IT-Sicherheit ist mehr als ein Kostenfaktor ROI steigern durch Minderung von Cyberrisiken

Anbieter zum Thema

Southern Tech GmbH

Claroty GmbH

Seit Jahren kämpfen Sicherheitsverantwortliche gegen die Auffassung der Führungsebene, dass Sicherheit in erster Linie eine Kostenstelle ist. In Anbetracht der zahlreichen Sicherheitsverletzungen und neuer Vorschriften und Gesetze ändert sich diese Auffassung langsam. Aufgrund der verschärften Sicherheitslage ist jedoch schnelles Handeln erforderlich. Sicherheitsverantwortliche müssen auch aufgrund der ökonomischen Lage dringender denn je den wirtschaftlichen Wert ihrer Security-Maßnahmen für das Unternehmen darlegen.

Progressive Unternehmen aus Industrie und Handel sowie dem Gesundheitssektor erschließen mehr und mehr den Wert der digitalen Transformation und der Konvergenz von cyber-physischen Systemen (CPS). Die Verbindung von Betriebstechnik (OT) mit IT-Netzwerken, dem Internet und einer Reihe von Geräten des erweiterten Internet der Dinge (XIoT) führt zu mehr Automatisierung, Kontrolle, Effizienz und Komfort – und damit zu entscheidenden Geschäftsvorteilen. Diesen Chancen stehen jedoch auch Risiken gegenüber. So ermöglicht die zunehmende Konnektivität von cyber-physischen Systemen Cyberkriminellen neue Angriffsvektoren. Je stärker Unternehmen auf Vernetzung setzen, desto wichtiger ist auch die Sicherheit der unternehmenskritischen cyber-physischen Systeme. Entsprechend muss der Schutz von CPS parallel zur Digitalisierung erfolgen.

Die Kosten eines Angriffs steigen mit der Ausfallzeit

Laut dem Cost of a Data Breach Report 2022 von IBM betragen die durchschnittlichen Kosten einer Datenschutzverletzung für Unternehmen der kritischen Infrastruktur 4,82 Mio. US-Dollar und damit 1 Mio. US-Dollar mehr als für Unternehmen anderer Branchen. Dabei liegen die Kosten im Gesundheitswesen mit durchschnittlich 10,1 Mio. US-Dollar am höchsten. In den Fällen, in denen Fernarbeit eine Rolle spielt, steigen die durchschnittlichen Kosten um fast 1 Million Dollar. Auch die lange Verweildauer trägt zu den steigenden Kosten bei: In den letzten sieben Jahren dauerte es durchschnittlich 277 Tage, bis eine Sicherheitsverletzung erkannt und eingedämmt wurde. Das ist eine Menge Zeit, in der sich ein kleiner Vorfall zu einem großen Sicherheitsproblem ausweiten kann.

Je nach Dauer der Ausfallzeit können die Kosten eines Vorfalls sogar noch höher ausfallen. Zum Beispiel verliert ein durchschnittlicher Automobilhersteller 22.000 US-Dollar pro Minute, wenn die Produktionslinie stillsteht. Und 45 Prozent der Befragten des Global State of Industrial Cybersecurity-Berichts von Claroty gaben an, dass die betrieblichen Auswirkungen eines Ausfalls ihr Unternehmen 500.000 US-Dollar oder mehr pro Stunde kosten würden, wobei 23 Prozent von 1 Million US-Dollar oder mehr sprachen. Es gibt zahlreiche Beispiele aus der Praxis, die diese Zahlen belegen. So kostete ein massiver Cyberangriff, der zu einer wochenlangen Unterbrechung der Patientenversorgung führte, den kalifornischen Betreiber von fünf Krankenhäusern und 19 ambulanten Einrichtungen Scripps Health 133 Millionen Dollar.

Die Kosten von Angriffen auf kritische Infrastrukturen wie Krankenhäuser, Ölpipelines, Wasserversorgungsunternehmen sowie Lebensmittel- und Getränkehersteller sind jedoch nicht nur finanzieller Natur. Angriffe, die sich cyber-physische Systeme und damit verbundene Anlagen zunutze machen, können weitaus schlimmere Folgen haben, da sie die physische Welt und die Systeme, auf die wir angewiesen sind, bedrohen und Leben sowie die Umwelt gefährden.

