Die Antwort lautet: 3.420.000 Euro. So viel kostet eine durchschnittliche Datenpanne in Deutschland - inklusive Regressforderungen von Kunden und Partnern, Bußgelder sowie schwer zu beziffernder "Imageschäden". Zumindest besagen das die Berechnungen der von IBM gesponserten "Cost of Data Breach"-Studie 2017 des Ponemon-Instituts. Und das ist schon eine gute Nachricht, denn es entspricht einem Rückgang um 5,4 Prozent im Vergleich zum Vorjahr.
Foto: jamesteohart - shutterstock.com
Die vergleichsweise gute Lage führt das Institut darauf zurück, "dass europäische Unternehmen in einem Umfeld arbeiten, in dem Datenpannen strengeren Meldevorschriften unterliegen" als beispielsweise in den USA. Laut Studie hat die Reaktionsschnelligkeit eines Unternehmens im Fall eines Hackerangriffs direkten Einfluss auf die Kosten. Wer zum Beispiel Datenpannen innerhalb eines Monats behob, konnte eine Million US-Dollar einsparen im Vergleich zu Unternehmen, die eine Reaktionszeit von mehr als einem Monat benötigten.
Der Trend zu mehr Datenschutz kommt den Unternehmen hier eindeutig zugute: Regulatorische Vorschriften wie die EU-Datenschutz-Grundverordnung (DSGVO), KRITIS zum Schutz kritischer Infrastrukturen, das IT-Sicherheitsgesetz oder die Mindestanforderungen an das Risikomanagement (MaRisk) tragen dazu bei, dass Unternehmen mehr Anstrengungen in den Schutz von Daten (und IT-Infrastrukturen) stecken – weil sie es müssen und weil es ihnen im härter werdenden Wettbewerb Vorteile und Imagegewinne beschert. Beide Faktoren – Zeit und Kosten – führen zur Notwendigkeit von Security Automation.
Zum Video: Auf der Schnellstraße zu besserer IT-Sicherheit
Was ist Security Automation überhaupt?
Security Automation muss ein fester Bestandteil von Sicherheitsstrategien sein. Der Begriff meint den Einsatz automatischer Systeme zur Erkennung, Bewertung und Verhinderung oder Eindämmung von Cyber-Sicherheitsvorfällen sowie Erkennung, Bewertung und Beseitigung von Schwachstellen oder Non-Compliances. Security Automation adressiert dafür folgende zentrale Handlungsfelder:
• Prävention etwa über automatisiert vorgenommene Sicherheitseinstellungen auf IT-Systemen, in Anwendungen und in Netzwerken,
• Detektion von Anomalien (die auf mögliche Angriffe hindeuten) und tatsächlicher Angriffe,
• automatisierte Bewertung als erste Indikation vor der manuellen (menschlichen) Bewertung – schematisch und standardisiert
• Reaktion zur Wiederherstellung der System-Sicherheit und zur Behebung von Schäden oder automatisierte Reaktion auf Angriffe (Intrusion Response System) sowie die Beseitigung von Malware.
Zu jedem dieser Handlungsfelder gehören eine ganze Reihe von Einzelmaßnahmen technischer und organisatorischer Art. Security Automation kann viele dieser Maßnahmen beschleunigen oder signifikant verbessern im Hinblick auf Qualität und Verlässlichkeit.
"An Automatisierung kommt niemand vorbei"
IDG Research hat vor kurzem die Studie "Security Automation 2017" vorgestellt. Zentrales Ergebnis der Untersuchung: An der Automatisierung von Prozessen im Bereich IT-Sicherheit kommt mittelfristig kein Unternehmen vorbei, das schneller und wirkungsvoller auf Angriffe von außen reagieren und gleichzeitig seine Infrastrukturen besser vor Attacken schützen möchte.
Security Automation bietet weitere Vorteile: Es erfüllt die steigenden Erwartungen an Cyber-Security aufgrund der immer komplexeren Bedrohungsszenarien und der ebenfalls zunehmenden Komplexität von IT-Infrastrukturen und Firmennetzen. Zudem nimmt es der IT durch den Rückgang manueller Tätigkeiten bei Kontrolle, Eingriffen und Berichten ein wenig vom immerwährenden Kostendruck, der auf ihr lastet. Schließlich unterstützt die Automatisierung Unternehmen dabei, regulatorische und Compliance-Anforderungen besser zu erfüllen, auch wenn kein Gesetz sie explizit fordert.
Zum Video: Auf der Schnellstraße zu besserer IT-Sicherheit
Voraussetzungen für Security Automation
Unternehmen, die auf Security Automation setzen möchten, sollten die folgenden Voraussetzungen für den Einstieg erfüllen:
Ein firmenweit einheitliches Datenmodell sowie Zugang zu den Daten, die für wirksame Prävention, Detektion und Reaktion nötig sind.
Ein Asset Management für Unternehmensdaten: Wo liegen diese Daten, wer hat Zugriff darauf, welche Daten sind unbedingt, welche weniger schützenswert?
Policies, die den Umgang mit Daten, die Sicherung mobiler Geräte und die Zugriffsrechte von Mitarbeitern verbindlich regeln und ausrollen
Offene Schnittstellen zu Datenquellen unterschiedlicher Provenienz, die es möglich machen, Insellösungen zu vermeiden und Security Automation zu zentralisieren.
