Anbieter zum Thema

Impossible Cloud GmbH

Schritt 5: Risiken der Geschäftsprozesse und IT-Systeme analysieren

NIS-2 zielt im Kern auf ein Cybersecurity-Management unternehmenskritischer Prozesse ab. Deshalb besteht die erste große Aufgabe eines NIS-2-Projektteams darin, die Geschäftsprozesse – und unter diesen insbesondere die kritischen – zusammenzustellen, deren Abhängigkeit von den IT-Systemen zu ermitteln und hierzu Risiken wie auch Abhilfemaßnahmen zu erfassen.

„In vielen unserer Security-Projekte führen wir in den ersten Wochen nur eine Geschäftsprozessanalyse durch, weil dies im Unternehmen nicht vorhanden ist“, berichtet Materna-VP Stricker. „Welche Geschäftsprozesse habe ich, wie lassen die Prozesse sich auf die IT-Infrastruktur mappen? Hier sollte man mit einer Konsolidierung starten: Was nicht in diesem Mapping auftaucht, fliegt raus.“ Denn dies reduziere die Angriffsfläche und spare zugleich Kosten und Lizenzgebühren – also eine Win-win-Situation.

Gerade in kleineren Unternehmen muss die NIS-2-Umsetzung aber nicht in eine wochen- oder gar monatelange Geschäftsprozess-Analyse ausarten. „Wir empfehlen eine einfache Methode der Risikobewertung: Eintrittswahrscheinlichkeit mal Schadenshöhe, vier Risikoklassen“, sagt Dirk Wocke, Compliance-Manager bei Indevis. Es gehe im Grunde nur um wenige Kernfragen: Welche Werte habe ich im Unternehmen, welche Bedrohungen, welche Schwachstellen, welche Maßnahmen, um diese Risiken zu minimieren? Reichen meine jetzigen Maßnahmen aus, um das Risiko zu bewältigen, oder muss ich mehr tun? „Dies kann man sogar in Excel abbilden“, beruhigt Wocke, „das ist kein Hexenwerk.“

Schmerl stimmt in puncto „kein Hexenwerk“ voll zu und rät, sich nicht zu verzetteln. „Vielen kommt es als Riesenherausforderung vor, ein Risikomanagement aufzusetzen“, sagt er, „das ist es aber eigentlich nicht.“ Erforderlich sind laut dem Arctic-Wolf-Experten vor allem zwei Dinge: erstens ein Verständnis der Anforderungen, also welche der hauseigenen Systeme in die NIS-2-Kategorie fallen; zweitens eine Governance-Struktur oder einfacher gesagt: ein Risikomanagement-Team aus den verschiedenen Fachbereichen.

„Risiko-Identifikation bedeutet im Grunde nur: Ich muss ein Inventar meiner geschäftskritischen Prozesse und zugehöriger Systeme erstellen“, so Schmerl weiter. Auch er rät hier im KMU-Segment schlicht zur Excel-Liste. Ebenso simpel sei die Bedrohungsanalyse: „Es geht vor allem um drei Fragen: A, wer hat physisch Zugang zum System? B, wer hat IT-technisch Zugang, wer kann sich einloggen? Und C, ist das System ans Internet angebunden? Weiter würde ich anfangs mit der Bedrohungsanalyse gar nicht gehen.“

Denn laut Schmerl scheitern die meisten derartigen Projekte daran, am Anfang zu viel erreichen zu wollen. Deshalb solle man „mit dem Breitschwert vorgehen, nicht mit der Pinzette“. Er rät, anfangs keine 100-Prozent-Lösung anzuvisieren, sondern eher eine 80-Prozent-, gegebenenfalls nur eine 60-Prozent-Lösung. „Wichtig ist: Ich brauche eine Strategie, um Risiken anzugehen“, sagt er und erläutert: „Zur Risikobehandlung muss ich einfach in jede Zeile meiner Excel-Liste schreiben, was beim jeweiligen Risiko mein Plan ist.“ Oft reichten dabei ganz einfache Mitigationsmaßnahmen.

Zum Thema Risikobewertung hat Check-Point-CISO Marco Eggerling zwei sehr hilfreiche Tipps. Erstens: „Sehr nützlich ist es hier, die Beschäftigten nach ihren ‚Bauchschmerzen‘ bei den Geschäftsprozessen zu fragen. Denn die Belegschaft kennt die Leichen im Keller ganz gut“, sagt er. „Bevor man also über Pen-Tests oder Red Teaming redet, sollte man die ‚Bauchschmerzen‘ der Mitarbeiter beheben und dabei mit dem kritischsten Geschäftsprozess anfangen. Wichtig: Das ist ein Marathon, kein Sprint!“

Seine zweite Empfehlung lautet, sich an einen Anbieter von Cybersecurity-Versicherungen zu wenden und zu erfragen: Was wären denn die zehn, 20, 50 Prüfkriterien, um meinem Unternehmen eine solche Versicherung zusprechen zu können? „Diese Punkte sollte das Unternehmen dann gestaffelt nach Kritikalität – also von sehr wichtig bis weniger wichtig – durchgehen“, rät Eggerling.

Es kann aber natürlich auch vorkommen, dass ein Unternehmen sich mit einem Risiko-Assessment überfordert fühlt, zumal es ja um die Risiken hausinterner und von außen bezogener IT-Services und deren Wechselwirkung geht. „Viele Unternehmen können das in Eigenleistung nur sehr schwer gewährleisten, weil die Expertise häufig fehlt“, sagt Tim Berghoff von G Data und nennt ein Beispiel: „Der Geschäftsführer kann nicht einfach zum IT-Leiter gehen und fragen: ‚Haben wir eine Schatten-IT?‘“

Berghoff rät deshalb dazu, im Zweifel Expertise von externer Seite hinzuzuziehen: „Ein Security-Dienstleister liefert im Idealfall Handlungsempfehlungen, an denen klar abzulesen ist, welche Maßnahmen zu ergreifen sind, zum Beispiel die Zahl möglicher Fehlversuche beim Remote-Log-in zu begrenzen oder strengere Passwortrichtlinien einzuführen.“

Diese Maßnahmen sind dann in vielen Fällen schnell umgesetzt. Denn auch Passwortrichtlinien sind keine Zauberei.

(ID:50265322)