ÍâÍøÌìÌÃ

Im Jahr 2023 betrafen 60 % der von ÍâÍøÌìÌà Wolf? Incident Response untersuchten Vorf?lle die Ausnutzung einer zwei (oder mehr) Jahre alten Sicherheitsl¨¹cke. Diese Schwachstellen waren bekannt, und die betroffenen Unternehmen hatten Monate bis Jahre Zeit, sie zu beheben, bevor es zu einem Zwischenfall kam. Diese Statistik verdeutlicht, dass es zwar eine Vielzahl von Faktoren gibt, die sich darauf auswirken, wie ein Unternehmen das Risiko mindern und seine Angriffsfl?che st?rken kann, aber auch, dass einer der Hauptfaktoren der anhaltende Mangel an Einblick in die eigene Umgebung ist. Zusammen mit der Unf?higkeit, Patches auf dem neuesten Stand zu halten, weil es an Ressourcen mangelt, fehlt die Bereitschaft, Systeme offline zu nehmen, und es gibt andere Faktoren, die hier einflie?en.

An dieser Stelle kommen Cyberrisikobewertungen ins Spiel. Diese Bewertungen sollen Unternehmen dabei helfen, die Risiken ¨¹ber ihre gesamte Angriffsfl?che hinweg zu identifizieren, zu bewerten und zu reduzieren, indem sie Richtlinien f¨¹r das Scannen von Schwachstellen, die Patch-Verwaltung und die Einhaltung von Sicherheitsstandards sicherstellen. So k?nnen Unternehmen bekannte Bedrohungen (z.?B. Schwachstellen) entsch?rfen, bevor sie zu Sicherheitsvorf?llen werden.

Was ist ein Cyberrisiko?

Ein Cyberrisiko ist der potenzielle Verlust von Daten, Vertraulichkeit oder Kontrolle f¨¹r ein Unternehmen aufgrund eines Cybersecurity-Vorfalls. Das Cyberrisiko ?ndert sich oft und wird sowohl durch externe Faktoren wie Trends bei Bedrohungsakteuren und Angriffsarten (z.?B. Ransomware, Verschl¨¹sselungs- oder Datenexfiltrationsangriffe) als auch durch interne Faktoren wie die Praktiken der Cybersecurity eines Unternehmens (z.?B. implementierte Richtlinien, eine Firewall oder eine durchg?ngige ?berwachungsplattform) bestimmt.

Am besten l?sst sich das Cyberrisiko als Wahrscheinlichkeitsgrad verstehen, der anhand der oben aufgef¨¹hrten Faktoren berechnet wird. Das Cyberrisiko erh?ht die Wahrscheinlichkeit, dass Ihr Unternehmen einer Cyberbedrohung zum Opfer f?llt, z.?B. durch:

• Phishing
• Malware
• Ransomware
• Bedrohungen durch Insider
• Und viele weitere Angriffsarten

Da Cyberrisiken oft sehr ver?nderlich sind, muss jede Organisation ihr eigenes Risiko bewerten und die notwendigen Schritte unternehmen, um es systematisch zu beheben.

Was ist eine Cyberrisikobewertung?

Eine Cyberrisikobewertung ist eine umfassende Beurteilung, die Ihre Prozesse, Ihre Angestellten und Ihre eingesetzten Technologien ber¨¹cksichtigt und bewertet. Ziel ist es, das gesamte Cyberrisiko Ihres Unternehmens zu verstehen, das haupts?chlich auf der Wahrscheinlichkeit und den Auswirkungen eines Cybersecurity-Vorfalls beruht.

Cyberrisikobewertungen beruhen auf drei Hauptbestandteilen: Bewertung, Priorisierung und Kommunikation. Das bedeutet, dass die Bewertung Ihre Prozesse, Angestellten und Technologien in Bezug auf die Cybersecurity und das Cyberrisiko bewerten, analysieren, wie Sie dieses Risiko reduzieren k?nnen, diese Ma?nahmen priorisieren und diese Bewertungen und Empfehlungen an die relevanten Gruppen, einschlie?lich der Aufsichtsbeh?rden und Cyberversicherungsanbieter, kommunizieren sollte. Solche Bewertungen k?nnen intern oder mithilfe eines Drittanbieters durchgef¨¹hrt werden.

Schritte zur Durchf¨¹hrung einer Cyberrisikobewertung

Eine Cyberrisikobewertung sollte ein gr¨¹ndlicher Prozess sein, an dem mehrere Interessengruppen beteiligt sind. Da sich das Risiko ebenso wie das Sicherheitsniveau eines Unternehmens st?ndig ?ndert, sind diese Bewertungen keine einmalige Angelegenheit. Sie m¨¹ssen in regelm??igen Abst?nden durchgef¨¹hrt werden, um die Angriffsfl?che Ihres Unternehmens kontinuierlich zu st?rken, w?hrend Ihr Unternehmen w?chst.

