Security-Startups im Porträt: RIMIAN Cyber-Risiken und Geschäftsprozesse korrelieren

Anbieter zum Thema

Arvato Systems

Vogel IT-Akademie

TXOne Networks

Ob großes oder kleines Unternehmen: Welche Cyberrisiken welche Assets betreffen, und welchen Schaden dann bei Angriffen Geschäftsprozesse nehmen können, wissen die meisten nicht. Also fällt es den Firmen schwer, eine stringente Sicherheitsstrategie zu entwickeln. Diesem Problem rückt jetzt das Startup RIMIAN aus dem Allgäu zu Leibe.

In dieser Serie stellt Security-Insider innovative, junge Startup-Unternehmen aus Deutschland, Österreich und der Schweiz vor, die mit innovativen Ideen die IT-Sicherheit voran bringen wollen. Das Startup RIMIAN („RIMIAN“ steht für „Risk Mitigate & Analysing“), aus Füssen im Allgäu unterstützt mit seiner Lösung Lifeblood Anwender dabei, Cyberrisiken ins Verhältnis zu den davon betroffenen Geschäftsprozessen zu setzen und die möglichen Schäden hinsichtlich der Wichtigkeit für die Wertschöpfung, aber auch monetär zu bewerten.

Das bildet eine Voraussetzung dafür, eine realistische, am Bedrohungs- und Schadenspotential von Risiken ausgerichtete IT-Sicherheits- und Schutzstrategie zu entwickeln. Denn alles gegen alles zu schützen, ist kaum möglich und zudem viel zu teuer. Lifeblood vereinigt also Geschäfts- und Produktionsprozesse, IT-Security und Risikomanagement.

Der Cloudservice Lifeblood, den RIMIAN beim Provider Noris Networks online stellt, ist das Kernprodukt des Unternehmens. Es liefert in Echtzeit Informationen über die gesamte Infrastruktur und deren aktuelle Bedrohungslage. Die aktuelle Lage wird auf dem sogenannten Cyber Risk Cockpit zusammengefasst und bewertet. Und zwar in einer Form, die nicht nur IT-Spezialisten verstehen.

Beratung inklusive

Die Aufgabe, ihre eigenen Geschäftsprozesse mit der IT zu korrelieren lässt sich aber nicht vollständig automatisieren. Deshalb bietet RIMIAN seinen Kunden als ersten Projektschritt ein-bis zweitägige Workshops an. Hier lernen sie Tools und Methoden kennen, um, IT-Risiken auf Geschäftsprozesse zu beziehen und somit deren Störungsrisiko einzuschätzen. Wird den Prozessen dann noch ein finanzieller Wert zugeordnet, lässt sich das Risiko von Zwischenfällen, die die jeweiligen Prozesse betreffen, in etwa beziffern.

Ergänzendes zum Thema

Im Gespräch mit Martin Braun, Gründer und Geschäftsführer von RIMIAN.

Security Insider: Herr Braun, wie kam Ihnen die Idee zu Lifeblood?

Braun: Ich war mehrere Jahre für den Rechenzentrumsbetrieb eines großen Schweizer produzierenden Unternehmens tätig. Seit dem Jahr 2000 war ich auch für IT-Security zuständig. Bei dieser Gelegenheit habe ich den ersten großen Angriff auf Maschinen erlebt. Das hat mich nachhaltig beeindruckt, weshalb ich mich nach 2011 als Berater für IT-Sicherheit mit der Cybersecurity-Manaufaktur selbständig gemacht habe. Die Cybersicherheits-Manufaktur berät große und kleine Firmen, Firmen mit KRITIS-Infrastruktur. Wir geben auch Hilfe bei Cyber-Angriffen. Dabei haben wir oft erlebt, dass das Management in solchen Situationen vollkommen überfordert ist.

Security Insider: In welcher Hinsicht?

Braun: Es fehlt die Sensibilität für die engen Zusammenhänge zwischen IT-Assets und Geschäftsprozessen, und es fehlt oft auch eine monetäre Bewertung einzelner Geschäftsprozesse. Niemand weiß genau, was es bedeutet, wenn ein bestimmter Prozess ausfällt und von welchen IT-Komponenten das abhängt. Das ganze Thema wird meist an die IT delegiert, aber es ist nicht deren Aufgabe, solche Bewertungen durchzuführen. Das gehört eindeutig in den Bereich der Geschäftsführung. Was fehlt, ist also ein Werkzeug, das dem oberen Management deutlich zeigt, was gerade besonders bedroht ist, was es bedeutet, wenn sich eine solche Bedrohung materialisiert und welche IT-Assets man wie schützen muss, damit das nicht geschieht.

Security Insider: Können Sie ein Beispiel nennen?

Braun: Einer unserer Kunde hatte eine Niederlassung in der Ukraine, deren Management darum bat, das Patching der dortigen Systeme abzuschalten, da dieser Prozess so viel Zeit kostete. Dem Drängen gab das zentrale Management nach. So entstand eine Sicherheitslücke, die dazu führte, dass im Nu 300 Server von Ransomware verschlüsselt waren. Auch veraltete Systeme, die sich gar nicht mehr patchen lassen, erhöhen solche Risiken.

