Was ist eine Bewertung der Netzwerksicherheit?

Eine Netzwerksicherheitsbewertung ist ein Audit, das darauf abzielt, Sicherheitslücken zu finden, die ausgenutzt werden könnten, den Geschäftsbetrieb schädigen oder vertrauliche Informationen offenlegen könnten.

Was ist der Zweck einer Bewertung der Netzwerksicherheit?

Der Zweck einer Netzwerksicherheitsbewertung besteht darin, Ihr Netzwerk, Ihre Geräte und vertraulichen Daten vor unbefugtem Zugriff zu schützen, indem potenzielle Angriffsvektoren innerhalb und außerhalb Ihres internen Netzwerks entdeckt werden.

Darüber hinaus haben Sie je nach Branche möglicherweise eine regulatorische Verantwortung, diese durchzuführen. Zum Beispiel müssen Kreditkartenverarbeiter PCI DSS einhalten, und Gesundheitsorganisationen müssen HIPAA einhalten.

Netzwerksicherheitsbewertungen können Fragen beantworten wie:

• Welche Systeme werden wahrscheinlich verletzt?
• Was sind die häufigsten Einstiegspunkte für Sicherheitsverletzungen?
• Welche Auswirkungen hätte ein Cyberangriff auf ein bestimmtes Asset?
• Welche sensiblen Daten, personenbezogenen Daten oder geschützten Gesundheitsinformationen würden bei einer Datenschutzverletzung oder einem Datenleck offengelegt?
• Was können wir tun, um diese Art von Angriffen abzuschwächen?

Welche Arten von Netzwerksicherheitsbewertungen gibt es?

Es gibt zwei Arten von Netzwerksicherheitsbewertungen:

1. Vulnerability Assessment: Eine Vulnerability Assessment zeigt Organisationen, wo ihre Schwachstellen liegen. Lesen Sie hier mehr über Schwachstellen und hier zum Schwachstellenmanagement.
2. Penetrationstest: Penetrationstests sind so konzipiert, dass sie einen tatsächlichen Cyberangriff oder Social-Engineering-Angriff wie Phishing, Spear-Phishing oder Whaling nachahmen.

Beides sind großartige Methoden, um die Wirksamkeit Ihrer Netzwerksicherheitsmaßnahmen zu testen und die potenziellen Auswirkungen eines Angriffs auf bestimmte Assets zu messen.

So führen Sie eine Netzwerksicherheitsbewertung durch

Eine Bewertung der Netzwerksicherheit ist nur eine weitere Art der Risikobewertung der Cybersicherheit. Der Prozess ist wie folgt:

• Machen Sie eine Bestandsaufnahme Ihrer Ressourcen
• Ermitteln des Informationswerts
• Bewerten Sie die Verwundbarkeit Ihrer IT-Infrastruktur
• Testen Sie Ihre Abwehrkräfte
• Dokumentieren Sie die Ergebnisse in einem Bericht zur Bewertung der Netzwerksicherheit
• Implementierung von Sicherheitskontrollen zur Verbesserung der Cybersicherheit
• Kontinuierliche Überwachung auf Probleme und Änderungen

Inventur der Ressourcen

Der erste Schritt besteht darin, die zu bewertenden Assets zu identifizieren und den Umfang der Bewertung zu bestimmen. Auf diese Weise können Sie priorisieren, welche Assets zuerst bewertet werden sollen. Möglicherweise möchten oder müssen Sie nicht für jedes drahtlose Netzwerk, jede Webanwendung und jeden WLAN-Zugangspunkt eine Bewertung durchführen. Und vielleicht haben Sie nicht das Budget, selbst wenn Sie es wollten.

Es kann jedoch hilfreich sein, eine Bestandsaufnahme all Ihrer Netzwerke, Geräte, Daten und anderen Assets zu machen, damit Sie bestimmen können, welche Assets Sie sichern möchten. Dieser Prozess verschafft Ihnen einen Überblick über Ihr gesamtes Netzwerk und die IT-Sicherheitskontrollen, die es umgeben.

Ermitteln des Informationswerts

Die meisten Organisationen verfügen nicht über ein unbegrenztes Budget für Informationssicherheit (InfoSec), daher ist es am besten, den Geltungsbereich auf die geschäftskritischsten Ressourcen zu beschränken. Darüber hinaus sollten Sie darüber nachdenken, welche gesetzlichen und Compliance-Anforderungen Ihre Organisation möglicherweise erfüllen muss.

