Wie risikobasierte Tests die Sicherheit in regulierten Organisationen transformieren
Für viele Organisationen folgt der Penetrationstests für Cybersicherheit immer noch einem bekannten Muster. Ein System muss jährlich getestet werden, daher stellt jemand eine Anfrage. Der Umfang wird festgelegt, geprüft und genehmigt, eine Bestellung wird aufgegeben und der Test ist geplant, durchgeführt und berichtet. Anschließend werden alle Ergebnisse erneut getestet. Ein Jahr später beginnt der Zyklus für die meisten Systeme erneut.
Jeder Schritt ist für sich selbst sinnvoll. Zusammen bilden sie einen Prozess, der langsam, ressourcenintensiv und am wichtigsten – unzulänglich in Bezug auf das Risiko. Tests werden durchgeführt, wenn die Beschaffung es zulässt, nicht wenn eine zusätzliche Sicherung den größten Mehrwert bringen würde. Die Tiefe der Tests, die einem System zugewiesen wird, hängt oft wenig mit der Bedeutung dieses Systems für die Organisation zusammen.
Bei Resillion arbeiten wir mit einer Organisation aus dem öffentlichen Sektor zusammen, um dies zu ändern. Wir verfügen über eine bewährte Erfolgsbilanz bei der Kombination von Fachkenntnissen aus allen Bereichen unseres Geschäfts sowie eine lange Tradition von Innovation und kontinuierlicher Verbesserung. Diese Arbeit berief sich sowohl auf diese als auch auf andere Faktoren. Die Ergebnisse zeigen, was möglich ist, wenn die Sicherung der Qualität anstatt am Vergabeplan ausgerichtet ist.
Sicherheit, die schwer zu verteidigen ist
Ein unserer Kunden betreibt seine Geschäftstätigkeit in einem der engsten regulierten Branchen in Großbritannien. Die Sicherheitsmaßnahmen des Unternehmens werden von der Branchenaufsichtsbehörde gemäß den Sicherheitsbewertungsgrundsätzen bewertet, die von den Unternehmen verlangt werden, dass ihre Sicherheitsmaßnahmen wirksam und im Verhältnis zum Risiko sind.
Das bestehende Testmodell machte dies schwieriger, als es eigentlich sein sollte. Die meisten Systeme mussten jährlich getestet werden, und jeder Test umfasste acht separate Schritte der Überprüfung und Genehmigung. Die Mitarbeiter des Kunden verbrachten erhebliche Zeit mit der Verwaltung von Aufträgen anstatt mit der Risikomanagement. Außerdem gab es keine dokumentierten Zusammenhänge zwischen der Kritikalität eines Systems und der Anzahl der Tests, sodass die Verhältnismäßigkeit auf Erklärungen und nicht auf Beweise beruhte.
Dies ist kein organisationsspezifisches Problem. Die zentralen Regierungsbehörden, die im Rahmen von GovAssure tätig sind, die kritischen Betreiber der nationalen Infrastruktur gemäß den NIS-Verordnungen sowie die Organisationen, die sich auf den britischen Cyber-Security- und Resilienz-Gesetzentwurf vorbereiten, stehen vor derselben Frage: Können Sie nachweisen, dass Ihre Sicherungstätigkeiten Ihren Risiken entsprechen?
Lassen Sie das Risiko die Ausdehnung bestimmen
Gemeinsam mit unserem Kunden entwickelten wir ein risikobasierter, kontinuierlicher Sicherheitsmodell. Im Mittelpunkt steht ein Scoping-Tool, das die Kritikalität und das Risiko jedes Systems bewertet und diese Bewertung nutzt, um den Umfang, die Tiefe und die Häufigkeit der Tests zu bestimmen.
Das ermöglichte es, indem drei Kompetenzbereiche von Resillion kombiniert wurden, die selten zusammengeführt werden. Unsere Team für Cyber-Sicherheitstests brachte tiefgreifende Erkenntnisse darüber, wie Angreifer kritische Systeme angreifen und wie Tests so konfiguriert und durchgeführt werden sollten. Unser Qualitätsingenieurwesen Das Team brachte seine Erfahrung aus kontinuierlichen Tests bei der Softwarebereitstellung ein, bei der der Testbau in alle Änderungen integriert wird und nicht am Ende geplant wird. Und unser Governance, Risiko und Compliance (GRC) Die Spezialisten brachten die Risikobewertung und das regulatorische Know-how mit, das erforderlich ist, um jede Entscheidung nachvollziehbar zu machen, und stellten sie den Auditoren und Regulatoren zur Verfügung.
Die Bewertungskriterien wurden in gemeinsamen Workshops erarbeitet, bei denen die Stakeholder des Kunden mit allen drei Teams zusammengekommen sind. Die Kriterien wurden an die regulatorischen Grundsätze und das eigene Risikobewusstsein des Kunden ausgerichtet, sodass jede Auswahlentscheidung auf einer vereinbarten, transparenten Grundlage erfolgt. Vor der Verwendung des Tools führten wir Tests an einer Reihe zuvor getesteter Systeme durch, um zu bestätigen, dass die Ergebnisse des Tools genau waren und vom Kunden akzeptiert wurden.
