Security ist relativ
Wer über Sicherheit spricht, sollte deshalb zuerst seine Bedrohungen verstehen.
Ist ein Unternehmen sicher? Die Frage lässt sich nicht beantworten, ohne vorher zu klären: Sicher wovor?
Sicherheit existiert nicht absolut. Sie ist immer relativ zu einer Bedrohung.
Deshalb ist der Ruf nach "mehr Security" nach jedem bekannt gewordenen Cybervorfall fachlich unpräzise. Mehr Schutz wovor? Ein zusätzliches Tool in ein komplexes System einzuführen, schafft nicht zwangsläufig zusätzliche Sicherheit. Im ungünstigsten Fall entstehen vor allem Scheinsicherheit, zusätzliche Komplexität und weitere Kosten.
Sicherheit entsteht aus meiner Sicht auf drei Ebenen:
1. Grundschutz
2. Bedrohungsgerechte Architektur
3. Resilienz
Grundschutz
Der Grundschutz umfasst das, was in einer vernetzten Welt selbstverständlich und nicht verhandelbar sein sollte. Er ist grundsätzlich unabhängig vom einzelnen Unternehmen und seiner konkreten Bedrohungslage.
Grundschutz ist Hygiene.
Er schützt gegen bekannte, überwiegend zufällig auftretende Bedrohungsformen. Patchmanagement, Zugriffskontrolle, Mehrfaktorauthentifizierung, Backup – die einzelnen Massnahmen sind austauschbar, das Prinzip nicht: Bekannte Lücken schliessen, bevor jemand sie ausnutzt.
Die IT stellt diesen Grundschutz bereit. Die Anwender halten ihn durch ihr Verhalten wirksam. Er ist keine unternehmensspezifische Kür, sondern die gemeinsame Basis, auf der jede weiterführende Massnahme aufbaut.
Bedrohungsgerechte Architektur
Die bedrohungsgerechte Architektur geht über den Grundschutz hinaus. Sie berücksichtigt Branche, Kritikalität der Prozesse, Abhängigkeiten sowie die konkrete Bedrohungslage eines Unternehmens und ist damit nicht allein Aufgabe der IT, sondern Teil des Enterprise Risk Managements und damit eine unternehmerische Entscheidung.
Je nach Risikoexposition und Risikobereitschaft kann sie einem Minimalstandard, einer Good Practice oder einer Best Practice entsprechen.
Entscheidend ist nicht, möglichst viel Security zu implementieren, sondern denjenigen Schutz aufzubauen, der zur tatsächlichen Bedrohungssituation passt.
Ein global tätiges Produktionsunternehmen mit vernetzten Anlagen, eigener Entwicklung und kritischen Lieferketten benötigt somit eine andere Sicherheitsarchitektur als ein lokaler Dienstleister mit standardisierten Cloud-Anwendungen. Beide benötigen einen funktionierenden Grundschutz. Sie benötigen aber nicht dieselben Fähigkeiten zur Segmentierung und Systemüberwachung.
Für kritische Infrastrukturen und besonders exponierte Organisationen gehört dazu auch die Fähigkeit, hochentwickelte und bislang unbekannte Angriffsmuster zu erkennen, bevor sie Schaden anrichten. Diese Fähigkeit ergänzt den Grundschutz und die Architektur und wird operativ häufig durch ein Security Operations Center (SOC) oder vergleichbare Fähigkeiten unterstützt.
Resilienz
Trotz Grundschutz und passender Architektur gibt es keine absolute Sicherheit. Es bleibt der Zufall. Es bleibt der erfolgreiche Angriff trotz guter Architektur. Es gibt den "Lucky Punch", und manchmal gibt es schlicht Pech.
Resilienz wird dann relevant, wenn ein Angriff den vorhandenen Schutz erfolgreich überwindet.
Resilienz beginnt dort, wo technische und organisatorische Schutzmassnahmen ihre Wirkung verlieren. Sie zeigt sich nicht in einem weiteren Tool, sondern in der Fähigkeit, unter Zeitdruck ein unvollständiges Lagebild zu erfassen, Auswirkungen und Abhängigkeiten zu beurteilen, Prioritäten zu setzen und Entscheidungen zu treffen.
Resilienz verhindert somit keine Angriffe, sondern stellt sicher, dass ein Unternehmen auch nach einem erfolgreichen Angriff entscheidungs- und handlungsfähig bleibt und den Betrieb kontrolliert weiterführt oder wiederherstellt.
Mehr Security ist keine Strategie
Der Satz "Wir brauchen mehr Security" ist deshalb fachlich nahezu bedeutungslos und kann im ungünstigsten Fall sogar gefährlich sein.
Er sagt weder, welche Bedrohung gemeint ist, noch welches Schutzgut betroffen ist, welche Fähigkeit fehlt oder auf welcher Ebene Handlungsbedarf besteht.
Fehlt der Grundschutz? Ist die Architektur der tatsächlichen Bedrohung nicht angemessen? Fehlt die Resilienz, um einen erfolgreichen Angriff kontrolliert zu bewältigen?
Wer diese Fragen nicht beantwortet, beginnt bei den Massnahmen, bevor die Bedrohung verstanden ist und schafft damit vor allem Komplexität und Kosten ohne Mehrwert.
Ist ein Unternehmen genügend sicher? Die Frage lässt sich nur beantworten, wenn zuvor die unternehmensspezifische Bedrohung verstanden wurde.
Ein globales Produktionsunternehmen ist anderen Bedrohungen ausgesetzt als eine Bank, ein Energieversorger oder ein Rüstungsunternehmen. Wer alle mit denselben Sicherheitsmassnahmen schützen will, investiert zwangsläufig an den falschen Stellen.
Security ist nicht absolut. Sie ist immer relativ zur jeweiligen Bedrohung.
Sicherheit entsteht deshalb nicht durch möglichst viele Einzelmassnahmen, sondern durch ein abgestimmtes Vorgehen, das zur tatsächlichen Bedrohung passt.
Erst die Bedrohung verstehen. Dann die Security gestalten.
Dieser Beitrag erschien zuerst auf LinkedIn. Weitere Fachartikel auf der LinkedIn-Seite von DESISERA.
