Rolle
IT-Sicherheit
Wie schnell erfahren Sie von einer kritischen Schwachstelle in einem System, das Sie betreiben? Diese Zahl entscheidet, ob das Fenster zwischen Veröffentlichung und Patch ein Risiko ist oder bloß eine Aufgabe.
Erstgespräch
Vier Fragen, mit denen wir beginnen würden
Wie schnell erfahren Sie von einer neuen Schwachstelle in einer Komponente, die Sie nutzen?
Wenn aus einem wöchentlichen Newsletter, beträgt das Reaktionsfenster eine Woche, gleich welcher Schweregrad.
Wie oft am Tag erweist sich ein Alert als falsch?
Wenn das Team aufgehört hat, die Alerts zu lesen, funktioniert die Überwachung auf dem Papier und nicht in der Sache.
Wann fällt die Entscheidung, einen verwundbaren Dienst abzuschalten?
Wenn die Antwort "nie" lautet, weil der Fachbereich es nicht zulässt, lohnt es sich, das vor einem Vorfall zu wissen und nicht währenddessen.
Was schieben Sie als Erstes auf, wenn es mehr Tickets als Menschen gibt?
Meist: mittlere Schwachstellen und Reviews - und daher kommen die Vorfälle in einem halben Jahr.
Wir übernehmen das Sammeln und Priorisieren, Sie behalten das Urteil und die Entscheidungen
Informationen über Schwachstellen zu sammeln, das Rauschen aus den Alerts zu sieben, bei einem Vorfall Kontext zu sammeln und die Dokumentation zu führen, lässt sich vom Schreibtisch nehmen. Die Beurteilung der Bedrohung und die Entscheidung über die Reaktion bleiben beim Spezialisten.
- Eine Schwachstelle wird an Ihre Umgebung gebunden. - Nicht jede kritische Schwachstelle betrifft Sie, und die Priorität hängt davon ab, wo die Komponente eingesetzt wird und ob sie exponiert ist.
- Ein Alert kommt mit Kontext. - Was in diesem Zeitfenster sonst geschah, welche Ereignisse zusammenhängen, ob das Muster schon einmal auftrat.
- Ein Vorfall hat seine Chronologie festgehalten. - Währenddessen, nicht danach - denn eine Woche später zu rekonstruieren ist immer schlechter und immer teurer.
Umfang
Was sich aus der IT-Sicherheit herausnehmen lässt
Neunzehn Aufgaben als Beispiel. Jede hat einen Punkt menschlicher Freigabe. Unten eine Auswahl; den Umfang passen wir an Ihre Angriffsfläche an.
Schwachstellen und ihre Priorität
- Bindung einer veröffentlichten Schwachstelle an die von Ihnen genutzten Komponenten
- Hinweis auf die Systeme, in denen die Komponente exponiert ist
- Eine vorgeschlagene Priorität nach Exposition und Kritikalität (Entscheidung: der Spezialist)
- Der Stand der Behebung nach System
- Ein Signal, wenn eine kritische Schwachstelle länger offen ist als vereinbart
Überwachung und Alerts
- Ein Alert mit dem Kontext der Ereignisse aus demselben Zeitfenster
- Gruppierung von Alerts mit gemeinsamer Ursache
- Hinweis auf die Regeln mit dem höchsten Anteil an Fehltreffern, ausgenommen Regeln hoher Schwere
- Ein Signal, wenn ein System nicht von der Überwachung abgedeckt ist
Vorfälle
- Zusammentragen der zur Beurteilung eines Ereignisses nötigen Daten
- Die Chronologie des Vorfalls, festgehalten, während er läuft
- Benachrichtigung der vereinbarten Personen nach Schweregrad (Entscheidung: der Spezialist)
- Ein Entwurf des Berichts nach dem Vorfall (Inhalt: der Spezialist)
Bewusstsein der Mitarbeitenden
- Ein Plan für Schulungen und Phishing-Simulationen
- Ergebnisse zusammengefasst nach Abteilung, ohne Nennung einzelner Personen
- Auffrischungsmaterial für die Bereiche mit den schwächsten Ergebnissen
Konformität und Audits
- Eine Übersicht der von der Norm geforderten Nachweise
- Der Stand der Korrekturmaßnahmen nach einem Audit
- Ein Register der Sicherheitsausnahmen mit Überprüfungstermin
