Wissen ist Macht: Wie Daten zur Geheimwaffe gegen Cyberrisiken werden

Wie Unternehmen Daten nutzen können, um künftige Cyberangriffe vorherzusagen + Heutzutage bilden Daten die Grundlage für die Arbeit fast aller Abteilungen eines Unternehmens. Marketingexperten verwenden Kennzahlen, um den Erfolg ihrer Kampagnen zu verfolgen. Vertriebsteams überwachen die Leistung, um sie mit den Zielvorgaben vergleichen zu können. Sogar die Catering-Abteilung schaut darauf welche Gerichte nicht gegessen werden, um besser entscheiden zu können, was in Zukunft zum Mittagessen gekocht werden soll.

In ähnlicher Weise haben CISOs und Sicherheitsteams in der Welt der Cybersicherheit Zugang zu vielen Metriken, die alles zeigen, von der Anzahl der Angriffe bis hin zu der Zeit, die benötigt wird, um Sicherheitslücken zu schließen, nachdem sie entdeckt wurden. Aber ist das ausreichend?

Wie können Unternehmen vorhandene Daten besser für die Cybersicherheit nutzen?

Unternehmen setzen heutzutage eine Vielzahl unterschiedlicher Cybersicherheitsprodukte ein. Dabei liefert jedes dieser Produkte verschiedene Signale und Datenpunkte, die Sicherheitsteams verwalten müssen. Doch diese Daten liegen meist in Silos vor und sind nur bedingt miteinander korreliert, sodass die Sicherheitsteams bei der Analyse, Prioritätensetzung und beim Risikomanagement subjektive Entscheidungen treffen müssen. Eine Firewall sagt beispielsweise nur etwas über die Netzwerksicherheit aus, Antivirenprodukte sagen nur etwas über die Endpunktsicherheit aus, und ein SOC meldet einen Cybervorfall erst, nachdem er eingetreten ist.

Unternehmen benötigen eine einzige und einheitliche Kennzahl, die objektiv und leicht verständlich ist und die Signale von Menschen, Prozessen und Technologien sowohl für Erst- als auch für Drittparteien dynamisch korreliert, um ein einziges, aussagekräftiges Ergebnis, beziehungsweise einen Score zu erhalten. Dieser Score muss die aktuelle unternehmensweite Cyber-Risikostellung und die damit verbundenen finanziellen Auswirkungen im Falle einer Sicherheitsverletzung darstellen. Solche Metriken sind umsetzbar und geben dem Vorstand und anderen Führungskräften die Sicherheit, datengestützte und fundierte Entscheidungen zur Cybersicherheit zu treffen.

Warum Unternehmen eine Bewertung von Cyberrisiken vornehmen sollten?

Herkömmliche Risikomanagementverfahren sind punktuell und vermitteln oft nur ein Gefühl der Sicherheit. Cyberangriffe werden immer häufiger, raffinierter und kostspieliger. Es ist nicht die Frage, ob, sondern wann ein Cyberangriff ein Unternehmen treffen wird. In einem solchen Szenario reicht es nicht mehr aus, sich auf vierteljährliche Audits oder Cybersicherheitsprodukte allein zu verlassen. Das Scoring von Cyberrisiken bietet die dringend benötigte Echtzeittransparenz über die Risikolage eines Unternehmens sowohl auf Makro- als auch auf Mikroebene. Darüber hinaus vereinfacht die Bewertung von Cyber-Risiken das Verständnis von Cyber-Risiken und hilft den Verantwortlichen für Sicherheit und Risikomanagement, besser mit dem Vorstand und den leitenden Angestellten des Unternehmens zu kommunizieren.

Ein einheitlicher Score ermöglicht Unternehmen, das Risiko mit einer entsprechenden Absicherung entweder zu akzeptieren oder zu mindern und eine proaktive Strategie zur Messung, Verwaltung und Reduktion von Cyberrisiken zu entwickeln.

Welche Daten eignen sich für die Erstellung eines Cybersicherheits-Scores?

Schon heute durchforsten Sicherheitsteams riesige Datenmengen, um subjektive Entscheidungen über die Risikolage des Unternehmens zu treffen. Es ist daher notwendig, dass Unternehmen Plattformen zur Quantifizierung von Cyberrisiken einsetzen, die diese Daten zu einem einzigen, objektiven Score für die Wahrscheinlichkeit von Sicherheitsverletzungen korrelieren. Dieser Score muss umsetzbar sein und den Sicherheitsteams ermöglichen, Entscheidungen auf der Grundlage von Daten zu treffen.

