Konzentriert sich Ihr Sicherheitsprogramm nur auf die Reaktion auf Vorfälle? Dann gehen Sie es falsch an.

Eine Version dieses Artikels erschien als Beitrag für den Forbes Technology Council. Er wurde aktualisiert und hier syndiziert.

‍

Es gibt kaum etwas Schlimmeres, als von einer Datenpanne betroffen zu sein. Zuerst herrscht vielleicht Verleugnung, dann Panik. Sobald alle Flüche ausgestoßen wurden und der CISO um 2 Uhr morgens eine Telefonkonferenz mit der PR-Abteilung abhalten musste, ist es an der Zeit, die Ärmel hochzukrempeln und sich an die Arbeit zu machen: Endpunkte und Systeme absichern und potenzielle Angriffsvektoren schnell eliminieren. Um es vorsichtig auszudrücken: Das ist kein Zuckerschlecken.

Und doch ist dies eine Realität, die vielen Unternehmen in Zukunft bevorsteht und auf die man sich unbedingt mit einem umfassenden Plan zur Reaktion auf Cybersicherheitsvorfälle vorbereiten muss. Das Problem ist jedoch, dass sich ein Großteil der Zeit, Ressourcen und Anstrengungen auf diese reaktive Strategie konzentriert, anstatt daran zu arbeiten, die potenzielle Schwere von Cyberangriffen von vornherein zu verhindern oder zu verringern. Es ist ein wenig so, als würde man bei einem Verdacht auf einen Herzinfarkt einen Krankenwagen rufen; die Ergebnisse sind oft weitaus weniger positiv – ganz zu schweigen von den größeren Schäden –, als wenn präventive Gesundheitsmaßnahmen ergriffen worden wären, bevor es zu spät war.

Wie sieht also ein präventiver Plan aus? Lassen Sie uns untersuchen, wie Sicherheitsexperten alle ihnen zur Verfügung stehenden Werkzeuge nutzen können, um das ständig wachsende Cyberrisiko täglich zu mindern:

Den Umfang der anstehenden Aufgaben verstehen

Es scheint offensichtlich, aber der „richtige“ Plan zur Minderung von Cyberrisiken weist branchenspezifische Nuancen auf, und es ist wichtig, von Anfang an zu verstehen, was erforderlich ist, um das gewünschte Ergebnis zu erzielen.

Welche Sicherheitsprobleme bestehen derzeit? Wie viel Zeit und Ressourcen beanspruchen sie? Wie viele davon sind wiederkehrende Probleme? Dies sind wichtige Faktoren, die Ihnen einen grundlegenden Ausgangspunkt bieten. Berücksichtigen Sie Rollen, die besetzt werden müssen, Lücken in der Tool-Landschaft sowie den Bedarf an Fachwissen und Werkzeugen, um Endpunkte zu sichern, die Angriffsfläche zu verringern und andere potenzielle Risikobereiche vorwegzunehmen.

Ein aktueller Bericht ergab, dass elf Branchen im vergangenen Jahr jeden Tag eine schwerwiegende Sicherheitslücke in mindestens der Hälfte ihrer Anwendungen verzeichneten. Insbesondere in den Bereichen Versorgungswirtschaft, öffentliche Verwaltung und professionelle Dienstleistungen dauerte es durchschnittlich 288 Tage, bis bekannte Schwachstellen behoben wurden. Das ist unglaublich langsam und gibt einem Angreifer mehr als genug Zeit, ernsthaften Schaden anzurichten, falls diese Schwachstellen entdeckt werden, bevor ein Patch angewendet werden kann. Dies, gepaart mit der Wahrscheinlichkeit, dass Unternehmen eine Datenpanne erleben, die nahe 30 % liegt, ist eine ernüchternde Erinnerung daran, dass die Reaktion auf Vorfälle nicht ausreicht und zu viel auf dem Spiel steht, um nur auf den Einschlag eines groß angelegten Cyberangriffs zu warten und auf das Beste zu hoffen.

Bereiten Sie sich darauf vor, Unterstützung für einen kulturellen Wandel zu gewinnen

Den Status quo aufzurütteln sorgt zwar oft für hochgezogene Augenbrauen, aber die Wahrheit ist, dass Sicherheitsprogramme sich in einem ständigen Prozess der kontinuierlichen Verbesserung befinden sollten. Jede Komponente sollte relevant bleiben, und neue Entwicklungen sollten bewertet und berücksichtigt werden.

