Risk-Management Warum werden manche Sicherheitsrisiken so oft ignoriert?

Anbieter zum Thema

Fsas Technologies GmbH

Es existieren Risikofaktoren, die vielleicht eher selten in einer offiziellen Risiko-Evaluation auftauchen, jedoch ebenfalls von den IT-Security-Teams mitberücksichtigt und diskutiert werden sollten. Über welche Themen müssen Sicherheitsexperten dabei nachdenken?

Ein klassisches IT-Risk-Management umfasst den Prozess der Kategorisierung potenzieller Bedrohungen und Risiken, die Bewertung ihrer Eintrittswahrscheinlichkeit und die Abschätzung des Schadens, der entstehen würde, wenn sie nicht gemindert werden. Die Kosten der potenziellen Abhilfemaßnahmen und Kontrollen werden gegen den potenziellen Schaden abgewogen. Abhilfemaßnahmen sind dann für den Fall zu ergreifen, wenn sie günstiger und besser umzusetzen sind, als Risiken und Bedrohungen es zulassen.

Allianz Risk Barometer 2022

Cyberattacken weltweit größte Gefahr für Unternehmen

Wobei die Wahrscheinlichkeiten der Ereignisse glichen schon immer einer teilweise vagen Schätzung als einer klaren mathematischen Formel. Trotz einer systematischer Vorgehensweise: Beträgt die Wahrscheinlichkeit eines Angriffs in einem bestimmten Jahr nun eher 20 Prozent oder 60 Prozent? Schwierige Frage. Zahlenmäßig kann dies in einer Evaluation einen gewaltigen Unterschied ausmachen. Hinzu kommt, dass folgende vielleicht etwas unbequeme Fragestellungen, Themen oder Konsequenzen von Maßnahmen häufig unbeachtet bleiben:

Proaktive Sicherheitspolitik

Jede Risikobewertung ist ein Kampf zwischen etwas, das passieren könnte, und dem Nichtstun. Vor allem, wenn es noch nie passiert ist. Nicht wenige Menschen glauben daher, dass es günstiger wäre, nichts zu tun, und diejenigen, die proaktiv sein möchten, könnten als Geldverschwender angesehen werden. Denn wer nur den Status quo beibehalten will, bekommt in der Regel kaum Probleme, da es den bisherigen erfolgreichen Kurs bestätigt. Dagegen ist es wesentlich schwieriger, Probleme zu antizipieren, vor allem, wenn es dabei um große Summen geht, als einfach zu warten, bis der Schaden eintritt, und ihn dann zu beheben.

Maßnahmen durchführen und zu Ende bringen

Viele Prozessbeteiligte wissen, dass die meisten Kontrollen und Abhilfemaßnahmen, die als erledigt gelten, meist nicht gänzlich erledigt sind. Das gilt insbesondere für Patches und Backups. Viele Unternehmen glauben, dass sie zu 99 Prozent bis 100 Prozent gepatcht sind. Die Praxis lehrt allerdings, dass es kaum Unternehmen gibt, bei denen der Patch-Status diese Werte erreicht.

Das Gleiche gilt für Backups. Auch hier lehrt die Praxis, dass die meisten Unternehmen ihre Backups nicht sehr gründlich durchführen. Obwohl die meisten Unternehmen stets beteuern, dass kritische Backups durchgeführt und regelmäßig getestet werden, genügt ein einziger großer Ransomware-Angriff, um zu zeigen, wie es um die Realität bestellt ist.

Für einen Testdurchlauf zur Gewährleistung, ob eine Sicherung und Wiederherstellung tatsächlich funktioniert, müsste eine Testwiederherstellung vieler verschiedener Systeme auf einmal in einer separaten Umgebung durchgeführt werden. Doch dies erfordert wiederum einen hohen Einsatz an Ressourcen, der vielen IT-Security-Teams kaum zur Verfügung steht.

Alte Gewohnheiten nicht ablegen

Es ist schwer, gegen den Spruch „das haben wir schon immer so gemacht“ zu argumentieren. Insbesondere dann, wenn seit Jahren Angriffe auf bestimmte Schwachstellen erfolgt sind. Als Beispiel ist die regelmäßige Vergabe von neuen und sicheren Passwörtern anzuführen. Stattdessen wird es in manchen Firmen – immer noch – zugelassen, dass schwache Passwörter kaum geändert werden.

Risiken einer Betriebsunterbrechung tolerieren

Abhilfemaßnahme gegen Schwachstellen im Netzwerk bzw. Sicherheitskontrollen, die das IT-Security-Team implementiert oder durchführt, könnten betriebliche Abläufe stören, schlimmstenfalls sogar den Betrieb kurzfristig unterbrechen. Wenn es so einfach wäre, IT-Risiken zu mindern, ohne Risiken der Betriebsunterbrechung in Kauf zu nehmen, würde es jeder tun.

Immer ein Schritt hinterher

Die Unternehmen kämpfen fast immer gegen ein Risiko, das bereits anderen widerfahren ist. Manche Unternehmen warten jedoch lieber ab, um zu sehen, welche neuen Tricks die Hacker in petto haben, und beginnen dann mit Abhilfemaßnahmen und Kontrollen, um diese neuen Risiken zu bekämpfen. Wenn Unternehmen erst auf den nächsten Schritt der Hacker warten, entsteht eine Zeitspanne zwischen der Entdeckung der neuen Bedrohung und der Bewertung der neuen Technik, der Entwicklung neuer Kontrollmaßnahmen und deren Einführung. Eines ist dann garantiert sicher: In einem Spiel des Abwartens sind diese Unternehmen immer im Rückstand.

Abwägung des Risikos der Mitarbeiterunzufriedenheit

Kein IT-Security-Manager möchte im Grunde die Mitarbeiter seines Unternehmens verärgern. Jedoch mit einem Maximum an Kontrolle wie beispielsweise die Überwachung bzw. Sperrung von bestimmten Internetzugängen oder was dem Mitarbeiter auf seinem Computer erlaubt ist, wird ihm dies sicher gelingen.

Dieses Ansinnen kommt nicht von ungefähr, denn es sind gerade die User, die für etwa 70 bis 90 Prozent aller böswilligen Datenverletzungen - durch Phishing und Social Engineering – verantwortlich sind. Doch schon die bloße Erwähnung von Beschränkungen für die Mitarbeiter stößt auf Ablehnung. Gute Fachkräfte auf dem Arbeitsmarkt sind heißbegehrt. Daher kämpft jedes Unternehmen um qualifizierte Mitarbeiter, die nicht wollen, dass man ihnen vorschreibt, was sie auf „ihrem Computer“ tun dürfen und was nicht.

Politische Risiken

Proaktive IT-Security-Maßnahmen können unter Umständen auch zu einem sogenannten politischen Risiko führen. Jedes Mal, wenn für proaktive Maßnahmen plädiert wird, die bisher noch nie eingetreten sind, verlieren deren Protagonisten ein wenig von ihrem politischen Kapital. Denn sie gewinnen im Prinzip nur dann, wenn der Ernstfall, für den sie sich eingesetzt haben, letztlich eintritt. Wenn sie erfolgreich sind und das Unternehmen davon überzeugen, Kontrollen und Abhilfemaßnahmen einzuführen, damit das Schlimme nie passiert, dann passiert es eben nie.

(ID:48598648)