Cyberrisiko-Management ist ein proaktiver Ansatz für Cybersicherheit, der sich auf die Vorhersage und Minderung von Risiken über die gesamte Angriffsfläche hinweg konzentriert.
Cyberrisiko-Management ist eine Methode zur Verbesserung der Cybersicherheit eines Unternehmens. Dabei werden Bedrohungen identifiziert, priorisiert und gemindert. Angriffsflächenmanagement (Attack Surface Management, ASM) ist ein wesentlicher Bestandteil des Cyberrisiko-Managements.
Cyberrisiko-Management lässt sich in vier verschiedene Bereiche unterteilen:
- Risikoerkennung: Es gilt, die IT-Infrastruktur Ihres Unternehmens zu verstehen, Schwachstellen zu erkennen und Bedrohungen zu identifizieren.
- Risikobewertung: Bewertet werden die Wahrscheinlichkeit, dass die Schwachstellen Ihres Unternehmens ausgenutzt werden, und die Auswirkungen einer solchen Ausnutzung.
- Risikoeindämmung: Die Umsetzung von Maßnahmen – wie technische, administrative und physische Kontrollen – dient dazu, die Auswirkungen von Bedrohungen zu verringern. Darüber hinaus fördern Sie die Resilienz Ihres Unternehmens, wenn Sie Ihre Beschäftigten in Bezug auf Best Practices für Cybersicherheit schulen und Richtlinien für Sicherheitsmaßnahmen und die Reaktion auf Vorfälle festlegen.
- Risikoüberwachung: Die kontinuierliche Beobachtung und Überprüfung der Risikolandschaft durch regelmäßige Bewertungen, Überwachungskontrollen und Reaktionen auf Vorfälle dient dazu, neue Bedrohungen zu identifizieren und die Wirksamkeit von Eindämmungsmaßnahmen zu bewerten.
Cyberrisiko-Management umfasst die gleichen drei Phasen wie das Angriffsflächenmanagement: Erkennung, Bewertung und Eindämmung. Die Bewertungsphase umfasst Risikobewertungen , damit das Unternehmen sein Risikoprofil im Lauf der Zeit benchmarken und überwachen kann.
Was sind Cyberrisiken?
Das National Institute of Standards and Technology definiert Cyberrisiken auf zwei unterschiedliche, aber miteinander verbundene Arten:
- „Das Risiko, von Cyberressourcen abhängig zu sein (d. h. das Risiko, von Systemen oder Systemelementen abhängig zu sein, die im Cyberspace existieren oder zeitweise dort präsent sind).“
- „Das Risiko finanzieller Verluste, Betriebsunterbrechungen oder Schäden aufgrund des Ausfalls digitaler Technologien, die für Informations- und/oder Betriebsfunktionen eingesetzt werden und über elektronische Mittel in ein Fertigungssystem eingeführt wurden, durch unbefugten Zugriff, unbefugte Nutzung, Offenlegung, Störung, Veränderung oder Zerstörung des Fertigungssystems.“
Beide Definitionen beziehen sich auf die Anforderung an Unternehmen, ein proaktives Framework für das Cyberrisiko-Management einzuführen und umzusetzen.
Warum ist Cyberrisiko-Management wichtig?
Die wachsende Angriffsfläche bedeutet, dass Unternehmen mehr Cyberrisiken ausgesetzt sind als je zuvor. Aufgrund des Ausmaßes und der Komplexität der Bedrohungslage befinden sich viele Sicherheitsteams seit Jahren im reaktiven Modus. Ihnen fehlen die erforderlichen Kapazitäten, Transparenz und Einblicke, um Bedrohungen zuvorzukommen und Sicherheitsverletzungen zu verhindern.
Als Teil eines ganzheitlichen Ansatzes zum Management der Angriffsfläche verschafft das Cyberrisiko-Management den Sicherheitsteams einen umfassenden Überblick über die Risiken, denen ihr Unternehmen ausgesetzt ist. Ein solides Framewerk für das Cyberrisiko-Management hilft außerdem dabei, die relevantesten Risiken zu ermitteln. Es unterstützt eine risikobewusste Entscheidungsfindung, um die Gesamtgefährdung zu reduzieren.
Mit den so gewonnenen Erkenntnissen können Sicherheitsteams ihre Abwehrmaßnahmen verstärken, Schwachstellen minimieren und die allgemeinen Risikomanagement- und strategischen Planungsprozesse ihres Unternehmens optimieren.
Welche rechtlichen oder regulatorischen Auswirkungen haben Cyberrisiken?
Unternehmen, die Cyberrisiken ungenügend managen, müssen mit Geldstrafen oder rechtlichen Schritten rechnen – bis hin zu Strafverfahren und Freiheitsstrafen. Zahlreiche Gesetze und Vorschriften enthalten Anforderungen zur zeitnahen Meldung von Datenschutzverletzungen und zur Gewährleistung des Schutzes und der Sicherheit personenbezogener und sensibler Daten. Die Datenschutz-Grundverordnung (DSGVO) der EU und der US-amerikanische Health Insurance Portability and Accountability Act (HIPAA) sind einige der bekanntesten und wichtigsten Frameworks.