Die Betonung eines präventiven – im Gegensatz zu einem reaktiven – Ansatzes ist außerhalb des Sicherheitsteams möglicherweise nicht allgemein bekannt, insbesondere wenn es noch zu keinem schwerwiegenden Sicherheitsvorfall gekommen ist. Es könnte als etwas angesehen werden, das nicht kaputt ist und daher nicht repariert werden muss. In diesem Fall ist die Unterstützung durch die Geschäftsführung unerlässlich. Einige der wichtigsten Punkte, die sie berücksichtigen sollten, sind:

• Die Zeit- und Kostenersparnis durch präventive Maßnahmen, wie rollenbasierte Schulungen und entsprechende Tools, im Vergleich zu den potenziellen Kosten eines kritischen Vorfalls
• Wie das Finden und Beheben von Schwachstellen jetzt Releases pünktlich hält, mit weniger Blockern durch das Sicherheitsteam
• Warum die Vorbereitung auf und das Vorwegnehmen potenzieller Sicherheitsrisiken, vom Entwicklungsteam bis hin zum Release, insgesamt mehr Zeit (ganz zu schweigen von erheblichem Geld) spart. Um es ins Verhältnis zu setzen: Schwachstellen, die erst spät in der Testphase – oder schlimmer noch, nach der Produktion – entdeckt werden, können die Kosten im Durchschnitt um bis zu 3000 % erhöhen.
  

Es ist entscheidend, dass vorgeschlagene kulturelle Veränderungen auf die Geschäftsziele ausgerichtet sind, auch wenn sie sich zunächst unangenehm anfühlen.

Sicherheitsbewusstsein ist gut, Sicherheitskompetenz ist alles

Als Branche sprechen wir häufig über die Bedeutung von Sicherheitsbewusstsein, und dies ist ein zunehmend kritischer Bestandteil für jedes Mitarbeiterteam in einem Unternehmen. Es reicht jedoch nicht aus, es bei Lippenbekenntnissen und passiven Schulungen zu belassen, insbesondere für Mitarbeiter in technischen Positionen.

Einfach ausgedrückt: Jeder, der mit Code arbeitet, stellt ein potenzielles Sicherheitsrisiko dar, wenn er nicht über die Fähigkeiten verfügt, sicher zu programmieren. Ein allgemeines Bewusstsein für grundlegende Sicherheitsparameter ist ein guter Anfang, aber ohne kontextbezogenes Wissen über gute, sichere Codierungsmuster setzen sich schlechte Gewohnheiten durch. Genau auf diesen Mangel an qualitativen Entwicklungsfähigkeiten verlassen sich Angreifer, um ihre schmutzige Arbeit zu verrichten.

Schreiben Sie Ihre Entwickler nicht ab.

Obwohl sich die Einstellung ändert, sind viele Unternehmen so strukturiert, dass Entwickler in Sicherheitskonzepten selten wirklich berücksichtigt werden. Einige Branchen – wie das Bank- und Finanzwesen – haben strenge Compliance- und regulatorische Anforderungen, die zu verschärften Sicherheitspraktiken und Schulungen für alle Mitarbeiter führen. Und obwohl sie anderen Branchen sicherlich voraus sind, könnte fast jedes Unternehmen auf der Welt von einer internen Armee sicherheitsbewusster Entwickler profitieren, die alle über die grundlegende Fähigkeit verfügen, häufige Sicherheitsfehler aufzuspüren, bevor sie in den Code gelangen. Die meisten sind weit davon entfernt, dieses kritische Puzzleteil des Sicherheitsprogramms zu erreichen – und es ist notwendig, wenn wir jemals die Hoffnung haben wollen, die Flut an Code zu sichern, deren Volumen von Jahr zu Jahr zunimmt.

Präventive Sicherheit sollte in dem Moment beginnen, in dem die Softwareentwicklung startet. Doch Entwickler können die Sicherheitslücke nicht allein schließen. Sie benötigen die richtigen Werkzeuge und kontextbezogene Unterstützung für eine höhere Codequalität. Die besten Ergebnisse erzielt man, wenn Sicherheit fester Bestandteil des Arbeitsalltags ist und nicht nur sporadisch bei jährlichen Compliance-Prüfungen berücksichtigt wird.