Weitere Informationen finden Sie in unserem Leitfaden zu Best Practices für die Compliance-Überwachung.

Um Zeit und Geld zu sparen, sollten Sie Zeit mit der Entwicklung einer Datenklassifizierungsrichtlinie verbringen, die eine Standardmethode zur Bestimmung des Werts eines Assets oder eines Datenelements definiert. Weitere Informationen finden Sie in unserem Leitfaden zur Datenklassifizierung.

Die meisten Organisationen beziehen den Vermögenswert, die rechtliche Stellung und die geschäftliche Bedeutung ein. Nachdem die Richtlinie formell in Ihr Programm für das Informationsrisikomanagement integriert wurde, können Sie sie verwenden, um jede Ressource als kritisch, groß oder geringfügig zu klassifizieren.

Weitere Fragen, die Ihnen bei der Bestimmung des Wertes helfen können, sind:

• Gibt es finanzielle oder rechtliche Strafen, die mit der Offenlegung oder dem Verlust dieser Informationen verbunden sind?
• Wie wertvoll sind diese Informationen für einen Wettbewerber?
• Könnten wir diese Informationen von Grund auf neu erstellen? Wie lange würde es dauern und wie hoch wären die damit verbundenen Kosten?
• Hätte der Verlust dieser Informationen Auswirkungen auf den Umsatz oder die Rentabilität?
• Würde sich der Verlust dieser Daten auf den täglichen Geschäftsbetrieb auswirken? Könnten unsere Mitarbeiter ohne sie arbeiten?
• Was wäre der Reputationsschaden, wenn diese Daten durchgesickert wären?

Bewerten Sie die Anfälligkeit Ihrer IT-Infrastruktur

Schwachstellen sind alles, was in einem ansonsten sicheren Netzwerk ausgenutzt werden kann.

Cybersicherheitsrisiken können von überall her kommen, auch von innerhalb und außerhalb Ihres Unternehmens, von internen Mitarbeitern mit schlechten Sicherheitsgewohnheiten oder von Drittanbietern mit unzureichenden Informationssicherheitsrichtlinien, die Zugriff auf Ihr Netzwerk haben.

Da die Risiken so vielfältig sein können, sollte ein robuster Prozess zur Bewertung von Sicherheitsrisiken Folgendes umfassen:

• Netzwerk-Scanning: Ein umfassender Scan aller Ports Ihres Netzwerks und anderer Angriffsvektoren. Lesen Sie hier mehr über die Gefahren offener Ports. Dies sollte Wi-Fi, Internet of Things (IoT) und andere drahtlose Netzwerke umfassen und zugängliche Hosts und Netzwerkdienste (wie HTTP, FTP, SMTP und POP-3) identifizieren.
• Interne Schwächen: Viele Unternehmen entscheiden sich dafür, externe Sicherheitsberater einzustellen, um sowohl das Personal als auch die Sicherheitsberater von außen zu testen.
• Netzwerkaufzählung: Die Erkennung von Hosts oder Geräten in einem Netzwerk, die Fingerabdrücke auf das Betriebssystem von Remotehosts übertragen können. Sobald ein Angreifer das Betriebssystem kennt, kann er CVE auf eine Liste bekannter Schwachstellen überprüfen, die er ausnutzen kann.
• Überprüfung durch Dritte: Eine Überprüfung aller Drittanbieter und deren Zugriff auf Ihr internes Netzwerk und Ihre sensiblen Ressourcen.
• Überprüfung der Informationssicherheitsrichtlinien: Überprüfung der Richtlinien in Bezug auf Mitarbeiterschulungen, BYOD (Bring Your Own Devices) und E-Mail-Nutzung.

