Auf einen Blick
Ein europäisches Produktionsunternehmen hatte bereits in Cybersecurity-Tools, Richtlinien, Audits und technische Sicherheitsmaßnahmen investiert. Das Unternehmen sammelte zahlreiche sicherheitsrelevante Informationen, diese waren jedoch über unterschiedliche Systeme, Berichte und Tabellen verteilt.
Dadurch war es schwierig, einige grundlegende Fragen zu beantworten:
- ?Welche Sicherheitsprobleme stellen das größte Risiko für das Unternehmen dar?
- ?Welche Schwachstellen sollten zuerst behoben werden?
- ?Wer ist für die einzelnen Risiken und Maßnahmen verantwortlich?
- ?Funktionieren die implementierten Sicherheitsmaßnahmen tatsächlich?
- ?In welche Bereiche sollte das Unternehmen als Nächstes investieren?
Wir unterstützten den Kunden dabei, diese Informationen zusammenzuführen und einen praxistauglichen Prozess für das Management von Cybersecurity-Risiken aufzubauen.
Das Ergebnis war eine transparentere Übersicht über kritische Assets, Schwachstellen, Sicherheitsmaßnahmen, Lieferanten und Verbesserungsmaßnahmen. Das Management konnte Entscheidungen auf Grundlage der geschäftlichen Auswirkungen treffen, anstatt sich ausschließlich auf technische Bewertungen und voneinander getrennte Berichte zu verlassen.
Über den Kunden
Der Name des Kunden sowie ausgewählte operative Details werden aus Vertraulichkeitsgründen nicht veröffentlicht.
Die Herausforderung
Das Unternehmen verfügte bereits über viele Elemente eines Cybersecurity-Programms.
Das IT-Team verwaltete Systeme und Infrastruktur. Das Informationssicherheitsteam war für Richtlinien und Risikoregister verantwortlich. Technische Teams erhielten regelmäßig Berichte über Schwachstellen. Der Einkauf verfügte über Informationen zu Lieferanten und Verträgen. Die Fachabteilungen wussten, welche Anwendungen und Services für ihre Arbeit besonders wichtig waren.
Diese Informationen waren jedoch nicht miteinander verknüpft.
Dasselbe System wurde in verschiedenen Dokumenten teilweise unter unterschiedlichen Bezeichnungen geführt. Ein Schwachstellenbericht konnte ein schwerwiegendes technisches Problem aufzeigen, ohne darzustellen, welcher Geschäftsprozess davon betroffen war. Ein Risiko konnte dokumentiert sein, ohne dass ein eindeutiger Risikoverantwortlicher festgelegt worden war. Abhängigkeiten von Lieferanten waren für die Teams, die für die Notfall- und Kontinuitätsplanung verantwortlich waren, nicht immer transparent.
Das Management erhielt zwar Berichte, deren Erstellung erforderte jedoch einen erheblichen manuellen Aufwand. Darüber hinaus konzentrierten sich die Berichte häufig stark auf technische Details und erklärten nicht immer verständlich, welche Auswirkungen ein Problem auf das Unternehmen haben könnte.
Sicherheitsinformationen waren vorhanden – aber nicht verknüpft.
Die Herausforderung bestand weniger in einem Mangel an Sicherheitsaktivitäten, sondern vielmehr darin, fragmentierte Informationen in einen praxistauglichen Managementprozess zu überführen.
Der Kunde wollte Cybersecurity einfacher und praxisorientierter steuern.
Was der Kunde erreichen wollte
Das Projekt hatte sechs zentrale Ziele:
Die wichtigsten Cybersecurity-Informationen in einer strukturierten Übersicht zusammenzuführen.
Technische Feststellungen mit Geschäftsprozessen und betrieblichen Auswirkungen zu verknüpfen.
Risiken, Sicherheitsmaßnahmen, Assets und Verbesserungsmaßnahmen eindeutigen Verantwortlichen zuzuordnen.