Berechnung des Return on Investment

Die Verringerung des jährlichen Verlusts, der durch einen Cyberangriff zu erwarten ist, ist der bedeutendste Faktor, durch den sich Investitionen in die Cybersicherheit für ein Unternehmen auszahlen. Die folgende ROI-Formel zur Risikominderung ist eine Abwandlung der ROI-Formel von CISSP-ISSMP, bei der die erwarteten jährlichen Verluste durch die Kosten der Gegenmaßnahmen geteilt werden. Sie eignet sich ideal, um die Investitionsrendite für eine oder mehrere Cybersicherheitsmaßnahmen zu messen.

ROI = (Risikoreduzierung – Cybersecurity-Kosten) / Cybersecurity-Kosten

Dabei gilt:

Risikoreduzierung = Jährliche Häufigkeit des Eintretens multipliziert mit erwarteten Kosten pro Vorfall multipliziert mit der Reduzierung der Wahrscheinlichkeit eines Vorfalls durch die implementierte(n) Lösung(en)

Wenn man von einem Vorfall pro Jahr ausgeht und die Daten aus dem IBM-Bericht verwendet, ist es ein leichtes, Investitionen zur Risikominderung zu rechtfertigen. Aber auch wenn man nur von einem Angriff alle zwei oder drei Jahre ausgeht, können Sicherheitsverantwortliche immer noch genügend überzeugende Argumente für Investitionen in Sicherheitstools für cyber-physische Systeme, Schulungen, externe Dienstleistungen und die Einstellung zusätzlicher Sicherheitskräfte vorbringen.

Alternativ lassen sich die wahrscheinliche Anzahl von Vorfällen und die Kosten auch durch Extrapolation aus den historischen Daten des eigenen Unternehmens ermitteln. Die Gefahr dabei ist, dass vergangene Ereignisse keine Garantie für zukünftige Entwicklungen sind, insbesondere angesichts der Tatsache, dass sich die Welt während der Pandemie grundlegend verändert hat. Die explosionsartige Zunahme der Vernetzung von cyber-physischen Systemen, gepaart mit der sich schnell entwickelnden geopolitischen Landschaft und opportunistischen Kriminellen, führt zu einer gefährlichen Situation. Aus diesem Grund können allgemein anerkannte, aktuelle Erhebungen Dritter ein zuverlässigeres und genaueres Bild des Risikos liefern.

Neben der Verringerung des Geschäftsrisikos gibt es noch weitere Vorteile, die zu berücksichtigen sind, wenn man sich an die Geschäftsleitung und den Vorstand wendet, um zusätzliche Sicherheitsmittel zu erhalten:

• Compliance: Investitionen in bestimmte Tools können Unternehmen dabei helfen, Vorschriften einzuhalten und Bußgelder, Kundenabwanderung, Gerichtsverfahren und andere rechtliche Schritte zu vermeiden.

• Betriebliche Ausfallsicherheit (Resilienz): In Industrie- und Gesundheitsumgebungen ist die Ausfallsicherheit von entscheidender Bedeutung, denn nur wenn die OT-Netzwerke funktionieren, werden Einnahmen erzielt. Selbst eine teilweise Unterbrechung aufgrund mangelnder Transparenz der Vorgänge im Netzwerk kann dabei zu Produktivitäts- und Umsatzeinbußen führen.

• Digitale Transformation: Nur durch die richtigen proaktiven Sicherheitsmaßnahmen lässt sich die Digitalisierung erfolgreich umsetzen und so ihr voller Nutzen erzielen.

Welche CPS-Security-Funktionalitäten den ROI maximieren

Die meisten Unternehmen haben Schwierigkeiten, sämtliche Anlagen in OT-Umgebungen zu erkennen, zu verwalten und zu sichern, insbesondere im wachsenden Kosmos der cyber-physischen Systeme und angeschlossenen Anlagen und Geräte. Gleichzeitig erfordern ausgeklügelte Angriffe auf cyber-physische Systeme eine umfangreiche Vorbereitung durch die Angreifer und nehmen in der Regel viel Zeit in Anspruch, um sie auszuführen. Deshalb ist es entscheidend, die eigenen Netzwerke besser zu kennen als die Angreifer und auf diese Weise den ROI zu maximieren.

