Kein reines Glücksspiel

Regelmäßig sitzen die Fachverantwortlichen im Rahmen umfangreicher Audits zusammen, um Sicherheitslücken zu finden und bestehende Prozesse zu optimieren. Zusätzlich steuert die IT aktuelle Daten aus dem automatisierten Asset-Management und von Schwachstellenscannern bei. An Informationen mangelt es also nicht. Vielmehr entpuppt sich die Notwendigkeit einer Statusübersicht bereits erkannter Risiken und der verschiedenen laufenden bzw. angestoßenen Sicherheitsmaßnahmen in der Praxis immer wieder als große Herausforderung. Es fehlt nicht nur an Transparenz über die Zuständigkeiten und Termine. Unklar bleibt auch, inwieweit welche Assets, Prozesse und Standorte konkret welchen Bedrohungen ausgesetzt sind. Die Auswahl geeigneter Maßnahmen zur Risikominimierung wird damit zum Glücksspiel, da eine Priorisierung in kritische und weniger kritische Bedrohungen faktisch unmöglich ist.

Der Schlüssel zur Risikominimierung

Bis vor wenigen Jahren war die Beschaffung von Informationen rund um die Assets eines Unternehmens sowie deren Softwarestand eine komplexe Aufgabe. Mussten beispielsweise alle Anlagen identifiziert werden, die eine bestimmte Software mit einer neu gefundenen Schwachstelle nutzten, war das die sprichwörtliche Suche nach der Nadel im Heuhaufen. Durch die weitreichende Umorientierung der IT hin zu Services (ITIL) und den damit verbundenen Investitionen in Asset-Management, Softwareverteilung, Lizenzmanagement und Helpdesk haben Unternehmen einen großen Schritt zu mehr Übersicht in der IT gemacht.

In Zusammenarbeit mit der IT-Sicherheit können nun Schwachstellenmanagement (Vulnerability Management) und Security Information & Event Management (SIEM) zusätzliche Informationen rund um den Sicherheitsstatus einzelner Assets oder Asset-Gruppen geben – und das nahezu in Echtzeit. Das Problem liegt heute also eher darin, die wichtigen Informationen von den unwichtigen zu trennen. Die beschriebene Suche gleicht damit heute mehr dem Problem, eine bestimmte Nadel im Nadelkissen zu finden – eine Aufgabe, die eher der Business Intelligence zuzuordnen ist, da Informationen aus mehreren Quellen zunächst aggregiert, harmonisiert und korreliert werden müssen. Erst danach bringt der intelligente Einsatz von Filtern die gesuchte Information hervor.

Wenn sich im beschriebenen Fall nun dutzende – wenn nicht hunderte – passende Nadeln finden, denen jeweils ein bestimmtes, sicherheitsrelevantes Software-Update fehlt, stellt sich die Frage: Wo fängt man an? Wo reduziert man wirkungsvoll die tatsächlich vorliegenden Risiken? Da die technische Sicht auf Schwachstellen und mögliche Bedrohungen lediglich den Blickwinkel der IT-Sicherheit darstellt, fehlt weitläufig ein anderer Aspekt: Die tatsächliche betriebswirtschaftliche Sicht, die eine Einschätzung des Risikos überhaupt erst ermöglicht. Dies wirft Fragen auf wie: Welche kritischen Geschäftsprozesse besitzt man? Welche Arbeitsprozesse in welchen Abteilungen bilden den Wertschöpfungsprozess ab? Welche Anwendungen werden hierfür benötigt? Nur wenn diese Informationen vorliegen und die jeweils zeitkritischen Schritte erkannt wurden, kann das Risikomanagement sinnvoll damit anfangen, kritische Applikationen zu identifizieren und die für den Betrieb der Applikationen notwendigen IT-Ressourcen zu bestimmen.

Kategorien vermindern Scheingenauigkeit

Mit entsprechender Automatisierung ist also recht schnell erkennbar, wo die Schwachstellen liegen – nur die eigentliche Risikosituation ist schwer zu ermitteln. In deren Beurteilung teilen sich Risikomanager in zwei Lager: diejenigen, die ein absolutes, pekuniär bewertetes Risiko in Euro und Cent berechnen wollen und diejenigen, die mit einer relativen Aussage zufrieden sind. Beiden Ansätzen gemein ist, dass ihre Bewertungen zumindest teilweise auf Annahmen bzw. Statistiken beruhen, sodass auch absolute Angaben einen Unsicherheitsfaktor enthalten. Im operativen Risikomanagement genügt allerdings in den meisten Fällen ein Blick auf die „Kategorie“ eines Risikos: Ist es wirklich bedrohlich für den Fortbestand des Unternehmens oder spricht man vom Verlust einiger Stunden Produktionszeit an einem kleinen Standort? Könnten die Strategiepapiere für die Entwicklung der neuen Märkte in Südostasien kompromittiert werden oder sind „nur“ vage Notizen aus der letztjährigen Vorstandsitzung bedroht? Unter strikter Verwendung vorab definierter Kategorien kann man somit im operativen Risikomanagement leicht eine Unterscheidbarkeit erzielen, welche Systeme mit höchster Priorität aktualisiert werden müssen, und bei welchen man sich notfalls ein wenig Zeit lassen kann.

