Neue Wege für Budgets in der IT-Sicherheit Proaktive, risikobasierte IT-Security-Budgets

Anbieter zum Thema

Mimecast Germany GmbH

Rapid7 Germany

TXOne Networks

Angesichts der stetig zunehmenden Bedrohungen durch Hacker wird es immer wichtiger, ausreichend Budget für die IT-Security bereitzustellen. Viele CISOs wenden etwa zehn Prozent des gesamten IT-Budgets für IT-Security auf. Ist das angemessen?

Angesichts der stetig zunehmenden Bedrohungen durch Hacker-Angriffe wird es immer wichtiger, genügend Budget für Initiativen der IT-Security bereitzustellen. So kann eine jetzt eingesparte größere Summe später leicht ein Vielfaches ausmachen, wenn ein Ransomware-Angriff die Firewall eines Unternehmens durchbricht oder ein Phishing-Versuch zu einem Leck sensibler Kundendaten führt. Selbst im Falle einer abgeschlossenen Cyber-Versicherung zur direkten Minderung des Schadens, kann ein erfolgreicher Angriff dennoch erhebliche Reputationsschäden, verlorene Kunden und hohe Anwaltskosten nach sich ziehen.

Überlegungen für eine Budgetierung

Der Betrag, den Unternehmen für die IT-Security im Verhältnis zu ihrem IT-Gesamtbudget ausgeben, kann je nach Branche und Organisation sehr unterschiedlich ausfallen. Daher ist es grundsätzlich schwierig, wenn CISOs aufgefordert werden, einen bestimmten Prozentsatz vorzugeben. Hierzu gibt es jedoch eine Reihe von Kriterien, die für eine Bestimmung des IT-Security-Budgets berücksichtigt werden sollten:

Compliance-Vorschriften

Je nach Branche schreiben gewisse Compliance-Vorschriften quasi die Zuweisung von Sicherheitsbudgets vor. Dies gilt beispielsweise für das Gesundheitswesen. Um diese Anforderungen zu erfüllen und potenziell hohe Bußgelder zu vermeiden, müssen CISOs ein Budget für bestimmte Tools und Technologien ausgeben.

Kontinuierliche Risikobewertungen

Proaktiv operierende CISOs überwachen laufend die Wirksamkeit von Sicherheitskontrollen und kalibrieren diese gegen vorherrschende Angriffsvektoren. Wenn die Risiken die zuvor vereinbarten Schwellenwerte überschreiten, müssen CISOs die Bedrohung neu bewerten und die Risiken mit dem Management besprechen. Tools und Services, die in dieser Kategorie budgetiert werden sollten, umfassen im Wesentlichen Cyber-Versicherungen, Penetrationstests, Bug-Bounty-Initiativen und Reaktionen auf Vorfälle.

Laufendes Sicherheitstraining

Es ist zwingend erforderlich, dass jeder Mitarbeiter und Auftragnehmer in kontinuierliche Sicherheitsschulungen einbezogen wird. Vorausschauende CISOs arbeiten mit ihren Kollegen aus den Geschäftsbereichen zusammen, um dies zu einer reibungslosen und wirkungsvollen Übung zu machen.

Neue Geschäftsinitiativen

Jede neue betriebliche Initiative muss von den daraus entstehenden IT-Security-Risiken bewertet und gegebenenfalls mit einem Sicherheitsbudget versehen werden. Beispielsweise können Daten an einen Drittanbieter im Ausland ausgelagert werden oder der Kundensupport kann entscheiden, alle Kundensupportfälle auf einer Cloud-Plattform zu speichern. Beide Szenarien stellen zusätzliche Risiken dar, die von CISOs vor der Implementierung zu berücksichtigen sind.

