Neue Strategien zur Integration des Risikomanagement in die Geschäftsabläufe Das Risikomanagement zwischen Erwartung und Realität

Anbieter zum Thema

Tanium GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Insider Research

Energiekrise, Unterbrechungen der Lieferkette, Inflation und Cyberangriffe mit weitreichenden Folgen – Unternehmen stehen derzeit vor vielen Herausforderungen, die ihr Business bedrohen. Die Art und Weise, wie sie mit diesen Risikofaktoren umgehen, entscheidet jedoch über ihren Erfolg.

Dem Allianz Risk Barometer 2024 zufolge, ist es die Bedrohung durch Cyberangriffe, die Unternehmen derzeit die größten Sorgen bereitet. Und diese Sorgen sind nicht gänzlich unberechtigt: Der New Way of Work hat, ebenso wie die Migration der Inhouse-Rechenzentren in hybride Clouds, viele Vorteile mit sich gebracht. Allerdings zeigen sich auch neue Risiken: So ist der Sicherheitsring um ein Unternehmen herum nicht mehr physisch definiert und daher wesentlich anfälliger für Cyberangriffe. Darüber hinaus möchten viele Mitarbeiter ihre eigenen Endgeräte verwenden und von überall aus auf das Netzwerk zugreifen. Diese Faktoren erhöhen die Komplexität des Netzwerks und erfordern einen neuen Ansatz für das Risikomanagement.

Viel hilft viel?

Von Jahr zu Jahr rücken Sicherheitslösungen stärker in das Bewusstsein der Unternehmensentscheider. Doch im Bestreben, mögliche Schwachstellen schnell ausmerzen zu wollen, neigen viele Organisationen dazu, die Anzahl ihrer Tools zur Bekämpfung von Cyberbedrohungen zu erhöhen. Lassen sich die neuen Lösungen jedoch nicht in die bestehenden integrieren, schafft dies nur neue Probleme. Hinzu kommt, dass viele Verantwortliche längst den Überblick über ihre Infrastrukturumgebung verloren haben.

Das Bestreben, das aktuelle Toolset zu optimieren, ist zwar keine schlechte Idee, allerdings scheint der Konsens zu sein, die vorhandenen Tools voll auszuschöpfen und dann zu versuchen, Dinge zu vereinfachen.

Ist das Single-Pane-of-Glass-Modell genug?

Möglichst aussagekräftige Informationen darüber zu erhalten, was im Netzwerk vor sich geht, hat angesichts der Raffinesse der Cyberkriminellen oberste Priorität. Doch das ist nicht immer einfach. Viele Unternehmen setzen hierbei auf das Single-Pane-of-Glass-Modell als Antwort auf die zunehmende Fragmentierung der Lösungen, die eine Analyse des Zusammenspiels all dieser Daten und Systeme erschwert. Hierbei werden Daten oder Schnittstellen aus unterschiedlichen Quellen in einer zentralen Managementkonsole zusammengeführt und einheitlich dargestellt. Da jedoch sowohl das Datenvolumen als auch die Datenabhängigkeit steigen, wird aus einem einfachen Konzept ein schwieriges Unterfangen. So kommt es, dass viele Unternehmen heute einen mehrschichtigen Ansatz wählen, sodass sich ein realistischeres Bild ergibt und sie die Möglichkeit haben, einen ganzheitlichen Blick auf die Risiken zu werfen, die mit geschäftskritischen Daten und Anwendungen verbunden sind.

Compliance oder risikobasierter Ansatz?

Unternehmen können sich durch die Einhaltung von Vorschriften vor zahlreichen Risiken schützen. Die Annahme, dass die Einhaltung von Vorschriften mit Cyber-Resilienz gleichgesetzt werden kann, ist jedoch weitgehend unzutreffend. Konformität und Regulierung konzentrieren sich in der Regel auf eingeschränkte Bereiche und fördern einen taktischen Ansatz, bei dem nur das Nötigste berücksichtigt wird. Dies kann dazu führen, dass Sicherheitsschwachstellen und -lücken unkontrolliert bleiben. So wird es vielmehr darum gehen, nach Möglichkeiten zu suchen, um die Kluft zwischen der Einhaltung von Vorschriften und einem risikobasierten Ansatz, der Risiken vorbeugt und abmildert, zu schließen.

Um einen risikobasierten Ansatz in die Realität umsetzen zu können, müssen Unternehmen jedoch genau wissen, wo sich ihre geschäftskritischen Daten und Anwendungen befinden. Sie müssen einen Überblick über ihr IT-Ökosystem und ihre organisatorischen Abläufe haben, um einen Wildwuchs an Tools und Informationen zu vermeiden. Und das bedeutet, dass sie eine Politik der Klarheit statt der Komplexität verfolgen müssen, indem sie Programme zur Vereinfachung ihrer IT-Ökosysteme ins Auge fassen. Allerdings wird es schwer, Schwachstellen zu entdecken und Schwächen zu erkennen, wenn keine Transparenz gegeben ist.

