Jede Organisation, die Cybersicherheitsrisiken bewältigen muss, steht vor einer gewaltigen Herausforderung. Täglich werden Sicherheitsprobleme identifiziert und online veröffentlicht, Abhilfemaßnahmen lassen unter Umständen erst nach Wochen auf sich warten, und Bedrohungen können grenzüberschreitend entstehen. Eng gefasste Best Practices können über Nacht zu einem Risiko werden.
Gewissenhafte und unflexible Sicherheitsmaßnahmen können zwar das Risiko von Diebstahl oder unbefugtem Eindringen mindern, gehen jedoch möglicherweise zu Lasten der Effizienz und Reaktionsfähigkeit. Risiken können unsichtbar bleiben, bis sie zu einem Problem werden, und selbst vertrauenswürdige und scheinbar sichere Lieferketten können gestört oder gefährdet werden.
Die Grenzen für einen sicheren Betrieb verschieben sich ständig, da selbst bestehende Technologien immer wieder neue Sicherheitsbewertungen erfordern. Es reicht nicht aus, bei der Einführung neuer Verfahren oder Ressourcen eine einmalige Risikoanalyse möglicher Bedrohungen durchzuführen. Wir empfehlen Unternehmen, den Umfang und die geschäftlichen Auswirkungen von Cyberangriffen regelmäßig zu ermitteln. Darüber hinaus kann die Fähigkeit, Risiken zu quantifizieren und zu kategorisieren, die Entwicklung einer Risikomanagementkultur zu einem konkreten Prozess mit Kennzahlen und klar definierten Zielen machen.
Mit einem integrierten Risikomanagementansatz im Sicherheitsbereich lässt sich leichter ermitteln, wie die einzelnen Prozesse und Vorgehensweisen Risiken bewältigen und die operative Widerstandsfähigkeit stärken. Führende Unternehmen im Bereich des integrierten Risikomanagements haben ihre Fähigkeiten zur Risikominderung durch neue Tools ausgebaut, die koordinierte Sicherheitsprozesse ermöglichen. Erfahren Sie in unserem Bericht„The State of Integrated Risk Management“, wie Sie Ihr Unternehmen mit robusten Risikenschutzmaßnahmen schützen können.
Alle Risiken sind miteinander verknüpft – und Ihr Sicherheitskonzept sollte dies ebenfalls berücksichtigen
In der physischen Welt kann eine starke Perimeterabwehr Verluste mindern und es Unternehmen gleichzeitig ermöglichen, innerhalb der geschützten Grenzen einer Anlage zu arbeiten. Allerdings sind Perimeterabwehrmaßnahmen im Bereich der Cybersicherheit aufgrund der Natur digitaler Risiken und Bedrohungen seit langem problematisch. Wenn alles von der Unüberwindbarkeit einer Firewall oder der Geheimhaltung eines Passworts abhängt, ist alles gefährdet, sobald die Firewall durchbrochen oder ein Passwort kompromittiert wird.
Als die weltweite COVID-19-Pandemie zu Betriebsschließungen führte, stieg die Gefahr von Cyberangriffen sprunghaft an. Unternehmen, die über kein integriertes Sicherheitskonzept gegen Cyberbedrohungen verfügten, waren anfälliger für Angriffe, da ihre Mitarbeiter über ein breites Spektrum unterschiedlicher Netzwerksicherheitseinstellungen verteilt waren. Als eine Flut von Remote-Mitarbeitern begann, über Heimnetzwerke auf sensible Ressourcen zuzugreifen, setzten viele Unternehmen auf VPNs, um ihren Mitarbeitern den Zugang zu den geschützten Unternehmensnetzwerken zu ermöglichen.
Leider entstehen dadurch ebenso viele Sicherheitslücken, wie es Mitarbeiter gibt, die per Fernzugriff auf das Netzwerk des Unternehmens zugreifen. So wurden beispielsweise beim Ransomware-Angriff auf Colonial Pipeline die Anmeldedaten für ein virtuelles privates Netzwerk (VPN) missbraucht, um den Betrieb der Colonial Pipeline Company lahmzulegen.[1] Ein einziger Schwachpunkt führte zu Störungen bei geschäftskritischen Abläufen.
Verstärkte Abwehrmaßnahmen gegen Störungen
Das Konzept der mehrschichtigen Verteidigung gibt es bereits seit Jahrzehnten und sieht vor, wo immer möglich und praktikabel, zusätzliche Schutzebenen einzurichten. Ein integrierter Risikomanagementansatz für die Sicherheit baut auf diesem Konzept auf, indem er Prozesse und Daten aus anderen Risikofunktionen miteinander verknüpft, da jeder Teil eines Betriebsablaufs ein potenzielles Sicherheitsproblem oder eine potenzielle Risikoquelle darstellen kann.