• Umfassende Transparenz: Nur wenn man die eigenen Systeme kennt und potenzielle Schwachstellen identifizieren kann, ist man in der Lage, seine Resilienz zu verbessern. Mit einer fortschrittlichen agentenlosen Lösung lassen sich Assets identifizieren sowie Schwachstellen und verdächtiges Verhalten in cyber-physischen Systemen und den zugrundeliegenden verbundenen Geräten erkennen. Das Verständnis der eigenen Risikolage ist ein wichtiger erster Schritt, um sich aktiv vorzubereiten und sich auf wahrscheinliche Angriffspunkte zu konzentrieren.

• Kuratierte Warnungen: Die Transparenz bildet die Grundlage für die kontinuierliche Erkennung von Bedrohungen und für kuratierte, kontextbezogene Warnmeldungen, um anomalen Aktivitäten schnell auf den Grund zu gehen. Mit detaillierten Angaben zu allen Anlagen, Prozessen und Konnektivitätspfaden im Netzwerk sowie einem definitiven Einblick in den Normalzustand können Sicherheitsverantwortliche schnell und sicher reagieren, wenn Alarme ausgelöst werden. Dabei ist die Zeit ein entscheidender Faktor: Je früher entsprechende Maßnahmen eingeleitet werden, desto geringer sind die Auswirkungen eines Angriffs.

• Proaktive Sicherheitskontrollen: Die Angriffsvektor-Zuordnung identifiziert die am stärksten gefährdeten Anlagen und Zonen im Netzwerk und simuliert die verschiedenen Möglichkeiten, mit denen ein Angreifer in das Netzwerk eindringen könnte. Dabei liegt der Schwerpunkt auf Szenarien mit lateraler Bewegung, um so das Risiko proaktiv beseitigen zu können. Die virtuelle Segmentierung ermöglicht außerdem die Kontrolle der Kommunikation von Anlagen, die unter normalen Umständen miteinander kommunizieren, und ist so in der Lage, sofort vor lateralen Bewegungen eines Angreifers zu warnen. Schließlich lässt sich durch die Nachverfolgung von Firmware- und Softwareversionen von Anlagen das Risiko- und Schwachstellenmanagement von cyber-physischen Systemen wesentlich verbessern.

• Sicherer Fernzugriff: Remote Work spielt nicht nur bei Büroarbeitsplätzen eine immer größere Rolle, sondern gewinnt auch in industriellen Umgebungen und in der kritischen Infrastruktur immer mehr an Bedeutung. Daher ist es unabdingbar, OT-Netzwerke vor Bedrohungen zu schützen, die durch nicht verwaltete und nicht überwachte Zugriffe von Fernanwendern entstehen. Administratoren müssen in der Lage sein, den Zugriff auf der Grundlage von Rollen und Richtlinien zu kontrollieren, Benutzeranmeldeinformationen zentral zu verwalten, Einblick in alle Remote-Verbindungen und -Aktivitäten zu erhalten und bei Bedarf Sitzungen zu beenden oder Aufzeichnungen im Nachhinein zu forensischen Zwecken einzusehen.

• Einheitliche Front gegen Cyber-Bedrohungen: Die beste Strategie zur Cyber-Abwehr ist ein gemeinsames Vorgehen gegen Bedrohungen durch die Konsolidierung der Sicherheit cyber-physischer Systeme mit den bestehenden IT-Sicherheitsfunktionen. Ein einheitlicher Ansatz bietet erhebliche Leistungsvorteile und maximiert den ROI, da die Unternehmen ihre vorhandenen Ressourcen und Mitarbeiter dort einsetzen können, wo immer dies nötig ist.

Über den Autor

Max Rahner ist Senior Regional Director DACH & Eastern Europe von Claroty.

(ID:49437918)