Werden nun in einem Audit oder einer internen Revision mögliche Schwachstellen oder Bedrohungen entdeckt bzw. konkretisiert und sichtbar gemacht, übergeben insbesondere externe Auditoren im Rahmen ihres Auditberichts gern umfangreiche Tabellen mit „Findings“. Deren Bearbeitung, ebenso wie die Zuweisung von verantwortlichem Personal und das Nachhalten der Fortschritte bei der Mitigation der Schwachstellen, vereinfacht sich erheblich durch die Nutzung intelligent gesteuerter Werkzeuge. Beratungsunternehmen wie Vero Certus empfehlen ihren Kunden deshalb den Einsatz beispielsweise der webbasierten Plattform White Cyber Knight, die Analyse, Bewertung und Management von Risiken von einer zentralen Stelle aus ermöglicht. So verfügen die Kunden im gesamten Risikomanagementprozess über eine bessere Übersicht. Zusätzlich unterstützt die oben genannte Asset-Klassifizierung die Priorisierung der Maßnahmen.

Modellierung als Basis

Um die anstehenden Aufgaben im Risikomanagement nachhaltig zu lösen, bedarf es einer Abbildung der strategisch wichtigen Prozesse, Anwendungen und IT-Komponenten, aber auch der Erfassung der Standorte, Lokationen und übergreifenden Verbindungen.

Im Bereich der IT hilft der Import oder der Onlinezugriff auf eine Configuration Management Database (CMDB), wie sie alle führenden Anbieter im Programm haben (CA Unicenter, BMC, HP, IBM etc.), oder auf Service-Management-Werkzeuge wie Planning-IT. Die Abbildung ortsgebundener Risiken oder standortspezifischer Gegebenheiten erfordert oft eine eigenständige Modellierung, die sich jedoch durch die Nutzung grafischer Oberflächen erheblich vereinfachen lässt. Die eigentlichen Geschäftsprozesse werden dann zunächst generisch erfasst und im Folgenden sinnvoll mit Standorten, Gebäuden, Anwendungen oder IT-Komponenten verknüpft.

Im Idealfall bietet das eingesetzte Werkzeug ein durchgängiges und einheitliches Kategorisierungs- und Bewertungsschema, mit dem die Kritikalität eines Objektes für sich oder in Abhängigkeit zum jeweils über- oder untergeordneten Objekt bestimmt wird. Da spätere Detailanalysen durchaus zu einer neuen Einschätzung verschiedener Aspekte oder Attribute führen können, sollte das Tool in jedem Fall eine Anpassung der initialen Einstufung ermöglichen.

Auch ohne die Gesamtsicht auf das Unternehmen müssen dabei einzelne Fachbereiche oder Themengebiete modellierbar sein, die sich bei Bedarf in einen größeren Gesamtzusammenhang einordnen lassen. Sowohl mit der Betrachtung von Risiken einzelner Produkte und Systeme (Bottom-up) als auch abstrakter Unternehmensprozesse (Top-down) bestätigt sich die Erfahrung, dass der Mehrwert eines Werkzeuges stark von dessen Skalierbarkeit abhängt. Den größten Erfolg zeigen dabei die Projekte mit Kunden, die mit dem Ansatz „Think big – start small“ zunächst einen Teilbereich modellieren und dort ein intelligentes Risikomanagement je Hauptabteilung, Standort oder Sparte etablieren. Eine Ausweitung auf andere Bereiche ist später wesentlich einfacher, während der Versuch eines „großen Wurfs“ oft scheitert.

Die zur Verfügung gestellten Daten beeinflussen maßgeblich die Qualität und Wirksamkeit eines Risikomanagements. Hierzu zählen ebenso möglichst genaue Schätzungen von Eintrittswahrscheinlichkeiten wie Bewertungen der Auswirkungen im Falle eines Eintretens. In ähnlicher Weise profitieren die Nutzer eines Risikomanagement-Werkzeugs von der Datenqualität, die sowohl die Modellierung der Prozesse und Zusammenhänge als auch den Import der Assets erreicht. Ohne ein genaues Mapping und eine stabile Zuordnung von Prozessen und Assets zu den jeweiligen Verantwortlichen, kann kein effizient nutzbares Tool etabliert werden. Nur wenn die Auswertung anhand der integrierten Reportings logisch nachvollziehbare Fortschritte aufzeigt und für ausgebliebene Mitigationsschritte verantwortliche Personen oder Funktionen benennt, entsteht für den Anwender ein erkennbarer Mehrwert.

Bildquelle: Elke Hannmann/Pixelio.de