Der Wetterbericht des CyberRisikos

Das Wetter ist ein bisschen wie das CyberRisiko: Beides können wir nur bedingt beeinflussen – aber wir können Maßnahmen und Vorkehrungen treffen, um für uns die Situation günstig zu beeinflussen. Dass wir bei vorhergesagtem Regen die Musikanlange nicht im Freien aufbauen, sagt uns der berühmte Hausverstand, und die meisten Leser dieses Textes werden auch ganz genau wissen, dass bei hohen Risiken, etwa durch eine schwerwiegende Sicherheitslücke, schnell gepatcht werden sollte.

Wer liefert uns das Wissen, um unsere Handlungen zu planen und Maßnahmen zu setzen? So wie der Wetterbericht uns täglich mit aktuellen Messdaten zu Temperatur, Windgeschwindigkeit und Niederschlagswahrscheinlichkeit versorgt, ist das CyberRisiko-Lagebild eine wichtige Informationsquelle für CEO, CIO, CISO oder IT-Manager.

Im Cyber Risk-Management werden Risiken identifiziert, analysiert und bewertet – und in der bildlich gesprochenen Management Zentrale kommt das CyberRisiko-Lagebild zum Einsatz: Es gibt Managern eine klare Vorstellung von den Bedrohungen und eine Einschätzung zur Wahrscheinlichkeit ihres Eintretens. Mit diesem Wissen können bessere Entscheidungen getroffen werden, wenn es darum geht, wo sich finanzielle Mittel und Zeitressourcen konzentrieren sollen.

Welche Anforderungen soll ein Lagebild zum CyberRisiko nun erfüllen? Wir haben, aufbauend auf unserer Erfahrung in der Arbeit, mit CyberRisk-Experten 10 Qualitätskriterien für ein CyberRisiko-Bild ausgearbeitet, von denen wir hier die TOP 3 verraten dürfen:

1. Objektive Risiko-Kennzahlen
   Ein Lagebild wird erst aussagekräftig, wenn es Kennzahlen zum Risiko liefert. Um Entscheidungen nicht „aus dem Bauch heraus“ treffen zu müssen, braucht es Messgrößen, die aktuell, objektiv, belastbar und vergleichbar sind.
2. Außen- und Innensicht
   Die Verknüpfung von internem Wissen und extern gemessenen Daten zu validen Kennzahlen ist entscheidend, um ein umfassendes Bild zum Risiko auf mobilen Devices, Clients und Systemen (MDM, Server) zu erhalten.  Während die Innensicht Daten über eigene Systeme, Prozesse und eingesetzte Geräte liefert, steuert die Außensicht Information zu möglichen externen Bedrohungen bei, etwa durch Schwachstellen in Betriebssystemen oder eingesetzten Geräten.
3. Big Picture für das Unternehmen
   Je größer ein Unternehmen, desto komplexer oft die Strukturen und desto zahlreicher die Vielfalt der eingesetzten Systeme. Für das Management ist es ein großer Vorteil, wenn das Gesamtrisiko in einem gemeinsamen Dashboard ersichtlich ist – unabhängig von Systemen und über unterschiedliche Gesellschaften und Niederlassungen im Konzern hinweg.