Eine Strategie zur Cyberresilienz umfasst die Entscheidungen darüber, wie begrenzte finanzielle Mittel und Ressourcen eingesetzt werden: Was wird am stärksten verteidigt, für welche Szenarien wird geplant, wie viel Beeinträchtigung ist in Kauf zu nehmen und wie werden die Ressourcen zwischen der Abwehr von Angriffen und deren Bewältigung aufgeteilt? Ein Rahmenwerk definiert die einzelnen Komponenten. Eine Strategie legt fest, welche davon priorisiert werden und warum – in einer Sprache, die vom Vorstand genehmigt werden kann.
- Eine kurze Liste dessen, was wirklich nicht verloren gehen darf, anstatt zu behaupten, alles sei von entscheidender Bedeutung.
- Benannte Szenarien, gegen die Sie sich absichern – bewusst ausgewählt.
- Eine vereinbarte Toleranz gegenüber Störungen, unterzeichnet von denjenigen, die die Konsequenzen tragen.
- Eine explizite Trennung zwischen Prävention und Wiederherstellung, anstatt einer standardmäßigen Trennung.
- Eine Reihenfolge, denn nicht alles kann an erster Stelle stehen.
- Maßnahmen, die Fortschritte aufzeigen, ohne dass ein Zwischenfall erforderlich ist, um dies zu beweisen.
Was ist eine Strategie zur Cyberresilienz?
Eine Strategie ist eine Reihe von Entscheidungen unter bestimmten Bedingungen. Wären Budget und Ressourcen unbegrenzt, gäbe es keine Strategie, sondern nur eine Liste bewährter Vorgehensweisen. Der Grund für die Existenz einer Strategie liegt darin, dass man nicht alles gleichzeitig tun kann. Daher muss jemand entscheiden, was Priorität hat und was vorerst akzeptiert wird.
Genau das unterscheidet es vom Rahmenwerk. Das Rahmenwerk für Cyberresilienz legt die abzudeckenden Funktionen und die jeweils zu erbringenden Nachweise fest. Es ist strukturell und priorisiert nicht. Eine Strategie hingegen nutzt diese Struktur und beantwortet die komplexeren Fragen: Welche Lücken schließen wir angesichts unserer diesjährigen finanziellen Möglichkeiten, mit welchen leben wir noch, und was müsste sich ändern, damit sich diese Antwort ändert?
Strategien scheitern auf erkennbare Weise. Sie wiederholen bewährte Praktiken als ambitioniertes Ziel, verpflichten sich zur Verbesserung aller Bereiche und bieten keine Grundlage, um zu etwas Nein zu sagen. Ein Dokument, das auch auf dem Briefkopf einer anderen Organisation noch korrekt lesbar wäre, ist keine Strategie.
Diese Seite setzt das grundlegende Konzept voraus. Um zu verstehen, was Cyberresilienz ist, wie sie sich von Cybersicherheit unterscheidet und wo der EU-Cyberresilienz-Aktionsakt Anwendung findet, beginnen Sie dort.
Welche Entscheidungen trifft eine Strategie zur Cyberresilienz?
Sechs, und sie lassen sich in dieser Reihenfolge leichter herstellen, da jede die nächste einschränkt.
- DetailsWas würde der Organisation wirklich schaden, wenn es verloren ginge, offengelegt würde oder nicht verfügbar wäre? Falls die Liste nur wenige Punkte umfasst, hat die Priorisierung noch nicht stattgefunden.
- Threats : Gegen welche Szenarien planen Sie? Ransomware, Missbrauch durch Insider, Kompromittierung von Lieferanten und Diebstahl von Zugangsdaten verhalten sich unterschiedlich und verursachen nicht alle die gleichen Kosten.
- AppetitWie viel Störung ist akzeptabel, und wo verläuft die Grenze, ab der sie nicht mehr akzeptabel ist? Unklare Aussagen zum Thema Bedürfnisse sind die häufigste Schwachstelle.
- HautgleichgewichtWie sich die Anstrengungen auf die Prävention von Vorfällen und deren Bewältigung verteilen. Bleibt diese Entscheidung unentschieden, überwiegt in der Regel die Prävention, da Prävention leichter zu befürworten ist.
- ReihenfolgeDie Reihenfolge der Arbeiten richtet sich nach dem reduzierten Risiko pro Aufwandseinheit und nicht danach, welches Team am lautesten gefordert hat.
- MessenWas zeigt Ihnen, ob es funktioniert, bevor ein Vorfall eintritt? Abdeckung nach Funktion, Erkennungszeit, Wiederherstellungszeit, durchgeführte Übungen.
