IT-Risiko bewerten: Strategien, Frameworks und Best Practices für Business Protection

Michael Aminzade von Trustwave

Makelloser Schutz vor Cyberkriminellen ist nahezu unmöglich, aber systematische IT-Risikobewertungen geben Organisationen die beste Verteidigung gegen Angriffe.

Mit der sich ständig wandelnden Bedrohungslandschaft ist die Priorisierung von Risikomanagement-Reviews, die Ihre einzigartigen Herausforderungen adressieren, essenziell.

„Sobald die größten Risiken identifiziert sind, kann die Implementierung des optimalen Sicherheitslevels beginnen, das Ihre spezifischen Bedürfnisse adressiert“, sagt Michael Aminzade, Vice President of Global Compliance and Risk Services bei Trustwave.

Die Durchführung einer umfassenden Informationssicherheits-Risikobewertung deckt die kritischsten Lücken auf und ermöglicht die Entwicklung eines gezielten Mitigationsplans. Bevor Sie beginnen, müssen Sie Ihre Business-Ziele verstehen, potenzielle Bedrohungen identifizieren, Kompromittierungs-Wahrscheinlichkeit bewerten und Verlust-Impact quantifizieren. Einbindung von Senior Management, IT-Administratoren und Stakeholdern durch tiefgehende Interviews stellt sicher, dass alle organisatorischen Facetten auf Sicherheitslücken evaluiert werden.

Das klassische CIA-Trias – Vertraulichkeit, Integrität und Verfügbarkeit – dient als fundamentaler Leitfaden für Cybersicherheits-Assessments. Ein Gleichgewicht unter den dreien zu finden, ist herausfordernd; Überbetonung von Verfügbarkeit kann Vertraulichkeit und Integrität erodieren, während übermäßiger Fokus auf Vertraulichkeit oder Integrität Verfügbarkeit untergraben kann.

Nach Abschluss der Bewertung bestimmen Sie, welche Security Controls das Business-Risiko am besten mindern. Diese Controls blendet typischerweise Technologie, Policy, Prozesse und Verfahren.

Risikobewertungs-Frameworks

Bei der Durchführung einer Sicherheitsrisikobewertung können Sie aus mehreren etablierten Frameworks wählen. Die fünf am weitesten adoptierten sind die ISO 27000x Serie, OCTAVE, COBIT, NIST 800-53 und das NIST Cybersecurity Framework (CSF). NIST, eine US Commerce Department Agency, bietet kostenlose Guidance-Dokumente, die den CSF zur bevorzugten Wahl für Unternehmen, Bildungseinrichtungen und Regierungsbehörden weltweit gemacht haben.

Der CSF ist strukturiert um drei Komponenten: das Framework Profile, den Framework Core und die Implementation Tiers. Seine Flexibilität erlaubt es, neben anderen Risikomanagement-Prozessen zu operieren, wie ISO Standards, und er ist relevant für Organisationen außerhalb der USA.

NIST 800-53 unterstützt Compliance mit US Federal Information Processing Standards (FIPS) und predatet den CSF. Es liefert Evidenz für Control-Effektivität, Einblicke in Risikomanagement-Qualität und Informationen zu Stärken und Schwächen von Informationssystemen.

Best Practice

Da Cybercrime kommerzialisiert wird, bewegen sich viele Organisationen über Compliance hinaus hin zu umfassenden Risikominimierungs- und Datenschutzstrategien. Moderne Risikobewertungs-Methodologien decken nun die gesamte Supply Chain ab, inklusive Third-Party Vendor Access zu internen Systemen.

Der BYOD-Trend hat den Bedarf an robuster Endpoint Security und tieferem Verständnis erhöht, wie Endpoints das Risikoprofil einer Organisation beeinflussen. Angesichts dieser zusätzlichen Komplexität kann Partnerschaft mit einem Managed Security Services Provider (MSSP) unschätzbar wertvoll sein. Ihre tiefe Expertise hilft Ihnen, eine expandierende Netzwerklandschaft zu sichern.

Entwicklung eines Risikobewertungs-Modells erfordert Senior Management Buy-in. Executives müssen entweder inhärente Risiken akzeptieren oder sich zu einem Remediation Plan verpflichten, der die Risikohaltung mit den Toleranzleveln der Organisation aligniert. Idealiter sollte der CISO oder CIO den Assessment Schedule, Findings und Remediation Plans überwachen und regelmäßige Updates an das Executive Team liefern. Alle Mitarbeiter teilen jedoch Verantwortung für die Sicherheit der Organisation.

Training sollte abdecken, wie man Bedrohungen wie bösartige E-Mails erkennt und Prozeduren für das Melden verdächtiger Vorfälle skizzieren. Während perfekte Sicherheit unerreichbar ist, ist das Ziel, das optimale Sicherheitslevel für Ihr Business zu erreichen.

Etablierung eines Risiko-Frameworks und Durchführung von IT-Risikobewertungen identifizieren das angemessene Sicherheitslevel für Ihre Organisation. Einmal identifiziert, können Schwächen behoben werden, um Ihr Business zu schützen.

Kombination von Risikobewertungen mit Security Maturity Evaluierungen ermöglicht Organisationen, einen strategischen Investment Roadmap aufzubauen und ROI gegenüber Stakeholdern zu demonstrieren.

Der Autor dieses Blogs ist Michael Aminzade, Vice President of Global Compliance and Risk Services bei Trustwave