Auf einen Blick
Ein europäisches Logistikunternehmen nutzte Cloud-Dienste, Geschäftsanwendungen, Lagertechnologie, mobile Geräte und externe Anbieter, um Lieferungen in mehreren Ländern zu steuern.
Das Sicherheitsteam erhielt Informationen aus Schwachstellenscannern, Endgeräteschutz, Cloud-Sicherheitslösungen, Lieferantenbewertungen, Auditberichten und dem zentralen Risikoregister. Jede Quelle lieferte wichtige Daten. Die Informationen wurden jedoch von unterschiedlichen Teams und in unterschiedlichen Zeitabständen aktualisiert.
Ein System konnte geändert oder außer Betrieb genommen werden, ohne dass dies im Risikoregister erschien. Eine neue Schwachstelle konnte in einer technischen Aufgabenliste landen, ohne mit dem betroffenen Geschäftsservice verbunden zu werden. Eine Kontrolle konnte ausfallen und dennoch in einem Managementbericht weiterhin als wirksam gelten.
Dem Unternehmen fehlten keine Daten. Die Herausforderung bestand darin, die Zusammenhänge zwischen diesen Daten aktuell zu halten.
Das Sicherheitsteam musste praktische Fragen beantworten:
- ?Welche kritischen Systeme wiesen neue Schwachstellen oder Warnungen auf?
- ?Hatten Änderungen an Assets oder Lieferanten bestehende Cyberrisiken verändert?
- ?Welche Kontrollen funktionierten wie vorgesehen?
- ?Wurden Risikoverantwortliche über wichtige Änderungen informiert?
- ?Welche überfälligen Maßnahmen mussten eskaliert werden?
- ?Konnten manuelle Aktualisierungen reduziert werden, ohne die menschliche Kontrolle zu schwächen?
- ?Wie konnte das Management ein aktuelles Bild erhalten, ohne auf den nächsten Berichtszyklus zu warten?
Wir halfen dem Kunden, ausgewählte Sicherheits- und Geschäftsdaten durch kontrollierte Automatisierung zu verbinden. Änderungen an wichtigen Assets, Schwachstellen, Kontrollen, Lieferanten und Maßnahmen konnten die zugehörigen Risikoinformationen aktualisieren oder eine Prüfung auslösen.
Die Automatisierung entschied nicht über die Akzeptanz eines Risikos. Sie sammelte Änderungen, wandte vereinbarte Regeln an, zeigte Abweichungen und leitete wesentliche Themen an die zuständigen Personen weiter.
Über den Kunden
Diese Fallstudie beschreibt ein repräsentatives und anonymisiertes Kundenszenario. Unternehmensprofil, Zitat und Ergebnisse sind realistische Beispiele.
Die Herausforderung
Die Cyberrisikoinformationen des Unternehmens waren über mehrere Systeme verteilt. Schwachstellen, Assets, Lieferanten, kritische Geschäftsservices, Risiken und Maßnahmen wurden in getrennten Plattformen und Tabellen geführt.
Wenn sich ein Anwendungsverantwortlicher änderte, wurde das Risikoregister nicht immer angepasst. Neue Lieferantenabhängigkeiten waren nicht durchgehend sichtbar. Außer Betrieb genommene Assets hatten teilweise weiterhin offene Feststellungen. Zudem wurden dieselben Systeme in verschiedenen Werkzeugen unter unterschiedlichen Namen geführt.
Vor der quartalsweisen Berichterstattung führte das Team manuelle Vergleiche durch. Diese Arbeit war zeitaufwendig und lieferte trotzdem nur eine Momentaufnahme.
Die wichtigsten Probleme waren:
Was der Kunde erreichen wollte
Verlässliche Sicherheits-, Asset-, Lieferanten- und Geschäftsdaten verbinden.
Beziehungen zwischen Risiken, Assets, Kontrollen und Verantwortlichen aktuell halten.
Wesentliche Änderungen automatisch erkennen und zeitnahe Prüfungen auslösen.
Wiederkehrende manuelle Aktualisierungen und doppelte Datensätze reduzieren.
Menschliche Freigaben bei Risikobewertungen, Ausnahmen und Risikoakzeptanzen erhalten.
Dem Management ein aktuelleres und nachvollziehbares Bild der Cyberrisiken geben.
Was wir getan haben
Wir bestimmten, welche Informationen aktuell bleiben mussten
Wir konzentrierten uns auf kritische Services, unterstützende Anwendungen, Eigentümer, Kritikalität, Schwachstellen, Kontrollen, Lieferanten, offene Maßnahmen, Ausnahmen und Prüftermine.
Wir legten die maßgeblichen Datenquellen fest
Für jede Informationsart wurde bestimmt, welche Quelle verbindlich war. Bei widersprüchlichen Daten wurde eine Prüfung ausgelöst, anstatt Informationen unkontrolliert zu überschreiben.
Wir verbanden Assets mit Geschäftsservices und Risiken
Das Modell verknüpfte Geschäftsservices, Anwendungen, Infrastruktur, technische Feststellungen, Eigentümer, Lieferanten, Risiken, Kontrollen, Nachweise und Maßnahmen.
