Risiken in digitalen Ökosystemen mindern Reifegradmodelle für die IT-Security

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

Arctic Wolf Networks Germany GmbH

Mit der Zunahme von Cyber-Bedrohungen ist es für Unternehmen geboten, ihre Ansätze zum Thema IT-Security zu überdenken. Reifegradmodelle bieten eine gute Möglichkeit, regelmäßig zu bewerten, auf welchem Security-Niveau sie sich aktuell befinden.

Reifegradmodelle sind eine Sammlung von Best Practices, deren Einhaltungsgrad Unternehmen auf einer Skala von niedrigeren „Reifegraden“ zu höheren Eignungs- und Zertifizierungsstufen voranbringen. Zertifizierungen nach einem Reifegradmodell bedeuten, dass sich ein Unternehmen dazu verpflichtet hat, seine Prozesse und Praktiken innerhalb der Domänen eines Modells auf ein nachhaltiges Leistungsniveau zu verbessern.

Das Anlehnen von Security-Praktiken an bewährte Modelle, von denen einige auf bestimmte Branchen zugeschnitten sind, kann dabei helfen, Security-Programme schneller auszureifen, die Sicherheitslage allgemein zu verbessern und vor allem Risiken zu reduzieren.

In einem erprobten Reifegradmodell sind eine Vielzahl von Prozessen, Tools und Akteure aufeinander abgestimmt und wirken optimal zusammen, um ein Höchstmaß an Effektivität zu erzielen. Ausgereifte Security-Programme finden nicht nur leichter Akzeptanz unter der C-Suite und dem Vorstand, sondern werden auch von den Abteilungen im gesamten Unternehmen besser verstanden.

Standard-Reifegradmodelle für die IT-Security

Zu den gängigen Reifegradmodellen, die meist als Goldstandard gelten, gehören beispielsweise das NIST Cybersecurity Framework, die CIS 18 und der Health Insurance Portability and Accountability Act (HIPAA).

Jedes Reifegradmodell erfordert umfassende Kenntnisse über die IT-Security eines digitalen Ökosystems. Als weltweit führende Plattform für Sicherheitsbewertungen bietet beispielsweise BitSight die Transparenz, die einem Unternehmen dabei helfen kann, ihre Sicherheits- und Risikoprogramme zu verfeinern.

• NIST-Cybersicherheits-Framework: Das National Institute of Standards and Technology (NIST) ist ein Reifegradmodell für IT-Security, das nicht nur von US-Organisationen und Unternehmen verwendet wird. In diesem Modell ist die Etablierung und Kommunikation von Risikotoleranz der Schlüssel zur Erhöhung der Sicherheit. Das NIST-Framework berücksichtigt eine sich schnell entwickelnde Bedrohungslandschaft und rät Sicherheitsteams, ihre Überwachungstechniken und Abhilfestrategien an die jeweiligen Bedrohungen anzupassen.

• CIS 18: Dieses Reifegradmodell, das vom Center for Internet Security (CIS) erarbeitet wurde, besteht aus 18 kritischen Kontrollmechanismen zum Schutz eines Netzwerks vor Hacker-Angriffen. Das CIS 18-Modell ist so konzipiert, dass es allumfassend ist und daher große Aufmerksamkeit für die Cybersicherheits-Managementprozesse einer Organisation erfordert.

Der Weg zur Reife in der IT-Security

Im Folgenden sind die einzelnen Schritte eines ausgereiften IT-Security-Programms und deren Indikatoren am Beispiel des CIS 18 skizziert, die jeweils wiederum auf die Notwendigkeit einer größeren Reife hinweisen:

Organisationen mit niedrigem Reifegrad

Merkmale einer Level-1-Reife

• Unvorhersehbare Prozesse bzw. Ad-hoc-Prozesse.

• Schlechte und inkonsistente Kontrollen.

• Mangel an Betriebs- oder Governance-Modellen.

• Geringe Qualifikationstiefe der Mitarbeiter oder zu kleines Team.

• Minimale Automatisierung oder Tool-Implementierung.

• Schlechte Asset-Verwaltung.

• Minimale oder fehlende Maßnahmen oder Überwachung.

