„Die Bedrohungslage ist hoch“

ITD: Herr Beck, im Zuge der Digitalisierung werden IT-Umgebungen immer komplexer. Zugleich wächst das Cyberbedrohungsrisiko, denn die steigende Komplexität sorgt auch für größere Angriffsflächen. Was können IT-Dienstleister tun, um die internen IT-Teams von Unternehmen zu entlasten?
Beck: Sie können den Betrieb einzelner Leistungen übernehmen, beispielsweise der Firewall, der Intrusion Detection der Endpoint Security. Darüber hinaus können sie durch Services komplette Security-Aufgaben übernehmen. Dazu zählt das Security Operation Center (SOC), SIEM, das Vulnerability Management, IDS, etc. Eine dritte Möglichkeit ist, spezielles Know-how und Skills anzubieten, beispielsweise auf den Gebieten Pentesting, Forensik, Incident-Response- Kampagnen. In diesem Zusammenhang können sie auch Schulungen anbieten zu Awareness, Phising, Software sowie Standards/Normen. Und letztlich können sie natürlich technologisch unterstützen, mit Software und Tools, etwa wenn es darum geht, Security-Aufgaben zu automatisieren.

ITD: Inwieweit lässt sich IT-Sicherheit überhaupt „outsourcen“?
Beck: IT-Sicherheitsaufgaben können grundsätzlich – nach eingehender Prüfung – an externe Dienstleister ausgelagert werden; dies sogar überwiegend. Das Know-how und die Erfahrung bzgl. IT-Sicherheit muss aber in der Organisation vorhanden sein, um ein angemessenes Sicherheitsniveau zu etablieren und dies kontrollieren zu können. Darüber hinaus sind Kompetenzen notwendig, um die IT-Sicherheit strategisch und taktisch für die Organisation passend aufzustellen und weiterzuentwickeln.

ITD: Was sind die Vor- und Nachteile, die IT-Sicherheit in die Hände eines Managed Security Service Providers (MSSP) zu legen?
Beck: Hier gibt es aus meiner Sicht folgende Pro- und Kontra-Argumente:

Vorteile:

• Bessere Qualität: Spezialthemen und Dienstleistungen die gut skalieren, können von MSSPs oft in besserer Qualität angeboten werden.
• Sie sind häufig günstiger, da Skaleneffekte realisiert werden.
• Es werden weniger IT-Fachkräfte benötigt.

Nachteile:

• Verstärkung der Abhängigkeit von externen Dienstleistern
• Geringer Einfluss auf die angebotenen Services
• Weniger Kompetenz und Erfahrung in der eigenen Organisation.

ITD: Wie bewerten Sie aktuell die Cyberrisikolage für große Unternehmen und Behörden in Deutschland?
Beck: Die Bedrohungslage ist hoch, und sie wird auch hoch bleiben. Die zunehmende Digitalisierung macht die IT als Angriffsziel attraktiv. Die Abhängigkeit von IT und IT-gestützten Prozessen vergrößert das Ausmaß möglicher Schäden. Im Vergleich zur Höhe des Riskos wird noch zu wenig in Cybersecurity und Cyberresilienz investiert.

ITD: Worauf müssen Betreiber einer sogenannten kritischen Infrastruktur (KRITIS) achten?
Beck: Die oberste Maxime lautet, die umfangreichern Vorgaben (BSI-Gesetz) einzuhalten. Unternehmen tun zudem gut daran den Punkt „Stand der Technik“ einzuhalten, z. B. bei der automatisierten Erkennung von Cyber-Angriffen (durch SIEM und IDS). Hier drohen sonst Konsequenzen. Zwei wichtige organisatorische Maßnahmen sind zudem die Einführung eines ISMS und eines Business-Continuity-Management-Systems. Dazu kommen Investitionen in Technologie, um IT, OT sowie Infrastruktur und Betriebsorganisation effektiver und effizienter zu schützen.

ITD: Die Nachfrage nach Managed Security Services steigt unaufhörlich. Was sollten Unternehmen beachten, um auf diesem Gebiet den passenden Anbieter zu finden?
Beck: Hier sind vor allem folgende Punkte wichtig:

• Das Serviceangebot sowie deren Ausprägungen (z. B. SLAs) müssen stimmen. Zudem sind...
• Erfahrene Anbieter, mit über Jahre bewährten und entwickelten Prozessen, Services und Lösungen sind von Vorteil.
• Wichtig ist zu klären, wo die Daten verarbeitet werden.
• Weiter Auswahlkriterien sind Anzahl der Mitarbeiter, Zertifizierungen und ähnliche Nachweise, der Kundenfokus der Anbieter hat, und ob die Services mit eigenen Mitarbeitern erbracht oder mit Freelancern.

ITD: Wie wird sich der Markt für Managed Services weiter entwickeln?
Beck: Hier sind vor allem folgende Punkte wichtig:

• Der MSSP-Markt wird weiter wachsen, weil die Anforderungen komplexer und die Outsourcing-Vorteile eher größer als kleiner werden. Marktforscher wie IDC gehen von Mehrausgaben für Security aus.
• An einigen Stellen wird es auch zu Konsolidierungen kommen. Auftraggeber wollen Ineffizienzen und Komplexität beim Management verschiedener Sicherheitsanbieter abbauen.

Bildquelle: Sopra Steria