5-Schritte-Anleitung: So führen Sie eine Cyber-Risikoanalyse im Jahr 2023 durch

Kein Unternehmen ist immun gegen Cyberangriffe. Was resiliente Unternehmen jedoch von den Opfern von Datenschutzverletzungen unterscheidet, ist ein hervorragendes Risikomanagement.

Resilienz wird durch die sorgfältige Berechnung aller potenziellen Risiken und die Anwendung der notwendigen Kontrollmaßnahmen zu deren Minderung erreicht.

In diesem Beitrag stellen wir ein 4-Stufen-Framework für einen zuverlässigen Risikomanagementplan vor.

Was ist ein Cyberrisiko?

Die Definition des Risikos in der Cybersicherheit ist die Wahrscheinlichkeit einer Schädigung sensibler Daten, kritischer Vermögenswerte, Finanzen oder des Rufs. Diese Schäden resultieren in der Regel aus Cyberangriffen oder Datenschutzverletzungen.

Nicht alle Risiken sind gleich, einige haben eine höhere Kritikalität als andere.

Beispielsweise ist das Risiko, das mit einer Website verbunden ist, die nur statische Informationen anzeigt, geringer als das Risiko, das mit dem Zugriff einer Webanwendung auf vertrauliche Kundendaten verbunden ist.

Das Cyberrisiko wird unter Berücksichtigung der identifizierten Sicherheitsbedrohung, des Grades ihrer Verwundbarkeit und der Wahrscheinlichkeit einer Ausnutzung berechnet.

Auf hoher Ebene lässt sich dies wie folgt quantifizieren:

Cyberrisiko=Bedrohung x Schwachstelle x Informationswert.

Die Begriffe Cyberrisiko, Cyberbedrohung und Sicherheitsbedrohung werden synonym verwendet und beziehen sich beide auf dieselben Sicherheitslücken.

Einige Beispiele für Cyberrisiken sind:

Beispiele für Cyberrisiken sind:

• Ransomware
• Datenlecks
• Datenschutzverletzungen
• Soziales Ingenieurwesen
• Phishing
• Malware
• Insider-Bedrohungen
• Cyberangriffe

Wie man Cyberrisiken mindert

Der Prozess der Minderung von Cyberrisiken beginnt mit dem Sammeln von Daten über das Zielökosystem. Dies wird durch Risikobewertungen entweder für das interne Netzwerk und das Netzwerk von Drittanbietern erreicht.

Damit diese Risikobewertungen die wertvollsten Daten sammeln können, müssen sie mit den Geschäftszielen übereinstimmen.

Auch bei kurzfristigen Projektzielen sollten Cyberrisiken berücksichtigt werden.

Cyberrisiken behinderten die Projektpläne, daher sollte ein Prozess zur Bewertung von Cyberrisiken ein wichtiger Bestandteil des Projektrisikomanagements sein.

Die Ergebnisse einer Cybersicherheitsrisikobewertung sollten alle Risiken aufzeigen, die mit exponierten Vermögenswerten verbunden sind.

Daran schließt sich entweder eine qualitative Risikoanalyse oder eine quantitative Risikoanalyse vor dem Hintergrund eines definierten Risikoappetits an. Die Ergebnisse werden die Spezifikationen für alle notwendigen Risikoreaktionen festlegen.

Erfahren Sie, wie Sie die Risikobereitschaft für Ihr Third-Party-Risikomanagementprogramm berechnen können.

Eine qualitative Risikoanalyse ist eine beliebtere Option, da sie die Risiken in Kategorien und nicht in einen bestimmten Dollarwert einteilt. Dies ist oft vorzuziehen, da Sicherheitsrisiken schneller angegangen werden können, indem auf ihren Kritikalitätsgrad verwiesen wird.

Schritt 1: Angeben akzeptabler Risikostufen

Die Berücksichtigung aller Sicherheitsrisiken ist eine ineffiziente Nutzung von Sicherheitsressourcen und in vielen Fällen unnötig.

Ein nachhaltigerer Ansatz besteht darin, einen Risikoappetit zu definieren, um die Risiken in vier Kategorien zu unterteilen:

• Vermeiden - Versuchen Sie, Risiken zu reduzieren oder zu beseitigen, indem Sie die Programmanforderungen anpassen
• Akzeptieren - Erkennen Sie Risiken an, ohne Kontrollen zu implementieren, um sie zu beheben.
• Kontrolle - Setzen Sie Maßnahmen ein, um die Auswirkungen und die Wahrscheinlichkeit von Risiken zu minimieren
• Überwachen: Überwachen Sie Risiken auf Änderungen des Schweregrads.

