So messen Sie das Cyber-Sicherheitsrisiko: Ein Leitfaden für kleine und mittlere Unternehmen

Nach Angaben des Conference Boards ist Cybersicherheit das Hauptanliegen der Top-Manager von US-Unternehmen.

Und wirklich, wer kann es ihnen verdenken? wurde zu Unfällen Internet-Sicherheit Sie ist weiter verbreitet und bringt heute erhebliche finanzielle Verluste mit sich und führt zu einem Vertrauensverlust der Verbraucher.

Laut Security Intelligence erleiden Sie mit 10000 Datensätzen eher eine Datenpanne als eine Infektion. Die 148. jährliche Kostenstudie für Datenschutzverletzungen ergab, dass Unternehmen 2018 für jeden gelöschten Datensatz durchschnittlich 3.86 US-Dollar zahlten. Im Durchschnitt kosteten Datenschutzverletzungen im vergangenen Jahr XNUMX Millionen US-Dollar.

Natürlich sind größere Datenschutzverletzungen teuer. Unternehmen, die Datenschutzverletzungen mit weniger als 10 Datensätzen erlitten hatten, zahlten durchschnittlich 000 Millionen US-Dollar für den Vorfall. Diese Zahl hat sich bei Vorfällen mit 2.2 oder mehr Datensätzen mehr als verdreifacht, oder 6.9 Millionen US-Dollar.

Massive Sicherheitsverletzungen oder solche mit mehr als 39.49 Million Datensätzen kosten das Unternehmen durchschnittlich 50 Millionen US-Dollar. Der Bericht sagt auch, dass ein Verstoß, der die Informationen von 350.44 Millionen Menschen bedroht, Sie mit einer Rechnung in Höhe von XNUMX Millionen US-Dollar schlagen wird.

Dies ist nur die monetäre Seite. Der Verlust des Vertrauens der Verbraucher kann diese Kosten erhöhen, wenn Sie eine Datenpanne erleiden. Der Bericht stellt fest, dass ein Unternehmen, das weniger als ein Prozent seiner bestehenden Kunden verliert, durch den Verstoß 2.8 Millionen US-Dollar verliert. Bei vier Prozent können Sie im Durchschnitt weitere 6 Millionen Dollar verlieren.

Müssen Sie Cyber-Sicherheitsrisiken wirklich identifizieren?

Ja.

Der wichtigste Grund, warum Sie die Größe wählen sollten Cyber-Sicherheitsrisiken soll Ihnen helfen, ein effektiveres IT-Budget zu erstellen. Bei all den Big-Data-Verstößen mit hohen Nachrichtenstrafen, die derzeit in Kraft sind, verstehen wir, warum Unternehmen mehr für Technologie ausgeben. Sie können wahnsinnig denken, dass es hilft, Geld zu sparen, wenn Sie nicht gegen alle Risiken abgesichert sind.

Zusätzlich mit Internet-Sicherheit Das Ziel ist, dass es keine negativen Folgen wie keine Datenschutzverletzungen oder Hackerangriffe gibt. Diese Situation macht es schwierig, die Rendite Ihrer Investitionen in Cybersicherheit zu erkennen.

Begründen Sie Ihre IT-Investitionen

Andererseits kann Ihnen die Quantifizierung von Cyber-Sicherheitsrisiken dabei helfen, mehr Investitionen in diesem Bereich zu tätigen Informationstechnik an Orte, an denen es fehlt. Wenn Sie die Arten von Risiken kennen, die Sie beachten sollten, können Sie die Kosten für Software, Hardware oder neues IT-Personal rechtfertigen.

Verschaffen Sie sich einen besseren Überblick über die Sicherheit

Die Quantifizierung der Cybersicherheitsrisiken Ihres Unternehmens kann Ihnen ein vollständiges Bild von mehreren Dingen geben. Sie kennen die mit Ihrem Netzwerk verbundene Hardware, Software und Hardware.

Sie wissen, ob diese Ressourcen aktualisiert wurden oder nicht. Sie werden wissen, ob es Ressourcen gibt, die nicht mehr verwendet werden.

Sie wissen, wo sich alles befindet, welche Dateitypen wo gespeichert sind und was Sie deaktivieren oder deaktivieren müssen.