Wesentliche Maßnahmen

• Identifizierung und Priorisierung der Sicherheitsrisiken und Schwachstellen.

• Etablierung eines umsetzbaren Plans, um dringende Sicherheitslücken zu schließen.

• Entwicklung eines Organisations- und Governance-Modells.

Dies ist das Level, das die größten Risiken birgt. Das Unternehmen ist gerade erst im Begriff zu erkennen, dass sein „Programm“ eher reaktiv als proaktiv und standardisiert ist. Hier besteht das wesentliche Ziel erst einmal darin, ein Risikoprofil zu erstellen, einen Plan für den Aufbau des Programms zu erarbeiten und Lücken im Bereich des Security-Knowhows zu schließen. Es empfiehlt sich, externen CISO-Support oder Überwachung der IT-Security auf dieser Ebene zu nutzen.

Organisationen mit mittlerem Reifegrad

Merkmale einer Level-2-Reife

• Viele kodifizierte Prozesse und Richtlinien.

• Inkonsistente Maßnahmen und Überwachung.

• Qualifikationslücken in verschiedenen Domänen.

• Fehlende Sicherheitsfunktionen.

• Suboptimales Bedrohungs- und Schwachstellen-Management.

• Lücken im Konfigurations-Management.

• Compliance- und Audit-Probleme.

• Datenschutzbezogene Herausforderungen beim Testdaten-Management.

Wesentliche Maßnahmen

• Klarer Kurs zum angestrebten Reifegrad.

• Ressourcen werden systematisch eingesetzt.

• Reduzierte Kosten und verbesserter ROI für IT-Security-Maßnahmen.

• Metriken und Überwachungsberichte werden implementiert.

Auf dieser Ebene verfügt das Unternehmen bereits über ein etabliertes Programm mit einer Governance-Struktur sowie Richtlinien und Verfahren. Die Fähigkeit, Bedrohungen zu erkennen und Verstöße zu verhindern, muss jedoch gestärkt werden, ebenso wie IT-Security-Metriken zu überwachen und darüber zu berichten. Hier geht es darum, durch Leistungsindikatoren Stärke aufzubauen, Compliance zu erreichen, Ressourcen strategisch einzusetzen und mehr Effizienz zu erreichen. Viele Unternehmen nutzen zunächst die Unterstützung externer CISOs, bevor sie ihren ersten CISO einstellen.

Organisationen mit höherem Reifegrad

Merkmale einer Level-3-Reife

• Formalisierte Richtlinien, Verfahren und Prozesse.

• Risiken werden gemessen und konsequent überwacht.

• Wiederkehrende Risiko- und Lückenbewertungen und –behebung.

• Suche nach Outsourcing-Möglichkeiten.

• Integration von Sicherheitsoperationen in Unternehmenssystemen und -funktionen.

• Konzentration auf die Reduzierung von IT-Kosten und ROI bei gleichzeitiger Aufrechterhaltung einer ausgereiften Risiko-Überwachung.

Wesentliche Maßnahmen

• Aufrechterhaltung und Verbesserung des positiven Compliance-Status.

• Verbesserung des ROI für Sicherheitsoperationen durch Outsourcing.

• Realisierung von erweiterten Metriken und Überwachungsfunktionen.

• Implementierung einer Risiko-Analyse.

• Formelle Berichterstattung auf C-Level.

• Langfristige Managed Security Service Provider (MSSP)-Beziehung.

Auf dieser Ebene hat das Unternehmen IT-Leadership, Governance und kontinuierliche Überwachung und Reaktion auf wiederkehrende Bedrohungen etabliert. Das ausgereifte Security-Programm optimiert die Effizienz und den ROI. Die Security-Prozesse und -aufgaben sind automatisiert.

Das Unternehmen möchte sicherstellen, dass seine digitalen Produkte, Dienstleistungen und IT-Infrastruktur ein Sicherheitsniveau aufweisen, das es ihm ermöglicht, wettbewerbsfähiger zu werden, neue zu Kunden gewinnen und neue Märkte zu erschließen. Viele Unternehmen nutzen externe Unterstützung, damit sich das interne Team auf strategische IT-Initiativen konzentrieren kann.

(ID:49326033)