Die Entscheidung, die die meisten Auswirkungen auf die Ergebnisse hat, ist die vierte. Organisationen, die diese Entscheidung nie treffen, stellen bei ihrem ersten schwerwiegenden Vorfall fest, dass sie zwar Erkennungstools gekauft, aber nie eine Reaktion darauf geübt haben, oder dass Backups vorhanden waren, aber niemand eine Wiederherstellung geplant hatte.
Wie findet man das richtige Gleichgewicht zwischen Prävention und Genesung?
Nicht aus Prinzip, sondern indem man den Ist-Zustand betrachtet. Die meisten Organisationen nähern sich dieser Frage mit einer starken Präventionsorientierung, da Prävention als Produkt mit klar definierten Merkmalen vermarktet wird, während die Wiederherstellungsfähigkeit hauptsächlich aus Übung, Eigenverantwortung und Disziplin besteht, die niemand vermarktet.
| Frage | Wie eine schwache Antwort klingt | Wie es klingen sollte |
|---|---|---|
| Was verteidigen wir? | Alles ist geschäftskritisch. | Diese vier Dienste, in dieser Reihenfolge, aus folgenden Gründen. |
| Wie lange können wir ausfallen? | So wenig wie möglich. | Vier Stunden für die Zahlung, zwei Tage für die Berichterstattung. |
| Würden wir es bemerken? | Wir haben ein Überwachungssystem eingerichtet. | Die letzte Simulation wurde in 40 Minuten registriert. |
| Könnten wir uns erholen? | Wir haben Backups. | Wir haben dieses System im letzten Quartal testweise wiederhergestellt, und das hat neun Stunden gedauert. |
| Wer legt den Tag fest? | Das Einsatzteam würde zusammentreten. | Die benannte Person und ihr benannter Stellvertreter haben beide ihre Tätigkeit ausgeübt. |
Die Bearbeitung der rechten Spalte führt schneller zu einer tragfähigen Strategie als jedes Reifegradmodell . Jede einzelne Antwort ist entweder bereits zutreffend und dient dann als Beweis, oder noch nicht zutreffend und hat dann Priorität. Diese Unterscheidung ist die gesamte Strategie.
Dahinter steckt ein größeres Bild.
Diese Seite behandelt einen Aspekt der Unternehmensresilienz. Echte Resilienz – das Rahmenwerk von IO zur Verknüpfung von Sicherheit, Datenschutz und KI-Governance – liefert das Gesamtbild.
Wie argumentiert man für eine Investition?
Cyberresilienz konkurriert um finanzielle Mittel mit Dingen, die sichtbare Vorteile bieten, und verliert, wenn sie mit technischen Begriffen argumentiert wird. Was zählt, sind die Konsequenzen, ausgedrückt in der Sprache, die der Rest des Unternehmens verwendet.
- Stellen Sie den Service in den Vordergrund, nicht die Bedrohung.: Was Kunden nicht tun können und wie lange, anstatt den Namen der Angriffstechnik zu nennen.
- Quantifizieren Sie das Intervall, nicht das Ereignis.Die Kosten, die durch die Unfähigkeit zum Handel für einen Tag entstehen, sind insofern diskutabel, als Schätzungen der gesamten Kosten eines Verstoßes nicht diskutabel sind.
- Zeigen Sie die getestete Leistungsfähigkeit im Vergleich zur angenommenen LeistungsfähigkeitDie Kluft zwischen den beiden ist das deutlichste Argument, das es gibt, und bedarf keiner Prognose.
- Bringt den Kompromiss vor, nicht nur die Forderung.Was ein kleineres Budget im Hinblick auf das akzeptierte Risiko bedeuten würde, gibt dem Vorstand etwas, worüber er entscheiden muss, anstatt es einfach nur zu genehmigen.
- Nutzen Sie den Druck von Verträgen und Ausschreibungen.Wenn Kunden Zertifizierungen oder Nachweise verlangen, wird Resilienz zu einer Umsatzbedingung und nicht zu einem Kostenfaktor.
- Melden Sie jedes Mal dieselben Maßnahmen.Ein beständiger, kurzer Überblick ist besser als ein umfassendes Dashboard, das niemand zweimal liest.
Eine Zertifizierung ist hier besonders hilfreich, da sie eine interne Aussage in eine extern verifizierte umwandelt. Ein Gremium, das eine Selbsteinschätzung nicht berücksichtigt, akzeptiert in der Regel ein geprüftes Managementsystem, und die dafür erforderlichen Nachweise überschneiden sich weitgehend mit den Nachweisen, die eine Strategie ohnehin erbringen sollte.
Was sollte eine Strategie zur Cyberresilienz vermeiden?
