Business-Kriterien zur SAP-Risikobewertung

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FAST LTA GmbH

Onapsis GmbH

Betriebswirtschaftliche Betrachtung

Bei einer rein technischen Inventarisierung der Sicherheitsrisiken fehlt aber eine aussagekräftige Diskussionsgrundlage für eine betriebswirtschaftliche Priorisierung der Gefahrenabwehr durch die verschiedenen Verantwortlichen, wie CISO, CDO, SAP-Basis-Teams, Netzwerkadministratoren, IT-Sicherheits-Teams oder Fachabteilungen. Die Verantwortlichen benötigen daher eine Übersetzung technischer Lücken in betriebswirtschaftliche Risiken und zugleich Informationen über den zu erwartenden Aufwand, um fokussiert die wichtigsten Lücken zu schließen.

Der Zwang zur Priorisierung ist aber oft auch eine Folge des Ressourcenmangels in Unternehmen. Schon für das Einspielen der aktuellen, von SAP gelieferten Patches verfügen Unternehmen oft über zu wenig Zeit und Personal. Unter Zeitdruck werden vorrangig solche Patches implementiert, die die Funktionalität des Systems verbessern und technische Probleme beseitigen.

Sicherheitsrelevante Aktualisierungen werden aber oft aufgeschoben oder unterlassen. Denn sie verlangen unter Umständen mehr Aufwand durch umfassende Neukonfigurationen, ohne erst einmal einen erkennbaren Nutzen zu schaffen. Aus der Perspektive der Sicherheitspolitik werden hier falsche Prioritäten gesetzt.

Prioritäten wollen aber auch individuell gesetzt werden. Unter Umständen müssen oder können Unternehmen zudem mit manchen Risiken ganz gut leben, sofern die Compliance-Vorgaben unterschiedlicher Branchen berücksichtigt werden. Dieser Mut zur Lücke lässt sich aber nur dann verantworten, wenn sich die Verantwortlichen der Folgen einer Lücke genau bewusst sind.

Übersetzen von Risiken

Eine effektive SAP-Sicherheitspolitik verlangt daher die Korrelation jedes Risikos mit den betriebswirtschaftlichen Folgen. Wie sieht diese Übersetzungsarbeit letztlich aus? Die Illustration im Aufmacherbild zeigt Beispiele für solche Übersetzungsmöglichkeiten bei einem ersten Assessment von SAP-Systemen.

Die Schilderung der Gefahren scheint zwar immer noch recht technisch, aber die Sprache ist doch deutlich. Denn Möglichkeiten zu Spionage, Betrug oder Sabotage durch Angriffe auf die Verfügbarkeit lassen sich so schnell erkennen und einschätzen. Wird mit weiteren Lösungen zu Assessment sowie zur Erkennung und Abwehr von Gefahren ein kontinuierlicher Assessment-Prozess etabliert, können Unternehmen die Sicherheitslage ständig beobachten und verbessern.

Prioritäten im Mitigationsprozess

Die Notwendigkeit zur Priorisierung gilt auch für das Feststellen tatsächlich vorhandener Lücken, das Melden einschlägiger Bedrohungen oder das kontinuierliche Beobachten von verdächtigem Verhalten. Dazu zählen etwa auffällige Zugriffsmuster auf Daten und Anwendungen, die auf böswillige Aktivitäten hindeuten.

Juan Perez-Etchegoyen

Ein Angriff liegt zum Beispiel höchstwahrscheinlich vor, wenn ein Mitarbeiter aus der Research-and-Development-Abteilung plötzlich zu ungewöhnlichen Zeiten oder während seines Urlaubs auf Kundenlisten, Rechnungsdaten oder die Lieferanten-Datenbanken zugreift. Nur ein automatisches und kontinuierliches Assessment-, Detection- und Response-System gewährleistet auch hier eine stets aktuelle Prioritätenliste für die unmittelbare Reaktion oder den Einbau in den Mitigations-Plan – orientiert an den Common Vulnerability Scoring System (CVSS)-Kriterien.

* Juan Perez-Etchegoyen ist CTO bei Onapsis.

(ID:44025960)