Neben Strafzahlungen können Unternehmen, die Cyberrisiken nicht angemessen managen und Opfer einer Sicherheitsverletzung oder eines Datenverlusts werden, auch ihren guten Ruf und das Vertrauen von Kunden, Partnern und der Belegschaft verlieren.
Angesichts der potenziell schwerwiegenden Folgen beschäftigen sich viele Unternehmensvorstände aktiv mit dem Cyberrisiko-Management ihres Unternehmens. Tatsächlich werden heute viele Vorstände direkt für die Cybersicherheit in ihrem Unternehmen zur Verantwortung gezogen.
Wie funktioniert Cyberrisiko-Management?
Beim Cyberrisiko-Management geht es darum, einen strategischen Ansatz für die Cybersicherheit zu verfolgen, der auf die Bedürfnisse des Unternehmens zugeschnitten ist und eine starke Compliance-Position fördert. Es umfasst sechs Hauptkomponenten oder Tätigkeitsbereiche, die alle in Kombination erforderlich sind. Sie lauten wie folgt:
- Risikobasierte Identifizierung und Klassifizierung von Assets: Schaffung eines vollständigen Überblicks über die gesamte Angriffsfläche, damit alle Assets und Daten bekannt sind und vor Cyberattacken geschützt werden können;
- Risikobasierte Schwachstellenanalyse: regelmäßiges und kontinuierliches Scannen von Assets und Testen auf Schwachstellen, wobei der Schwerpunkt auf den Schwachstellen liegt, die die größten Risiken darstellen;
- Risikobasierte Bedrohungsanalyse: Analyse der Risiken unter Berücksichtigung der dynamischen Bedrohungslage und Ermittlung der potenziell gefährlichsten Bedrohungen für die kritischen Assets des Unternehmens;
- Risikopriorisierung: Verständnis, welche Risiken am dringendsten und potenziell am schwerwiegendsten sind, um fundierte Entscheidungen zu treffen und Investitionen in die Cybersicherheit zu lenken;
- Risikobasierte Zero-Trust-Kontrollen: Einführung von Zero-Trust-Frameworks und -Architekturen zur Reduzierung der gesamten Angriffsfläche und zur Begrenzung von Risiken;
- Kontinuierliche Überwachung und Verbesserung: Zentralisierung der Transparenz der gesamten Angriffsfläche, um ein kontinuierliches Risikomanagement und die Anpassung an die sich ständig verändernde Bedrohungslandschaft zu ermöglichen;
Was ist ein Framework für Cyberrisiko-Management?
Ein Framework für Cyberrisiko-Management bietet Unternehmen eine strukturierte Methode zur proaktiven Identifizierung, Bewertung und Eindämmung von Cybersicherheitsrisiken. Es umfasst Richtlinien und Verfahren, die eine Cybersicherheitsplattform für Unternehmen erfordern.
Das US-amerikanische National Institute of Standards and Technology (NIST) hat sein Cybersicherheits-Framework veröffentlicht, das anderen Unternehmen als Vorbild dienen soll. Das NIST-Framework konzentriert sich auf Ergebnisse und unterstützt Unternehmen dabei, zu bestimmen, was sie mit dem Management von Cyberrisiken konkret erreichen wollen. Es schreibt nicht vor, wie das Cyberrisiko-Management zu erfolgen hat.
Letztendlich ermöglicht das NIST-Framework Unternehmen, ihren aktuellen Sicherheitsstatus zu verstehen und zu bewerten. Es gilt, Risiken und zu ergreifende Maßnahmen zu priorisieren und eine gemeinsame oder einheitliche Methode zur Kommunikation von Cybersicherheitsaktivitäten sowohl intern als auch extern zu etablieren.
Wie können wir Cyberrisiko-Management implementieren?
Behörden in vielen Ländern haben schrittweise Ansätze zur Umsetzung von Frameworks für das Cyberrisiko-Management skizziert. Das britische National Cyber Security Centre schlägt beispielsweise eine achtstufige Methode vor:
- Organisatorischen Kontext festlegen
- Entscheidungsträger, Governance-Prozesse und Einschränkungen identifizieren
- Herausforderungen im Bereich Cybersicherheit definieren
- Geeigneten Ansatz auswählen
- Risiken und deren Management verstehen
- Kommunizieren und beraten
- Implementieren und sicherstellen
- Überwachen und überprüfen
Das britische Modell unterstreicht, wie wichtig es ist, nicht nur die Angriffsfläche und die Bedrohungslandschaft zu verstehen, sondern auch den einzigartigen Kontext und die Bedingungen des Unternehmens selbst. Dazu gehören der Fokus und die Werte des Unternehmens, wichtige Stakeholder und spezifische Risiken. Beispielsweise muss ein Unternehmen im Finanzdienstleistungsbereich Anforderungen zur Betrugsbekämpfung und Geldwäscheprävention erfüllen – für ein Fertigungsunternehmen sind diese wahrscheinlich nicht relevant. Letzteres könnte jedoch das Management von Cyberrisiken entlang seiner Lieferkette benötigen.
