Moderne Cybersecurity Wie CISOs die Sprache des Vorstands sprechen

Anbieter zum Thema

Mimecast Germany GmbH

Outpost24 GmbH

Safe Security

Es ist einfach, die Kosten zu beschreiben, die entstehen, wenn man es versäumt, sich mit Bedrohungen der Cybersicherheit zu befassen. Der IBM Cost of a Data Breach Report 2021 zeigt, dass die durchschnittlichen Kosten einer Datenschutzverletzung von 3,86 Millionen US-Dollar auf 4,24 Millionen US-Dollar im Jahr 2021 gestiegen sind - die höchsten durchschnittlichen Gesamtkosten aller Zeiten. Dies ist eine aussagekräftige und überzeugende Statistik, die die Chief Information Security Officer (CISOs) dabei hilft, das finanzielle Risiko von Cyberkriminalität zu veranschaulichen.

Allerdings ist es oft schwierig, den Wert der Arbeit des Cybersicherheitsteams zu vermitteln, um sicherzustellen, dass ein teurer Vorfall nicht eintritt - oder die Kosten zu minimieren, wenn er doch eintritt. Eine Lösung für dieses Problem liegt in der Quantifizierung des Cyberrisikos, einem Modell, das sich auf die Verwendung mehrerer Datenpunkte konzentriert, um einen greifbaren Risikowert für jeden Vermögenswert im Unternehmen in Echtzeit zu erstellen. Dieses Risiko kann dann leicht in einen finanziellen Wert umgerechnet werden, der von allen Mitarbeitern auf allen Ebenen des Unternehmens verstanden werden kann.

Durch die Risikoquantifizierung haben CISOs eine leistungsstarke neue Möglichkeit, mit Führungskräften zu kommunizieren, das Profil ihrer Arbeit zu schärfen und einen Vorteil zu erlangen, wenn es darum geht, Entscheidungen über die Budgetverteilung zu beeinflussen. Hier sind einige Möglichkeiten, wie CISOs diesen Ansatz umsetzen können.

Nutzen Sie die Macht der Metriken

Die Quantifizierung von Cyber-Risiken umfasst Datenpunkte, die im gesamten Unternehmen gesammelt werden, und stellt die Wahrscheinlichkeit eines Sicherheitsverstoßes als eine leicht verständliche Kennzahl dar. Diese einzelne Metrik ist viel aussagekräftiger als disparate Datenpunkte und ermöglicht es CISOs, die potenziellen Kosten eines Angriffs und die Kostenreduzierung durch Investitionen in Cybersicherheitsinitiativen aufzuzeigen. Granulare Risikobewertungen können auch die finanziellen Auswirkungen aufzeigen, wenn eine bekannte Schwachstelle nicht behoben wird, oder das Risiko aufzeigen, das von bestimmten Anwendungen, Geräten, Cloud-Instanzen oder sogar Dritten ausgeht. Entscheidend ist, dass sie Unternehmen dabei helfen, von einem reaktiven Ansatz zur Cybersicherheit zu einem proaktiven Ansatz überzugehen. Moderne Sicherheitssysteme sammeln zu viele Daten, als dass die Führungsetage sie verarbeiten könnte. Mit einem System zur Risikoquantifizierung, das den monetären Wert des Schadens angibt, haben die Führungskräfte eine Kennzahl, die ihre Sprache spricht.

Vergessen Sie Rot, Gelb und Grün

Viele Unternehmen verwenden veraltete Techniken, um den Grad des Risikos für ihr Unternehmen zu veranschaulichen, wie zum Beispiel die berüchtigten roten, gelben und grünen Bewertungen. Diese vage Bewertungsskala ist nicht mehr zeitgemäß, denn Unternehmen können das Risiko heute quantifizieren, anstatt es einfach in drei losen und sich oft überschneidenden Kategorien zu beschreiben.