Andere Bedrohungen, die Sie ebenfalls in Betracht ziehen sollten:

• Naturkatastrophen: Überschwemmungen, Wirbelstürme, Erdbeben, Blitzschlag und Feuer können so viel zerstören wie jeder Cyberangreifer. Sie können nicht nur Daten, sondern auch Server verlieren. Wenn Sie sich zwischen On-Premise- und Cloud-basierten Servern entscheiden, denken Sie an die Wahrscheinlichkeit von Naturkatastrophen.
• Systemausfall: Laufen Ihre kritischsten Systeme auf hochwertigen Geräten? Haben sie eine gute Unterstützung?
• Menschliches Versagen: Sind Ihre S3-Buckets mit vertraulichen Informationen ordnungsgemäß konfiguriert? Verfügt Ihr Unternehmen über eine angemessene Ausbildung in Bezug auf Malware, Phishing und Social Engineering? Jeder kann versehentlich auf einen Malware-Link klicken oder seine Anmeldedaten in einen Phishing-Betrug eingeben. Sie benötigen strenge IT-Sicherheitskontrollen, einschließlich regelmäßiger Datensicherungen, Passwort-Manager usw.
• Gegnerische Bedrohungen: Drittanbieter, Insider, vertrauenswürdige Insider, privilegierte Insider, etablierte Hackerkollektive, Ad-hoc-Gruppen, Wirtschaftsspionage, Zulieferer, Nationalstaaten

Da dies zeitintensiv sein kann, entscheiden sich viele Unternehmen für externe Bewertungsdienste oder automatisierte Sicherheitslösungen.

Testen Sie Ihre Verteidigung

Nachdem Sie die Schwachstellen in Ihrer Organisation bewertet haben, möchten Sie testen, ob Ihre Sicherheitskontrollen und Techniken zur Risikominderung verhindern, dass Angreifer sie ausnutzen können.

Dies kann durch manuelle Penetrationstests oder den Einsatz automatisierter ethischer Hacking-Tools wie Metasploit oder Nmap erfolgen.

Dokumentieren der Ergebnisse in einem Bericht zur Bewertung der Netzwerksicherheit

Jetzt müssen Sie einen Bericht entwickeln, um die Entscheidungsfindung des Managements in Bezug auf Budget, Richtlinien und Verfahren zu unterstützen. Für jede Schwachstelle sollte der Bericht das Risiko, die Exploits und den Wert beschreiben. Zusammen mit den Auswirkungen und der Wahrscheinlichkeit des Auftretens und Kontrollempfehlungen.

Während Sie diesen Prozess durchlaufen, werden Sie verstehen, welche Infrastruktur Ihr Unternehmen betreibt, was Ihre wertvollsten Daten sind und wie Sie Ihr Unternehmen besser betreiben und schützen können.

Implementieren Sie Sicherheitskontrollen, um die Cybersicherheit zu verbessern

Wahrscheinlich haben Sie eine Lücke oder Schwachstelle in Ihrem Netzwerk gefunden. Erstellen Sie eine Liste von ihnen, und entwickeln Sie einen Plan, um sie zu beheben.

Kontrollen können durch technische Mittel wie Hardware oder Software, Verschlüsselung, Mechanismen zur Erkennung von Netzwerkeindringlingen, Zwei-Faktor-Authentifizierung, automatische Updates, kontinuierliche Erkennung von Datenlecks oder durch nicht-technische Mittel wie Sicherheitsrichtlinien und physische Mechanismen wie Schlösser oder biometrischen Zugriff implementiert werden.

Klassifizieren Sie außerdem Kontrollen in präventive und detektivische Maßnahmen. Präventive Kontrollen sollen Angriffe verhindern, z. B. eine kontinuierliche Überwachung der Anbietersicherheit, während detektive Kontrollen versuchen, herauszufinden, wann ein Angriff stattgefunden hat.

Kontinuierliche Überwachung auf Probleme und Änderungen

Zusätzlich zu manuellen Bewertungen der Netzwerksicherheit. Viele Unternehmen investieren in Sicherheitsbewertungen, um nicht nur ihre Netzwerksicherheit, sondern auch ihre allgemeine Sicherheitslage kontinuierlich zu überwachen.

Sicherheitsbewertungen werden auch häufig von externen Risikomanagementteams verwendet, um die Qualität der Sicherheitspraktiken von Anbietern zu bewerten.

Sicherheitsbewertungen oder Cybersicherheitsbewertungen sind eine datengestützte, objektive und dynamische Messung der Sicherheitslage eines Unternehmens. Sie werden von einer vertrauenswürdigen, unabhängigen Sicherheitsbewertungsplattform erstellt, was sie als objektiven Indikator für die Cybersicherheitsleistung eines Unternehmens wertvoll macht.

Wertpapierratings ergänzen traditionelle Risikomanagementmethoden, indem sie kontinuierliche, objektive, umsetzbare und stets aktuelle Daten liefern.

Lesen Sie hier mehr über Sicherheitsbewertungen.