Bewerten Sie die verschiedenen Arten von Angriffen

Was die Messung von Cybersicherheitsrisiken noch schwieriger macht, ist, dass Cybersicherheit sehr komplex sein kann. Es entstehen nicht nur neue Technologien, sondern es gibt auch verschiedene Arten von Bedrohungen.

Sie können beispielsweise die neueste Software, Schulungen und Techniken erhalten, die Ihnen bei der Bekämpfung von Phishing-E-Mail-Betrug helfen. Diese Vorsichtsmaßnahmen bedeuten jedoch nicht, dass Sie vor DDoS-Angriffen oder einem Angriff auf die Lieferkette sicher sind.

Die Quantifizierung Ihres Cybersicherheitsrisikos kann Ihnen helfen zu wissen, über welche IT-Ressourcen Sie verfügen und welche Arten von Angriffen mit diesen Ressourcen möglich sind. Dieses Wissen wiederum wird Ihnen helfen, die Werkzeuge, Erfahrungen und Techniken zu erwerben, die Ihnen helfen können, alle möglichen Angriffe abzuwehren.

Auf diese Weise können Sie die Effizienz Ihrer Cybersicherheitstools, -richtlinien und -ressourcen steigern. Sie können die effektivsten Strategien auf die wichtigsten Systeme und die sensibelsten Informationen lenken.

Bei kleinen Unternehmen können Sie Ressourcen dort einsetzen, wo sie wirklich benötigt werden, und sind sich dennoch potenzieller Angriffspotenziale in anderen Bereichen Ihres Unternehmens bewusst.

Andere Gründe – warum Sie Ihr Cyber-Sicherheitsrisiko identifizieren sollten

Der wichtigste Grund für die Einschätzung von Cybersicherheitsrisiken besteht darin, sicherzustellen, dass Sie Ihre IT-Budgets effizienter einsetzen und gleichzeitig einen schnellen Überblick über Ihr Geschäft und die Internetrisiken erhalten, denen Sie ausgesetzt sind.

Es gibt jedoch auch andere Gründe, warum Sie dies tun sollten:

• Langfristig geringere Kosten. „Wenn Sie potenzielle Bedrohungen identifizieren, können Sie die Risiken, denen Sie ausgesetzt sind, proaktiv mindern und Sicherheitsvorfälle verhindern“, erklärt Sid Goney, Mitbegründer und CEO von Ziguru. „Dies bedeutet, dass Sie (zusätzlich zu den anderen Kosten einer Datenschutzverletzung) keine behördlichen Geldbußen zahlen müssen, die Hunderttausende oder Millionen von Dollar betragen können.“
• Sie können eine Vorlage für zukünftige Auswertungen haben. Die Ermittlung Ihres Cybersicherheitsrisikos ist keine einmalige Angelegenheit. Sie müssen regelmäßig eine Bewertung durchführen, um sicherzustellen, dass Sie weiterhin ausreichend vor den neuesten Bedrohungen geschützt sind. Die gute Nachricht ist, dass Sie dadurch eine Vorlage für zukünftige Bewertungen erhalten.
• selbstbewusst, befangen, gehemmt, unsicher, verlegen. Es ist nichts falsch daran, sich seiner selbst bewusst zu sein. Tatsächlich besitzen alle erfolgreichen Unternehmen diese Eigenschaft. Die Identifizierung von Cyber-Sicherheitsrisiken kann Ihnen helfen, Ihre Stärken und Schwächen zu erkennen. So wissen Sie, wo Sie mehr investieren müssen, damit Sie die Löcher stopfen können.
• Kommunikation verbessern. Die Einschätzung der Cybersicherheitsrisiken Ihres Unternehmens ist keine Ein-Mann-Aufgabe. Sie benötigen Input von verschiedenen Mitarbeitern und Abteilungen, unabhängig von der Größe Ihres Unternehmens. Als solche wird die Übung dazu beitragen, die Kommunikation zwischen zwei Mitarbeitern oder Abteilungen zu initiieren und zu erleichtern.
• Einhaltung der Vorschriften. Je nach Branche, in der Sie tätig sind, sind Sie möglicherweise gesetzlich verpflichtet, ein Cybersicherheitsrisiko zu identifizieren oder eine Internet-Risikobewertung durchzuführen. Der Health Insurance Portability and Accountability Act (HIPAA) beispielsweise verlangt dies von Krankenhäusern und anderen versicherten Einrichtungen. Andere Unternehmen müssen die PCI-DSS-Anforderungen sowie lokale, bundesstaatliche und bundesstaatliche Gesetze einhalten.
• Online-Versicherung abschließen. Wussten Sie, dass zwei von drei Unternehmen glauben, dass sie ein Geschäft oder ihr Geschäft schließen werden, wenn sie gehackt werden oder eine Datenpanne erleiden? Eine Versicherung kann helfen. „Genau wie bei Kranken- und anderen Versicherungen stellt eine Online-Versicherung sicher, dass Sie nicht in finanzielle Not geraten, wenn Cyber-Sicherheitssysteme ausfallen und Sie einen Datenverstoß erleiden“, erklärt Gavirini.