Neue Strategien zur Integration des Risikomanagement in die Geschäftsabläufe

Neben der Verbesserung der Sichtbarkeit aller Assets ist die Einhaltung von Regelungen zur Cyberhygiene die wichtigste Voraussetzung eine gute Cyberresilienz. Diese beiden Faktoren bedingen sich auch gegenseitig. Den Cyberhygiene beginnt mit Transparenz, etwa mit der Katalogisierung der Hard- und Software, die mit dem Netzwerk verbunden ist. Entscheidend ist hier vor allem die Begrenzung des Wildwuchses an Tools, der Cyberkriminellen Tür und Tor öffnet. Schnellschüsse und Hype-Lösungen, um diesen Wildwuchs zu bekämpfen, sind hier jedoch wenig zielführend. Denn zusätzliche Tools schaffen nicht selten weitere Komplexitätsebenen im Ökosystem.

Automatisierung

Die Implementierung und Aufrechterhaltung der IT-Hygiene ist zwar wichtig, kann aber ein zeitaufwändiger Prozess sein. Selbst für die erfahrensten Sicherheitsexperten ist das Sammeln von Daten aus einer Vielzahl spezialisierter Tools mit begrenzter Interoperabilität ein Hindernis für die Erfassung zeitnaher und kontextbezogener Informationen. Durch die Automatisierung von Prozessen im Zusammenhang mit der IT-Hygiene und der Sicherheitswartung können sich Unternehmen wieder auf Projekte konzentrieren, die strategisch auf die Unternehmensziele ausgerichtet sind. Dies trägt dazu bei, sicherheitsrelevante Aktivitäten von einer Kostenstelle in einen Umsatzbringer zu verwandeln. Automatisierte Workflows bieten sich etwa bei der Reaktion auf Vorfälle auf niedriger Ebene an. In vielen Fällen werden Sicherheitswarnungen ignoriert, da den IT-Teams die Zeit fehlt, diese zu bearbeiten. Mit Hilfe der Automatisierung dieser Prozesse lassen sich Workflows erstellen, um zu entscheiden, ob ein Vorfall eine echte Bedrohung darstellt, für die sofort Gegenmaßnahmen ergriffen werden müssen, oder ob dieser folgenlos ignoriert werden kann. Dies trägt dazu bei, sicherheitsrelevante Aktivitäten von einer Kostenstelle in einen Umsatzbringer zu verwandeln.

CIO und CISO gemeinsam für eine bessere Sicherheitskultur

Die Unternehmenskultur ist eine Schlüsselkomponente für ein besseres Risikomanagement. Bedeutet: Das Thema Sicherheit sollte zu einem integralen Bestandteil des Unternehmens werden. Dieses Projekt beginnt an der Spitze des Unternehmens, mit einer engeren Zusammenarbeit zwischen CIOs, CISOs und dem Vorstand. So sollte sichergestellt werden, dass Sicherheitsexperten nicht nur in die Gestaltung und Umsetzung der IT-Agenda, sondern auch der gesamten Geschäftsplanung einbezogen werden.

Die Rolle, die SecOps spielen kann

Die Einführung von SecOps-Modellen fördert die Zusammenarbeit zwischen Sicherheitsteams und IT-Betrieb. Damit SecOps-Modelle erfolgreich von der Strategie in die Umsetzung übergehen können, müssen Unternehmen ein tiefes Verständnis der Tools erlangen, die die Disziplinen verbinden, und Wege finden, diese Tools sinnvoll zu integrieren, um eine effektive Zusammenarbeit zwischen isolierten Teams zu ermöglichen.

Durch die Förderung einer besseren Zusammenarbeit zwischen Sicherheits- und IT-Betriebsteams können Unternehmen die Sichtbarkeit sowohl von Sicherheitsrisiken als auch von IT-Prioritäten erhöhen, um sowohl das Geschäftswachstum als auch die Widerstandsfähigkeit zu fördern. Durch die Integration und Automatisierung von Sicherheits- und IT-Abläufen können weitere Vorteile in Form von Flexibilität und Effizienz erzielt werden.

Wie sich Risiko und Compliance die Waage halten

Tool-Konsolidierung und IT-Hygiene haben sich eindeutig als Strategien zur Rationalisierung des IT-Betriebs und zur Kostensenkung bei gleichzeitiger Verbesserung der Sicherheit und Compliance herauskristallisiert. Es kann jedoch schwierig sein, ein Gleichgewicht zwischen Risiko und Compliance zu erreichen. Einerseits müssen Unternehmen die Sicherheit und die Einhaltung von Vorschriften gewährleisten, um sensible Daten zu schützen und Bußgelder zu vermeiden. Andererseits müssen sie aber auch agil und flexibel sein, um den sich ändernden Geschäftsanforderungen gerecht zu werden. Ein strategischer und präventiver Ansatz erfordert die Konzentration auf die Optimierung und Integration der vorhandenen Tools sowie deren Konsolidierung, damit die Verantwortlichen einen besseren Überblick über die Bedrohungslandschaft erhalten.

Viele Unternehmen versuchen, komplexe Cybersicherheitsbedrohungen mit linearen Lösungen zu lösen. Bei einem dynamischen Problem wie der Sicherheit müssen Unternehmen verstärkt auf integrierte Plattformen setzen, die ein vollständiges Bild liefern. Stützen sich Organisationen auf Leitprinzipien, können sie risikobasierte Ansätze und Kooperationsmodelle einführen, die die Sicherheit zu einem integralen Bestandteil der Geschäftstätigkeit machen und so die Lücke zwischen Erwartung und Realität schließen.

Über den Autor: Zachary „Zac“ Warren ist Chief Security Advisor bei Tanium.

(ID:49891868)