Security Insider: Woran liegen solche fatalen Fehleinschätzungen?

Braun: Ganz generell fehlt dem Management oft noch ein Gefühl dafür, wie wichtig die IT für sie ist. Da hilft auch eine ISO Zertifizierung oft wenig. Wenn ein Channel-Manager eines Unternehmens die E-Mail für das wichtigste IT-System hält und nicht etwa das digitale Bezahlmanagement, stimmt etwas nicht. Dem wollen wir durch unsere Lösung entgegenwirken. Wir stellen die Abhängigkeiten der Geschäftsprozesse von den IT-Services und deren IT Assets dar.

Security Insider: Worin lag die größte Herausforderung beim Erstellen Ihrer Software?

Braun: Das war und ist zweifellos, alle nötigen Informationen von den Herstellern der eingebundenen Geräte beispielsweise zu Patchleveln und Patchstatus zu bekommen. Denn es handelt sich oft um ausgesprochen heterogene Umgebungen, deren Komponenten nicht nur aus der IT stammen.

Auch Maschinen werden einbezogen

Dabei bezieht Lifeblood nicht nur typische IT-Assets ein. Auch eingebettete Systeme, mit Intelligenz und Netzverbindungen ausgerüstete Sensoren oder Maschinen mit nachträglich angeflanschten IT-Komponenten in IoT-Implementierungen können das System mit Daten beliefern. So entsteht eine Risikio-Rundumsicht, wie sie gerade zum Schutz kritischer Infrastrukturen notwendig ist.

Änderungen an den Systemen verfolgt und dokumentiert Lifeblood in Echtzeit. Sie fließen sofort in die aktuelle Risikobewertung mit ein. Dies gilt insbesondere für eine akribische Verfolgung von Patch-Levels. Aber auch für die Feststellung, ob die Fähigkeiten von Systemen noch mit den aktuellen Regeln übereinstimmen. Ein Beispiel: Schreibt die Passwortrichtlinie ein Passwort mit 12 Zeichen vor, schaffen einzelne Systeme aber nur Passworte mit acht Zeichen, dann sind letztere ein Sicherheitsrisiko. Sie sollten deshalb ausgetauscht werden.

Compliance-Reporting

Schließlich ermöglicht Lifeblood durch die revisionssichere Darstellung des Systemgeschehens das Erstellen von Compliance-Reports nach einschlägigen Normen. Beispiele sind ISO 27001, die DSGVO oder TISAX ( (Trusted Information Security Assessment Exchange). Letzteres ist eine Prüf- und Austauschmechanismus von Prüfergebnissen, der von der Automobilindustrie angewendet wird.

Für das Asset-Management, also die Erfassung der IT-Assets, kommt mit Lifeblood ein Open-Source-Tool, das die vorhandenen Assets erfasst. Dafür müssen keine Agenten auf den Assets installiert werden. Zudem lassen sich Inventare und Daten auch aus anderen Werkzeugen in Lifeblood einlesen oder von Lifeblood in die entsprechenden Systeme transferieren. Das gilt beispielsweise für Active-Directory-Server, Managed-Security-Server, SIEM oder übergreifende Risikomanagement-Systeme. Basis der Auswertungen ist jeweils die IP/MAC-Adresse des betreffenden Assets.

KI-Komponente in Planung

Geplant ist, in Zukunft eine KI-Komponente aus der Cloud heraus anzubieten, die die Lifeblood-Daten der bisherigen Anwender anonymisiert auswertet. Anschließend kann sie bestehenden und neuen Anwendern automatisiert Anregungen zur Verbesserung ihres Sicherheitsniveaus geben.

Kunden

Derzeit hat RIMIAN Beta-Kunden aus unterschiedlichen Branchen. Darunter sind eine Brauerei, eine Bank, ein Automobilzulieferer, ein Energieversorger und eine Klinik. Das System lässt sich grundsätzlich in allen Branchen einsetzen.

Preismodell

Das Preismodell ist einfach strukturiert: Lifeblood ist grundsätzlich als Abo erhältlich. Der Preis hat zwei Komponenten. Die erste ist die Herstellung einer lauffähigen Umgebung, die einmalig mit etwa 5000 Euro zu Buche schlägt. Der laufende Betrieb wird dann nach der Zahl der überwachten Komponenten abgerechnet. Dabei kosten IT-Assets 3,55 Euro pro Monat, OT-Assets 1,75 Euro pro Monat. Als IT-Assets werden beispielsweise Server und andere Komponenten mit Standard-Betriebssystemen definiert, deren Patching nicht automatisch erfolgt. OT-Assets sind alles Übrige.

Expansionspläne

RIMIAN adressiert vorläufig Kunden aus dem deutschsprachigen Bereich, später ist die Expansion in die USA geplant. Allerdings erst, wenn das laufende Patentverfahren, mit dem RIMIAN seine Basistechnologie absichern möchte, abgeschlossen ist.

(ID:48414508)