Allgemeine Veränderungen

Diese können mit Menschen oder Technologien zusammenhängen. Aus der Perspektive der Menschen ist ein Beispiel das hybride oder in einigen Fällen dauerhafte Heimarbeitsmodell zu nennen. Vom Onboarding der Mitarbeiter bis hin zur Nutzung gemeinsam genutzter Heim-Router durch die Mitarbeiter, lokale Offline-Datenspeicherung, persönliche Geräte und die Anforderungen an die Privatsphäre zuhause bei Video-Konferenzen erfordern alle Maßnahmen gewisse Sicherheitsanpassungen und eine Neuzuweisung des Budgets. Beispiele für Technologiewechsel sind der Wechsel in die Cloud oder der Wechsel von einem einzigen Anbieter zu einem Hybrid-Anbieter oder das Outsourcing von Engineering. Jede Ebene erfordert eine Neubewertung bzw. Neuzuweisung von Budgets.

Festlegung eines IT-Budgets

Es gibt einige Ansätze, die CISOs anwenden können, um nachfolgende Aktivitäten umzusetzen:

Reaktiver vs. proaktiver Ansatz

Reaktive Ansätze sind die Reaktion auf die Verletzung oder das Ereignis bzw. das Aufdecken und Bewerten von Schäden. Das heißt, ein Hacker dringt in das Netzwerk ein und plötzlich wird eine neue Firewall, IDS/IPS, Virenschutz und eine ganze Reihe anderer Präventionsprodukte, um dem Ansturm von Angriffen ein Ende zu setzen, benötigt.

Ein solcher Ad-hoc oder reaktiver Ansatz zur Festlegung des Budgets für IT-Security mag für einige wenige Unternehmen funktionieren, aber für die meisten jedoch nicht. Ferner konzentrieren sich die meisten IT-Security-Budgets darauf, Datenschutz-Verletzungen zu verhindern und Hacker fernzuhalten. Daher ist es nur sinnvoll, von einem reaktiven Budgetierungsansatz zu einem proaktiven Budget für Informationssicherheit überzugehen.

Ein proaktiver Ansatz für IT-Security-Budgets bedeutet, die Denkweise eines Hackers zu verstehen und dann eine Strategie um diesen Ansatz herum aufzubauen. Aus diesem Grunde muss das IT-Security-Team ein Experte darin werden, Möglichkeiten zu finden, in das eigene Unternehmensnetzwerk einzudringen, und dann Maßnahmen ergreifen, um das Problem zu beheben. Dafür sind regelmäßige Risiko- und Schwachstellenbewertungen sowie Penetrationstests und Red-Team- bzw. Blue-Team-Übungen in Betracht zu ziehen.

Benchmark-Ansatz

Das Benchmarking untersucht, wie jemand arbeitet, und vergleicht diese Arbeitsweise mit Kollegen, einem Framework, einer umfassenden Studie oder einer Gruppe befragter Unternehmen. Wenn ein Unternehmen die Best Practices anderer Sicherheitsteams (Organisationsstruktur, Höhe der Investitionen in Sicherheit, KPIs usw.) fokussiert, kann es die Ergebnisse quantifizieren und ein Standard-Budget für IT-Security erstellen.

Risikobasierter Ansatz

Ein risikobasierter Ansatz besteht darin, Budget-Überlegungen erstmal beiseite zu legen und zunächst zu bewerten, was zum Schutz vor Bedrohungen der IT-Security überhaupt notwendig ist. Der Ausgangspunkt sollte eine fundierte Risikobewertung sein, nicht die Festlegung einer Summe in Euro. Natürlich haben alle Unternehmen Grenzen, wie viel sie für die IT-Security aufwenden können.

Dennoch ermöglicht der Risk-First-Ansatz einem Unternehmen, bewusst zu entscheiden, welche Bedrohungen akzeptabel sind, anstatt das Unternehmen potenziell lähmenden Angriffen auszusetzen. Ein risikobasierter Ansatz wird oft als Budgetierungsmethode für ausgereifte Organisationen angesehen, da sie Risiken über mehrere Domänen hinweg kategorisieren und basierend darauf, die IT-Security-Risiken minimieren und budgetieren können.

(ID:49487963)