Auch wenn die Einzelheiten je nach Unternehmensprofil, einschlie?lich Branche, Reifegrad und Gr??e, sowie der aktuellen Bedrohungslage variieren, gibt es einige Schritte, die jedes Unternehmen bei der Durchf¨¹hrung einer Cyberrisikobewertung ber¨¹cksichtigen sollte:

1. Legen Sie Parameter und Ziele f¨¹r die Bewertung fest

F¨¹r ein Unternehmen ist es von entscheidender Bedeutung zu wissen, welche Teile der IT-Umgebung bewertet werden sollen und woran sie gemessen werden. Wenn ein Unternehmen versteht, was gemessen wird, wie es gemessen wird und welches Ziel mit den gesammelten Daten verfolgt wird, kann es die Bewertung nicht nur richtig interpretieren, sondern auch bei einem Vorfall erfolgreich vorbereitet sein, seine Angriffsfl?che zu st?rkten und das Risiko zu verringern.

2. W?hlen Sie einen Rahmen, an dem Sie Ihre Bewertung messen k?nnen

Es gibt einige branchen¨¹bliche Rahmenwerke f¨¹r die Cybersecurity, die Ihrem Unternehmen bei der Interpretation der internen Risiken helfen. Das NIST CSF 2.0 integriert branchenf¨¹hrende Praktiken der Cybersecurity in ein einziges, vereinfachtes Rahmenwerk, w?hrend die ¨¹bergreifende Cybersecurity-Ma?nahmen bieten, die Unternehmen befolgen und umsetzen k?nnen. Weltweit bieten die Essential Eight in Australien und NIS2 in der Europ?ischen Union solide Richtlinien.

Indem Sie die Ergebnisse Ihrer internen Bewertung mit diesen Rahmenwerken abgleichen, kann Ihr Unternehmen die wichtigsten Risikofaktoren, Schwachstellen und Aktionspunkte besser erkennen.

3. Erfassen Sie alle Ressourcen

Sichtbarkeit ist nicht nur entscheidend f¨¹r die Cyberrisikobewertung, sondern auch eine Kernkomponente einer starken Cybersecurity. Sie k?nnen nicht sch¨¹tzen, was f¨¹r Sie nicht sichtbar ist. Durch eine Bestandsaufnahme Ihrer kritischen Anlagen, Anwendungen, Identit?ten und Zugangspunkte sowie Endger?te kann Ihr Unternehmen feststellen, wo Risiken bestehen und wo sie sich im Falle eines Vorfalls ausbreiten k?nnten. Diese Transparenz erm?glicht es Ihrem Unternehmen nicht nur Schwachstellen ¨¹ber die gesamte Angriffsfl?che hinweg zu erkennen, sondern bietet auch eine umfassendere Abdeckung, wenn neue Cybersecurity-Tools und -Prozesse eingef¨¹hrt werden.

4. Identifizieren Sie Bedrohungen, Schwachstellen und Risikopunkte

Dieser Schritt kann sehr umfangreich sein. Es ist dabei wichtig, zu bedenken, dass Bedrohungen, Schwachstellen und Risikopunkte nicht nur in einem Teil der Angriffsfl?che existieren. Schwachstellen k?nnen webbasierte Anwendungen, Teile der Cloud, IoT-Ger?te und mehr ausnutzen. Die Bedrohungen sind vielf?ltig und k?nnen sich daher gegen verschiedene Komponenten der IT-Umgebung richten. Die Risikopunkte m¨¹ssen alles ¨C von diesen Schwachstellen ¨¹ber die Struktur Ihres Identit?ts- und Zugriffsmanagements bis hin zur Einrichtung Ihrer Cybersicherheits-Tools und der Konfiguration Ihrer Cloud ¨C umfassen. Ein gr¨¹ndlicher Prozess hilft Ihrem Unternehmen, Risiken besser zu priorisieren und zu entscheiden, welche Ma?nahmen zu welchem Zeitpunkt ergriffen werden m¨¹ssen.

5. Dokumentieren Sie die Ergebnisse und priorisieren Sie die entdeckten Risiken auf der Grundlage von Gesch?fts- und Sicherheitszielen

Nachdem Ihr Unternehmen die Sicherheitsl¨¹cken und Risikopunkte identifiziert hat, ist es nun an der Zeit, die Ergebnisse zu dokumentieren und mit den wichtigsten Beteiligten abzustimmen, was die n?chsten Schritte zur Risikominderung darstellen. Dies kann auf verschiedene Weise geschehen ¨C von der Implementierung neuer L?sungen ¨¹ber die Behebung von Schwachstellen bis hin zum Risikotransfer durch eine Cyberversicherung.