Daten, die beispielsweise berücksichtigt werden müssen, um den Wert für die Wahrscheinlichkeit des Eindringens eines Angreifers in ein Unternehmen zu ermitteln:

• Informationen zum Objekt, wie Geografie, Branche, Größe der Branche
• Richtlinienkontrollen auf Unternehmensebene, wie z. B. Richtlinien für die Passwortverwaltung, den Umgang mit Medien, Protokollierungs- und Überwachungsrichtlinien usw.
• Kontrollen auf Unternehmensebene für Cybersicherheitsprodukte wie Netzwerkzugangskontrollen, Antivirus, Data Loss Prevention (DLP)
• Konfigurationskontrollen auf Anlagenebene, wie Systemsicherheitsverwaltung, Schwachstellenmanagement, Datensicherheit usw.
• Sicherheitslücken und Malware auf Anlagenebene

Durch einen auf diesen Daten basierenden Score, lässt sich das Cybersicherheits-Risiko in eine einheitliche Zahl fassen. Somit können Sicherheits- und Risikomanagementverantwortliche zuversichtliche Entscheidungen über die Risikomanagementstrategie ihres Unternehmens treffen.

Unternehmen müssen sich proaktiv schützen können

Es geht nicht darum, ob, sondern wann ein Angreifer in Ihr System eindringt. Durch den Einsatz von Plattformen zur Quantifizierung von Cyber-Risiken können Unternehmen ihre derzeitige Risikolage genau vorhersagen und Abhilfemaßnahmen ergreifen, um ihre größten Risiken zu mindern. Cyber Risk Quantification-Plattformen wie SAFE verfolgen beispielsweise kontinuierlich, welche Techniken von mindestens einer Advanced Persistent Threat (APT)-Gruppe eingesetzt werden, um künftige Bedrohungen proaktiv zu erkennen und den Kunden die Möglichkeit zu geben, Probleme zu beheben, bevor sie sich verschärfen.

Der Zugang zu den richtigen Informationen zur richtigen Zeit ermöglicht es Unternehmen, die richtigen Strategien zu entwickeln – was sich einfach anhört, ist für größere Unternehmen jedoch schwierig geworden. Heute verwendet der durchschnittliche Fortune 200 CISO ganze 12 Dashboards zur Überwachung seiner Umgebung. Das ist eine Menge an Informationen, die überwacht werden muss, insbesondere wenn die einzelnen Produkte nicht effizient miteinander kommunizieren.

Zu viele Unternehmen haben keinen Zugang zu einer dynamischen Echtzeit-Ansicht der Sicherheit ihrer Organisation, die es ihnen ermöglicht, die Probleme zu identifizieren, die sofortige Aufmerksamkeit erfordern, und eine proaktive Verteidigung aufzubauen.

Wie sollten Unternehmen ihre Cybersicherheitslage bewerten?

Es gibt zwei wichtige Möglichkeiten, die Sicherheitslage einer Organisation zu bewerten:

Erstens sollten Unternehmen interne, intrusive Tests durchführen, worin zunächst die Geräte in einem Netzwerk gescannt werden, um sich einen Überblick über die Verbindungen zu verschaffen. Wenn Schwachstellen gefunden werden, sollten sie nach ihrem Schweregrad eingestuft und mit einem entsprechenden Sicherheits-Score versehen werden, damit die schwerwiegendsten Probleme zuerst angegangen werden. Anschließend werden diese Probleme behoben, und es folgen Tests, um zu prüfen, ob die Patches erfolgreich waren. Dieser Prozess sollte so oft wie möglich wiederholt werden, um eine kontinuierliche Bewertung der Cybersicherheitslage zu ermöglichen.

Die zweite Art von Tests sind externe, nicht-intrusive Tests. Bei dieser Methode werden Risikovektoren verwendet, die extern gemessen und dann mit tatsächlichen Sicherheitsvorfällen in Beziehung gesetzt werden können. Dies könnte die Überwachung des Dark Web auf das Durchsickern von Anmeldedaten oder anderen sensiblen Informationen und Anzeichen umfassen, die auf böswillige Aktivitäten innerhalb des Netzwerks eines Unternehmens hindeuten. Die Bewertung von Drittanbietern ist ebenfalls ein wichtiger Bestandteil der externen Tests. Wurde beispielsweise die Lieferkette eines verbundenen Unternehmens kompromittiert, so sollte man in der Lage sein, sich auf einen Angriff vorzubereiten und sofort Maßnahmen ergreifen zu können.

Autor: Saket Modi, Co-Founder und CEO bei Safe Security