Das Risiko der Risikomessung
Die automatisierte Messung der Effektivität von Kontrollen ist konzeptionell eine sehr gute Idee. Wenn Sie Kontrolllücken mit relevanten Bedrohungsinformationen kombinieren können, erhalten Sie ein sehr genaues Bild der tatsächlichen technischen Cyber-Risiken, denen Ihr Unternehmen ausgesetzt ist. Wenn dies korrekt durchgeführt wird, erhalten Sie einen umfassenden Überblick darüber, was in Ihrer Organisation vor sich geht.
Leider können Organisationen nicht zuversichtlich sagen, dass ihre Kontrollen tatsächlich überall eingesetzt werden, wo sie erwartet werden. Wie Sie wissen, ist Hoffnung keine Strategie. In vielen Organisationen sind Vermögens- und Serviceinventare (sowie API-Inventare) weder vollständig noch aktuell. Nützliche Inventare erfordern kontinuierliche Abstimmung und Abgleichung zwischen verschiedenen Datenquellen, um sicherzustellen, dass Organisationen eine genaue und vollständige Kontrolleffektivität haben.
Der Weg zur Risikominderung: Messung der Abdeckung von Sicherheitskontrollen
Deshalb macht es nur Sinn, Risiken zu messen und sich auf ihre Ergebnisse zu verlassen, wenn Sie eine feste Kontrolle über die Abdeckung Ihrer Sicherheitskontrollen haben. Andernfalls treffen Sie Entscheidungen aufgrund fehlerhafter Risikoinformationen. Die Metrik zur Abdeckung von Sicherheitskontrollen ermöglicht es Ihnen zu sehen, wie breit Ihre Kontrollen in Ihrer Umgebung eingesetzt wurden. Diese Sichtbarkeit ist entscheidend für den Erfolg Ihres gesamten Cyber-Risikomessprogramms.
Die einzige Möglichkeit, echtes Vertrauen in Ihr Gesamtsicherheitsprogramm zu haben, besteht darin, nicht nur die Betriebseffektivität Ihrer Kontrollen zu messen, sondern auch die Abdeckung Ihrer Kontrollen zu messen. Als Sicherheitsexperte möchte und muss ich wissen, wo ich Lücken habe. Es sind die Dinge, von denen Sie nichts wissen, die Ihnen Schwierigkeiten bereiten können.
Kompromisse treten in der Regel in Abwesenheit einer Kontrolle oder bei einem Kontrollversagen auf. Wir leben alle in einer hochdynamischen Welt und die laufende digitale Transformation setzt weiterhin den Status quo außer Kraft. Diese Veränderungen können auch Ihre Kontrollen stören; einige können nicht implementiert werden, einige können entfernt werden oder einige können versagen. Jede Sicherheitsorganisation muss diese Mängel so schnell wie möglich erfassen können.
“Als Sicherheitsexperte möchte und muss ich wissen, wo ich Lücken habe. Es sind die Dinge, von denen Sie nichts wissen, die Ihnen Schwierigkeiten bereiten können.”
Ein genauer Blick auf die Abdeckung von Kontrollen kann noch mehr Wert liefern. Die Abdeckung von Kontrollen ist ein wesentlicher Datenpunkt bei der Quantifizierung von Risiken. Methoden wie FAIR (Factual Analysis of Information Risk) und CyberVaR (Cyber Value at Risk) ermöglichen es Organisationen, Risiken zu quantifizieren.
Insbesondere CyberVaR basiert auf Daten. Es betrachtet eine Vielzahl von Aspekten der Sicherheit, des Risikos und der Kontrollen, einschließlich der externen Bedrohungslandschaft, interner Ereignisse, Bedrohungsszenarien, Sicherheitsfähigkeit, Abdeckung von Sicherheitskontrollen und Ihrer gesamten Sicherheitslage. Es bringt all dies zusammen, um Ihnen einen Überblick über das allgemeine Restrisiko zu geben, das dann in einen Wert umgewandelt werden kann, der für das Unternehmen aussagekräftig ist.
Um ein hohes Maß an Vertrauen in Ihre Gesamtsicherheitslage zu gewährleisten, müssen Sie Folgendes wissen:
- ob Ihre Kontrollen effektiv funktionieren, und
- ob Sie eine 100%ige Abdeckung haben, die durch Ihre Richtlinien definiert ist.
Sie müssen verstehen, wo sich Ihre Kontrolllücken befinden, um diese Lücken anzugehen und zu beheben. Wenn Sie nicht wissen, wo sich die Lücken befinden, ist dort wahrscheinlich am ehesten Kompromittierung zu erwarten.
Ihr Schlüssel zum Erfolg: Automatisierung
Der Weg zum Erfolg liegt hier in der Automatisierung. Wenn ein Prozess automatisiert ist, erhalten Sie immer wieder genaue Ergebnisse. Sie müssen die Daten oder die Gültigkeit der Ergebnisse nicht in Frage stellen.
Automatisierung ermöglicht es Ihnen auch, Ihre Betriebskosten zu senken. Ob Sie es mögen oder nicht, jede Sicherheitsfunktion muss Wege finden, ihre Betriebskosten zu senken und ihre Produktivität zu maximieren. Wenn Sie die Prozesse rund um Ihre Kontrollabdeckungsmetriken und alle Ihre Sicherheitsmessungen automatisieren, reduzieren Sie Ihre Betriebskosten und skalieren schneller.
Branchenbenchmark-Studien zeigen, dass Sicherheitsteams oft 36% ihrer Zeit für Berichterstattung aufwenden. Durch Automatisierung dieses Prozesses können sich Sicherheitsmitarbeiter mehr auf die eigentliche Sicherheitsarbeit konzentrieren, anstatt sie zu dokumentieren.
