Kategorien:
Cybersicherheit
Unternehmen sehen ihre Geschäftsabläufe und ihren Ruf immer häufiger von Cyberrisiken bedroht. Durch diese wachsende Bedrohungslage steigt auch der Stellenwert des Risiko-Managements und der Stärkung der Cybersecurity. Dabei spielt ein umfangreiches Security Assessment eine zentrale Rolle.
Security Assessment und Bewertung des Risikos
Security Assessment ist der Prozess, mit dem Unternehmen feststellen, wie gut sie gegen Risiken geschützt und wie widerstandsfähig ihre Systeme im Notfall sind. Eine solche Standortbestimmung berücksichtigt alle potenziellen Risikoquellen und Bedrohungen, einschließlich Cyberangriffe.
Security Assessments stellen fest, wie stark das untersuchte System eine Reihe von Kriterien erfüllt. Diese Kriterien ergeben sich aus Zertifizierungen des Unternehmens, internen Richtlinien und anderen Vorschriften, denen das Unternehmen unterliegt. Der Umfang und die Komplexität dieser Bewertung hängen von der Größe des Unternehmens, der Branche, dem Organisations- und Geschäftsmodell sowie der Komplexität der IT-Architektur ab.
Das Ziel eines solchen Security Assessment ist die Verringerung der Sicherheitslücken und der Angriffsfläche.
Security Assessment oder Schwachstellenanalyse?
Die große Bedeutung von Security Assessments hat verschiedene Gründe. Durch die digitale Transformation sind die Menge und auch der Wert der gespeicherten Daten gestiegen. Cyberkriminelle entwickeln kontinuierlich neue, kreativere und effektivere Methoden, um an diese Daten zu gelangen. Zudem steigt die Anzahl der Sicherheitslücken bei Systemen, Anwendungen, Prozessen und Integrationen, da die Hersteller mit einer verkürzten Validierungszeit die Time-to-Market beschleunigen wollen. Gleichzeitig wird es im IT-Bereich aufgrund der zunehmenden Komplexität hybrider und verteilter Architekturen immer schwieriger, mögliche Schwachstellen zu erkennen.
Es gibt einige Unterschiede, die ein Security Assessment von einer Schwachstellenanalyse abgrenzen. Die Schwachstellenanalyse, bei der spezielle Software und Plattformen zum Einsatz kommen, untersucht IT-Systeme auf bekannte Sicherheitslücken. Dabei deckt sie allerdings nicht alle Dimensionen ab, die ein Security Assessment überprüft. Das Security Assessment bewertet alle Risikoquellen und ermittelt die Sicherheitsanforderungen. Dabei geht sie über den technologischen Aspekt hinaus und umfasst von der Ausfallsicherheit des Rechenzentrums bis hin zu menschlichen Fehlern alles, was Auswirkungen auf die Prozesse haben kann.
In zahlreichen Branchen (vor allem im verarbeitenden Gewerbe) wissen Unternehmen von Sicherheitslücken in ihren Systemen, können diese aber aus verschiedenen Gründen (z. B. um einen kritischen Prozess nicht zu unterbrechen) nicht schnell und ohne großen Aufwand beheben. Hier zeigt sich der Mehrwert eines Security Assessments, da es nicht nur Informationen liefert, die dem Unternehmen bereits bekannt sind, sondern auch die Sicherheitsanforderungen identifiziert, die für die Kompensation von Schwachstellen nötig sind.
Wie man ein Security Assessment durchführt
Ein Security Assessment ist ein komplexes Verfahren und erfordert neben einem systemischen Ansatz auch die Fähigkeit, die gesamte Bandbreite der Faktoren zu analysieren, die die Sicherheit eines Prozesses oder einer vom Unternehmen erbrachten Dienstleistung beeinflussen können.
Ein Mapping bei der Ausführung des Service oder des Prozesses verdeutlicht, welche Ressourcen, Systeme und Geräte zu den relevanten Faktoren zählen. Das vereinfacht die Identifizierung von Schwachstellen, potenziellen Bedrohungen sowie deren Auswirkungen. Aus diesen Erkenntnissen leiten sich die Prioritäten für Maßnahmen ab. Das detaillierte Reporting, das mithilfe dieser Informationen entsteht, listet die erforderlichen Maßnahmen zur Risikominderung und zur Behebung der festgestellten Schwachstellen auf. Diese Maßnahmen gehen über Systeme, Plattformen und Geräte hinaus und betreffen auch Prozesse und Verhaltensweisen der Mitarbeiter.
Das Verfahren beinhaltet
- Definition und Planung der Ziele;
- Beschaffung von Informationen über Systeme, Prozesse und alle Komponenten des Informationssystems;
- Untersuchung von Sicherheitslücken und Bedrohungen;
- Untersuchung der bestehenden Sicherheitschecks;
- Reporting und Empfehlungen.
Die Durchführung eines Security Assessments erfordert besondere Expertise und Analysefähigkeiten. Daher empfiehlt es sich für Unternehmen, mit spezialisierten Partnern zusammenzuarbeiten. So sorgen sie trotz der Bedrohungslage, die sich kontinuierlich weiterentwickelt, für Sicherheit und die Einhaltung von Richtlinien und Gesetzen. Die spezialisierten Partner vereinen technische und verfahrenstechnische Kompetenzen mit den richtigen Analysen und Tools. So erarbeiten die Unternehmen eigene Best Practices und können sich flexibel und schnell auf die Entwicklungen des Marktes und der Bedrohungslage einstellen.