Die Priorisierung von Schwachstellen zu verbessern.
Dem Management kürzere und aussagekräftigere Berichte bereitzustellen.
Den manuellen Aufwand für Reporting und Auditvorbereitung zu reduzieren.
Was wir umgesetzt haben
Wir begannen beim Geschäft
Der erste Schritt bestand darin, zu verstehen, wie das Unternehmen arbeitete.
Wir führten Workshops mit Vertreterinnen und Vertretern aus IT, Informationssicherheit, Infrastruktur, Compliance, Einkauf, Business Continuity sowie ausgewählten Fachabteilungen durch.
Gemeinsam analysierten wir:
- ✓kritische Geschäftsprozesse;
- ✓wichtige Anwendungen und Systeme;
- ✓die von diesen Systemen verarbeiteten Informationen;
- ✓Infrastruktur und Cloud-Dienste;
- ✓externe Dienstleister und Lieferanten;
- ✓bestehende Risiken und Sicherheitsmaßnahmen;
- ✓Schwachstellenberichte;
- ✓vergangene Sicherheitsvorfälle und Auditfeststellungen;
- ✓bestehende Business-Continuity-Maßnahmen;
- ✓Anforderungen an das Managementreporting.
Dadurch konnten wir erkennen, an welchen Stellen Informationen fehlten, doppelt vorhanden oder inkonsistent waren.
Darüber hinaus identifizierten wir Systeme, die den technischen Teams bekannt waren, jedoch keinem Geschäftsprozess und keinem fachlichen Verantwortlichen zugeordnet waren.
Wir verknüpften die vorhandenen Informationen
Wir entwickelten eine einheitliche Struktur für die Cybersecurity-Informationen des Unternehmens.
Diese Struktur verknüpfte:
- ✓Geschäftsprozesse;
- ✓Abteilungen;
- ✓Informationen und Daten;
- ✓Anwendungen;
- ✓Server und Endgeräte;
- ✓Benutzer- und Administratorkonten;
- ✓Cloud-Dienste;
- ✓Büro- und Produktionsstandorte;
- ✓Lieferanten;
- ✓Bedrohungen;
- ✓Schwachstellen;
- ✓Sicherheitsmaßnahmen;
- ✓Richtlinien und Verfahren;
- ✓Risiken;
- ✓Sicherheitsvorfälle;
- ✓Auditfeststellungen;
- ✓Verbesserungsmaßnahmen;
- ✓verantwortliche Personen;
- ✓unterstützende Nachweise.
Dadurch konnte das Unternehmen Cybersecurity-Informationen als zusammenhängendes Beziehungsmodell betrachten, anstatt sie weiterhin als voneinander getrennte Listen zu verwalten.
- ✓dem betroffenen Server;
- ✓der auf diesem Server betriebenen Anwendung;
- ✓dem von der Anwendung unterstützten Geschäftsprozess;
- ✓der Art der verarbeiteten Informationen;
- ✓dem Systemverantwortlichen;
- ✓den bestehenden Sicherheitsmaßnahmen;
- ✓dem damit verbundenen Risiko;
- ✓der für die Behebung verantwortlichen Person.
Wir verbesserten die Priorisierung von Schwachstellen
Zuvor basierte die Priorisierung von Schwachstellen hauptsächlich auf technischen Schweregradbewertungen.
Technische Bewertungen bleiben wichtig, bilden jedoch nicht das vollständige Risikobild ab. Eine technisch kritische Schwachstelle auf einem isolierten Testsystem kann ein geringeres Risiko darstellen als eine Schwachstelle mit mittlerem Schweregrad auf einem internetexponierten System, das für kritische Geschäftsprozesse eingesetzt wird.