“Wenn Sie die Prozesse rund um Ihre Kontrollabdeckungsmetriken und alle Ihre Sicherheitsmessungen automatisieren, reduzieren Sie Ihre Betriebskosten und skalieren schneller.”
Wenn Automatisierung keine Option ist, werden Sie das Schicksal haben, qualitativ hochwertige Kontrollabdeckungsmetriken manuell zu erstellen. Sie müssen zu jedem Tool einzeln gehen, alle Daten zusammenstellen, dann die Daten bereinigen, aggregieren, normalisieren, entfernen von Duplikaten und all diese unterschiedlichen Daten korrelieren. Und bis Sie das alles erledigt haben und bereit sind, die Daten zu verwenden, könnten sie bereits veraltet sein. Dadurch entstehen Fragen zur Datenintegrität und Diskussionen über die Reduzierung von Risiken geraten ins Stocken.
Vergessen Sie nicht, Ihre Kontrollen zu kommunizieren
In einer Organisation gibt es zahlreiche Stakeholder, die Ihre Sicherheitsmetriken bis hin zum Vorstandsebene sehen müssen. Dies gilt insbesondere für Ihre Kontrollabdeckung.
Das primäre Publikum sind die Kontrollbesitzer, egal ob sie sich in der Sicherheitsabteilung, im Infrastrukturteam, in der Anwendungsentwicklung oder im Front-End-Personal befinden. Es ist wichtig, dass der Kontrollbesitzer sowohl die Kontrollabdeckung als auch die Leistung dieser Kontrollen versteht, damit er etwaige Mängel oder Risiken angehen kann. Dies ist insbesondere für das Front-End-Team wichtig, da es für das Risikomanagement zuständig ist und Maßnahmen ergreifen muss, um eventuelle Lücken zu schließen.
Weitere Stakeholder-Gruppen sind Personen in den Bereichen Compliance, Audit und
Behörden und Regulierungsbehörden spielen eine entscheidende Rolle bei der Überwachung und Durchsetzung von Vorschriften in Unternehmen. Sie setzen Richtlinien und Standards fest, die Unternehmen einhalten müssen, um sicherzustellen, dass ihre Geschäftspraktiken rechtmäßig und ethisch sind.
Um diese Vorschriften einzuhalten, müssen Unternehmen über angemessene Kontrollen verfügen, um Risiken zu identifizieren und zu managen. Dies erfordert ein starkes Compliance-Programm, das die Einhaltung der Vorschriften sicherstellt und das Vertrauen der Aufsichtsbehörden stärkt.
Ein wesentlicher Bestandteil eines effektiven Compliance-Programms ist die Fähigkeit, Daten über Kontrollen zu sammeln und zu verwalten. Dies ermöglicht es Unternehmen, die Wirksamkeit ihrer Kontrollen zu bewerten und sicherzustellen, dass sie den Vorschriften entsprechen.
Diejenigen, die für die Überwachung der Compliance verantwortlich sind, sind daher stark auf Daten angewiesen. Sie müssen sicherstellen, dass die Kontrollen korrekt und vollständig sind und dass alle relevanten Informationen erfasst werden.
Die Bereitstellung dieser Daten ist jedoch oft eine Herausforderung. In vielen Unternehmen sind die Daten über Kontrollen verstreut und nicht standardisiert. Dies kann es schwierig machen, ein klares Bild von der Compliance-Lage zu erhalten und potenzielle Risiken zu identifizieren.
Eine Lösung für dieses Problem besteht darin, ein zentrales Kontroll-Datenrepository einzurichten. Dies ermöglicht es Unternehmen, alle Kontrollen an einem Ort zu speichern und auf diese zuzugreifen. Dies erleichtert die Überwachung der Compliance und stellt sicher, dass alle relevanten Stakeholder Zugriff auf die benötigten Informationen haben.
Dies ist besonders wichtig für diejenigen, die für die Überwachung der Compliance verantwortlich sind, wie zum Beispiel interne Auditoren und Risikomanager. Diese Stakeholder müssen sich auf die Kontrolldaten verlassen können, um fundierte Entscheidungen zu treffen, die Einhaltung von Richtlinien zu messen und eventuelle Lücken oder Risiken in dieser Umgebung zu identifizieren. Mit vollständigen und korrekten Daten können diese Personen risikobasierte Gespräche führen und bei Bedarf Maßnahmen ergreifen.
Zusammenfassend lässt sich ein gemeinsames Thema erkennen: Vertrauen in die Daten. Wenn wir alle denselben Datensatz verwenden, verstehen wir, woher und wie er abgeleitet wurde, und wir haben eine hohe Zuversicht in die Genauigkeit der Daten, da sie automatisiert wurde. Wenn jeder denselben Datensatz verwendet und ihm vertraut, konzentrieren sich die Diskussionen auf Risiken und die richtigen Kompromisse und Priorisierungen, nicht auf die Genauigkeit der Berichterstattung.
Weitere Ressourcen
- Blogbeitrag 4 Erkenntnisse aus dem Verizon DBIR 2023 zur Datei- und E-Mail-Kommunikation
- Blogbeitrag Sicheres Dateien teilen per E-Mail: Ein umfassender Leitfaden
- Blogbeitrag Was ist Ende-zu-Ende-Verschlüsselung und wie funktioniert sie?
- Blogbeitrag Es ist Zeit für eine DRM-Neuauflage: Ergebnisse und Erkenntnisse im Kiteworks‘ 2023 Bericht zur Kommunikation sensibler Inhalte
- BlogbeitragWas ist PCI DSS E-Mail-Compliance?