Anzeige

CISO

Der Chief Information Security Officer (CISO) ist heute in Firmen nicht mehr wegzu­denken. Er ist ein wesentlicher Garant für die Sicherheit des Know-how und damit die Zukunft des Unternehmens.

Seine Sicherheits­regularien sowie die Kontrolle ihrer Umsetzung beruhen jedoch meist ausschließ­lich auf Daten der eigenen Organisation. Dies reicht nicht aus. Ein externer Blick vervollständigt die Datengrundlage und schafft Transparenz, unabhängig von der eigenen IT.

In Zeiten zunehmender Digitalisierung, Industrie 4.0 und Internet of Things (IoT) wird die Sicherheit der eigenen Unternehmensdaten immer mehr zur Herausforderung. Der CISO trägt hier einen wesent­lichen Anteil für die Zukunft des Unternehmens. Er erarbeitet die Schutzziele, führt Business Impact Analysen durch und etabliert unter anderem ein Information Security Management System (ISMS). Er ist jedoch auch für die Kontrolle der Umsetzung seiner Sicherheitsvorgaben verantwortlich. Genau hier liegt das Problem.

Die Bewertung durch den CISO, ob seine Sicherheitsvorgaben eingehalten werden, beruht in der Regel auf den Informationen, die er von der eigenen Organisation, meist der IT-Abteilung, erhält. Jedoch sorgen Unternehmenszukäufe, komplexe Gesellschaftsstrukturen, unterschied­liche IT-Verantwortlich­keiten sowie ungenügende Dokumen­ta­tionen der Assets und IT-Prozesse oftmals für eine lückenhafte Datengrundlage. Diese „blinden Flecken“ führen beispielsweise dazu, dass in Landesgesellschaften totge­glaubte Services noch weiterhin betrieben oder zentrale Richtlinien für Verschlüsselung nicht umgesetzt werden bzw. Server existieren, für die eigentlich niemand mehr zuständig ist. Diese von der Organisation nicht erkannten Schwachstellen sind in der Regel nicht nur temporär, sondern bestehen langfristig und stellen ein erhebliches Risiko dar. Da sie die IT-Abteilung nicht mehr „auf dem Schirm“ hat, werden sie auch dem CISO nicht bekannt.

Der CISO benötigt daher einen weiteren Blickwinkel, nämlich die unabhängige, externe Außensicht auf das Unternehmen. Cyber-Scorings basieren auf einer vollständig unabhängigen Informationsgrundlage und bieten eine ideale Ergänzung zur bestehen­den Daten­basis. Dabei können Abweichungen zur bestehenden Dokumentation einfach erkannt und analysiert werden. Viel wichtiger als die operative Behebung von erkannten Sicherheitsrisiken ist das Hinterfragen des Prozesses, der dazu geführt hat, dass diese oder jene Schwachstelle unbemerkt blieb.

Oftmals profitieren von der Prozessopti­mierung auch interne Systeme. Wenn bei einem Cyber-Scoring festgestellt wird, dass z.B. veraltete Software-Stände bei externen Systemen eingesetzt werden, ist dies weniger ein technisches Problem der Behebung, sondern vielmehr ein Indikator für einen mangelhaften Prozess. Warum ist dies in den letzten Jahren nicht aufgefallen? Eine höhere Prozessreife beim Patch- und Release-Management wirkt sich daher auch positiv auf die internen Systeme aus, weil sich eine neu eingeführte Maßnahme zur Kontrolle und Aktualisierung der Software-Stände in der Regel auf alle Systeme bezieht.

Obwohl ein externer Scan also nur einen Teilaspekt darstellt und nicht die interne Sicht ersetzen kann, liefert er doch wertvolle Hinweise. Ein Cyber-Scoring ist ein gutes Mittel zur Validierung der Qualität vorhandener Daten und hilft dem CISO, einen umfassenderen Blickwinkel auf die IT-Landschaft des Unternehmens zu bekommen.

Heiko Kropf, Geschäftsführer der CyDIS Cyber Defense and Information Security GmbH

www.cydis.de
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

RemoteWork Sicherheit

In drei Schritten zu mehr Netzwerksicherheit im Remote-Umfeld

Die Corona-Pandemie zwang im Frühjahr viele Unternehmen quasi über Nacht zur Digitalisierung. Dies gelang mal besser, mal schlechter, doch so langsam ist der Großteil von ihnen in der neuen Realität von Fernarbeit und Onlinekonferenzen angekommen.
Cybercrime

Effizienter Schutz vor Credential Stuffing

Die globale Coronavirus-Pandemie hat das Problem von Credential Stuffing noch verschärft. Bei dieser Angriffsmethode probiert ein Cyberkrimineller eine große Anzahl gestohlener Anmeldedaten bei mehreren Websites aus. Damit möchte er sich unbefugten Zugang zu…
Weihnachten Kalender

Der Adventskalender für mehr IT-Sicherheit

Die Weihnachtszeit naht und für Viele ist das Öffnen von 24 Adventskalender-Türchen eines der am meisten geschätzten Dezember-Rituale. Passend dazu startet zum zweiten Mal die Aktion “Sicher im Advent”
Business Continuity Management

Business Continuity Management: Überlebenswichtig in Corona-Zeiten

Die Corona-Pandemie stellt zahlreiche Unternehmen auf eine harte Probe. In dieser unsicheren Wirtschaftslage können Systemausfälle oder Ähnliches nicht nur Zeit, Geld und die Reputation kosten, sondern auch die Existenz.
E-Mails

E-Mail-Kommunikation mittels Blockchain: totemomail Verified

Die E-Mail ist gerade im Geschäftsleben nach wie vor das universelle Kommunikationsmittel, obwohl ihren Vorteilen auch Nachteile wie Phishing-Risiken oder die fehlende Revisionssicherheit gegenüberstehen.
Netzwerk-Sicherheit

Das Netzwerk sichern wie den Firmen-Komplex

Ransomware-Angriffe nehmen mehr und mehr zu, nicht zuletzt begünstigt durch die fortschreitende Digitalisierung, Cloudmigration und breit angelegte Tele-Arbeit. Nun gilt es, die Strategie für Netzwerksicherheit ebenfalls zu adaptieren. Mehr Homeoffice. Mehr…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!