Ein Cyber-Risiko-Score, der sich in einen Dollarwert umrechnen lässt, ist eine Kurzform, die es den Sicherheitsverantwortlichen ermöglicht, die Auswirkungen verschiedener Sicherheitsprobleme klar zu kommunizieren und sich die Zustimmung für das zur Lösung dieser Probleme erforderliche Budget zu sichern.

Vorsicht vor der Gefahr punktueller Produkte

Wenn eine neue Sicherheitslücke entdeckt wird, kann es verlockend sein, einfach ein neues Produkt zu installieren. Dieser Ansatz führt jedoch schnell zu einer Überfrachtung und Ineffizienz. Kleine Unternehmen verwenden heute bis zu 20 verschiedene Sicherheitstools, und in großen Unternehmen können es mehr als 130 sein, was zu einer Datenexplosion geführt hat. Es wird geschätzt, dass Unternehmen in den nächsten fünf Jahren insgesamt etwa 1,75 Billionen Dollar für Sicherheit ausgeben werden.

Der Zugang zu zuverlässigen Echtzeit-Datenströmen ist zwar ein entscheidender Aspekt für die Aufrechterhaltung einer starken Cybersicherheitsposition, doch zu viele Informationen sind schwer zu verwalten und im Unternehmen anzuwenden. Sicherheitsteams jonglieren oft mit isolierten Sicherheitsprodukten und ertrinken in Daten ohne klare und umsetzbare Erkenntnisse.

Bei der Kommunikation eines Cybersecurity-Risikos und -Werts können CISOs davon profitieren, weniger Produkte zu verwenden - was auch die Buchhaltung zufrieden stellt, da die Kosten gesenkt werden. Die Metrik sollte so einfach und leicht verständlich wie möglich sein. Eine Anhäufung von Produkten schafft Komplexität, wo Einfachheit gefragt ist.

Das menschliche Problem angehen

Die menschlichen Schwachstellen sollten gemessen und zur Erstellung einer Risikobewertung herangezogen werden. Es ist natürlich schwieriger, Mitarbeiter zu überwachen, als die Leistung der technischen Infrastruktur zu messen. Dennoch ist eine zuverlässige Methode zur Erfassung von Daten über menschliche Risiken für alle Organisationen wichtig.

Die Ermittlung der Personen oder Abteilungen, die am ehesten Opfer von Phishing werden, ist eine Möglichkeit, das menschliche Risiko zu quantifizieren. Eine andere Möglichkeit wäre, die Geräte der Mitarbeiter zu scannen, um festzustellen, ob sie Sicherheitskontrollen wie sichere Verbindungen, Passcode-Schutz, den Status der Installation von Betriebssystem-Patches und Jailbreak-Status verwenden.

Alles bewerten

Ein Modell zur Quantifizierung von Cyberrisiken stützt sich auf Daten aus allen Bereichen des Unternehmens, Menschen, Technologien, Richtlinien und Verfahren für Erst- und Drittparteien sowie die Lieferkette. Diese Informationen sollten im Zusammenhang mit anderen Faktoren wie der Größe eines Unternehmens, seinem geografischen Standort oder der Branche, zu der es gehört, betrachtet werden. Schließlich sollten alle während einer Risikobewertung gesammelten Daten mit Echtzeit-Bedrohungsdaten verglichen werden.

Indem sie diese Informationen nutzen, um eine Risikobewertung mit einem Dollarwert zu erstellen, können CISOs all diese komplexen Informationen in einem Augenblick vermitteln und beginnen, die Sprache der Führungsebene zu sprechen. Die Vermittlung von Risiken in Begriffen, die bei den Führungskräften Anklang finden, hilft den Sicherheitsteams, Investitionen zu sichern und ein sichereres Unternehmen zu schaffen.

Über den Autor: Saket Modi ist CEO von Safe Security, einer Plattform für Cybersicherheit und die Quantifizierung von digitalen Geschäftsrisiken. Das Unternehmen schützt die digitale Infrastruktur mehrerer Fortune-500-Unternehmen auf der ganzen Welt mit seiner Plattform zur Messung und Minderung von Cyberrisiken namens SAFE.

(ID:48389956)