Was jeder IT-Security Chef wissen sollte: Die ersten 90 Tage

Sicherheit in einem wachstumsstarken Unternehmen auf- und ausbauen ist die zentrale Aufgabe eines designierten IT-Sicherheitschefs. Mit großer Wahrscheinlichkeit hat das Unternehmen bereits eine Reihe grundlegender Sicherheitsverfahren und Technologien implementiert, wie etwa Scan-Tools oder einen jährlichen Penetrationstest.

Worin aber besteht das beste Fundament für maßgeschneiderte Sicherheitskonzepte? Welche Schritte sind geeignet Sicherheitsmaßnahmen einzuziehen, die mit dem Unternehmen wachsen? Neue und laufende Projekte, konkurrierende Prioritäten, Upgrades, potenzielle Sicherheitsschwachstellen und die 5-Jahresplanung. Mangelnde Betätigung und zu wenig Herausforderungen sind vermutlich das letzte über das sich ein Sicherheitsexperte beklagen muss.

Angesichts der Fülle an Aufgaben mag es paradox anmuten: Trotzdem sollte man die Anfangsphase nutzen um sich zunächst gründlich zu orientieren. Nehmen Sie sich die Zeit, den aktuellen Status des Unternehmens gut zu verstehen. Dieses Verständnis trägt entscheidend dazu bei, präzise zu definieren wie der Status in Zukunft sein soll.

In dieser Phase ist es hilfreich sich die Gründe anzuschauen, warum die Position gerade jetzt besetzt wurde. Egal ob Startup oder Konzern, es sind drei Hauptgründe, die immer wiederkehren:

• Das Unternehmen wächst. Und damit auch die Sicherheitsanforderungen. Gerade Startups konzentrieren sich zunächst darauf, Produkte oder Dienstleistungen möglichst schnell auf den Markt zu bringen. Mit zunehmender User-Zahl steigt der Sicherheitsbedarf, und der durch eine Sicherheitslücke potenziell entstehende Schaden ist weitreichender. Man braucht Praktiken und Verfahren für die Applikationssicherheit und Richtlinien für Infrastruktur-, Netzwerk- und Cloud-Sicherheit. Letztere verbinden die IT-Sicherheitsabteilung mit anderen wichtigen Abteilungen im Unternehmen. Dadurch sieht sich die Abteilung wahlweise in der Rolle des Kapitäns oder des Botschafters zwischen Abteilungen und Hierarchieebenen. Ein grundlegend anderes Anforderungsprofil als zu Anfang.

• Übernahme eines Unternehmens. Wird ein Unternehmen übernommen, ist eine der wichtigsten Aufgaben, die betreffenden Systeme sicher in eigene Umgebung zu integrieren. Anwendungen weisen potenziell Schwachstellen auf oder durch die Übernahme entsteht ein neues Risikoprofil. Die sichere Integration liegt in der Verantwortung des Leiters der IT-Sicherheit.

• Expansion in eine neue Region. Wer in neuen Regionen unternehmerisch tätig wird, sieht sich mit neuen Regularien, Gesetzen und Vorschriften konfrontiert, die es zu verstehen und anzuwenden gilt. Die EU-Datenschutzgrundverordnung (DSGVO/GDPR) ist dabei nur eines von vielen Beispielen.

Wer einen angemessenen Sicherheitsplan erstellen und mittel- bis langfristig umsetzen will, kann das in der Regel besser, wenn er die Gründe versteht, warum die Position gerade jetzt besetzt worden ist.

Der Status Quo

Im zweiten Schritt gilt es sich ein Bild von der derzeitigen Sicherheitslage zu machen und dabei die unterschiedlichen Blickwinkel in einem Unternehmen zu berücksichtigen.

Sprechen Sie mit Führungskräften und Managern aus verschiedenen Abteilungen, wie Personal, Recht, Finanzen, IT und Sicherheit. Von ihnen erfahren Sie, welche Risiken und Bedrohungen für das Unternehmen als Ganzes bestehen. Fragen Sie nach dem aktuellen Stand des Risikomanagements und wie die ermittelten Risiken konkret gehandhabt werden. In welchem Zeitfenster werden Bedrohungen erkannt und wie lange dauert es bis die Schadensbegrenzung greift? Es ist leichter, Risiken einzuschätzen und zu priorisieren, wenn man das Gesamtbild vor sich hat, also etwa geschäftliche und technologische Risiken im Allgemeinen.

