Cybersecurity: Fokus auf Risiko und Skalierbarkeit

Wie der DBIR Report 2022 von Verizon zeigt, zielten 2021 rund 70 Prozent aller Angriffe auf Web-Applikationen. Das ist ein enormer Anstieg innerhalb eines Jahres; waren es 2020 doch nur 39 Prozent. Angriffe auf Webanwendungen können beispielsweise durch den Missbrauch von Anmeldedaten, Exploit-, Brute-Force-, Backdoor- oder C2-Angriffe, das Ausspähen von Daten und vieles mehr zurückgeführt werden – allerdings gehen wiederum über 80 % dieser Angriffe auf gestohlene Anmeldedaten zurück. Das macht deutlich, wie wichtig die Sensibilisierung der Nutzer und starke Authentifizierungsprotokolle für den Schutz der digitalen Infrastruktur von Unternehmen sind.

Die enorme Zunahme von Angriffen auf Web-Applikationen hat zweifellos zu einer großen Unsicherheit und einem Anpassungsdruck geführt. Für Unternehmen, die sich den Herausforderungen der Cybersicherheit erfolgreich stellen wollen, sind daher in Zukunft zwei Faktoren entscheidend: Der Übergang zu einem risikobasierten Sicherheitsansatz und ein starker Fokus auf allgemeine Skalierbarkeit.

Der Weg zum risikobasierten Sicherheitsansatz

Lange Zeit spielte das Thema Cybersicherheit für viele Unternehmen – wenn überhaupt – eine untergeordnete Rolle. Es fehlte sowohl an einem Bewusstsein für die Bedrohungslage als auch an den Fähigkeiten innerhalb der Organisationen, darauf zu reagieren. Von dort aus gingen Unternehmen zu einem erfahrungsbasierten Ansatz über. Dieser beruht darauf, dass die Performance aller Sicherheitsprogramme gemessen und ihr ein entsprechender Reifegrad (in Anlehnung an das sogenannte Capability Maturity Model) zugewiesen wird. Der erfahrungsbasierte Ansatz konzentriert sich darauf, durch die graduelle Weiterentwicklung von Fähigkeiten einen bestimmten Reifegrad zu erreichen. Dieser wird typischerweise mit dem NIST Cybersecurity Framework (CSF) durchgeführt, was bedeutet, dass jede Funktion untersucht und mit einer Bewertung von 0 bis 5 versehen wird. Für viele Unternehmen stellt dieser Ansatz die Norm ihrer Sicherheitsbemühungen dar.

Langfristig wird das jedoch nicht ausreichen, denn durch die alleinige Konzentration auf das Erreichen eines bestimmten messbaren Reifegrades gerät das tatsächliche Ausmaß der Bedrohungslage schnell aus dem Blick. Mit dem Wachstum eines Unternehmens wächst auch der Bedarf an Kontrolle und Überwachung. Sicherheitsteams sind in dieser Situation oft komplett damit ausgelastet, dem wachsenden Volumen der Anwendungen gerecht zu werden und immer neue Sicherheitstools und -prozesse zu implementieren. Das bindet Ressourcen, die dann nicht mehr für die Weiterentwicklung und die Antizipierung zukünftiger Bedrohungen eingesetzt werden können. Statt den stetig weiterentwickelnden Techniken und Taktiken von Angreifern proaktiv begegnen zu können, sind Sicherheitsverantwortliche ausschließlich damit beschäftigt, den Ist-Zustand zu wahren.

Die Lösung für dieses Problem liegt in einem risikobasierten Ansatz. Deutlich strategischer ausgerichtet, erlaubt dieser Sicherheitsverantwortlichen Entscheidungsprozesse und die Planung von Sicherheitsmaßnahmen von möglichen Risiken abzuleiten. Dadurch werden Prioritäten schneller deutlich, Sicherheitsteams können Ressourcen zielgerichteter einsetzen und diese Entscheidungen – auch in Hinblick auf die Zusammenarbeit mit anderen Teams, wie zum Beispiel Engineering – klar begründen. Das wiederum hilft dabei, die interne Sensibilisierung für das Thema Sicherheit zu steigern.

Die Skalierbarkeit von Cybersicherheit

Der zweite Faktor für die zukünftige Handlungsfähigkeit von Unternehmen ist die Skalierbarkeit ihrer Cybersicherheit im Hinblick auf Funktionen und Fähigkeiten. Diese Skalierbarkeit verfolgt zwei Ziele:

1. Die Handlungsgeschwindigkeit des Unternehmens nach außen zu unterstützen.
2. Die Funktionen des Sicherheitsteams nach innen zu skalieren.

Um mit Wachstum und Geschwindigkeit des Unternehmens Schritt zu halten und gleichzeitig ein angemessenes Risikoprofil zu bewahren, müssen die Kapazitäten der Sicherheitsteams angemessen skaliert werden. Dabei reicht es keinesfalls aus, lediglich das Personal aufzustocken, nur damit schlussendlich mehr Menschen die immer gleiche manuelle Arbeit leisten. Stattdessen sollten sich Sicherheitsteams auf die Entwicklung nachvollziehbarer Richtlinien konzentrieren, die andere Teams befähigen, von Anfang an sicherheitsorientiert zu arbeiten. Statt also hinter anderen Teams aufzuräumen und durch Unwissenheit entstandene Security-Probleme zu lösen, können sich Sicherheitsverantwortliche auf die Weiterentwicklung im Hinblick auf zukünftige Risiken konzentrieren, sodass die Sicherheitslage des Unternehmens stabil bleibt.

Das zahlt schließlich auch auf die Skalierbarkeit des Sicherheitsteams nach innen ein. Dabei geht es darum, Sicherheitsverantwortliche von unnötigen, redundanten Aufgaben zu befreien und sich stattdessen auf anspruchsvolle Themen konzentrieren zu können. So versetzen Unternehmen ihre Sicherheitsteams in die Lage, Arbeitslast realistisch kalkulieren und verteilen  zu können und zu verstehen, wie ihre Arbeit zum Erfolg des Unternehmens beiträgt.

Cybersicherheit zukunftssicher aufstellen

Mit Blick auf die Zukunft der Cybersecurity ist es wichtig zu wissen, dass es für Teams absolut möglich ist, sowohl schneller als auch sicherer zu arbeiten. Wie? Indem sie die Wechselwirkungen von (idealerweise hoher) Geschwindigkeit und (niedrigem) Risiko verstehen. Unternehmen, die den risikobasierten Ansatz verfolgen und holistisch in die Skalierbarkeit ihrer Cybersicherheit investieren, werden den zukünftigen Herausforderungen und Bedrohungen gewachsen sein. Mit klaren Leitplanken, replizierbaren Konzepten, einer Sensibilisierung für Risiken und eindeutig geregelten Verantwortlichkeiten sind sie auf kommende Veränderungen bestens vorbereitet.