Ein Arbeitstag
Heute
- Von Schwachstellen erfahren Sie aus Listen und Newslettern
- Zu klären, ob eine davon Sie betrifft, kostet Stunden je System
- Alerts kommen in Mengen, die niemand vollständig durchsieht
- Bei einem Vorfall beginnen Sie damit, Logs an mehreren Stellen zu sammeln
- Die Chronologie des Vorfalls rekonstruieren Sie im Nachhinein
- Nachweise für ein Audit sammeln Sie über zwei Wochen
Mit AI-Unterstützung
- Eine Schwachstelle wird an die Komponenten gebunden, die Sie tatsächlich haben
- Sie sehen, wo die Komponente exponiert ist, und die Priorität hat eine Grundlage
- Alerts sind gruppiert und die Regeln, die Rauschen erzeugen, sind aufgezeigt
- Ein Vorfall beginnt mit bereits gesammeltem Kontext
- Die Chronologie wird festgehalten, während das Ereignis läuft
- Nachweise für das Audit werden laufend gesammelt
- Zeit bis zur Behebung einer kritischen Schwachstelle
ein kürzeres Fenster zwischen Veröffentlichung und Patch
die Schwachstelle wird sofort an die Umgebung gebunden
- Rauschen in den Sicherheitsalerts
das Team liest die Alerts, weil es weniger sind
die Regeln, die Rauschen erzeugen, werden aufgezeigt
- Reaktionszeit auf einen Vorfall
weniger Zeit fürs Sammeln, mehr für Entscheidungen
der Kontext liegt bei der Meldung
- Widerstandsfähigkeit gegen Phishing
Sie sehen, welche Bereiche eine Auffrischung brauchen
Testergebnisse sind nach Abteilung zusammengefasst
Wir beginnen damit, Schwachstellen an Ihre Umgebung zu binden, weil das die Reaktionszeit am schnellsten verkürzt.
- Schritt 1
Schwachstellen gegen die genutzten Komponenten
Was Sie tatsächlich haben, wo es exponiert ist, welche Priorität es für Sie trägt.
- Schritt 2
Ordnung in den Alerts
Gruppierung, Kontext und der Hinweis auf die Regeln, die Rauschen erzeugen.
- Schritt 3
Vorfallbearbeitung
Kontext bei der Meldung und die Chronologie, festgehalten, während es läuft.
- Schritt 4
Konformität und Bewusstsein
Auditnachweise und Übersichten aus Phishing-Simulationen. Zuletzt, weil es geordnete Schwachstellen und Alerts voraussetzt.
Häufige Fragen
Fragen, die beim ersten Treffen aufkommen
Worin unterscheidet sich das von Systembetreuung und Zugriffsverwaltung?
Der Administrator hält die Systeme am Laufen, die Zugriffsverwaltung entscheidet, wer was sieht. Hier geht es um Schwachstellen, Bedrohungen und Vorfälle. Die Bereiche treffen sich bei Updates und bei zu weiten Rechten, aber die täglichen Fragen sind völlig andere.
Heißt das weniger Menschen in der Sicherheit?
Sicherheitsteams sind fast überall zu klein für die Zahl der Alerts, und deshalb hört man auf, Alerts zu lesen. Das Rauschen wegzunehmen verkleinert das Team nicht, es stellt seine Fähigkeit wieder her, das Ungewöhnliche zu bemerken. In einer übersättigten Warteschlange geht ein gezielter Angriff umso sicherer unter, und genau darum geht es in diesem Gespräch.
Fällt das unter die KI-Verordnung?
IT-Sicherheit ist keine Hochrisiko-Anwendung. Die Grenze verläuft bei Daten über das Verhalten von Mitarbeitenden: Die Ergebnisse von Phishing-Simulationen und die Analyse von Ereignissen können auf bestimmte Personen hinweisen, deshalb führen wir die Übersichten nach Abteilung und System und nicht nach Namen - sonst wäre es Mitarbeiterüberwachung.
Ihre Frage steht nicht dabei? Gespräch vereinbaren
Nächster Schritt
Wie viele Ihrer kritischen Schwachstellen sind seit über einem Monat offen?
Wir zeigen Ihnen, wie die Arbeit eines Sicherheitsteams aussieht, wenn eine Schwachstelle an die Umgebung gebunden ist und ein Vorfall mit Kontext beginnt.