahmen erfordern ausgereifte Prozesse und technische Kontrollmaßnahmen. Sie können nicht erwarten, die durchschnittliche Zeit bis zur Behebung eines Vorfalls zu erfassen, wenn Sie über keine dokumentierte Vorgehensweise zur Vorfallbewältigung verfügen. In solchen Fällen sollten Sie in Erwägung ziehen, mit einfacheren Messungen zu beginnen und sich zum Ziel setzen, diese im Laufe der Zeit zu verbessern. Einige Messungen sind besser als gar keine.

Wie unsere Kunden Tanium nutzen, um die Leistung zu messen und zu verbessern

Viele unserer Kunden nutzen Tanium, um die Leistung ihres Sicherheitsprogramms zu messen, und greifen dabei auf die sofortige und skalierbare Transparenz zurück, die unsere Kommunikationsplattform bietet. Zu den einfachen Messgrößen zählen die Anzahl fehlender kritischer Patches, fehlerhafte Konfigurationen der hostbasierten Firewall oder Laptops ohne vollständige Festplattenverschlüsselung (FDE). Fortgeschrittene Kunden nutzen Tanium, um Daten zu erfassen, die zur Messung der „ “ (Mittelwert der Zeit bis zur Behebung) , der „Vulnerabilities“ (Sicherheitslücken) oder der „ “ (Durchschnittliche Zeit von der Erkennung bis zur Behebung) sowie der „“ (Mittelwert der Zeit von der Erkennung bis zur Behebung) erforderlich sind.

Der Begriff „Sicherheitshygiene“ bedeutet für jeden etwas anderes. Aus diesem Grund kann die Umsetzung von Sicherheitsmaßnahmen eine gewaltige Aufgabe darstellen. Wir hoffen, dass diese dreiteilige Blogreihe „ “ () unter Ihnen einen Anhaltspunkt dafür bietet, wie Sie einen Aktionsplan strukturieren können, der darauf ausgelegt ist, alle Aspekte der Sicherheitshygiene systematisch anzugehen. Auch die Sicherheitshygiene ist ein fortlaufender Prozess. Sie können zu einem bestimmten Zeitpunkt Ihre Effektivität in Bezug auf die Hygiene messen; je nach Ihren Bemühungen wird diese im Laufe der Zeit Schwankungen unterliegen. Tanium kann Ihnen dabei helfen, Ihre Hygiene zu messen.

Weitere Informationen zum Thema Sicherheitshygiene finden Sie hier:

Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das von der Reaktion auf Sicherheitsvorfälle und Forensik über Schwachstellenanalysen und die Entwicklung von Sicherheitsprogrammen bis hin zu Sicherheitsoperationen sowie Netzwerk- und Sicherheitsarchitektur reicht. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.