Die Fehlermuster sind konsistent genug, um sie direkt zu überprüfen.
- Eine Werkzeugliste, die als Strategie getarnt istBeschaffungspläne beschreiben, was Sie kaufen werden, nicht, was Sie entschieden haben.
- Kein Appetit angegebenOhne eine klare Grenze ist jedes Risiko diskutabel und nichts kann wissentlich akzeptiert werden.
- Alles kritischeEine Liste kritischer Anlagen mit vierzig Artikeln bietet keine Grundlage für eine Reihenfolge.
- Nur Prävention: die implizite Annahme, dass die Wiederherstellung funktionieren wird, die so lange gilt, bis sie getestet wird.
- Bedrohungsgesteuert ohne SzenarienBedrohungsanalysen, die beschreiben, was Angreifer tun, ohne dass man entscheiden muss, auf welche dieser Aktionen man sich vorbereiten soll.
- Maßnahmen, die niemand durchführen kann: Kennzahlen, die eher aufgrund ihres strengen Klangs als aufgrund der vorhandenen Daten ausgewählt wurden.
- Einmal geschriebenEine Dreijahresstrategie, die nie wieder aufgegriffen wurde, in einem Bereich, in dem sich sowohl das Marktgeschehen als auch die Bedrohungen vierteljährlich verändern.
Einfacher Einstieg mit einer persönlichen Produktdemo
Einer unserer Onboarding-Spezialisten führt Sie durch unsere Plattform, damit Sie selbstbewusst loslegen können.
Wie hängt die Strategie mit dem Resilienzkreislauf zusammen?
Eine Cyberresilienzstrategie, die sich ausschließlich auf Cybersicherheit konzentriert, wird innerhalb eines Jahres überholt sein, da die geschützten Assets auch Datenschutzbestimmungen und zunehmend auch Anforderungen der KI-Governance unterliegen. Werden Sicherheitsprioritäten isoliert davon festgelegt, entstehen in der Regel drei konkurrierende Strategien, die um dieselben Personen werben.
Der Resilienz-Kreislauf integriert Informationssicherheit gemäß ISO 27001 , Datenschutz gemäß ISO 27701 und KI-Governance gemäß ISO 42001 in ein zusammenhängendes System. Die gleichzeitige Anwendung aller drei Aspekte wandelt eine Cybersicherheitsstrategie in eine Resilienzstrategie um und verändert die Prioritäten: Eine einmal implementierte Kontrollmaßnahme wirkt sich dreifach aus, sodass der kostengünstigste nächste Schritt oft derjenige ist, der mehrere Verpflichtungen erfüllt. Die übergeordnete Struktur ist im Rahmenwerk für Unternehmensresilienz dargelegt.
Woran erkennt man, dass die Strategie funktioniert?
Vor einem Vorfall geben Ihnen nur zwei Dinge Aufschluss: Abdeckung und getestete Funktionsfähigkeit. Abdeckung bedeutet, dass jede Funktion einen Verantwortlichen hat und ein aktuelles Bild vorliegt. Getestete Funktionsfähigkeit ist die Differenz zwischen dem, was Sie annehmen, und dem, was Sie tatsächlich nachgewiesen haben. Sie ist das einzige Kriterium, das nicht manipuliert werden kann.
Eine kurze, wiederholte Maßnahmenreihe ist effektiver als eine umfassende. Die Zeit bis zur Erkennung im letzten Übungsdurchgang. Die Zeit zur Wiederherstellung des wichtigsten Dienstes, gemessen statt gezielt. Anteil der kritischen Dienste mit einer einstudierten Reaktion. Abgeschlossene Übungen im Vergleich zu geplanten Übungen. Jede dieser Maßnahmen lässt sich aus ohnehin anfallenden Arbeiten umsetzen – ein Indikator für ihre Sinnhaftigkeit. Der Ansatz ist in der Anleitung zum Nachweis von Resilienz beschrieben , und der Resilienz-Score dient als Ausgangspunkt für weitere Maßnahmen.
Warum sollten Sie ISMS.online für Ihre Cyberresilienzstrategie wählen?
Eine Strategie ist nur so gut wie der Nachweis ihrer Umsetzung. ISMS.online verbindet Entscheidungen mit der Arbeit.
- Prioritäten im Zusammenhang mit Kontrollen und Risiken: Was Sie zu verteidigen beschlossen haben, hängt mit den Kontrollmechanismen zusammen, die es schützen, und den Risiken, die davon ausgehen.
- Ein Steuerungssatz, jedes Framework: Reihenfolge der Arbeit, indem angegeben wird, wie viele Verpflichtungen jede Kontrollmaßnahme gemäß ISO 27001, ISO 27701, ISO 42001 und ISO 22301 erfüllt.
