Management-Strategien Signifikante Risikominderung trotz knappem Security-Budget!

Anbieter zum Thema

Securepoint GmbH

WatchGuard Technologies GmbH

Fortinet Deutschland GmbH

In Zeiten wirtschaftlicher Unsicherheit können Kürzungen des IT-Security-Budgets die Arbeit des CISOs deutlich erschweren. Hier werden verschiedene Ansätze und Strategien skizziert, die das Risiko bei knappen Ressourcen sogar entscheidend reduzieren können.

In der heutigen digitalen Landschaft ist die IT-Security für Unternehmen jeder Größe ein vorrangiges Anliegen. Die ständige Weiterentwicklung von Bedrohungen erfordert dynamische Strategien, die oft durch erhebliche Budgetzuweisungen gestützt werden müssen. Wenn jedoch wirtschaftliche Abschwünge und sich ändernde Geschäftsprioritäten die Sicherheitsausgaben drosseln, müssen Chief Information Security Officers (CISO) Maßnahmen ergreifen, um schrumpfende oder stagnierende Budgets möglichst effektiv zu bewältigen.

Kompensation von Budgetkürzungen

Die Implementierung von umfassenden Maßnahmen zur Optimierung der Kosten kann das Risikoprofil einer Organisation nicht nur aufrechterhalten, sondern auch häufig verbessern.

• Durch die Überprüfung von Personen, Prozessen und Technologie können Lücken und Ineffizienzen identifiziert werden, die behoben werden können, um die Kosten für die IT-Security besser zu verwalten.

• In wichtigen Aktionsbereichen von der Priorisierung von Projekten bis hin zum Return on Investment (ROI) von technischen Tools lassen sich Einsparungen von 1 bis 10 Prozent erzielen.

Für den CISO könnte dies eine neue Ära bedeuten. Die Implementierung eines umfassenden Prozesses zur Kostenoptimierung kann das Risikoprofil einer Organisation nicht nur aufrechterhalten, sondern häufig sogar noch verbessern.

Metriken für CISOs zur Risiko-Evaluierung

Wichtige Kennzahlen und KPIs für CISOs

Strategien für eine optimierte Budgetverwaltung

CISOs die ihre Budgets konsolidieren müssen, sollten folgende Ansätze der Effizienz-Steigerungen berücksichtigen:

Risikobasierte Strategie implementieren

Nicht alle Assets und Daten haben den gleichen Wert für das Unternehmen oder sind anfällig für Angriffe. Daher ist es angezeigt, eine gründliche Risikobewertung durchzuführen, um die kritischsten Assets und ihre potenziellen Bedrohungen zu identifizieren.

Durch die Priorisierung des Schutzes solcher Assets als Teil einer risikobasierten Sicherheitsstrategie kann die Organisation ihre Ressourcen am effektivsten einsetzen. Im Allgemeinen ist es am besten, sich auf den Schutz sensibler Kundendaten, geistigen Eigentums und Systeme zu konzentrieren, die für den Kerngeschäftsbetrieb unerlässlich sind.

Automatisierung vorantreiben

IT-Security-Tools, die weitgehend automatisiert einsetzbar sind, rationalisieren Prozesse und reduzieren manuelle Eingriffe, wodurch die Arbeitsbelastung der Teams mit reduziertem Personalaufwand verringert wird. Automatisierte Bedrohungserkennung, Reaktion auf Vorfälle und Patch-Management können die Fähigkeit eines Unternehmens, Bedrohungen selbst bei Budgeteinschnitten schnell zu erkennen und abzuwehren, deutlich verbessern.

Unternehmen sollten daher verstärkt auf automatisierte und programmierbare Tools setzen. Das NetSecOps-Modell kann sowohl die Sicherheit verbessern als auch die Betriebskosten senken.

Managed SIEM/SOC in einem hybriden Modell – Teil 2

Planung und Umsetzung von Outsourcing

IT-Security-Services outsourcen

Es empfiehlt sich, bestimmte IT-Security-Funktionen an spezialisierte Drittanbieter auszulagern. Managed Security Service Provider (MSSPs) bieten hierzu kostengünstige Optionen wie beispielsweise kontinuierliche Überwachung, Bedrohungserkennung und Reaktion auf Vorfälle an.