Die Schaffung eines gemeinsamen Frameworks für das Cyberrisiko-Management und eine zentrale Übersicht über die Risikoumgebung (die Angriffsfläche) sind für die Implementierung eines Frameworks für Cyberrisiko-Management von entscheidender Bedeutung. Beide hängen von einigen wesentlichen Fähigkeiten ab. Eine davon ist, wie bereits erwähnt, die Einführung eines Zero-Trust-Ansatzes für die Cybersicherheit. Die andere besteht in der Bereitstellung einer erweiterten Technologie zur Erkennung und Reaktion (Extended Detection and Response, XDR), um Daten zur Angriffsfläche zu sammeln und zu analysieren.
Die Einführung einer Cybersicherheitsplattform kann den Übergang zu Zero Trust unterstützen. Eine vollständige Plattform umfasst auch Sicherheitsoperationen wie XDR und schafft damit die wesentlichen Voraussetzungen für das Cyberrisiko-Management.
Wie lässt sich das Management der Angriffsfläche in das Cyberrisiko-Management integrieren?
Das Angriffsflächenmanagement (Attack Surface Management, ASM) ist ein wesentlicher Aspekt des gesamten Cyberrisiko-Managements. Wie der Name sagt, befasst sich das Angriffsflächenmanagement speziell mit der Angriffsfläche. Diese ist die Gesamtheit aller Schwachstellen, Zugangspunkte und Angriffsvektoren, die ausgenutzt werden können mit dem Ziel, sich unbefugten Zugriff auf die Systeme und Daten eines Unternehmens zu verschaffen.
ASM konzentriert sich auf die Erkennung, Bewertung und Eindämmung von Risiken im Zusammenhang mit der Angriffsfläche, idealerweise in einem kontinuierlichen und fortlaufenden Prozess.
Ziel der Erkennung ist es, die Angriffsfläche und alle darin enthaltenen Assets zu definieren. Dies erfordert eine Lösung für das Management der Angriffsfläche. Sie scannt die IT-Umgebung, um alle bekannten und unbekannten Geräte, Softwareprogramme, Systeme und Zugangspunkte zu identifizieren. Die Erkennung zielt auch darauf ab, Schatten-IT-Anwendungen, verbundene Technologien von Drittanbietern und Technologien zu identifizieren, die bisher nicht in Bestandsaufnahmen erfasst wurden.
Die Bewertung ist der Prozess der Ermittlung der Dringlichkeit und potenziellen Schwere der Risiken, die mit allen ermittelten Assets verbunden sind. Dieser Prozess umfasst die Risikoquantifizierung und Risikobewertung – Methoden zur objektiven Priorisierung und Einstufung von Schwachstellen und Risiken.
Bei der Eindämmung werden Maßnahmen ergriffen, um entdeckte Schwachstellen zu beheben. Dies umfasst zum Beispiel die Ausführung von Software-Updates oder die Installation von Patches, die Einrichtung von Sicherheitskontrollen und Hardware oder die Implementierung von Schutzmaßnahmen wie Zero Trust. Auch die Entfernung alter Systeme und Software kann dazu gehören.
Wo erhalte ich Unterstützung beim Cyberrisiko-Management?
Trend Micro Research hat den Cyber Risk Index (CRI) mit dem Ponemon-Institut entwickelt. Ziel ist es, Cyberrisiken zu untersuchen und zentrale Bereiche zu bestimmen, in denen die Cybersicherheit verbessert werden kann. Der CRI wird regelmäßig aktualisiert. Er bemisst die Lücke zwischen dem aktuellen Sicherheitsstatus eines Unternehmens und der Wahrscheinlichkeit eines Angriffs. Verwenden Sie hier den CRI-Rechner, um die Risikobewertung Ihres Unternehmens zu ermitteln.
Trend Vision One™ bietet eine Lösung für Cyber Risk Exposure Management (CREM), mit der Unternehmen mehr als ASM umsetzen und ihre Cyberrisiken reduzieren können. CREM verfolgt einen revolutionären Ansatz, indem es wichtige Funktionen in einer leistungsstarken, benutzerfreundlichen Lösung kombiniert. Dazu gehören External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), Schwachstellenmanagement und Security Posture Management für Cloud, Daten, Identitäten, APIs, KI, Compliance und SaaS-Anwendungen. Dabei geht es nicht nur um das Management von Bedrohungen, sondern um den Aufbau einer echten Resilienz gegenüber Risiken.
Erfahren Sie mehr darüber, wie Cyber Risk Exposure Management Sie beim Erkennen, Priorisieren und Eindämmen von Bedrohungen unterstützen kann.