Wie Infonomics Ihnen dabei helfen kann, Ihr Sicherheitsbudget zu bestimmen und Ihr finanzielles Risiko einzuschätzen

Daten sind das Lebenselixier eines jeden Unternehmens, dennoch fällt es vielen CISOs immer noch schwer, die finanziellen Risiken zu vermitteln, die mit dem Verlust oder Diebstahl dieser Daten verbunden sind.

Datenschutzverletzungen dominieren weiterhin mit alarmierender Regelmäßigkeit die Schlagzeilen, und die Herausforderungen, die sich aus globalen Veränderungen der Arbeitsgewohnheiten ergeben, führen zu einer wachsenden Zahl von Risiken, mit denen Unternehmen umgehen müssen.

Diese neuen Herausforderungen bringen potenziell lähmende finanzielle Risiken mit sich, von den Kosten für die Implementierung von Sicherheitslösungen und Vorfallreaktionsteams bis hin zur Behebung und Wiederherstellung potenzieller Markenschäden und Compliance-Bußgelder.

Erschwerend kommt hinzu, dass in vielen Organisationen Daten gespeichert werden und über eine Vielzahl komplexer Infrastrukturen übertragen werden, sowohl vor Ort als auch in der Cloud. Wie können Unternehmen ihre Risiken einschätzen und entsprechende Sicherheitsbudgets umsetzen, wenn sie keinen genauen Überblick darüber haben, welche sensiblen Daten sie haben und wo diese gespeichert sind?

Was ist Infonomics?

Infonomics ist eine relativ neue Methode zur Ermittlung von Verbindlichkeiten und zur Festlegung von Budgets für immaterielle Vermögenswerte mit der gleichen Genauigkeit und dem gleichen Verfahren wie bei herkömmlichen Methoden. Damit soll sichergestellt werden, dass immaterielle Vermögenswerte (z. B. Daten) das gleiche Maß an Aufmerksamkeit und die gleichen Budgets erhalten wie solche, die traditionell von Vorstandsmitgliedern verwirrt oder ignoriert/unterschätzt wurden.

Bewerten Sie die Risiken jedes Datensatzes und setzen Sie Budgets entsprechend um

Es gibt zahlreiche Möglichkeiten, wie Sicherheitsteams ihre Daten monetarisieren können, um sich ein Bild von den damit verbundenen Risiken zu machen. Compliance-Vorschriften, darunter DSGVO, HIPAA, CCPA und andere, kategorisieren Datensätze nach ihrer Bedeutung und dem daraus resultierenden Geldwert, z. B. personenbezogene Daten (PII), geschützte Gesundheitsinformationen (PHI), Zahlungskarteninformationen (PCI) und mehr .

Gegen Organisationen, die an Verstößen gegen diese Datensätze beteiligt sind, werden bereits hohe Geldstrafen verhängt. Dies sollte einen Hinweis auf die Bedeutung und den potenziellen Return on Investment geben, den ein angemessener Schutz der Daten bieten kann.

CISOs müssen mit den CDOs zusammenarbeiten, um sicherzustellen, dass sie die Risiken für jeden Datensatz bewertet und die entsprechenden Sicherheitskontrollen priorisiert und geplant haben, die implementiert werden sollen, und gleichzeitig sicherstellen, dass sie in der Lage sind, die Geschäftskontinuität aufrechtzuerhalten. Es ist wichtig zu verstehen, welche Regulierungs- und Industriestandards auf die von ihnen gespeicherten Daten angewendet werden, und sicherzustellen, dass die Budgets so ausgegeben werden, dass sie diese angemessen erfüllen.

Zu den Risiken, die bewertet werden müssen und auf die Budgets angewendet werden müssen, gehören:

• Untersuchung und Behebung von Vorfällen
• Mögliche Strafen bei Nichteinhaltung
• Kosten für die schnelle Meldung von Verstößen
• Potenzielle Reputationsschäden, die zu einem Verlust des Anlegervertrauens, einem Rückgang des Aktienkurses oder einem Vertrauensverlust der Verbraucher führen können - allesamt Auswirkungen auf das Endergebnis.
• Potenzielle Rechtskosten und Erhöhungen der Cyber-Versicherungsprämien.

Dies ist keineswegs eine erschöpfende Liste.