Wir definierten Änderungen, die eine Handlung auslösen mussten
Dazu gehörten neue Internetexpositionen, relevante Schwachstellen, Kontrollausfälle, veränderte Lieferantenabhängigkeiten, fehlende Eigentümer, überfällige Maßnahmen und Vorfälle in verbundenen Systemen.
Wir automatisierten routinemäßige Aktualisierungen und Benachrichtigungen
Verlässliche Änderungen konnten automatisch verarbeitet werden. Bei Unsicherheit wurde eine Prüfaufgabe erstellt, anstatt den Datensatz direkt zu verändern.
Wir behielten menschliche Entscheidungen im Prozess
Risikoniveau, Risikoakzeptanz, Ausnahmen, geschäftliche Kritikalität, Kontrollwirksamkeit, Schließung und Eskalation erforderten weiterhin die Entscheidung einer verantwortlichen Person.
Wir führten Ausnahmebehandlung und Qualitätskontrollen ein
Nicht zuordenbare Assets, widersprüchliche Quellen, fehlende Eigentümer, Integrationsfehler und wesentliche Änderungen wurden zur Prüfung weitergeleitet.
Wir verbesserten Berichterstattung und Eskalation
Die Berichte konzentrierten sich auf veränderte Risiken, neue Expositionen, unwirksame Kontrollen, überfällige Maßnahmen, abgelaufene Ausnahmen, Lieferantenänderungen und erforderliche Managemententscheidungen.
Was wir geliefert haben
- ✓eine priorisierte Übersicht der Cyberrisiko-Datenquellen;
- ✓vereinbarte Datenverantwortung und maßgebliche Quellen;
- ✓ein vernetztes Modell für Services, Assets, Risiken, Kontrollen, Lieferanten und Eigentümer;
- ✓automatisierte Aktualisierungen ausgewählter Datenfelder;
- ✓Änderungsauslöser und Prüfregeln;
- ✓automatische Benachrichtigungen und Aufgabenerstellung;
- ✓menschliche Freigabepunkte für wesentliche Entscheidungen;
- ✓Ausnahmebehandlung und Qualitätskontrollen;
- ✓Eskalationskriterien und Management-Dashboards;
- ✓Betriebsanweisungen für Pflege und Überwachung.
Die Ergebnisse
Innerhalb von zehn Monaten:
Die Ergebnisse gehören zum repräsentativen Szenario.
Was sich für den Kunden verändert hat
Die Risikoinformationen wurden aktueller, wiederkehrende Arbeiten gingen zurück und fehlende Verantwortlichkeiten wurden früher sichtbar. Wesentliche Änderungen erreichten die zuständigen Personen schneller. Gleichzeitig blieben Risikoakzeptanz, Ausnahmen und andere wichtige Entscheidungen unter menschlicher Kontrolle.
Was wir gelernt haben
- ✓Automatisierung kann unklare Verantwortung nicht beheben.
- ✓Nicht jede technische Änderung sollte einen Risikodatensatz verändern.
- ✓Verlässliche Quellen sind wichtiger als eine hohe Zahl von Integrationen.
- ✓Unsicherheit sollte eine Prüfaufgabe und keine automatische Änderung auslösen.
- ✓Menschliche Kontrolle benötigt klar definierte Entscheidungspunkte.
- ✓Auch die Automatisierung selbst muss überwacht werden.
Kundenkommentar
„Vor dem Projekt verbrachte unser Team viel Zeit mit dem Vergleich getrennter Berichte und der Prüfung, ob unsere Risikodatensätze noch aktuell waren. Die Automatisierung macht uns nun deutlich früher auf relevante Änderungen aufmerksam. Die Entscheidungen treffen weiterhin wir, aber auf Grundlage aktuellerer und besser nachvollziehbarer Informationen.“
Dieses Zitat wurde für das repräsentative Szenario erstellt.
Fazit
Das Unternehmen automatisierte sein Cyberrisikomanagement nicht, um Menschen aus dem Prozess zu entfernen. Automatisiert wurden wiederkehrende Tätigkeiten, die das Team davon abhielten, sich auf wichtige Entscheidungen zu konzentrieren.
Die Verbindung von Sicherheitsfeststellungen mit Assets, Geschäftsservices, Kontrollen, Lieferanten und Eigentümern schuf ein aktuelleres Bild der Risikolage. Entscheidungen mit geschäftlicher Tragweite blieben bei den verantwortlichen Personen.
Stehen Sie vor einer ähnlichen Herausforderung?
Cybersecurity Analytics kann Sie dabei unterstützen:
- ✓aktuell zu haltende Cyberrisikoinformationen zu identifizieren;
- ✓Assets, Schwachstellen, Kontrollen, Lieferanten und Geschäftsservices zu verbinden;
- ✓verlässliche und maßgebliche Datenquellen festzulegen;
- ✓routinemäßige Aktualisierungen und Benachrichtigungen zu automatisieren;
- ✓Änderungsauslöser und Prüfregeln einzuführen;
- ✓menschliche Freigaben für wichtige Entscheidungen zu erhalten;
- ✓Datenqualität, Nachvollziehbarkeit und Eskalation zu verbessern;
- ✓dem Management ein aktuelleres Bild der Cyberrisiken zu geben.