- Getestet anhand angenommener, sichtbarer: Die Trainingsaufzeichnungen und -ergebnisse werden zusammen mit den Kontrolldaten erhoben, sodass die Diskrepanz eher eine Zahl als ein Gefühl ist.
- Berichterstattung an den Vorstand anhand von Live-Daten: die gleichen Maßnahmen in jedem Zyklus melden, ohne sie von Hand zusammenzustellen.
- Risikobereitschaft erfasst und angewendetDie von Ihnen vereinbarte Vereinbarung wird gegen die von Ihnen akzeptierten Risiken geprüft und nicht abgelegt und vergessen.
- Hilft Ihnen beim Erreichen der Zertifizierung: wandelt interne Aussagen in eine unabhängig geprüfte Stellungnahme um, die von Vorstand und Kunden akzeptiert wird.
- Entwickelt für den britischen Markt und regulierte Märkte: Konzipiert für Organisationen, die ihre Widerstandsfähigkeit unter Beweis stellen müssen, um Aufträge zu gewinnen und zu behalten.
Sehen Sie, wie es auf der Business-Resilienz-Plattform zusammenpasst , oder buchen Sie eine Demo.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen einer Cyberresilienzstrategie und einem Rahmenwerk?
Ein Rahmenwerk ist strukturell. Es legt die abzudeckenden Funktionen und die jeweils zu erbringenden Nachweise fest und ist auf jede Organisation anwendbar. Eine Strategie hingegen ist eine Reihe von spezifischen Entscheidungen für Ihre Organisation: Welche Lücken schließen Sie in diesem Jahr mit einem begrenzten Budget, welche akzeptieren Sie bewusst und welche verteidigen Sie am stärksten? Das Rahmenwerk definiert, wie ein gutes Ergebnis aussieht. Die Strategie legt fest, was Sie dagegen unternehmen und in welcher Reihenfolge.
Wie lang sollte eine Strategie zur Cyberresilienz sein?
Kurz genug, dass es vom Führungsteam gelesen wurde. Die relevanten Entscheidungen – welche Ressourcen, welche Szenarien, welche Risikobereitschaft, welches Gleichgewicht, welche Reihenfolge und welche Maßnahmen – lassen sich bequem auf wenigen Seiten zusammenfassen. Zu lang deutet meist darauf hin, dass bewährte Vorgehensweisen lediglich wiederholt wurden, anstatt konkrete Entscheidungen zu treffen, und eine Strategie, deren Prioritäten niemand mehr nachvollziehen kann, funktioniert nicht.
Wie viel des Budgets sollte für die Wiederaufbaumaßnahmen und nicht für die Prävention verwendet werden?
Es gibt kein allgemeingültiges Verhältnis, und jede als allgemeingültig angegebene Zahl sollte mit Vorsicht betrachtet werden. Sinnvoller ist es, die eigene Situation zu analysieren: Können Sie Ihre präventiven Maßnahmen detailliert beschreiben, aber nicht angeben, wie lange die Wiederherstellung Ihres kritischsten Systems dauert, liegt ein Ungleichgewicht vor, und der nächste Zeitabschnitt gehört zur Wiederherstellung. Treffen Sie eine klare Aufteilung, denn andernfalls tendiert man standardmäßig zur Prävention.
Wem obliegt die Strategie zur Cyberresilienz?
Es wird von der Person verfasst, die für die IT-Sicherheit verantwortlich ist, und steht unter der Verantwortung des Vorstands, da die darin enthaltenen Entscheidungen akzeptierte Risiken betreffen, die nicht an eine technische Abteilung delegiert werden können. Diese Unterscheidung ist in der Praxis relevant: Eine Strategie, die ausschließlich vom Sicherheitsteam verantwortet wird, kann in jeder Budgetrunde außer Kraft gesetzt werden, wohingegen eine Strategie, deren Risikoabwägungen der Vorstand akzeptiert hat, in der Regel Bestand hat.
Wie oft sollte die Strategie überprüft werden?
Jährlich erfolgt eine vollständige Überprüfung, wobei die Abfolge bei wesentlichen Änderungen angepasst wird: beispielsweise bei einem bedeutenden Vorfall in Ihrer Branche, einer grundlegenden System- oder Lieferantenänderung, einer neuen Verpflichtung oder einer Maßnahme, die eine Annahme widerlegt. Die Entscheidungen selbst sind weitgehend stabil. Was sich ändert, ist die Abfolge, da sich das durch jeden verbleibenden Arbeitsschritt reduzierte Risiko mit den Veränderungen des Portfolios ändert.
