Operationelle Resilienz – Koordination & Kooperation im Fokus – Source: www.csoonline.com

https://www.shutterstock.com/g/AndryDj

Die Aufgabe des CISOs besteht darin, sowohl technologische als auch prozessuale und organisatorische Voraussetzungen für die IT-Sicherheit seines Unternehmens zu schaffen. CISOs schaffen eine auf Resilienz abzielende Sicherheitsarchitektur, treiben die Integration interoperabler Plattformen voran und etablieren Prozesse zur kontinuierlichen Risikoüberwachung.

Darüber hinaus sorgen sie für den Aufbau von Incident Response– und Back-Up-Fähigkeiten wie auch die sinnvolle Verwendung von Threat Intelligence-Informationen. Gleichzeitig fungiert der CISO als Brücke zwischen der traditionellen IT, dem Business, der Geschäftsführung und den Fachbereichen. Das Ziel ist dabei, Sicherheitsmaßnahmen in die Firmenstrategie einzubetten, klare Verantwortlichkeiten zu schaffen und eine Resilienz-fördernde Unternehmenskultur aufzubauen. Kurzum, sie müssen operationelle Resilienz schaffen.

Definition: Operationelle vs. organisationale Resilienz

Operationelle Resilienz im Kontext der Cybersicherheit bedeutet, die Reaktionsfähigkeit einer Organisation im Krisenfall zu stärken. Das Unternehmen muss auf Störungen, ob durch Angriffe, technische Ausfälle oder menschliche Fehler vorbereitet sein. Darüber hinaus muss es schnell reagieren, sich aber auch nachhaltig erholen können. Eine Definition gibt es noch nicht, jedoch benutzt das BSI den Begriff „organisationale Resilienz“ und definiert ihn wie folgt: „Organisationale Resilienz ist die Fähigkeit einer Organisation, etwas abzufedern und sich in einer verändernden Umgebung anzupassen, um so ihre Ziele zu erreichen, zu überleben und zu gedeihen.“

Abgeleitet und auf die Rolle des CISOs gemünzt, verfolgt operationelle Resilienz das Ziel, Organisationen vor Cyberangriffen so zu schützen, dass das wirtschaftliche Überleben und der laufende Betrieb gleichermaßen abgesichert sind.

Lesetipp: Klöckner-CISO im Interview – „In der Security geht es vor allem um Resilienz“

Operationelle braucht technologische Resilienz

Eine operationelle Resilienz benötigt eine technologische Resilienz. Im Gegensatz zur operationellen konzentriert sich dieser Ansatz jedoch rein auf die Bereitstellung krisensicherer Technologie. Beides im Zusammenspiel sorgt für die Widerstandsfähigkeit bei der Aufrechterhaltung des laufenden Betriebs.

Technologische Resilienz erfordert modulare, fehlertolerante Systeme mit starker Automatisierung und kontinuierlichen Testing- und Validierungsschleifen. Eine effektive Resilienz-Strategie basiert auf der Interoperabilität von Security-Technologien über offene Schnittstellen, integriertem Datenmanagement und einer konsolidierten Plattformarchitektur. Nur dann können die Teildisziplinen und Technologien wie XDR, EDR, Cloud-Security sowie auch IAM und Zero Trust als Kernkomponenten zusammenspielen. Resiliente Teams sind interdisziplinär, DevSecOps-orientiert und eng mit dem Business verzahnt. Der Aufbau einer adaptiven Security-Plattform im Sinne einer Hybrid Mesh-Architektur schafft Transparenz, Automatisierung und schnelle Reaktionsfähigkeit. Diese ist jedoch entscheidend für die Resilienz in einer zunehmend komplexen Bedrohungslage.

Grundsätzlich beschreibt technologische Resilienz die Fähigkeit einer Organisation, trotz technischer Störungen, Angriffe oder Ausfälle funktionsfähig zu bleiben und sich schnell wieder zu erholen. Dabei gilt es diverse Kernkomponenten und -kompetenzen zu eruieren.