Schritte nach der Bewertung: Analyse und Umsetzung neuer Cybersecurity-Kontrollen. Dies ist der aktive Teil der Risikobewertung, und der Zeitpunkt, an dem Ihre Organisation die gesammelten Daten nutzt und auf der Grundlage der Ergebnisse konkrete Schritte unternimmt. Wie bereits angesprochen, muss nicht jede Kontrolle auf einmal durchgef¨¹hrt werden. Wie, wann und warum ein Unternehmen Risiken reduziert, h?ngt von einer Reihe von Faktoren ab, darunter Gesch?fts- und Sicherheitsziele, die Verf¨¹gbarkeit von Ressourcen und finanziellen Mitteln sowie die H?he des Risikos, das ein Unternehmen bereit ist zu akzeptieren.

Zu den ¨¹blichen Kontrollen, die auf der Grundlage von Cyberrisikobewertungen implementiert werden, geh?ren:

• das Patchen von Sicherheitsl¨¹cken,
• die Einf¨¹hrung neuer Verfahren f¨¹r das Identit?ts- und Zugangsmanagement,
• Software-Updates und neue Sicherheitsma?nahmen auf Endger?ten,
• die Installation von ?berwachungs-, Erkennungs- und Reaktionsl?sungen,
• und die Nutzung von Schulungsprogrammen zur Verringerung des menschlichen Risikos.

Die Vorteile der Durchf¨¹hrung einer Cyberrisikobewertung

Sicherheit ist eine Reise, und kein Ziel. Cyberrisikobewertungen k?nnen als wertvolle Zwischenstation auf dem Weg zu einer robusten Cybersecurity dienen. Sie erm?glichen es Ihnen, kritische Informationen zu Risiken zu verstehen und aufgrund dieser zu handeln, um Ihr Cyberrisiko, Ihre Gesch?ftsinitiativen, Ihre Resilienz sowie Ihre Cyberversicherung zu verbessern.

Die Durchf¨¹hrung einer Cyberrisikobewertung bringt mehrere Vorteile mit sich. Diese Vorteile beinhalten:

• die Identifizierung interner Sicherheitsl¨¹cken wie Schwachstellen, unzureichende Zugangskontrollen, mangelhaftes Identit?tsmanagement und Schwachstellen bei Endpunkten und anderen Ger?ten,
• die F?higkeit, eine Ausgangsgrundlage f¨¹r Cyberrisiken zu schaffen und zu erhalten,
• erforderliche Dokumentation f¨¹r die Kommunikation von Risiken mit Beteiligten, au?erhalb des IT-Bereichs,
• die Entwicklung von Governance-F?higkeiten, die Ihrem Unternehmen helfen, das Cyberrisiko zu verringern,
• und die Schaffung von Initiativen und Prozessen zur Verbesserung des Sicherheitsniveaus.
• Verbesserung der Cyber-Versicherbarkeit, damit Ihr Unternehmen Risiken ¨¹bertragen kann

Ein wichtiger, entscheidender Faktor f¨¹r den Abschluss einer Cyberversicherung ist das Gesamtrisiko Ihres Unternehmens. Ihr Unternehmen muss nicht nur das Risiko verringern, sondern auch Maklern und Versicherungsanbietern sowohl das Risikoniveau als auch die bestehenden Cybersecurity-Prozesse zur kontinuierlichen Verringerung dieses Risikos nachweisen. Des Weiteren ist es wichtig, dass Unternehmen nach innen schauen und ihre eigene Risikotoleranz und die H?he und Art des Risikos, das sie bereit sind zu akzeptieren, festlegen.

ÍâÍøÌìÌà Wolf? Cyber Resilience Assessment

Die interne Durchf¨¹hrung von Cyberrisikobewertungen kann f¨¹r Unternehmen schwierig sein, insbesondere f¨¹r kleinere, weniger sicherheitsreife Unternehmen. Sie erfordern Ressourcen, Zeit und das Budget daf¨¹r ¨C drei Dinge, die vielen Organisationen fehlen.

Das ÍâÍøÌìÌà Wolf Cyber-Resilienz-Assessment erm?glicht es Unternehmen, ihr Cyberrisiko auf einfache Weise zu bewerten, zu verstehen und zu reduzieren ¨C alles in einem Dashboard. Die Bewertung bietet einen transparenten Bewertungsindex, eine Einstufung der Versicherbarkeit, leicht verst?ndliche Ergebnisse und vieles mehr, sodass Ihr Unternehmen klare Entscheidungen kann, um Ihr Sicherheitsniveaus zu verbessern. Diese Bewertung ist ein Bestandteil von ÍâÍøÌìÌà Wolf Cyber JumpStart, einer kostenlosen Suite von Tools, einschlie?lich der Bewertung der Cyberresilienz, die es Ihrem Unternehmen erm?glichen, auf dem Weg zur Sicherheit voranzukommen und Ihr Cyberrisiko besser zu verwalten.

Erfahren Sie mehr ¨¹ber das ÍâÍøÌìÌà Wolf Cyber Resilience Assessment.
Erfahren Sie, wie die Implementierung einer Security Operations ÍâÍøÌìÌà Sie auf Ihrer Reise zur Cybersecurity unterst¨¹tzen kann, sodass Sie Ihr Cyberrisiko bewerten, mindern und ¨¹bertragen k?nnen.