Security Operations: Balance zwischen Automatisierung und menschlicher Expertise

Incident Response wird zunehmend automatisiert, da Machine Learning und KI großes Potenzial für effizientere Prozesse bieten. Doch Automatisierung sollte mit Vorsicht und nur bis zu einem gewissen Grad erfolgen, ohne das menschliche Element aufzugeben und CISOs die Kontrolle über alle Cyber-Sicherheitsereignisse zu lassen – aufgrund ihres unersetzlichen Wissens und der offensichtlichen Mängel dieser Technologien, die noch ungelöst sind.

Fortschritte in Machine Learning und KI sind in der Cybersicherheitsbranche in den letzten Jahren immer deutlicher geworden. Verschiedene Lösungen, die Incident-Response-Bemühungen straffen und effektiver machen, setzen diese Technologien ein.

Es besteht kein Zweifel, dass die Automatisierung bestimmter Aufgaben im Incident-Response-Prozess – insbesondere routinemäßige, mechanische Arbeit – Organisationen widerstandsfähiger gegen Cyberangriffe macht. Doch einige Cybersicherheitsprofis gleichsetzen Automatisierung einiger Aspekte mit vollautomatischem Prozess – zwei unterschiedliche Konzepte.

Wichtig: Bei Cyber Incident Response sind Automation und Automatic nicht synonym.

Wie CISOs die „neue automatisierte vs. automatische Welt“ navigieren

In dieser neu geschaffenen Umgebung, in der die Idee automatischer Response immer mehr an Zugkraft gewinnt, stellt sich die Frage, wie CISOs damit umgehen und ob sie Full Automation anstreben oder die Risiken kennen und einen orchestrierten Ansatz bevorzugen.

Man kann sagen, viele CISOs sind versucht, automatische Incident Response zu umarmen. Doch sie müssen wissen: Es gibt zahlreiche Herausforderungen und Hürden.

Beispielsweise spezifische Compliance-Risiken. Compliance mit Datenschutzverletzungs-Meldegesetzen ist im Incident Response entscheidend: Organisationen müssen Kunden über Verstöße informieren und Berichte an Behörden innerhalb einer Frist einreichen.

Um das zu erreichen, können Organisationen nicht auf ein automatisches Incident-Response-System vertrauen, da menschlicher Input bei der Bewertung von Umfang, Schwere und Auswirkungen von Verstößen nötig ist, bevor entschieden werden kann, ob ein Verstoß meldepflichtig ist.

Die DSGVO (GDPR), ab Mai 2018 in Kraft, ist ein Beispiel strenger Regulierung: Organisationen, die einen Datenschutzverstoß erleben, müssen innerhalb von 72 Stunden nach Kenntnis melden und betroffene Personen benachrichtigen, wenn nachteilige Auswirkungen festgestellt werden.

Um diese Fakten zu ermitteln und zu entscheiden, ob ein Verstoß gemeldet werden muss, brauchen Organisationen Cybersicherheitsprofis, die solche Regulierungen kennen und entsprechend reagieren – etwas, das ein automatisches System nicht leisten kann. Sanktionen bei Nichteinhaltung können schwerwiegend sein, einschließlich hoher Bußgelder, die das Geschäftsergebnis ernsthaft schädigen.

Bleibt das menschliche Element in der Cybersicherheit der Zukunft?

Eine weitere große Frage: Braucht es noch den Menschen im Incident Response? Rasante Fortschritte in ML und KI haben diese Frage aufgeworfen, Befürworter der Automatisierung sehen darin den logischen, unvermeidlichen nächsten Schritt.

So verlockend automatische Incident Response klingen mag, die vernünftigere, fundiertere Meinung ist: Der menschliche Faktor wird weiterhin eine bedeutende Rolle spielen, aus mehreren Gründen. Erstens: Menschliches Urteilsvermögen ist in vielen Schlüsselaspekten des Incident Response weiterhin notwendig, z. B. zur Sicherstellung regulatorischer Compliance.

Zweitens: Erfahrene, hochqualifizierte Cybersicherheitsprofis sind und bleiben ein untrennbarer Teil des Incident-Response-Orchestrierungsprozesses. Orchestrierung ist nötig, damit Security Teams den gesamten Prozess effektiv und effizient durchführen, ohne Kontrolle über wesentliche Aspekte wie Recovery, Eradication, Preparation und Post-Incident-Analyse zu verlieren – die menschlichen Input erfordern.

Drittens: CISOs werden zweifellos bei weiterreichenden Aktivitäten im Incident Response bleiben, wie der Sensibilisierung aller Mitarbeiter für Cybersicherheit und der Stärkung der Resilienz gegen zukünftige Angriffe.

Kurz: Incident Response wird zunehmend automatisiert, da ML und KI das Potenzial für effizientere Prozesse haben. Aber Automatisierung muss mit Vorsicht und nur bis zu einem gewissen Grad geschehen, ohne das menschliche Element aufzugeben und CISOs die Kontrolle zu lassen – aufgrund ihres unersetzlichen Wissens und der noch ungelösten Mängel der Technologien.

Quelle: Dario Forte, Founder & CEO von DFLabs

Die größte UK-Konferenz für Tech-Führung, Tech Leaders Summit, kehrt am 14. September zurück mit 40+ Top-Execs, die über Herausforderungen und Chancen der disruptivsten Innovationen sprechen. Sichern Sie Ihren Platz durch Registrierung hier.