Machen Sie sich ein Bild von den jüngsten Vorfällen ebenso wie von wichtigen Problemen im Unternehmen. Die weisen nicht selten auf systembedingte Mängel hin, die man sofort beheben muss. Oder sie geben Anlass für Verfahrensverbesserungen, die das Risikomanagement als Ganzes effizienter machen.

Die Zusammenarbeit mit anderen Abteilungen hat zwei Vorteile. Zunächst werden Sie besser verstehen wie das Unternehmen derzeit mit Risiken umgeht. Zweitens haben Sie dadurch die Gelegenheit sich als Partner zu positionieren und nicht als Gegner. Sie sind nicht jemand, der nur Probleme auf den Tisch bringt oder gar Schuldzuweisungen trifft. Das übergreifende Ziel ist es Risiken zu senken und die Sicherheit für Mitarbeiter und Kunden zu verbessern. Das gelingt am besten wenn man zunächst eine vergleichsweise altmodisch anmutende Tugend beherzigt. Zuhören.

Entwickler ins Boot holen

IT-Sicherheit und Entwicklung gehören zusammen. Das Verhältnis zwischen Sicherheits- und Entwicklungsteams bildet das Fundament für die IT-Sicherheit. Allerdings bedarf es vorab meistens einiger vertrauensbildender Maßnahmen. Für Entwicklungsteams ist es wichtig zu verstehen, dass Sie da sind, um Lösungen zu finden. Sie sind nicht die „Code-Polizei“, die mit der Tür ins Haus fällt. Ihre Rolle ist es, Entwicklerteams zu unterstützen, Lösungen für fundamentale Sicherheitsprobleme zu finden und dabei Funktionalitäten nicht aus den Augen zu verlieren. Auf der Suche nach praktikablen Lösungen, haben beide Bereiche ein gleichberechtigtes Mitspracherecht. Schon weil jedes Unternehmen Lösungen brauchen, mit denen beide Abteilungen gut leben können.

Sicherheit aus Sicht des Benutzers

Ein wichtiges Element für den Aufbau einer tragfähigen Sicherheitsstrategie ist, wie diese aus Sicht der Mitarbeiter und Kunden wahrgenommen wird. Beide Sichtweisen sind der Schlüssel zu einer erfolgreich umgesetzten Sicherheitsstrategie. Ethical Hacker machen sich mit der oder den Sicherheitslösungen vertraut und versuchen, sich in die Rolle eines Benutzers zu versetzen. Sie versuchen das System zu knacken indem sie unerwartete Dinge tun. Die Frage ist dabei: „Was kann ein Benutzer tun, um das System dazu zu bringen, etwas zu tun, das es nicht tun sollte?“ Der Sicherheitsverantwortliche eines Unternehmens sollte mit einem ganz ähnlichen Ansatz an seine Aufgabe herangehen. Beginnen Sie damit, den Onboarding-Prozess der Mitarbeiter von Anfang bis Ende durchzugehen. Achten Sie besonders auf Prozesse, die das Erstellen von Konten oder Passwörtern betreffen oder das Bereitstellen von Hardware. Suchen Sie nicht nach Schwachstellen, sondern achten Sie auf Anzeichen von Ineffizienz und für offensichtliche Problembereiche.

Wechseln Sie anschließend die Perspektive und tauschen Sie die interne Sichtweise gegen die eines Kunden. Fangen Sie beim Marketing an, gehen Sie weiter zu den Kundenkonten und den damit verbundenen Zugriffsberechtigungen, der Eingabe von Kreditkarten-informationen oder wie auch immer der individuelle Ablauf aussieht. Wichtig ist es, sich die Wahrnehmung aus Sicht eines zahlenden Kunden zu Eigen zu machen. Wenn man die internen und externen Abläufe aus Sicht der jeweiligen Benutzer versteht, ist es leichter die zukünftige Strategie zu steuern.

Potenzielle Bedrohungen für Netzwerksysteme

Beim Threat Modeling überprüft man proaktiv wie ein System aufgebaut ist um potenzielle Bedrohungen zu erfassen. Threat Modeling hat den Vorteil, Probleme vorausschauend zu Identifizieren und Systembedrohungen in Form von möglichen Schwachstellen zu erkennen. Und zwar bevor ein Angreifer sie ausnutzt. Voraussetzung ist allerdings, dass dies früh genug im Entwicklungszyklus passiert. Die Ergebnisse des Threat Modeling haben durchaus das Potenzial Ihre bisherigen Pläne über den Haufen zu werfen. Es hat aber auch einen unschätzbaren Vorteil: Threat Modeling erlaubt es, Sicherheitsbudgets und Aktivitäten wie Penetrationstests zu fokussieren.

