- 75 Prozent der Unternehmen sind erhöhten IT-Risiken ausgesetzt.
- Studie belegt: Sicherheitsstrategien der meisten Organisationen sind weiterhin lückenhaft.
- 45 Prozent sind nicht oder nur fallbezogen in der Lage, IT-Risiken zu bewerten, zu katalogisieren oder zu reduzieren.
- Öffentliche Einrichtungen und Betreiber kritischer Infrastrukturen oft besonders schlecht geschützt.
Rund drei Viertel der IT-Sicherheitsprogramme in Unternehmen und Behörden weisen nach wie vor kritische Lücken auf. Das geht aus dem jüngsten »Cybersecurity Poverty Index Report« hervor, den RSA diese Woche veröffentlicht hat. Dem Bericht der EMC-Tochter zufolge fehlt es vor allem an der Fähigkeit, schnell auf Sicherheitsvorfälle zu reagieren: Rund die Hälfte der untersuchten Organisationen beschrieben die eigene »Incident-Response« als »ad-hoc« oder sogar »nicht existent« – darunter auch viele Betreiber kritischer Infrastrukturen.
Weitere Schlüsselresultate des Reports: IT-Organisationen, die gezielt in Technologien zur Erkennung und Begrenzung von Angriffen investieren, erreichen damit oft mehr Schutzwirkung als andere, die ihr Geld überwiegend für Präventions-Technologien ausgeben (also etwa für Firewalls). Und: Viele Unternehmen investieren erst dann vermehrt in IT-Sicherheit, nachdem sie Opfer eines geschäftsschädigenden Angriffs geworden sind. Allerdings scheitern viele schon deshalb beim Verbessern der eigenen Schutzprogramme, weil sie nicht genau verstehen, wie IT-Risiken auf ihr Geschäft wirken.
75 Prozent der Unternehmen sind erhöhten IT-Risiken ausgesetzt
Der Bericht zeigt einen klaren Zusammenhang zwischen der Fähigkeit zum Bemerken von Angriffen und dem IT-Sicherheitsreifegrad: Firmen, die häufig Unregelmäßigkeiten in oder Angriffe auf ihre IT-Umgebung verzeichnen, verfügen mit 65-prozentiger Wahrscheinlichkeit über fortschrittliche oder sogar sehr fortschrittliche IT-Sicherheitsstrategien und -Technologien.
Doch wie der Report ebenfalls zeigt, ist die Zahl dieser Unternehmen weiterhin niedrig, wenn sie auch zu wachsen scheint: Der Anteil der sehr gut geschützten IT-Umgebungen an der Gesamtstichprobe betrug 7,4 Prozent (in der Vorjahres-Ausgabe des Berichts waren es noch 4,9 Prozent gewesen). Die Zahl der Befragten, die den eigenen Betrieb als von IT-Risiken betroffen betrachtet, bleibt dagegen weiterhin hoch: rund 75 Prozent der Umfrageteilnehmer gaben eine entsprechende Einschätzung ab.
Oft fehlt die Fähigkeit zum Priorisieren
Das könnte mit dem Umstand zusammenhängen, dass vielen Unternehmen das Einleiten vorausschauender Sicherheitsmaßnahmen schwerfällt: 45 Prozent der Befragten gaben an, ihre Organisationen seien überhaupt nicht oder nur fallbezogen in der Lage, IT-Risiken zu katalogisieren, zu bewerten oder zu reduzieren; nur 24 Prozent der Umfrageteilnehmer schätzten die entsprechenden Fähigkeiten ihrer IT als fortschrittlich ein.
Vor allem die Unfähigkeit, genaue Toleranzwerte und -schwellen für bestimmte Risiken vorzugeben, erschwert den Verantwortlichen das Priorisieren von Investitionen oder Gegenmaßnahmen – dabei ist das eine der wichtigsten Voraussetzungen für das Steigern der IT-Sicherheit im Unternehmen.