Deshalb ergänzten wir die Bewertung um geschäftliche und betriebliche Faktoren:
- ✓Bedeutung des betroffenen Geschäftsprozesses;
- ✓Kritikalität des betroffenen Assets;
- ✓Art und Sensitivität der verarbeiteten Informationen;
- ✓Erreichbarkeit über das Internet oder durch externe Benutzer;
- ✓Wahrscheinlichkeit einer Ausnutzung;
- ✓Verfügbarkeit öffentlich bekannter Exploits;
- ✓bestehende Sicherheitsmaßnahmen;
- ✓mögliche Unterbrechungen der Produktion oder Servicebereitstellung;
- ✓rechtliche und vertragliche Auswirkungen;
- ✓Abhängigkeiten von Lieferanten;
- ✓erwarteter Aufwand für die Behebung.
Die neue Methode unterstützte die technischen Teams dabei, sich auf Probleme zu konzentrieren, die mit der größten Wahrscheinlichkeit Auswirkungen auf den Betrieb, die Kunden oder wichtige Informationen haben könnten.
Wir klärten die Verantwortlichkeiten
Das Unternehmen musste eindeutig wissen, wer für Entscheidungen verantwortlich war und wer die entsprechenden Maßnahmen umzusetzen hatte.
Wir ordneten Verantwortliche für folgende Bereiche zu:
- ✓Geschäftsprozesse;
- ✓Anwendungen und Infrastruktur;
- ✓Informationswerte;
- ✓Cybersecurity-Risiken;
- ✓Sicherheitsmaßnahmen;
- ✓Lieferanten;
- ✓Auditnachweise;
- ✓Behebung von Schwachstellen;
- ✓Maßnahmen zur Risikobehandlung.
Zusätzlich dokumentierten wir, wann ein Problem eskaliert werden musste.
Dazu gehörten beispielsweise:
- !überfällige kritische Maßnahmen;
- !Risiken oberhalb des genehmigten Akzeptanzniveaus;
- !kritische Schwachstellen ohne Maßnahmenplan;
- !fehlende Nachweise für wichtige Sicherheitsmaßnahmen;
- !wiederkehrende Sicherheitsfeststellungen;
- !verspätete Lieferantenbewertungen.
Dadurch wurden Unsicherheiten reduziert und die Nachverfolgung von Maßnahmen vereinfacht.
Wir verbanden das Schwachstellenmanagement mit dem Risikomanagement
Der Kunde erhielt bereits Schwachstelleninformationen aus verschiedenen Tools und Assessments. Der nächste Schritt bestand darin, diese Feststellungen in den richtigen geschäftlichen Kontext einzuordnen.
Wir führten einen einheitlichen Prozess ein:
Dieser Prozess gab den technischen Teams klarere Prioritäten. Gleichzeitig konnte das Management die möglichen Auswirkungen verspäteter Maßnahmen besser verstehen.
Wir machten die Wirksamkeit von Sicherheitsmaßnahmen messbar
Zuvor waren zahlreiche Sicherheitsmaßnahmen in Richtlinien oder Compliance-Dokumenten beschrieben. Es war jedoch nicht immer eindeutig definiert, wie ihre Wirksamkeit bewertet werden sollte.
Für jede wesentliche Sicherheitsmaßnahme legten wir fest:
- ✓welches Ziel mit der Maßnahme erreicht werden sollte;
- ✓wer dafür verantwortlich war;
- ✓in welchen Bereichen sie angewendet wurde;
- ✓welche Nachweise erforderlich waren;
- ✓wie häufig sie überprüft werden sollte;
- ✓wie ihre Wirksamkeit gemessen werden konnte;
- ✓welche Risiken sie reduzieren sollte;
- ✓was geschehen musste, wenn sie nicht ordnungsgemäß funktionierte.
- ✓Anteil der kritischen Systeme, die durch Schwachstellenscans abgedeckt werden;
- ✓Anteil der privilegierten Konten, die durch Multi-Faktor-Authentifizierung geschützt werden;
- ✓durchschnittliche Zeit bis zur Behebung kritischer Schwachstellen;
- ✓Anteil der bewerteten kritischen Lieferanten;
- ✓Anteil der fristgerecht abgeschlossenen Risikobehandlungsmaßnahmen;
- ✓Anzahl wiederkehrender Feststellungen;
- ✓Anteil der kritischen Systeme, die in Wiederherstellungstests berücksichtigt werden;
- ✓Anteil wichtiger Sicherheitsmaßnahmen mit aktuellen Nachweisen.