Priorisieren und umsetzen

Bis zu diesem Punkt haben Sie hoffentlich Antworten auf die folgenden Fragen gefunden und die entsprechenden Informationen einholen können:

• Welche Projekte laufen aktuell?
• Welche Projekte sind nötig um den Sicherheitsstatus zu verbessern?
• Verbesserungen, die auf den Ergebnissen des Threat Modeling basieren
• Sie haben sich einen Überblick über Risiken und Bedrohungen verschafft
• Sie kennen die Systeme sowohl aus technischer als auch aus benutzerorientierter Sicht in- und auswendig
• Sie haben entschieden, welche Projekte zunächst durchgeführt und abgeschlossen werden müssen

Soweit die Bestandsaufnahme aus verschiedenen Perspektiven. Jetzt muss man nur noch wissen, was man zuerst tun sollte. Ein Allheilmittel für eine effektive Planung gibt es nicht. Aber es gibt Möglichkeiten, die erforderlichen Bestandteile des Plans aufzuschlüsseln und in sinnvoll anzuordnen.

Eine Checkliste hilft dabei:

• Verstehen Sie zunächst die Gründe, die für die bereits laufenden Projekte entscheidende Auslöser waren. Basieren sie auf einem echten Bedarf? Basiert dieser Bedarf auf erhobenen Daten? Möglicherweise ist es notwendig Projekte zu beenden, die entweder nicht mehr wichtig oder nicht erfolgreich verlaufen sind.

• Finden Sie heraus, welche Initiativen als nächste auf dem Plan stehen sollten, indem Sie versuchen zukünftige Bedarfe zu antizipieren. Das können gesetzliche Änderungen sein, neue Marketing- oder Technologieinitiativen. Setzen Sie die Prioritäten für das kommende Jahr.

• Nach der Projektliste kommt der schwierige Teil. Sie haben nur begrenzte Ressourcen und müssen die Projekte auswählen, die im Moment absolut notwendig sind. Gehen Sie das kommende Jahr quartalsweise durch. Wählen Sie für das erste Quartal ein oder zwei Projekte aus, die erledigt werden müssen und bei denen Sie keinerlei Spielraum haben.

• Bei jedem folgenden Quartal stellen Sie sich vor, dass Sie wieder am Anfang des ersten Quartals stehen. Die beiden ersten Projekte sind erfolgreich erledigt. Welches Projekt muss genau jetzt folgen? Dieses Projekt ist das nächste Projekt auf Ihrer Prioritätenliste. Gehen Sie das gesamte Jahr so durch und platzieren Sie jedes Projekt dort, wo es hingehört. Alle Projekte werden in diesem Jahr abgeschlossen, aber nicht alle sollten gleichzeitig in Arbeit sein. Diese Art der Planung stellt sicher, dass sich das IT-Sicherheitsteam auf den Abschluss des jeweils wichtigsten Projekts konzentrieren kann. Wenn man seine Mitarbeiter auf zu viele Projekte gleichzeitig verteilt, führt das oft dazu, dass man nur minimale Fortschritte erzielt und dabei riskiert, dass schlussendlich keines der Projekte abgeschlossen wird. Wenn man es schafft sich mit sämtlichen Ressourcen auf zwei, vielleicht drei Projekte zu konzentrieren, stellt man soweit als möglich sicher, diese abzuschließen bevor man mit dem nächsten startet.

www.hackerone.com

Lesen Sie auch die anderen Beiträge des dreiteiligen Leitfadens:

Teil 1: Was jeder IT-Security Chef wissen sollte: die ersten 90 Tage 
Im ersten Teil des Leitfadens haben sich die Autoren damit beschäftigt wie ein Sicherheitschef am besten seine Rolle findet und welche Schritte er unternehmen sollte, um seine Strategie umzusetzen.

Teil 2: Was jeder IT-Security Chef wissen sollte: Risikomanagement ist nicht gleich Projektmanagement
Ein Projekt hat üblicherweise Anfang und Ende. Dazwischen liegen bestimmte, nach den Kriterien des Projektmanagements definierte Schritte bis zum Projektabschluss. Risikomanagement funktioniert an dieser Stelle grundlegend anders. Risiken gänzlich zu beseitigen ist unmöglich. 

Teil 3: Was jeder IT-Security Chef wissen sollte: Keep up to date
Im dritten und letzten Teil des Leitfadens beschäftigen sich die Autoren damit wie man ein Sicherheitsprogramm am besten auf dem aktuellen Stand hält und „pflegt“.