Dadurch wird auch sichergestellt, dass die kritischsten Bedrohungen zuerst angegangen werden, um die Sicherheitslage während des anspruchsvollsten Prozesses der Cybersicherheit - der digitalen Transformation - so hoch wie möglich zu halten.

Erfahren Sie, wie Sie die Risikobereitschaft und das Restrisiko berechnen können.

Die Risikoschwellen unterscheiden sich je nach Vermögenswert. Daher ist es wichtig, dass alle exponierten Vermögenswerte identifiziert werden, damit jedem von ihnen ihre individuellen Schwellenwerte zugewiesen werden können.

Die Kartierung des digitalen Fußabdrucks hilft Ihnen, alle relevanten Vermögenswerte und deren potenzielle Risiken zu identifizieren.

Erfahren Sie, wie Sie einen digitalen Fußabdruck erstellen.

Schritt 2: Wählen Sie eine Risikobewertung

Risikobewertungen verfolgen zwei Hauptziele:

1. Um alle Risiken in einer Zielumgebung zu identifizieren.
2. Um Projektbeteiligte und Mitglieder des Projektteams über den Sicherheitsprozess auf dem Laufenden zu halten.

Es stehen viele Normen zur Risikobewertung zur Auswahl. Einige sind für stark regulierte Sektoren obligatorisch, um die Widerstandsfähigkeit gegenüber branchenspezifischen Risiken zu gewährleisten.

Hier ist eine Liste beliebter Bewertungsstandards:

• NIST (Nationales Institut für Standards und Technologie)
• CIS Controls (Zentrum für Internet Security Controls)
• ISO (Internationale Organisation für Normung)
• HIPAA (Health Insurance Portability and Accountability Act)/HITECH Omnibus-Regel
• PCI-DSS (Der Datensicherheitsstandard der Zahlungskartenindustrie)
• DSGVO (Datenschutz-Grundverordnung)
• CCPA (Kalifornisches Gesetz zum Schutz der Privatsphäre von Verbrauchern)
• AICPA (Amerikanisches Institut der Wirtschaftsprüfer)
• SOX (Sarbanes-Oxley-Gesetz)
• COBIT (Kontrollziele für Informations- und verwandte Technologien)
• GLBA (Gramm-Leach-Bliley-Gesetz)
• FISMA (Federal Information Security Modernization Act von 2014)
• FedRAMP (Das Federal Risk and Authorization Management Program)
• FERPA (Gesetz über Familienbildungsrechte und Privatsphäre von 1974)
• ITAR (Internationale Vorschriften für den Waffenverkehr)
• COPPA (Regel zum Schutz der Privatsphäre von Kindern im Internet)
• NERC CIP-Standards (NERC Critical Infrastructure Protection Standards)

Jede dieser Bewertungen kann manuell aus einer Bewertungsvorlage erstellt werden. Für eine High-Level-Lieferantenbewertung kann diese Checkliste verwendet werden.

Wenn Ihre Anforderungen nicht mit einem der oben genannten Standards übereinstimmen, können Sie Ihre eigene Bewertung mit einem benutzerdefinierten Fragebogenersteller entwerfen.

Um den Prozess der Risikoanalyse zu beschleunigen, kann ein Sicherheitsrisikomanagement-Tool wie UpGuard verwendet werden.

UpGuard verwaltet die Erstellung und Verteilung aller Risikobewertungen sowie alle erforderlichen Reaktionsmaßnahmen für identifizierte Risiken.

Die folgenden Fragebögen sind auf der UpGuard-Plattform verfügbar:

1. CyberRisk-Fragebogen
2. ISO 27001 Fragebogen
3. Kurzform-Fragebogen
4. Fragebogen zum NIST Cybersecurity Framework
5. PCI DSS Fragebogen:
6. Fragebogen zum California Consumer Privacy Act (CCPA)
7. Fragebogen zur modernen Sklaverei:
8. Fragebogen zur Pandemie
9. Fragebogen zum Sicherheits- und Datenschutzprogramm
10. Fragebogen zur Sicherheit von Webanwendungen
11. Fragebogen zur Infrastruktursicherheit
12. Fragebogen zur Sicherheit von physischen und Rechenzentren:
13. Fragebogen zum COBIT 5 Sicherheitsstandard
14. ISA 62443-2-1:2009 Fragebogen zum Sicherheitsstandard
15. ISA 62443-3-3:2013 Fragebogen zum Sicherheitsstandard
16. Fragebogen zum DSGVO-Sicherheitsstandard
17. CIS Controls 7.1 Fragebogen zum Sicherheitsstandard
18. NIST SP 800-53 Rev. 4 Fragebogen zum Sicherheitsstandard
19. SolarWinds-Fragebogen
20. Kaseya Fragebogen

Um zu sehen, wie diese Bewertungen in der UpGuard-Plattform verwaltet werden, klicken Sie hier, um eine kostenlose Testversion zu erhalten.