Solche Serviceangebote sind vor allem für KMU besonders wertvoll, denen das interne Fachwissen und die Ressourcen für ein effektives Management der IT-Security fehlen. Durch die Partnerschaft mit MSSPs kann ein Unternehmen auf Expertendienste sowie stets aktuelle IT-Tools zugreifen, ohne die vollen Kosten eines internen Teams tragen zu müssen.

Schulung des Sicherheitsbewusstseins verstärken

Menschliches Versagen bleibt eine der Hauptursachen für Datenschutz­verletzungen. Indem das Sicherheitsbewusstsein der Mitarbeiter durch regelmäßige Schulungsprogramme aktualisiert wird, entsteht eine solide Verteidigungslinie, selbst wenn die technischen Ressourcen des Unternehmens begrenzt sind.

IT-Security-Team von innen heraus erweitern

Auf Grund des grassierenden Fachkräftemangels fördern CISOs idealerweise ihre eigenen Talente, indem sie Praktikanten oder Mitarbeiter aus anderen Teilen des Unternehmens weiterentwickeln. So wechseln nicht selten Mitarbeiter des Security Operations Centers (SOC) von einem anderen Teil der IT-Abteilung in die IT-Security.

Risiken in digitalen Ökosystemen mindern

Reifegradmodelle für die IT-Security

Regelmäßige Aktualisieren und Patchen

Nicht gepatchte Software und veraltete Systeme sind Hauptziele für Hacker. Durch regelmäßige Aktualisierungen und Patches von Systemen und Software zur Beseitigung bekannter Schwachstellen verhindern CISOs viele der häufigsten Angriffe. Ferner sollten Anwender die Verwendung vorhandener Tools, die keine zusätzlichen Investitionen erfordern, wie beispielsweise den Microsoft System Center Configuration Manager für Windows-basierte System-Aktualisierungen erwägen.

Kompatible Tools nutzen

Einsatz von Tools, die gut miteinander zusammenarbeiten. Isolierte Produkte führen unweigerlich zu Transparenzlücken und unzusammenhängenden Alarmen, die von Mitgliedern des Teams, die unter Alarmmüdigkeit leiden, ignoriert werden könnten.

CISOs erhalten mehr für ihr Geld, wenn sie eine IT-Security-Plattform nutzen, bei der ihre Endpunkt-, Cloud-, E-Mail-, Netzwerk- und mobilen Sicherheitstools kontinuierlich Daten austauschen und sich die Teams einen vollständigen Einblick in alle ihre Ressourcen und Schwachstellen verschaffen.

Natürlich bieten eigenständige Tools wie beispielsweise Cloud Security Posture Management (CSPM), Attack Surface Management (ASM) und E-Mail-Sicherheit, die einzeln bereitgestellt werden, einen gewissen Wert. Wenn sie jedoch als Teil einer Plattform integriert interagieren, kann sich ihr Wert und ihr Nutzen wesentlich erhöhen.

Einhaltung von Lizenzbestimmungen

Oft vernachlässigte Risikoquelle: Open-Source-Lizenzen

Vorsicht bei Open-Source-Tools

Zur Vermeidung hoher Preise kommerzieller Optionen, ist es für manche Unternehmen verlockend, zu Open-Source-Tools zu greifen. Da Open-Source-Technologien tendenziell anfällig für Kompromittierungen durch Hacker sind, empfiehlt sich der Einsatz proprietärer Tools.

Strategische Partnerschaften nutzen

Kooperationen mit Branchenkollegen, Partnern und Verbänden eröffnen kostenlose oder kostengünstige Zugänge zu wertvollen Informationen und Best-Practices. Ressourcen wie beispielweise Mitre ATT&CK verfügen über öffentlich zugängliche Informationen zu den neuesten Angriffsvektoren und Best-Practices für IT-Security Prozesse.

ROI messen und kommunizieren

Für zukünftige Budgetzuweisungen müssen CISOs sicherzustellen, dass sie einen Return on Investment (ROI) von IT-Security-Initiativen nachweisen können. Zu diesem Zweck empfehlen sich Metriken und KPIs, um der Geschäftsleitung zu zeigen, wie durch die Maßnahmen des CISOs Verstöße verhindert, Ausfallzeiten reduziert und finanzielle Verluste minimiert wurden.

IT-Security und Return on Investment

Return on Security Investment (RoSI) als Entscheidungshilfe

(ID:50008374)