Managed Security Service Provider - gestern, heute und künftig Risiken beim Einsatz von MSSP

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Fachkräftemangel, Komplexität und regulatorische Anforderungen: Deswegen werden Leistungen der operativen Informationssicherheit ausgelagert. Die Veränderungen des Lagebildes über die letzten Jahre konfrontiert Organisationen mit neuen Risiken.

Grundsätzlich kann der Einsatz von Managed Security Service Providern (MSSP) Organisationen dabei unterstützen, Systeme und Prozesse zu managen, die kritische und/oder wichtige Funktionen unterstützen.

Andererseits hat sich das Lagebild über die letzten Jahre radikal verändert: Eine extrem hohe Anzahl an globalen Unternehmen unterschiedlichster Unternehmensgrößen agiert als MSSP und bieten zusammen mit Technologie-Anbietern, Partner-Unternehmen und gegebenenfalls weiteren Dritten, Leistungen sowohl Ende-zu-Ende wie auch in hybriden Modi an.

ISX Top-Thema Managed Services

So können externe Cyber-Abwehrzentren Sie entlasten

Security-Insider Podcast – Folge 36

MSS – Weniger Kontrolle für mehr Sicherheit?

Gleichzeitig bieten unabhängige weitere Dienstleister an, bei der initialen Anbieterauswahl zu unterstützen, zusätzlich stehen KI-Unterstützung, Automatisierung und die wachsende Intensivität be­zie­hungs­wei­se Komplexität von Angriffen im Fokus.

Make or buy

Die auslagernde Organisation muss grundsätzlich über eine gewisse interne Reife verfügen um die initiale be­zie­hungs­wei­se fortlaufende Bewertung „make or buy“ angemessen durchführen zu können. Obligatorisch sind dafür ISMS/BCMS in einem hohen Reifegrad sowie eine durch das Top-Management unterstützte Governance-Struktur mit tatsächlich gelebten Verantwortlichkeiten, objektiven Zielen und reproduzierbaren Ergebnissen.

Nur so ist es möglich, möglicherweise aufgedeckte fachliche, organisatorische und prozessuale Lücken (Risiken) durch den Einsatz von MSSP (Maßnahmen, Liefergegenstände, Fähigkeiten) gezielt zu verringern, vermeiden und verteilen. Strategisch muss darüber hinaus sichergestellt werden, dass der oder die MSSP über die Laufzeit der Leistungserbringung aktiv anhand klar definierter, objektiver Ziele fortlaufend gemanaged werden kann.

Um ein entsprechendes Monitoring sicherzustellen, ist seitens des MSSP ein angemessener Grad an Transparenz notwendig, auf Seiten des Auftraggebers, neben der gewissen Reife, auch tiefgründiges Fachwissen und die notwendige zeitliche Kapazität.

Resilienz und Third-Party-Management

Für die von Artikel 2 des Digital Operational Resilience Act (DORA) direkt betroffenen Organisationen gilt es zusätzliche Maßnahmen im Detail umzusetzen – insbesondere dann, wenn kritische oder wichtige Funktionen betroffen sind. Die dahingehenden Anforderungen werden in Level 2 be­zie­hungs­wei­se Level 3 Dokumenten konkretisiert.

Zentrales Zertifikatsregister

Der Dreh- und Angelpunkt re­gu­la­to­ri­scher Resilienz nach DORA

Die Prüfung dieser Dokumente ist auch Organisationen zu empfehlen, die nicht im direkten Anwendungsbereich der DORA liegen, da diese Inhalte eine praxiserprobte Methodik be­schrei­ben, die auch in reduziertem Maß (Stufenplan, Proportionalitätsprinzip) angewendet werden kann. Beim Studium be­zie­hungs­wei­se der Planung/Durchführung von Maßnahmen zur Operationalisierung wird sehr schnell klar, dass ein hohes Maß an Individualisierung vorhanden ist und es schwierig ist, potenzielle Liefergegenstände oder Leistungen zu beziehen, die seitens des/der MSSP auf eine Art „Standard“ reduziert sind.