Dadurch ging das Unternehmen über die Frage hinaus, ob eine Sicherheitsmaßnahme lediglich vorhanden war. Entscheidend war nun die wesentlich wichtigere Frage, ob sie tatsächlich funktionierte.
Wir verbesserten das Managementreporting
Das Management benötigte keinen weiteren umfangreichen technischen Bericht. Es benötigte eine übersichtliche Darstellung der Themen, die Aufmerksamkeit oder eine Entscheidung erforderten.
Die neue Berichtsstruktur konzentrierte sich auf:
- ✓die wichtigsten verbleibenden Risiken;
- ✓Risiken oberhalb des vom Unternehmen akzeptierten Niveaus;
- ✓kritische Assets ohne ausreichenden Schutz;
- ✓überfällige Verbesserungsmaßnahmen;
- ✓ungelöste Schwachstellen mit hoher Priorität;
- ✓wiederkehrende Feststellungen;
- ✓Lieferantenrisiken;
- ✓Sicherheitsvorfälle und erkennbare Trends;
- ✓fehlende Nachweise zur Wirksamkeit von Sicherheitsmaßnahmen;
- ✓Fortschritt bei der Umsetzung von Risikobehandlungsmaßnahmen.
Für jedes wesentliche Problem wurden folgende Informationen dargestellt:
- ✓geschäftlicher Kontext;
- ✓potenzielle Auswirkungen;
- ✓verantwortliche Person;
- ✓geplante Maßnahme;
- ✓Frist;
- ✓aktueller Status;
- ✓erforderliche Entscheidung des Managements.
Dadurch wurden Diskussionen über Informationssicherheit kürzer, verständlicher und zielgerichteter.
Was wir geliefert haben
Der Kunde erhielt:
- ✓ein strukturiertes Inventar kritischer geschäftlicher und technologischer Assets;
- ✓eine standardisierte Methode zur Bewertung von Cybersecurity-Risiken;
- ✓Verknüpfungen zwischen Geschäftsprozessen, Assets, Schwachstellen und Sicherheitsmaßnahmen;
- ✓eine risikobasierte Methode zur Priorisierung von Schwachstellen;
- ✓eindeutig zugewiesene Verantwortliche und Zuständigkeiten;
- ✓ein Register der Sicherheitsmaßnahmen und zugehörigen Nachweise;
- ✓eine Struktur für die Bewertung von Lieferantenrisiken;
- ✓einen einheitlichen Prozess zur Nachverfolgung von Verbesserungsmaßnahmen;
- ✓Vorlagen für das Managementreporting;
- ✓praktische Anleitungen für regelmäßige Überprüfungen;
- ✓einen abgestimmten Prozess zur Eskalation überfälliger oder nicht akzeptabler Risiken.
Das Projekt führte keine weitere isolierte Liste und keinen zusätzlichen, losgelösten Bericht ein. Stattdessen brachte es die bereits vorhandenen Informationen in eine Struktur, die von unterschiedlichen Teams gepflegt und genutzt werden konnte.
Die Ergebnisse
Die endgültigen Zahlen in diesem Abschnitt müssen vor der Veröffentlichung durch bestätigte Kundendaten ersetzt werden.
Innerhalb von [sechs Monaten] erreichte der Kunde:
Wenn keine genauen Zahlen veröffentlicht werden können, kann dieser Abschnitt stattdessen qualitative Ergebnisse enthalten:
- ✓Kritische Risiken und Assets wurden verantwortlichen Personen zugeordnet.
- ✓Das Management erhielt eine konsolidierte Übersicht über die Cybersecurity-Risiken.
