Gesponsert
Share

Das CTEM-Framework navigieren: Warum klassisches Schwachstellenmanagement nicht mehr ausreicht

Podcast mit Sebastian Brabetz, Channel SE EMEA bei Pentera.

Thema: Die Angriffsfläche ist nicht mehr das, was sie einmal war, und es wird immer schwieriger, sie zu schützen. Vor ca 2 ½ Jahren wurde von Gartner ein neuer Rahmen geschaffen, um diesen Herausforderungen zu begegnen – das Continuous Threat Exposure Management (CTEM). Seitdem hat die Umsetzung dieses Rahmens in vielen Organisationen Priorität, da davon ausgegangen wird, dass er zu einer tiefgreifenden Verbesserung bei der Aufrechterhaltung eines hohen Maßes an Sicherheitsbereitschaft und Widerstandsfähigkeit führt.

Das Schwachstellenmanagement ist seit langem der Eckpfeiler der Cybersicherheitsstrategien vieler Organisationen und konzentriert sich auf die Identifizierung und Behebung bekannter CVEs.

Bei der Implementierung des CTEM-Frameworks verlagert das Schwachstellenmanagement den Fokus auf die Priorisierung von Schwachstellen auf der Grundlage ihrer Ausnutzbarkeit und Kritikalität. Angesichts der zunehmenden Komplexität der IT-Umgebung und der verbesserten Fähigkeiten von Bedrohungsakteuren reicht Schwachstellenmanagement allein jedoch nicht mehr aus, um die Cybersicherheit des Unternehmens aufrechtzuerhalten. Besonders deutlich wir es, wenn man die jährlich steigende Zahl veröffentlichter CVEs berücksichtigt.

Dies macht es zu einem unrealistischen Ziel, die perfekte Lösung zu finden, insbesondere da nicht patchbare Schwachstellen wie Fehlkonfigurationen, Active Directory-Probleme, nicht unterstützte Software von Drittanbietern, gestohlene und durchgesickerte Anmeldedaten und vieles mehr nicht berücksichtigt werden, die bis 2026 für über 50 % der Unternehmensrisiken verantwortlich sein werden.

  • Würdest Du bitte erklären, was das CTEM-Framework ist, und uns einen kurzen Überblick über seine wichtigsten Komponenten geben?
  • Was muss sich an unserem Ansatz zur Sicherheit ändern? Was fügt das CTEM-Framework der Sicherheit hinzu, das zuvor fehlte oder vielleicht weniger im Fokus stand?
  • Wenn Du sagst, dass Validierung eine neue Praxis ist, was bedeutet das in der Realität und was beinhaltet es?
  • Was beobachtest Du bisher auf dem deutschen Markt in Bezug auf die Anwendung? Handelt es sich um ein theoretisches Framework, oder priorisieren Sicherheitsteams dies tatsächlich?
  • Welche Ratschläge würdest Du geben, die das CTEM-Framework in ihren Organisationen einführen möchten, um es effektiv umzusetzen?
  • Wie passt Pentera in das CTEM-Framework? Welche Funktionen bietet ihr in diesem Zusammenhang an?
  • Gibt es noch etwas, das Du hinzufügen möchtest oder von dem Du denkst die Zuseher / Zuhörer über CTEM wissen sollten?

Pentera bei LinkedIn

Weitere Informationen:

Bisherige Podcasts mit Pentera:

Messung des ROI in der Cybersicherheit

Podcast mit Hanspeter Karl,  Area Vice President DACH bei Pentera

Thema: Wie steht es um den Return of Invest, der die Rentabilität einer Investition betrifft. Hat dieser Punkt Ihre Kaufentscheidung beeinflusst? Wurde es berücksichtigt?