Anschließend lieferten wir die Änderung als strukturierter Programmplan mit neun Arbeitsschwerpunkten in vier Phasen. Wir begannen damit, den aktuellen Stand zu verstehen: Wir rationalisierten das Anlagebestand und analysierten jahrelange historische Erkenntnisse zur Bestimmung der kritischen Punkte, um festzustellen, wo die Risiken tatsächlich konzentriert waren. Anschließend entwarfen wir eine Bibliothek von voreingestellten Anwendungsbereichen, sodass Tests schnell mobilisiert werden konnten, ohne dass jedes Mal dieselben Genehmigungen erteilt werden mussten. Anschließend integrierten wir das Modell in den täglichen Betrieb und integrierten Tests mit den DevSecOps-Lebenszyklus Damit eine signifikante Veränderung automatisch eine Sicherung auslöst und die unterstützende Nachbearbeitung bis zur endgültigen Abwicklung sichergestellt wird. Schließlich setzen wir Metriken und Governance ein, um die Veränderung aufrechtzuerhalten; die Change-Management-Aktivitäten sind über die gesamte Lebensdauer des Projekts hinweg angelegt, damit das neue Modell die Art und Weise darstellt, wie die Organisation arbeitet.
Effizienz ohne Kompromisse bei der Unabhängigkeit
Eine häufige Sorge bei der Rationalisierung der Assurance-Prozesse ist, dass Effizienz auf Kosten der Objektivität erfolgen könnte. Wir haben das Modell so gestaltet, dass es die Unabhängigkeit stärkt, nicht schwächt. Die Reichweite wird durch die vereinbarten Risiko-Kriterien festgelegt, nicht durch die Tester, sodass niemand ein Interesse an dem Ergebnis hat. Ergebnisse werden ungefiltert nach einer standardisierten Schweregradmethode gemeldet. Wenn wir eine Sanierung unterstützen, werden die Nachprüfungen durch einen anderen Berater durchgeführt, sodass wir unsere eigenen Empfehlungen niemals genehmigen.
Die Ergebnisse
Die Ergebnisse waren bemerkenswert. Unser Kunde verbringt nun mehr Zeit mit 60% weniger Personalstunden bei Testaufträgen. Die Schritte der Überprüfung und Genehmigung wurden ab acht auf zwei reduziert pro Engagement, bei vollständiger Aufrechterhaltung der Governance und durchschnittlicher Zeitspanne zwischen Anfrage und Beginn eines Tests Die Frist wurde von sechs Wochen auf zwei Wochen verkürzt.
Noch wichtiger ist, dass die Tests nun nach ihrer kritischen Bedeutung priorisiert werden und zeitlich so geplant werden, dass sie den größten Mehrwert bieten – auch nach signifikanten Änderungen anstatt nur im jährlichen Zyklus. Außerdem gibt es eine nachvollziehbare Kette von der Risikobewertung über den Umfang der Arbeiten, die Ergebnisse und die verifizierte Sanierung, wodurch der Kunde eindeutige Beweise für effektive Sicherungsprozesse für die Aufsichtsbehörde erhält.
Reduzierung der Testzeit
Die Anzahl der Genehmigungsschritte wurde von 8 auf 2 pro Auftrag reduziert.
Die Zeit zwischen Anfrage und Beginn eines Tests wurde auf 2 Wochen verkürzt.
Warum das für den öffentlichen Sektor wichtig ist
Für den öffentlichen Sektor und regulierte Organisationen gehen die Vorteile über die Effizienz hinaus.
Das erste ist, dass die Nachweise für Audit und Assurance deutlich einfacher werden. Wenn jeder Test auf eine dokumentierte Risikobewertung zurückgeführt werden kann, wird die Demonstration der Verhältnismäßigkeit gegenüber Auditoren und Regulatoren eine Frage der Dokumentation und nicht der Rekonstruktion der Argumentation.
Das zweite Problem ist, dass kritische Systeme die Aufmerksamkeit erhalten, die sie verdienen. Das risikobasierte Scoping richtet die Testarbeit auf die Systeme aus, die am wichtigsten sind, anstatt sie gleichmäßig auf die gesamte Infrastruktur zu verteilen.
Das dritte Problem ist, dass knappe interne Ressourcen freigesetzt werden. Die Sicherheits- und Beschaffungsteams im öffentlichen Sektor sind oft überlastet, und die Reduzierung des Beteiligungsverlaufes von acht Genehmigungsschritten auf zwei spart Zeit für diejenigen, die sie am dringendsten benötigen, ohne die wichtigen Kontrollen zu beeinträchtigen.
Schließlich hält sich die Assurance Schritt mit der Entwicklung. Die Verknüpfung von Tests mit dem Entwicklungskalender bedeutet, dass neue Risiken bereits bei ihrer Einführung bewertet werden, nicht Monate später bei dem nächsten geplanten Test.
Starten Sie
Organisationen, die eine ähnliche Reise planen, können beginnen, sich selbst einige einfache Fragen zu stellen. Haben sie eine vereinbarte, dokumentierte Methode zur Bewertung der Kritikalität jedes Systems, und können sie den Umfang jeder Prüfung auf diese Bewertung zurückverfolgen? Wie viele Genehmigungsschritte durchläuft eine Routineprüfung, und welche dieser Schritte bewältigen tatsächlich das Risiko? Und wenn es zu einer signifikanten Veränderung kommt, löst sie eine Sicherung aus oder wartet sie auf den nächsten jährlichen Zyklus? Wenn die Antworten unsicher sind, besteht ein Wert und eine Zeit, die wiederhergestellt werden können.
Seitdem haben wir diesen Ansatz bei anderen Resillion-Kunden angewendet und erzielten ähnliche Effizienzsteigerungen. Effektive Sicherheit hängt genauso stark von vereinbarten Kriterien, Governance und Nachweisdokumenten ab wie von technischer Prüfung. Wenn diese vorhanden sind, können Organisationen intelligenter testen, weniger Zeit für die Verwaltung von Projekten aufwenden und ihren Aufsichtsräten und Regulierungsbehörden das nötige Vertrauen verschaffen.
Um herauszufinden, wie ein risikobasiertes, kontinuierliches Sicherungssystem für Ihre Organisation funktionieren könnte, kontaktieren Sie uns bitte unter Resillion Cyber Assurance Team.