Luftfahrtindustrie, EMEA-Region führen in Sachen Sicherheit
Wie schon die Vorjahresausgabe zeigt auch der 2016er-Bericht, dass die beschriebenen Schwierigkeiten auch und gerade die Betreiber kritischer Infrastrukturen betreffen. Behörden und andere öffentliche Betriebe sowie Energieversorger schnitten im Vergleich der IT-Sicherheits-Reifegrade sogar am schlechtesten ab: Nur 18 Prozent der Betriebe dieser Gruppe schätzen die eigenen Sicherheitsprogramme als fortschrittlich oder sehr fortschrittlich ein.
Nicht viel besser gerüstet erscheinen die Unternehmen der Finanzbranche: Obwohl sie häufig als führend in Sachen IT-Sicherheit beschrieben werden, erreichten nur 26 Prozent der befragten Finanzdienstleister von den fünf Reifegraden einen der beiden oberen – ein erheblicher Rückgang gegenüber dem Vorjahreswert von 33 Prozent. Zum Vergleich: Von den untersuchten Unternehmen der Luft-, Raumfahrt- und Rüstungsindustrie verfügen immerhin 39 Prozent über fortschrittliche oder sehr fortschrittliche Sicherheitsprogramme.
Den Regionen-Vergleich des Reports führen die Länder der EMEA-Region an (Europa, Mittlerer Osten und Afrika); hier erreichen 29 Prozent der Unternehmen und Behörden einen fortschrittlichen oder sehr fortschrittlichen IT-Sicherheits-Reifegrad. Auf Platz zwei folgen die Staaten der Asien-Pazifik-Region einschließlich Japans mit 26 Prozent, das Schlusslicht hat die Americas-Region mit 23 Prozent. Auffällig hierbei: Während die EMEA-Region sich im Vergleich zum Vorjahr um drei Prozentpunkte und einen Platz verbessern konnte, verlor die APJ-Region 13 Punkte und fiel deshalb auf Platz zwei zurück.
»Diese Zweite Ausgabe unseres Cybersecurity Poverty Index zeigt erneut, dass in Unternehmen jeder Größe, Industrie und Nationalität der Eindruck vorherrscht, man sei auf Cyber-Risiken nicht vorbereitet. Wir müssen die Art und Weise verändern, auf die diese Unternehmen über Sicherheit nachdenken – statt nur über Vorbeugung nachzudenken, sollten sie auch Strategien für die Reaktion auf Angriffe und andere Gefahren nachdenken. Zudem sollte jede Organisation sollte so schnell wie möglich eine Vorgehensweise festlegen und umfangreiche Strategien entwickeln, statt zu warten, bis der Schadensfall tatsächlich eintritt.« Armit Yoran, President, RSA
[1] Für den »Cybersecurity Poverty Index Report« wurden IT- und Sicherheitsfachleute aus 878 Unternehmen, 24 Branchen und 81 Ländern gebeten, den IT-Sicherheits-Reifegrad ihrer Organisation zu bewerten. Die Selbstbewertung erfolgte entlang der im »NIST Cybersecurity Framework« (CSF) festgehaltenen Grundfähigkeiten »Identify«, »Protect«, »Detect«, »Respond« und »Recover«. Die Teilnehmer bewerteten den Reifegrad jeder Fähigkeit ihrer Organisation mittels einer Fünf-Punkte-Skala (1 = »Fähigkeit nicht vorhanden«, 5 = »Fähigkeit auf sehr fortschrittlichem Niveau«).
Online-Ressourcen von RSA
– Besuchen Sie die RSA-Website
– Laden Sie das e-Book zum RSA Cybersecurity Poverty Index herunter
– Laden Sie das Whitepaper »RSA’s Cyber Risk Appetite Whitepaper« herunter
– Füllen Sie dasselbe Cybersecurity-Maturity- Assessment aus wie die Befragungsteilnehmer
– Hören Sie zu, wie RSA-President Amit Yoran und RSAs Vice President und General Manager der Global-Public-Sector-Sparte Mike Brown die Resultate des Reports diskutieren
– Besuchen Sie den EMC-Blog
Studie: IT-Sicherheit ist wichtiges Ziel bei Digitalisierung
Ein Jahr Windows 10: Wie steht es um Sicherheit & Datenschutz?
10 Tipps für mehr Cybersicherheit (nicht nur) bei Energieversorgern