Arbeiten Sie zusammen, um Verbindlichkeiten zu verstehen und sie auf die Bilanz anzuwenden

Unternehmen müssen lediglich verstehen, wie sich Bedrohungen ihrer Daten auf das Geschäftsergebnis auswirken können, insbesondere im Hinblick auf die Marge und das Gesamtwachstum im Vergleich zu den Zielen. Wenn die Analyse von Datenverbindlichkeiten in eine Sprache integriert wird, die der Rest des Vorstands versteht, beispielsweise in eine Bilanz, könnte es einfacher sein, die Kosten der Datensicherheit gegen die potenziellen Vorteile abzuwägen.

Um dies ordnungsgemäß durchzuführen, ist eine Zusammenarbeit zwischen CISO, CIO, CDO und anderen Mitgliedern des Sicherheitsteams erforderlich, um einen ganzheitlicheren Überblick über die Sicherheit der Organisation zu erhalten und ein angemesseneres Budget zuzuweisen.

Das Problem, mit dem viele Teams konfrontiert sind, besteht darin, dass die Bedrohungen für Daten oft nicht greifbar und schwer zu quantifizieren sind und daher von Buchhaltungsstandards oft nicht erkannt werden. CFOs verwenden eine Reihe von Kennzahlen, um Verbindlichkeiten und deren Auswirkungen auf das Endergebnis zu quantifizieren, darunter:

• Bruttomarge: Es ist hilfreich, die Bruttomarge eines Unternehmens im Vergleich zu Umsatzprognosen zu verstehen, um zu bestimmen, wie hoch die potenziellen Ausgaben für Sicherheitslösungen sein könnten.
• Diskontierter Cashflow: Dies wird auf immaterielle Verbindlichkeiten, wie etwa Bedrohungen von Daten, angewendet, um den Wert von Datenbeständen über ihre Lebensdauer zu bestimmen.
• Sicherheitsbudget: Wenn das Unternehmen gesetzlich oder aufgrund von Vorfällen/Standards bestimmte Sicherheitsanforderungen umsetzen muss, wird hierdurch ein Mindestsicherheitsbudget festgelegt (unabhängig vom IT-Budget). Sicherheitsbudgets sollten sich direkt auf das Geschäftsergebnis von Unternehmen auswirken, indem sie kostspielige Sicherheitsvorfälle verhindern.

Die Zusammenarbeit, insbesondere zwischen dem CISO und dem CDO, ist hilfreich, um die Bewertung von Risiken und Verbindlichkeiten in Einklang zu bringen. Die unterschiedlichen Funktionen der beiden Rollen können dazu beitragen, dass Investitionen in einem Bereich nicht verzerrt werden. Je umfassender diese Zusammenarbeit im gesamten Unternehmen stattfindet, desto größer ist die Möglichkeit, dass ein angemessenes Sicherheitsbudget vollständig verstanden und gewährt wird.

Risikobewertungen sind von entscheidender Bedeutung

Es ist absolut wichtig, dass Sie den monetären Wert Ihrer Daten verstehen und anschließend berechnen können, welche Sicherheitsmaßnahmen ergriffen werden müssen und ob Sie über das erforderliche Budget verfügen, um diese zu erfüllen.

Der Lebenszeitwert von Daten ändert sich im Laufe der Zeit. Ein Name und eine Adresse sind möglicherweise in einem Jahrzehnt nicht mehr nützlich, wenn der Name wahrscheinlich nicht mehr mit dieser Adresse verknüpft sein wird. Es ist wichtig, dass Sie den Lifetime-Wert Ihrer Daten und deren Veränderung berechnen können. Sobald Sie dies verstanden haben, können Sie es den von Ihnen ermittelten potenziellen Verbindlichkeiten gegenüberstellen. Zusammen können diese den Betriebs- und Investitionsausgaben gegenübergestellt werden, um festzustellen, ob die Sanierungskosten innerhalb des Budgets liegen. Wenn nicht, müssen möglicherweise die Budgets neu bewertet oder andere Sicherheitslösungen implementiert werden.

Wenn Sie regelmäßig Datenrisikoanalysen durchführen, können Sie erkennen, wo Sie den potenziellen Sicherheitsaufwand verringern können, indem Sie Datensätze entfernen oder löschen, die kein Risiko mehr darstellen.