Wie misst man Cybersicherheitsrisiken?

Es reicht nicht aus, nur zu sagen: "Wir hatten im letzten Jahr keine Datenschutzverletzungen, also funktionieren unsere Investitionen in die Cybersicherheit."

Die gute Nachricht ist, dass es viele Möglichkeiten gibt, Cybersicherheitsrisiken abzuschätzen, z. B. die Durchführung interner Bewertungen oder externer Audits, Penetrationstests und mehr.

So führen Sie interne Bewertungen durch

Es ist nicht einfach, das Ausmaß der Cybersicherheitsrisiken abzuschätzen, aber es ist nicht unmöglich. Sie müssen lediglich ein zuverlässiges Sicherheits-Framework auswählen, auf dem Ihre Risikobewertungen basieren.

Die Leitlinien des National Institute of Standards and Technology sind ein guter Anfang.

Beginnen Sie mit der Überprüfung der Daten

Sie werden immer mit einer Datenüberprüfung beginnen wollen, die Ihnen einen klaren Überblick über die Informationen gibt, die Ihr Unternehmen sammelt und speichert. Außerdem erfahren Sie, wie Sie die von Ihnen erhobenen Daten dokumentieren und schützen. Schließlich sollten Sie wissen, wie lange Sie die Daten aufbewahren und was zu tun ist, wenn sie für Sie nicht mehr nützlich sind.

Parameter definieren

Sie sollten immer wissen, was Sie erreichen möchten, bevor Sie Cybersicherheitsrisiken identifizieren. Zweck und Umfang der Evaluierung sollten beispielsweise klar sein. Sie sollten auch herausfinden, ob Sie Prioritäten oder Einschränkungen haben, die sich auf die Bewertung auswirken könnten. Sie sollten auch die Schlüsselpersonen identifizieren, die in den Prozess einbezogen werden sollten.

Bestimmen Sie die Quelle der Bedrohung

Sie müssen wissen, woher potenzielle Cyber-Sicherheitslücken kommen. Dies können Mitarbeiter, Insider, Hacker und andere Personen sein. Es kann sich um ein ausländisches Unternehmen oder sonstige Dritte handeln. Oder Ihre Konkurrenten können Sie ausspionieren. Sie haben auch nicht feindliche Bedrohungen, wie beispielsweise regelmäßige Benutzer Ihrer Systeme oder Ihrer Website.

Bedrohungsereignisse kennen

Verschiedene Frameworks, wie beispielsweise NIST, geben Ihnen eine umfassendere Erklärung, was Bedrohungsereignisse sind, wie sie ausgeführt werden und wie sie gestoppt werden können. NIST listet beispielsweise einige der häufigsten Bedrohungen auf, wie z. B. unbefugter Zugriff, Bedrohungen durch Insider, Datenlecks, Datenverlust und Unterbrechung Ihres Betriebs. Sie sollten auch wissen, welche Schwachstellen in Ihrem System vorhanden sind und wie diese ausgenutzt werden.

Bestimmen Sie, wie wahrscheinlich diese Ereignisse eintreten

Nachdem Sie die Bedrohungen identifiziert und andere Informationen gesammelt haben, sollten Sie in der Lage sein, die Wahrscheinlichkeit eines bestimmten Angriffs zu bestimmen.

Verstehen Sie die möglichen Auswirkungen

Eine andere Sache, die Sie wissen sollten, sind die möglichen Auswirkungen des Angriffs.

All diese Informationen helfen Ihnen, Ihre Cybersicherheitsrisiken zu erkennen. Als solches ist Ihr Cybersicherheitsrisiko eine Kombination aus der Eintrittswahrscheinlichkeit des Ereignisses und den potenziellen Verlusten, die Sie erleiden würden, wenn es eintreten würde.