Standardisierung

Und genau darin liegt einer der wesentlichen Kernaspekte von MSSP be­zie­hungs­wei­se Plattformanbietern: Ein möglichst standardisiertes Produkt bzw. einen Service einer möglichst breiten Masse an Interessenten anbieten zu können wird zunehmend zur Herausforderung.

Selbst eine Staffelung der angebotenen Managed Security Services (MSS) etwa nach Region, Branche oder Unternehmensgröße führt nur vordergründig zum Erfolg. Jede Organisation hat grundlegend unterschiedliche, individuelle Bedrohungen, Business Assets, Supportive Assets – insbesondere, wenn Angriffspfadanalysen zurückliegender Security Incidents oder ta­ges­ak­tu­elle Threat-Intelligence fortlaufend analysiert, bewertet, in logische Zusammenhänge gebracht und daraus abgeleitete Detektionsszenarien technologieoffen erstellt, getestet und implementiert werden.

Cyber-Abwehr und -Krisenhilfe für Unternehmen

Die EU als „neuer Sheriff in Town”

Dieses Testen ist dabei nicht als Sicherstellung einer technischen Funktion (etwa „greift die Suche im SIEM“) zu interpretieren. Vielmehr muss dauerhaft sichergestellt sein, dass Taktiken und Techniken laufender Angriffe vorab durch entsprechende Aufklärung ermittelter oder definierter Angreifergruppen detektiert und Reaktionen nach sich ziehen, die effektiv, reproduzierbar und messbar ablaufen.

Die dahinterliegenden Prozesse von Auftraggeber und MSSP müssen daher eng verzahnt und aufeinander angestimmt werden – ein weiterer Punkt gegen die Nutzung standardisierter Produkte und Services.

Signifikanz von Drittparteien und AI

Trotz prinzipieller Offenheit müssen auch die durch MSSP eingesetzten Technologien be­trach­tet werden. Vor dem Hintergrund des geopolitischen Lagebilds: Welche Risiken haben deren Einsatz?

Und zwar nicht nur vordergründig bei den eingesetzten Technologien (XDR, SIEM, …) sondern auch hintergründig: Greift der MSSP bei der Incidentbearbeitung auch auf SaaS-Dienste zurück? Gleiche Fragestellung gilt für Eigenentwicklungen, dabei eingesetzte Open-Source-Software und seitens des MSSP möglicherweise eingesetzte Sub-Dienstleister.

Empfehlungen an die Politik

ENISA veröffentlicht ersten Bericht zur Cybersicherheit der EU

Wer oder was verarbeitet welche Informationen wie, wann und wo? Welchen Impact auf kritische oder wichtige Funktionen des Auftraggebers hat der Ausfall (inklusive Seiteneffekte) der Availability-zone eines Hyperscalers?

Insbesondere die zunehmende Integration von Komponenten, die Generative- bzw. Agentic-AI nutzen, muss in der fortlaufende Risikobewertung ebenfalls berücksichtigt werden.

„Fortlaufend“ bedeutet dabei über die komplette Vertragslaufzeit des MSSP-Engagements inklusive Offboarding und Interoperabilität der verarbeiteten Informationen. Im Idealfall sind dabei unter anderem Strategien, Ziele, Methodiken des MSSP synchron zu den reifen Pendants des Auftraggebers.

Daher ist „einfach mal auslagern“ tabu. Auch eine initiale, oberflächliche, nur vordergründige Bewertung ist tabu. Die grundsätzliche Begründung für den Einsatz eines MSSP (etwa Risikoverlagerung) bringt nur dann einen messbaren Mehrwert, wenn die oben dargestellten, nachgelagerten be­zie­hungs­wei­se kaskadierten Risiken ebenfalls aktiv gemanaged werden.

Outsourcing

Lohnt sich eine Compliance-Überwachung durch einen MSSP?

Die Komplexität sowie dafür notwendigen Aufwände dürfen sowohl bei der initialen, aber insbesondere bei der fortlaufenden, Risikobewertung nicht unterschätzt werden.

Über den Autor: Markus Thiel unterstützt Organisationen bei der Operationalisierung regulativer Compliance

Die Auswirkungen von DORA

Wege zu einer resilienten Daten­bank­architektur

(ID:50659982)