Security Operations Center
Unternehmenssicherheit wird zur organisatorischen Herausforderung
Fortsetzung des Artikels von Teil 1
Richtige Kommunikation von „unten“ nach „oben“
In der Regel berichten die Teams und Sprecher des SOCs an verschiedene Führungskräfte: Die IT-Sicherheit und der IT-Betrieb liegen in der Verantwortung des IT-Leiters oder CIO (Chief Information Officer) und die physische Sicherheit fällt meist unter den Verantwortungsbereich der operativen oder kaufmännischen Geschäftsführung. Mitunter kann es hier Überschneidungen geben, ebenso können Sicherheitslücken bleiben, die nicht auffallen oder für die sich niemand verantwortlich fühlt. Dadurch wächst das Risiko, dass Kriminelle auf digitalem oder physischem Weg in das Unternehmen gelangen. Wenn sich alle sicherheitsrelevanten Teams untereinander austauschen, können sie bei einem Vorfall egal welcher Art überprüfen, ob ihr eigener Verantwortungsbereich betroffen ist und Teil des Angriffs sein könnte. Jedes Team würde seine Prozesse, Richtlinien und Technologien untersuchen, um die Sicherheitslücke zu finden und zu beheben. Um diese Zusammenarbeit zu erreichen, bietet es sich an, die organisatorische und finanzielle Verantwortung für IT-Sicherheit, Netzwerkbetrieb und physische Sicherheit einer Führungskraft zu übertragen.
Steht diese Struktur, gilt es noch eine Herausforderung zu meistern: die Kommunikation der Sicherheitsteams zur Führungsetage. Einer europäischen Studie im Auftrag von Palo Alto Networks zufolge, erachtet es mehr als die Hälfte der Sicherheitsexperten (51 Prozent) als schwierig, mögliche Sicherheitsschwachstellen an die Geschäftsleitung zu kommunizieren. Knapp die Hälfte (49 Prozent) findet es heikel, zuzugeben, dass etwas schief gegangen ist und es zu einer Sicherheitsverletzung gekommen ist. Das schwierigste Gespräch steht an, wenn menschliches Versagen ein Faktor ist (28 Prozent), ein externer Dienstleister (23 Prozent) für den Sicherheitsvorfall verantwortlich ist und es die Notwendigkeit für mehr Investitionen gibt, um künftige Risiken zu verhindern (21 Prozent).
Aussagekräftige Informationen für fundierte Entscheidungsfindung
Die Sicherheitsfachkräfte eines SOCs müssen daher lernen, wie sie dem Management oder der Geschäftsleitung ihre Anliegen vermitteln und über Sicherheitsvorfälle berichten. Mangelnde oder ungeschickte Kommunikation ist oft die Ursache dafür, warum bestimmte Maßnahmen nicht in Gang kommen, wie sie es eigentlich sollten. Die Sicherheitsfachleute müssen die aus ihrer Sicht wertvollen Daten in etwas Aussagekräftiges für die obersten Entscheidungsträger übersetzen. Diese benötigen Orientierung und Hintergründe, etwa zur dynamischen Natur von Cyberbedrohungen und der gesamten IT-Umgebung.
Um bei einem aktuellen Sicherheitsvorfall fundierte sicherheitsstrategische Entscheidungen zu treffen, müssen Führungskräfte vom SOC Antworten bekommen auf die folgenden Fragen:
- Was sind die operativen Auswirkungen des aktuellen Sicherheitsvorfalls auf das Unternehmen?
- Wie schwerwiegend und umfangreich ist der Vorfall und was sind die Konsequenzen daraus?
- Wie kann das Problem isoliert werden, wie lassen sich mögliche Schäden sanieren und die Konsequenzen begrenzen?
- Wie werden diese Maßnahmen koordiniert, wer ist betroffen und muss informiert werden?
- Besteht bei diesem Vorfall eine Berichterstattungspflicht nach außen?
- Welche Optionen gibt es, um Vorfälle dieser Art künftig zu vermeiden?
- Wie zeitkritisch ist die Entscheidungsfindung für das weitere Vorgehen?
In diesen sieben Aspekten spielgelt sich wider, dass es nicht darum geht, was auf der technischen Ebene geschieht, sondern was für den Entscheidungsprozess auf oberster Managementebene relevant ist.
Das Management sollte von vornherein vom SOC in den „technischen Dialog“ mit einbezogen werden. Für eine sinnvolle Entscheidungsfindung müssen die Budgetverantwortlichen über die unmittelbaren Konsequenzen unterrichtet werden, wenn bestimmte Maßnahmen nicht ergriffen werden. So werden schwierige Diskussionen vermieden, die sich häufig ergeben, weil Geschäftsführer die Anliegen oder Bedenken ihrer technischen Teams nicht teilen – oder einfach nicht verstehen. Technische Situationen gilt es daher im Kontext der möglichen betriebswirtschaftlichen Auswirkungen zu reflektieren, um fundierte sicherheitsstrategische Entscheidungen herbeizuführen. Trotz organisatorischem Optimierungsbedarf an der einen oder anderen Stelle, dürfte das Thema Cybersicherheit längst angekommen sein in den Führungsetagen der meisten Unternehmen. Spätestens 2018 sollte es zur Chefsache werden in bestimmten Branchen. Dann müssen die EU-Richtlinie zur Netz- und Informationssicherheit (NIS) und die Datenschutz-Grundverordnung (GDPR/DSGVO) in den Mitgliedsstaaten gesetzlich umgesetzt werden.
Thorsten Henning, Senior Systems Engineering Manager Central & Eastern Europe bei Palo Alto Networks
- Unternehmenssicherheit wird zur organisatorischen Herausforderung
- Richtige Kommunikation von „unten“ nach „oben“
Lesen Sie mehr zum Thema
