Eine Welt ohne Cyberrisiken ist leider eine Illusion. Zum Glück können Organisationen selbst viel Unheil verhindern und, wenn es doch zu einem Angriff kommt, diesen angemessen beheben. Organisationen sind sich der Gefahr von Cyberangriffen durchaus bewusst, so die Cybersecurity-Benchmark-Studie, die Conscia in Zusammenarbeit mit dem kommerziellen Marktforschungsunternehmen BenchLab durchgeführt hat.
Prävention und die Notwendigkeit von Detection und Response
Eine Welt ohne Cyberrisiken ist leider eine Illusion. Zum Glück können Organisationen selbst viel Unheil verhindern und, wenn es doch zu einem Angriff kommt, diesen angemessen beheben. Organisationen sind sich der Gefahr von Cyberangriffen durchaus bewusst, so die Cybersecurity-Benchmark-Studie, die Conscia in Zusammenarbeit mit dem kommerziellen Marktforschungsunternehmen BenchLab durchgeführt hat.
So gaben 43 % der Befragten an, dass der Großteil der für IT-Sicherheit aufgewendeten Zeit in die Prävention fließt. Mit 85 % ist „Awareness & Training“ eine wichtige Maßnahme zur Vermeidung von Cybersecurity-Vorfällen. Kommt es jedoch zu einem Vorfall, zeigen Studien, dass es in der Regel mehr als 200 Tage dauert, bis der Vorfall bemerkt wird. Maarten Werff, Solution Consultant Cybersecurity bei Conscia: „Deshalb bleibt es unerlässlich, neben der Prävention auch Detection-&-Response-Maßnahmen zu haben, um auch Einblick in die Angriffe zu erhalten, die nicht durch präventive Maßnahmen gestoppt werden. Das erscheint wie ein kleiner Prozentsatz, kann aber dennoch viel Unheil anrichten.“
SOC: selbst aufbauen oder auslagern?
Ein Security Operations Centre (SOC) kann die Lösung bieten. Die allgemeine Meinung lautet oft, dass ein SOC hohe Kosten verursacht, viel Zeit, Wissen und Energie der Mitarbeitenden erfordert und daher nur etwas für große Organisationen ist. Aber stimmt das?
Eine einfache Rechnung: Eine Studie von Forrester zeigt, dass Organisationen im Durchschnitt 14 FTE an Sicherheitsanalysten benötigen, um eine eigene SOC-Funktion aufzubauen und zu unterhalten (11 FTE bei Organisationen mit weniger als 5.000 Mitarbeitenden und 20 FTE bei Organisationen mit mehr als 5.000 Mitarbeitenden). Dabei ist berücksichtigt, dass Menschen Tag und Nacht arbeiten und auch mal in den Urlaub fahren.
Betrachtet man die Kosten eines externen Managed-Detection-&-Response-Dienstes (MDR) mit 24/7-Monitoring für 1.000 Mitarbeitende, kommt man auf rund 6.000 EUR pro Monat. Das ist also sogar weniger als 1 FTE. Wenn Organisationen ein eigenes SOC aufbauen, benötigen sie neben den richtigen Leuten auch eine geeignete Technologieplattform. Das treibt die Total Costs of Ownership eines internen SOC auf das Dreifache der Kosten eines ausgelagerten SOC (mit hohem CAPEX).
Sicherheitsanalysten gewinnen und halten
Nun hat der Aufbau einer eigenen SOC-Funktion durchaus auch Vorteile. Organisationsspezifische Risiken werden von eigenen Leuten schneller und besser verstanden. Andererseits ist es schwierig, gute Leute zu finden und zu halten. Ihre Aufgabe ist auch nicht die geringste. Forrester gibt an, dass 96 % der Sicherheitsanalysten nach einem Vorfall persönliche Auswirkungen erleben. Denken Sie an lange Arbeitstage, Stress, den man mit nach Hause nimmt, schlechten Schlaf. Alles Folgen der sogenannten „Alert Fatigue“.
Mit diesem Problem sind Organisationen nicht konfrontiert, wenn sie die SOC-Funktion auslagern, ebenso wenig wie mit den Herausforderungen der Skalierung. Die Benchmark-Studie zeigt, dass 15 % der Befragten die SOC-Funktion bereits ausgelagert haben. In 55 % der Fälle erfolgen Monitoring und Analyse von Sicherheitswarnungen durch das interne IT-Team. Darüber hinaus geben 6 % der Organisationen an, ein eigenes SOC zu haben, das während der Geschäftszeiten (3 %) oder rund um die Uhr (3 %) überwacht und analysiert. Knapp ein Viertel der Befragten hat die Erkennung von Sicherheitswarnungen nicht oder anderweitig abgesichert.
Bedrohungslandschaft erfordert einen anderen Ansatz
Laut Maarten Werff gibt es noch einen weiteren guten Grund, auf MDR umzusteigen: „Im letzten Jahrzehnt haben wir uns vor allem auf das Netzwerk konzentriert, aber durch die veränderte Bedrohungslandschaft infolge der Zunahme von Homeoffice, Cloud und Verschlüsselung ist die Sichtbarkeit durch traditionelle Netzwerksicherheitsmaßnahmen deutlich geringer. Sicherheit erfordert heute einen anderen Ansatz. Wir müssen Sicherheitsmaßnahmen für das ergreifen, was wir schützen wollen: unsere Informationen, unsere Nutzer und unsere Endpoints.“
Derzeit geben 41 % der Befragten an, Maßnahmen zum Schutz der Endpoints ergriffen zu haben. Es ist keine Neuigkeit, wenn wir sagen, dass Mitarbeitende, bei allem Respekt, oft das größte Problem sind. Beim Auftreten von auffälligen Dateizugriffen und verschlüsselten Dateien geben 46 % der Befragten an, eine Warnung zu erhalten. 21 % können derweil sehen, welche Dateien bei einem Cybervorfall betroffen waren, und diese wiederherstellen.
Laut Maarten Werff ermöglichen technologische Entwicklungen wie EDR, SOAR und XDR eine Änderung der Detection-Strategie. Betrachtet man diese Lösungen, verfügen 15 % der Befragten über EDR und 3 % über SOAR. „Wer Identität und Endpoint ins Zentrum der Detection-and-Response-Strategie stellt, schafft wesentlich mehr Sichtbarkeit beim Alerting und ermöglicht ein schnelleres Eingreifen. Dieser Ansatz konzentriert sich nicht auf die Suche nach der ‚Nadel im Heuhaufen‘ und ist daher auch weniger kostenintensiv.“