Zu diesen zählen:

• Systemredundanz,
• Modularität (zum Beispiel Fail-Open vs. Fail-Close im Sinne der Fehlertoleranz),
• automatisiertes Recovery über Infrastructure-as-Code,
• Cyber Resilience Integration (zum Beispiel über Zero Trust),
• Deception,
• Threat Hunting,
• Table-Top-Übungen und
• konkretes Testing & Simulation via Chaos Engineering
• oder Red-Teaming-Ansätze.

Abstimmung und Interoperabilität

CISOs müssen Security-Technologien aufeinander abstimmen und für deren Interoperabilität sorgen. Ihr Ziel sieht ein harmonisches, ganzheitliches Security-Ökosystem anstatt einer Sammlung von Einzellösungen vor. Ihnen obliegt die Aufgabe, die Übersicht über den sogenannten „Security Sprawl“, also den Anbieterdschungel zu behalten. Dabei kommt leider oft und zu früh die Kurzschlussreaktion einer Anbieterkonsolidierung, also die Anzahl der Security Tools zu reduzieren, als Lösungsansatz.

Im Gegensatz dazu ist eine tiefere Integration mit einem Plattformanbieter mit bewährtem Ökosystem die deutlich bessere Wahl. CISOs sollten sich also nicht auf einen Anbieter festlegen, sondern auf das richtige Ökosystem setzen und die technologische Harmonie im Blick behalten. Im Krisenfall müssen die Technologien ineinandergreifen und über eine Plattform verwaltet werden können, eine Vielzahl von Teillösungen und Plattformen erschwert die Erkennung und Abwehr. Wenn beispielweise bei einem Cyberangriff einige der Sicherheitssysteme umgangen werden, könnten miteinander verbundene Systeme dennoch das Verhalten der Schadsoftware monitoren und über die Plattform melden. Im Zusammenspiel gelingt dann die frühere Erkennung und Vereitlung des Angriffs.

Fehlerkultur etablieren

Zusätzlich gilt es, resiliente Security-Teams aufzubauen. Sie zeichnen sich durch Interdisziplinarität, DevSecOps-Orientierung mit klar definierten Rollen und Verantwortlichkeiten innerhalb einer „Failure Culture“ aus. Security-Teams müssen immer wieder den Ernstfall miteinander trainieren, um ihre Resilienz zu beweisen. Spezialistentum hilft nicht unbedingt weiter, wenn Silodenken vorherrscht. Es gilt miteinander in Extremsituationen zu harmonieren.

CISOs sollten in ihren Teams eine Form der „Fuck Up-Night“ etablieren. Niemand ist perfekt und Fehler, insbesondere in Stresssituationen, passieren. Deshalb ist es wichtig, dass Führungskräfte ihren Teams den Rücken freihalten und den Druck aus allen Himmelsrichtungen abfedern, sei es aus der Geschäftsführung, einzelner Abteilungen oder aber von außen wie Dienstleistern oder Kunden. Eine solche Kultur darf aber auch nicht in Silos operieren. Sie sollte es möglich machen, dass die Ergebnisse aus regelmäßigen Schulungen und Erfahrungswerten aus Sicherheitsvorfällen offen im Dialog miteinander diskutiert werden können. Werden die gewonnenen Erkenntnisse in das eigene Doing überführt, entsteht eine belastbare Fehlerkultur, bei der sich der CISO im Ernstfall auf sein Team, aber auch das Team auf seinen CISO verlassen kann.

Fazit

CISOs sollten danach streben, den Zustand einer operationellen Resilienz zu erreichen. Dabei hilft ihnen die technologische Resilienz über eine integrierte, adaptive Plattform. Sie vereinen dann Sichtbarkeit, Reaktionsfähigkeit, Prävention und Automatisierung, ohne einen Vendor Lock-In zu forcieren. Zusätzlich unterstützt dieser Ansatz CISOs durch einen Investitionsschutz, weil eine solche Plattform Entwicklungspotentiale für künftige Migrationswünsche bietet.

Schaffen CISOs die beschriebenen Voraussetzungen auf technologischer, organisatorischer und kultureller Ebene, erreichen sie die operationelle Resilienz und können diese in die Unternehmensstrategie verankern. Ihre Organisationen profitieren im Krisenfall von belastbaren Strukturen, die nach außen und innen widerstandsfähig sind. (jm)