Wer sollte die Cybersicherheitsrisiken quantifizieren?

Obwohl jeder bei dieser Übung mit an Bord sein sollte, liegt es letztendlich am Team oder am Einzelnen, der die Arbeit tatsächlich erledigt. Das verantwortliche Team oder die verantwortliche Person muss die Funktionsweise des Netzwerks und der digitalen Infrastruktur genau kennen.

Er muss genau wissen, wie Informationen von einer Abteilung zur anderen fließen, und sogar andere Informationen aus der geschäftlichen Seite von Dingen, die für Bewertungen nützlich sein können.

Wenn Sie jedoch nicht über das Personal dafür verfügen, können Sie jederzeit auslagern. Es gibt Unternehmen und Einzelpersonen, die Ihnen Internet-Risikobewertungen zur Verfügung stellen können. Das heißt, Sie sollten nach Empfehlungen fragen. Sie können sich bei Kollegen und anderen Unternehmen erkundigen, die einen Berater oder ein Unternehmen für den gleichen Zweck beauftragt haben.

Wenn Sie bereits einige potenzielle Kunden identifiziert haben, sollten Sie ein potenzielles Unternehmen oder einen Berater immer unter die Lupe nehmen. Überprüfen Sie Online-Bewertungen oder holen Sie sich Feedback von früheren Kunden. Sie können sich ein Bild davon machen, wie genau sie arbeiten, ihre Professionalität, ihre Arbeitsmoral und ihre Effizienz. Kurz gesagt, Sie werden wissen, welche von ihnen einen wirklich guten Job machen und welche nur versuchen, den Bericht zu vervollständigen und Sie dann von Ihrem hart verdienten Einkommen abschöpfen.

Fordern Sie abschließend ein Angebot an. Dies wird Ihnen helfen, Preise und Kosten loszuwerden. Es wird Ihnen auch helfen, den Umfang der Arbeit zu kennen, die sie ausführen werden.

Probleme und Einschränkungen

Diese Optionen haben ihre Grenzen und Nachteile. Sie sind ressourcenintensiv. Sie sind möglicherweise nicht in der Lage, Ihr IT-Team zu widmen oder ein Unternehmen zu beauftragen, Ihre Cybersicherheit mit Ihrem verfügbaren Cashflow zu überprüfen.

Darüber hinaus sind diese Optionen nur für einen bestimmten Zeitraum gut. Ihr Antivirus kann möglicherweise eine infizierte E-Mail blockieren, während es Tests durchführt, aber das garantiert nicht, dass es in Zukunft alles abfangen kann.

Auch Penetrationstests, interne Audits und Dritte sind sehr subjektiv. Sie produzieren oft technische Metriken, die ein Arbeitgeber möglicherweise nicht verstehen kann.

Insgesamt sehen die meisten kleinen Unternehmen folgendes Szenario: Sie müssen heute eine Entscheidung treffen, können sich aber nicht auf die Tests des letzten Quartals verlassen. Sie müssen ein weiteres Audit durchführen, aber das letzte hat über einen Monat gedauert und war ehrlich gesagt sehr teuer. Daher ist dies für die meisten kleinen Unternehmen, die sich für diese Prozesse entscheiden, um ihre eigenen Cybersicherheitsrisiken zu identifizieren, zumindest eine Herausforderung.

Identifizieren von Cybersicherheitsrisiken: nicht einfach, aber notwendig

Alles, was es wert ist, getan zu werden, erfordert viel Arbeit. Die gute Nachricht ist, dass der Prozess der Identifizierung von Cybersicherheitsrisiken eines dieser Dinge ist. Was mit der Zeit einfacher wird, aber wenn Sie es zum ersten Mal tun, wird es viel Mühe erfordern.

Es hat Vorteile, wenn es sich lohnt. Es hilft Ihnen, einen vollständigen Überblick über Ihre IT- und Zahlungsrisiken zu erhalten und hilft auch, langfristig Geld zu sparen. Sie müssen nicht einmal warten, sondern können die Erkenntnisse aus der Identifizierung von Cyber-Sicherheitsrisiken nutzen, um Ihr IT-Sicherheitsbudget effizienter einzusetzen.