Kostenlose Studie für den Mittelstand IT Klub misst den Reality Gap der IT-Sicherheit

Anbieter zum Thema

IT Klub Mainz & Rheinhessen e.V.

secunet Security Networks AG

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Der neue Leitindex für IT-Security vergleicht in einer Studie die Selbsteinschätzung mittelständischer Unternehmen mit technischen Messungen. Teilnehmer erhalten kostenlos eine Bestandsaufnahme, einen Branchenvergleich und Hinweise auf ihren „Reality Gap“.

Der IT Klub hat die erste Erhebungswelle seines neuen „Leitindex für IT-Security“ gestartet. Die wiederkehrende Studie misst den Sicherheitsreifegrad mittelständischer Unternehmen in Deutschland, Österreich und der Schweiz. Sie soll sichtbar machen, wie stark die eigene Wahrnehmung der Cybersicherheit vom tatsächlich gemessenen Sicherheitszustand eines Unternehmens abweicht. Diese Differenz wird als „Reality Gap“ bezeichnet. Unternehmen, die an der Studie teilnehmen, erhalten eine kostenlose Bestandsaufnahme mit Benchmark-Einordnung gegenüber Unternehmen derselben Branche und Größenklasse. So sollen CIOs und Security-Verantwortliche erkennen, in welchen Bereichen Selbstbild und Messwerte auseinanderliegen und wo sich Investitionen priorisieren lassen.

Der IT Klub ist ein Netzwerk aus über 160 Mitgliedsunternehmen aus der IT- und Medienbranche mit Sitz in Mainz. Der 2013 gegründete, ehrenamtlich geführte Verein arbeitet nach eigenen Angaben mit Hochschulen, der Stadt Mainz, der IHK Rheinhessen und dem Land Rheinland-Pfalz zusammen. Der Verein gibt die Studie heraus, die Erhebung übernehmen spezialisierte Unternehmen. Ein Beirat soll die Methodik begleiten. Herausgeber und durchführende Unternehmen sind laut IT Klub wirtschaftlich voneinander getrennt.

Zwischen Sicherheitsgefühl und Fakten

Warum Unternehmen einen Cyber-Realitätscheck brauchen

Selbsteinschätzung trifft Messung

In die Bewertung fließen zwei Ebenen ein. Ein Fragebogen erfasst die Selbsteinschätzung in den Bereichen technische und organisatorische IT-Sicherheit, Datenschutz sowie Business Continuity. Der Basisteil dauert laut IT Klub nur wenige Minuten. Nach Zustimmung des Unternehmens kommen optionale technische Messungen hinzu. Nach Angaben des IT Klub stellen Tool-Hersteller den Teilnehmern dafür drei Werkzeuge kostenfrei zur Verfügung: einen externen Penetrationstest, ein Lieferketten-Screening und einen Phishing-Test der Belegschaft. Gemessen werden unter anderem Klick- und Interaktionsraten, offene Ports, veraltete Komponenten und exponierte Systeme. Die Erhebung läuft über eine GRC-Plattform (Governance, Risk and Compliance). Sie führt Selbstauskunft und Messwerte zusammen und berechnet daraus den Reality Gap.

In die Bewertung fließen zwei Ebenen ein. Ein strukturierter Fragebogen erfasst die Selbsteinschätzung in den Bereichen technische und organisatorische IT-Sicherheit, Datenschutz sowie Business Continuity. Nach Zustimmung des Unternehmens kommen technische Messungen hinzu in Form einer kontrollierten Phishing-Simulation mit Testmails an Beschäftigte und eines automatisierten Penetration-Scannings öffentlich erreichbarer Dienste. Gemessen werden unter anderem Klick- und Interaktionsraten, offene Ports, veraltete Komponenten und exponierte Systeme.

Die Ergebnisse werden auf einer Skala von 0 bis 5 eingeordnet. Das zugrunde liegende Reifegradmodell orientiert sich laut IT Klub an Referenzrahmen wie dem NIST Cybersecurity Framework und Anforderungen der ISO/IEC 27001. Stufe 3 auf der Skala gilt als wirtschaftlich sinnvolles Ziel, bei dem Sicherheitsprozesse definiert, dokumentiert und im Arbeitsalltag verankert sind.

Interview mit Dr. Jürgen Dürrwang, Head of Pentesting bei ITK Engineering

Pentesting ist geduldiges Handwerk und ein bisschen Kunst

Auswertung bleibt beim Unternehmen

Die individuellen Ergebnisse bleiben beim jeweiligen Unternehmen. Die Auswertung zeigt den Reifegrad in vier Kategorien sowie die schwächsten Stellen, an denen Unternehmen zuerst ansetzen sollten. Für die Gesamtauswertung werden die Daten anonymisiert in einer deutschen Cloud verarbeitet. Teilnehmer erhalten die Gesamtergebnisse vor der offiziellen Veröffentlichung. Die Teilnahme ist laut IT Klub kostenfrei und unverbindlich, die Einwilligung jederzeit widerrufbar. Den Wert der kostenfreien Tests beziffert der Verein auf weit über 10.000 Euro.

Nach Angaben des IT Klub haben sich bereits 22 Unternehmen aus dem DACH-Raum registriert. Interessierte Unternehmen können sich über die Website des Leitindex anmelden.

Neuer Ansatz für Cyber-Risikomanagement

Warum Exposure Management das Schwachstellen-Management ablöst

(ID:50964036)