Die gute Nachricht: Wer schon bisher wenigstens den gröbsten Teil seiner Hausaufgaben bei der IT-Sicherheit erledigt hat, fängt bei der Security Automation nicht bei null an, sondern kann auf unterschiedlichen Maßnahmen wie SIEM, Vulnerability-Scans, Firewall-Management, Intrusion und Malware Detection aufbauen.
In jedem Unternehmen gibt es Bereiche und Prozesse, die sich automatisieren lassen, etwa mit der automatischen Provisionierung von Berechtigungen, bei toolgestützten Workflows mit Eskalationsmechanismen oder im Berichtswesen durch die automatisierte Messung von Security-KPIs.
So klappt der Security-Automation-Einstieg
Der Einstieg in Security Automation beginnt für jedes Unternehmen bei den Basics: Security Information and Event Management (SIEM) sorgt dafür, dass Unternehmen sicherheitsrelevante Informationen aus Log-Files, Netzwerken und mobilen Geräten sammeln, korrelieren und auswerten können. Für SIEM gibt es eine Reihe von Standardlösungen, die Gartner 2016 in seinem Magic Quadrant for Security Information and Event Management eingeordnet und bewertet hat.
Auf die Liste der wirksamen Maßnahmen gehören auch so genannte IT-Health-Checks, bei denen der Ist-Stand von sicherheitsrelevanten Systemeinstellungen mit dem in unternehmensweiten Richtlinien (Policies) festgelegten Soll-Zustand abgeglichen und auf Compliance überprüft wird.
Zu den fortgeschrittenen Maßnahmen in der Security Automation zählt der Einsatz von SIEM mit Threat Intelligence, die nicht einfach nur auf Basis von Log-Daten vor Auffälligkeiten und Anomalien warnt. Ohne zusätzliche Informationen über die akute Bedrohungslage kann ein SIEM häufig Fehlalarme auslösen, was diese Automatisierungsmaßnahme irgendwann ad absurdum führen würde. Threat Intelligence sucht nicht blind, sondern gezielt nach bestimmten Auffälligkeiten und reduziert so das Risiko von Fehlalarmen, nicht aber die Zahl der entdeckten echten Angriffe.
Intelligenz in der Abwehr von Bedrohungen und Angriffen und für den Schutz von IT-Infrastrukturen wird auch in Zukunft eine wichtige Rolle spielen: Machine Learning hat die Fähigkeit, eigenständig (also automatisch) Muster in großen Datenmengen zu erkennen und zu analysieren. IBM setzt hier zum Beispiel für die intelligente Suche nach Auffälligkeiten und Abweichungen auf seine künstliche Intelligenz Watson, die zudem dafür zuständig ist, in Millionen von Blogs, Online-Foren und Whitepapers nach dem Wissen zu suchen, das die Unternehmens-IT braucht, um Bedrohungen wirksam zu begegnen.
Die Nebenwirkungen der IT-Sicherheits-Automatisierung
Doch auch die Risiken der Automatisierung sollten nicht verschwiegen werden: Wer sich völlig oder zu sehr auf das automatische Entdecken und Beheben eventueller Schwachstellen verlässt, läuft Gefahr strukturelle Fehler und komplexe Schwachstellen in den Systemen erst (zu) spät zu entdecken. Dazu gehören zum Beispiel auch fahrlässiges und vorsätzliches Fehlverhalten von Mitarbeitern. Nicht jeder dieser Bedrohungen lässt sich automatisiert begegnen.
Ferner befreit Security Automation das bestehende IT-Sicherheitspersonal zwar von Standard-Tätigkeiten, dies darf jedoch nicht darüber hinwegtäuschen, dass im Fehlerfall bei einem hohen Automatisierungsgrad oder zur Weiterentwicklung der Automatisierung die Anforderungen an Fähigkeiten, Kenntnisse und Erfahrung des Betriebspersonals deutlich ansteigen. Wer das nicht berücksichtigt, steht bei einem Ausfall am Ende womöglich schlechter da als vorher.
Zum Video: Auf der Schnellstraße zu besserer IT-Sicherheit
Fazit: Automatisierung ist nicht alles, aber ohne geht nicht
Security Automation steht bei den meisten von IDG befragten Sicherheitsverantwortlichen nicht an erster Stelle. "Eine höhere Priorität haben für die Befragten Themen wie der Schutz von mobilen Systemen und Apps, die Absicherung von Cloud-Infrastrukturen und -Anwendungen sowie die Umsetzung der neuen EU-Datenschutz-Grundverordnung", heißt es in der Studie.
Dennoch werden sich die meisten Unternehmen mit Security Automation auseinandersetzen, wohl auch aus dem Bewusstsein heraus, dass sie ihre Fokusthemen über Automatisierung ebenfalls besser in den Griff bekommen als ohne. In Anbetracht der aktuellen Bedrohungsszenarien und unter den genannten Voraussetzungen ist das auch völlig richtig so. Security Automation bietet immenses Potenzial – wenn die Voraussetzungen stimmen.
Dazu gehören eine gestiegene Awareness für das Thema Sicherheit, aber eben auch Maßnahmen zur automatisierten Erkennung und Abwehr von Angriffen. All das wird nicht zu absoluter IT-Sicherheit führen, denn die kann es systembedingt gar nicht geben. Aber es bringt Unternehmen auf den richtigen Weg, um ein optimales Maß an Sicherheit - im Sinne von Kosten und Restrisiko - erreichen zu können.