Der Schlüssel zur Entwicklung und Aufrechterhaltung eines integrierten Risikomanagementansatzes für die Sicherheit liegt darin, sicherzustellen, dass der gesamte Prozess auf die operative Resilienz abgestimmt ist. Die Fähigkeit, trotz Störungen den Betrieb aufrechtzuerhalten, sollte die wichtigste Triebkraft hinter Ihrem Sicherheitsansatz sein. Jeder fünfte Befragte der RSA Digital Risk 2020-Umfrage gab an, dass er in den nächsten zwei Jahren der Abstimmung von Ansätzen zur Geschäftsresilienz und zum Unternehmensrisikomanagement Priorität einräumen werde.
Mit einem integrierten Risikomanagementansatz im Bereich Sicherheit können verschiedene Bereiche einer Organisation ihre Risiken so steuern, dass die allgemeine operative Widerstandsfähigkeit gestärkt wird. Die Maßnahmen der IT- und Sicherheitsabteilungen werden mit der Einhaltung gesetzlicher und unternehmensinterner Vorschriften, dem Management von Drittanbietern und anderen Beteiligten verzahnt, um ein gestärktes Risikomanagementprogramm zu schaffen.
Detaillierte Risiko- und Reaktionsanalyse
Wir empfehlen Unternehmen, sich einen umfassenden Überblick über die Risiken im Zusammenhang mit Technologie und digitaler Sicherheit zu verschaffen und deren finanzielle Auswirkungen zu erfassen. Ohne zu wissen, inwiefern eine Datenpanne den Geschäftsbetrieb beeinträchtigen würde, ist es kaum möglich, den angemessenen Aufwand und Kapitalbedarf für Vorsorgemaßnahmen und Gegenmaßnahmen einzuschätzen. Ein klar definierter Prozess und eine Taxonomie zur Quantifizierung der Auswirkungen von Risiken können dabei helfen, die Risikomanagementpraktiken auf die Unternehmensziele abzustimmen.
Ohne einen integrierten Risikomanagementansatz für die Sicherheit kann sich ein einziges Sicherheitsrisiko auf die gesamten Ressourcen eines Unternehmens ausbreiten. Da immer mehr Bereiche digitalisiert, automatisiert und über vernetzte Technologien gesteuert werden, kann eine Datenpanne sogar zu Störungen des physischen Betriebs führen.
Wenn die operative Widerstandsfähigkeit von der Wirksamkeit einer einzigen Maßnahme abhängt, gewinnt diese eine Abwehrmaßnahme eine so entscheidende Bedeutung, dass es schwierig wird, die Folgen einer Kompromittierung dieser Maßnahme zu quantifizieren. Eine auf einem integrierten Risikomanagement basierende Sicherheitsstrategie mit mehrschichtigen Abwehrmechanismen ermöglicht eine detaillierte Risikobewertung jeder einzelnen Vorgehensweise oder jedes einzelnen Prozesses.
Die zunehmende Notwendigkeit von Sicherheitsmaßnahmen nach dem Prinzip der „Defense in Depth“ bringt neue Anforderungen an das Risikomanagement mit sich. Während die Integrität eines einzelnen Perimeter-Sicherheitssystems anhand bestehender Branchenstandards überprüft werden kann, erfordert die schiere Dichte der Sicherheitsmaßnahmen neue Prozesse zur Überwachung und Steuerung der Risikomanagementpraktiken eines Unternehmens.
Die Pandemie hat in vielen Organisationen bisher ignorierte oder unbeachtete Schwachstellen offenbart. Unsere Umfrage zu digitalen Risiken aus dem Jahr 2020 ergab, dass fast 75 % der Befragten davon ausgehen, dass sich ihre digitalen Initiativen aufgrund der Umbrüche und Veränderungen des vergangenen Jahres beschleunigen werden.
Zwar wird ein Teil dieser Beschleunigung den Ausbau bestehender Ansätze und Praktiken umfassen, doch können neue Prozesse, die dem sich ausweitenden Risikoprofil gerecht werden, einem Unternehmen dabei helfen, sich an das sich wandelnde Umfeld anzupassen. Operative Risikoprogramme sollten Risikoinformationen bündeln, damit Sie Ihre Risikosituation besser verstehen, leichter entscheiden können, wie Risiken zu behandeln sind, und die Wechselbeziehungen dieser Risiken zum gesamten Unternehmen erkennen können.
Integriertes Risikomanagement – der Weg in die Zukunft
Umfassende Ansätze zur operativen Resilienz erfordern detaillierte Prüfungen der Schwachstellen in jedem Bereich einer Risikomanagementstrategie. Die meisten unserer Kunden gehen davon aus, dass sich ihr Risikoprofil in den nächsten zwei Jahren erheblich ausweiten wird. Wir arbeiten mit Unternehmen zusammen, um ihr wachsendes Risikoprofil auf unserer leistungsstarken Plattform für integriertes Risikomanagement zu bewältigen. Wenn Sie erfahren möchten, wie Unternehmen, die einen „Mesh“-Sicherheitsansatz verfolgen, selbst in Zeiten von Störungen der Konkurrenz die Nase vorn haben, lesen Sie unser Whitepaper „The State of Integrated Risk Management“.
[1] https://www.bloomberg.com/news/articles/2021-06-04/hackers-breached-colonial-pipeline-using-compromised-password