Schritt 3: Risiken priorisieren

Alle inakzeptablen Risiken sollten nach Kritikalitätsgrad weiter eingestuft werden. Dies kann durch eine Risikomatrix erreicht werden, die die Wahrscheinlichkeit darstellt, dass ein Risiko von Bedrohungsakteuren ausgenutzt wird, und die Auswirkungen auf sensible Ressourcen, wenn es auftritt.

Alle potenziellen Gefahren und Risikoszenarien, die durch Sicherheitsfragebögen und Risikobewertungen identifiziert wurden, sollten dann durch eine solche Risikomatrix analysiert und mit einem entsprechenden Risiko-Score versehen werden.

Identifizierte Schwachstellen mit einem kritischen Risikoniveau sollten bei der Reaktion auf Vorfälle Vorrang haben, da sie die größten negativen Auswirkungen auf die Sicherheit und den Geschäftsbetrieb Ihres Unternehmens haben, wenn sie ausgenutzt werden.

Dadurch werden hohe Risiken von solchen mit geringerer Risikowahrscheinlichkeit unterschieden und die Grundlage für ein effizienteres Sanierungsprogramm gelegt.

Erfahren Sie, wie Sie das beste Tool zur Behebung von Cyberrisiken auswählen >

Weitere Informationen zum Entwerfen eines effizienten Sanierungsprogramms finden Sie in diesem Whitepaper zur Planung von Risikosanierungen von UpGuard.

Eine Variation dieser Klassifizierungsstrategie kann auch auf Risiken von Drittanbietern angewendet werden, um das Risikomanagement von Anbietern zu optimieren - ein Prozess, der als Vendor Tiering bezeichnet wird.

Schritt 4: Implementieren von Sicherheitskontrollen

Wenn die Gefahrenidentifikation abgeschlossen ist, können Sicherheitskontrollen für alle Arten von Risiken implementiert werden, die ein Management erfordern.

Die Effektivität jedes Risikomanagementprozesses sollte mit Sicherheitsbewertungen überwacht werden, die die Sicherheitslage auf der Grundlage mehrerer Angriffsvektoren bewerten.

Ein Rückgang der Sicherheitsbewertung könnte ein Hinweis auf neue Risiken sein, die dann durch die Schritte 3 und 4 dieses Frameworks geleitet werden sollten.

Die Multi-Faktor-Authentifizierung ist die grundlegendste und eine der effektivsten Formen der Zugriffskontrolle, die in Ihrer gesamten IT-Infrastruktur eingesetzt werden sollte.

Die umfassende Engine zur Überwachung der Angriffsfläche von UpGuard entdeckt potenzielle Risiken und Cybersicherheitsbedrohungen in Ihrer IT-Sicherheit sowohl intern als auch im gesamten Anbieternetzwerk. Diese Risikomanagementlösung verwaltet auch den Behebungsprozess für alle entdeckten Risiken und hilft Unternehmen, Schwachstellen zu beheben, bevor sie durch Cyberangriffe entdeckt werden.

UpGuard stattet Sicherheitsteams mit mehreren Funktionen aus, die zusammenarbeiten, um die Wirksamkeit Ihres Cybersicherheitsprogramms zu erhöhen, darunter:

• Workflows zur Risikominderung von RIsk
• Erkennung von Informationsbeständen
• Risikomanagement für die Informationssicherheit
• Vorlagen für Risikobewertungsberichte
• Workflows zur Schwachstellenbewertung
• Erkennung potenzieller Bedrohungen
• Analyse potenzieller Auswirkungen für ausgewählte Sanierungsaufgaben.
• Vertrauenswürdige Methodik zur Bewertung von Wertpapieren
• VRM-Initiativen zur Absicherung von Service Providern
• Schritt-für-Schritt-Anleitung zum Sichern vertraulicher Informationen für Risikomanagement-Frameworks von Drittanbietern.