  • Lass uns ein wenig über die IT-Sicherheitslandschaft und den ROI sprechen. Wie erlebst Du das bei Neukunden, Interessenten etc.? Wird dieser gemessen oder berücksichtigt? Was sagst Du dazu?
  • Was sind die größten Herausforderungen bei der Quantifizierung und dem Nachweis des ROI gegenüber der Geschäftsführung oder der zuständigen Abteilung?
  • Wie können Unternehmen die Investitionsrendite für Cybersicherheits-Tools und -Initiativen effektiv messen?
  • Kannst Du das näher erläutern und Beispiele dafür geben, wie das aussehen kann? Was bedeutet es, Budgetposten zu reduzieren? Wie würdest Du Produktivität und das Risiko mit „Geld“ verknüpfen?
  • Welche Vorbereitungen sind erforderlich, um diese interne Diskussion effektiv zu führen?
  • Was wäre die Methode für ein Sicherheitsteam, um die Effektivität zu testen und den ROI seiner Tools zu beweisen?
  • Mit welchen internen Herausforderungen könnten Organisationen konfrontiert werden, wenn sie beginnen, über den ROI nachzudenken?
  • Wie sieht der Prozess aus, um mit der Bewertung des ROI zu beginnen?
  • Wie kann Pentera als Sicherheitsanbieter den Sicherheitsexperten helfen, den ROI zu rechtfertigen?
Wie kann man mit Pentera wie ein Angreifer denken?

Podcast mit Marcel Keiffenheim, Director of Technical Advisors bei Pentera

Thema: Verlassen Sie sich nicht auf Annahmen. Validieren Sie. Denn “ziemlich sicher” bedeutet nicht abgesichert. Reduzieren Sie Ihre Exposition mit Automatisierter Sicherheitsvalidierung.

  • Was ist eine automatisierte Sicherheitsvalidierung?
  • Welche Rolle spielt sie in der Sicherheitslandschaft?
  • Warum?
  • Wie wird die Perspektive des Hackers automatisiert? Ist dieses Vorgehen möglich?
  • Was sind die wichtigsten Anwendungsfälle für die Sicherheitsvalidierung?
  • Wie unterstützt Pentera Unternehmen, die eine ISO27001-Zertifizierung anstreben oder aufrechterhalten möchten, sowie die Einhaltung von DORA/NIS2?
  • Warum sollte ein Pentester/Red-Teamer ein Produkt wie Pentera einsetzen? Stellt die automatische Sicherheitsvalidierung eine Bedrohung für Pentester dar?
Von Ransomware-Aware zu Ransomware-Ready

Podcast mit Fabian Nöldgen, Principal Sales Engineer bei Pentera

Thema: Von Ransomwarebewusst zu Ransomwarebereit

  • Fabian, warum tun sich Unternehmen so schwer mit Ransomware und der Abwehr von Angriffen? Liegt es an fehlenden Lösungen oder an mangelnder Aufklärung?
  • Welche Rolle spielt Threat Intelligence, wenn es darum geht, Ransomware-Bedrohungen vorzubeugen, und wie können Unternehmen Daten nutzen, um ihre Sicherheitslage zu verbessern?
  • Welche Strategien können eingesetzt werden, um die Angriffsfläche gegen Ransomware zu härten, insbesondere in Hybriden und Cloud-Umgebungen?
  • Pentera hat ein Ransomware-Testmodul. Was heisst das? Erzähle mir bitte mehr über dessen Fähigkeiten?
Verwaltet Ihr Unternehmen seine Bedrohungslage effektiv?

Podcast mit David Berger, Regional Manager bei Pentera

Thema: THE STATE OF PENTESTING 2024 – dieser Bericht gibt einen Überblick darüber, wie Sicherheitsverantwortliche im Jahr 2024 Sicherheitsvalidierungsstrategien in ihren Unternehmen umsetzen. Was sind die wichtigsten Motivationen und Hemmnisse für Pentesting? Wie viel investieren Unternehmen in ihre Sicherheitspraktiken und ihre Sicherheitsvalidierung? Ist unsere Sicherheit überhaupt effektiv?

  • David, was ist der schockierende, was ist der überraschendste Befund im diesjährigen Bericht?
  • Was können uns diese Befunde/Erkenntnisse über unsere Angriffsoberfläche, das Cybersecurity-Ökosystem verraten?
  • Welche weiteren wichtigen Ergebnisse im Bericht hältst du aus globaler und regionaler Perspektive für äußerst bedeutend?
  • Wie können Security-Teams die Sichtweise eines Angreifers nutzen, um die Sicherheit ihrer Unternehmen proaktiv zu stärken?
  • Was sind die neuesten Fortschritte im Bereich des Penetration Testing? Wie können Organisationen davon profitieren und warum zögern Organisationen, diese zu übernehmen?
  • Wie oft sollten Test durchgeführt werden?

Music by BlueSwine