- ✓Technische Feststellungen wurden mit ihren möglichen geschäftlichen Auswirkungen verknüpft.
- ✓Überfällige Maßnahmen konnten einfacher identifiziert und eskaliert werden.
- ✓Die Auditvorbereitung erforderte weniger manuelle Koordination.
- ✓Abhängigkeiten von Lieferanten wurden transparenter.
- ✓Die Behebung von Schwachstellen konzentrierte sich stärker auf kritische Geschäftsprozesse.
Was sich für den Kunden verändert hat
Unsere wichtigsten Erkenntnisse
Kundenstimme
„Wir verfügten bereits über zahlreiche Cybersecurity-Informationen, diese waren jedoch über verschiedene Teams, Tools und Berichte verteilt. Die neue Struktur half uns dabei, technische Feststellungen mit ihren geschäftlichen Auswirkungen, den jeweiligen Verantwortlichkeiten und den erforderlichen Maßnahmen zu verknüpfen. Das Management kann nun erkennen, welche Themen eine Entscheidung erfordern und welche Verbesserungsmaßnahmen bereits umgesetzt werden."
Dieses Zitat darf erst verwendet werden, nachdem der Kunde seine Zustimmung erteilt hat. Wenn kein genehmigtes Zitat vorliegt, sollte dieser Abschnitt entfernt werden.
Fazit
Dem Unternehmen fehlte es nicht an Cybersecurity-Informationen. Das eigentliche Problem bestand darin, dass diese Informationen fragmentiert und nur schwer praktisch nutzbar waren.
Durch die Verknüpfung von Geschäftsprozessen, Assets, Schwachstellen, Sicherheitsmaßnahmen, Lieferanten und Verantwortlichkeiten entwickelte das Unternehmen einen transparenteren Ansatz für das Management von Cyberrisiken.
Die technischen Teams erhielten aussagekräftigere Prioritäten. Risikoverantwortliche verstanden ihre Zuständigkeiten. Das Management erhielt Berichte, aus denen hervorging, in welchen Bereichen Entscheidungen oder Investitionen erforderlich waren.
Am wichtigsten war jedoch, dass das ISMS zu einem funktionierenden Bestandteil des Unternehmens wurde und nicht länger nur aus Dokumenten bestand, die hauptsächlich für Audits gepflegt wurden.
Stehen Sie vor einer ähnlichen Herausforderung?
Cybersecurity-Informationen sind häufig über Risikoregister, technische Berichte, Lieferantenunterlagen, Auditaufzeichnungen und Tabellen verteilt.
Cybersecurity Analytics kann Sie dabei unterstützen:
- ✓die für Ihr Unternehmen wichtigsten Risiken zu identifizieren;
- ✓technische Schwachstellen mit betrieblichen Auswirkungen zu verknüpfen;
- ✓Risiken und Maßnahmen eindeutigen Verantwortlichen zuzuordnen;
- ✓Ihr ISMS weiterzuentwickeln;
- ✓die Wirksamkeit Ihrer Sicherheitsmaßnahmen zu messen;
- ✓Lieferanten- und Drittparteirisiken strukturiert zu verwalten;
- ✓verständliche Cybersecurity-Berichte für das Management zu erstellen.
Verwandeln Sie Cybersecurity-Informationen in Entscheidungen, auf die Sie handeln können.
Unabhängig davon, ob Sie Ihr ISMS stärken, die Risikotransparenz verbessern oder technische Feststellungen mit geschäftlichen Auswirkungen verknüpfen möchten – unser Team unterstützt Sie dabei, einen praxisorientierteren Ansatz für das Cybersecurity-Management aufzubauen.
Verknüpfung von Assets, Schwachstellen, Sicherheitsmaßnahmen und geschäftlichen Auswirkungen.
Sicherheits-Governance praxisorientiert und messbar gestalten.
Entscheidungsträgern klare, handlungsorientierte Risikoinformationen bereitstellen.
Lieferantenabhängigkeiten in das übergreifende Risikobild integrieren.
