Vulnerability Management: So stärken Sie Ihre IT-Resilienz nach DORA

Cyber-Angriffe sind eine Bedrohung für jedes Unternehmen. Schwachstellen in der IT-Infrastruktur können Angreifern Tür und Tor öffnen. Vulnerability Management hilft, diese Schwachstellen zu identifizieren und zu beheben.

DORA steht für Digital Operational Resilience Act und ist eine neue europäische Verordnung zur Verbesserung der IT-Sicherheit in Finanzinstituten. DORA enthält eine Reihe von Anforderungen an die IT-Sicherheit von Finanzinstituten. Dazu gehören unter anderem die Einführung eines Schwachstellenmanagementprozesses, die Umsetzung von Maßnahmen zur Behebung von Schwachstellen und die regelmäßige Überprüfung der IT-Sicherheit. Die Anforderungen von DORA sind hoch und stellen eine große Herausforderung für Finanzinstitute dar. Vulnerability Management ist ein wichtiger Baustein, um diesen Herausforderungen gerecht zu werden.
 
In diesem Blogbeitrag erfahren Sie, wie Sie mit Vulnerability Management Ihre IT-Resilienz nach DORA stärken.

Was ist Vulnerability Management?

Vulnerability Management (dt. Schwachstellenmanagement) ist ein Oberbegriff für das IT-Sicherheitsmanagement in Unternehmen und Organisationen. Die primäre Aufgabe des Schwachstellenmanagements besteht darin, vorhandene IT-Systeme auf bekannte Schwachstellen zu überprüfen und diese zu beheben. Kernbestandteile sind die Schwachstellenanalyse und das Management von Sicherheitslücken nach den Standards ISO 17799 und ISO 27001. Das Vulnerability Management stellt damit einen wichtigen Baustein in der technischen Abbildung zur Gewährleistung einer erhöhten Betriebsresilienz dar.

Bedeutung und Vorteile von Vulnerability Management für die IT-Resilienz

Schwachstellenmanagement ist eine wichtige Maßnahme zur Stärkung der IT-Resilienz. Schwachstellen in IT-Systemen und -Anwendungen stellen ein hohes Risiko für Cyber-Angriffe dar. Der Einsatz von Vulnerability Management bietet Unternehmen darüber hinaus eine Reihe von Vorteilen.

• Verbesserte Sicherheit: Vulnerability Management hilft, Schwachstellen in der IT-Infrastruktur zu identifizieren und zu beheben. Dadurch können Unternehmen das Risiko von Cyber-Angriffen reduzieren.
• Geringere Kosten: Vulnerability Management-Lösungen können dazu beitragen, Kosten durch die Vermeidung von Cyberangriffen zu senken. Durch die rechtzeitige Behebung von Schwachstellen können Unternehmen die Auswirkungen von Cyberangriffen minimieren.
• Verbesserte Compliance: Vulnerability Management-Lösungen können dazu beitragen, die Einhaltung gesetzlicher Vorschriften zu gewährleisten. Viele Gesetze und Vorschriften verlangen, dass Unternehmen Schwachstellen in ihrer IT-Infrastruktur identifizieren und beheben.

Prozess im Vulnerability Management

Der Prozess des Schwachstellenmanagements kann in vier Phasen unterteilt werden.

• Identifikation: In dieser Phase werden Schwachstellen in IT-Systemen und Anwendungen identifiziert. Dies kann durch manuelle Tests, automatische Scans oder eine Kombination beider Methoden erfolgen.
• Bewertung: Die Bewertung der identifizierten Schwachstellen ist Gegenstand dieser Phase. Dabei wird berücksichtigt, wie schwerwiegend die Schwachstelle ist, mit welcher Wahrscheinlichkeit sie ausgenutzt wird und wie einfach sie zu beheben ist.
• Priorisierung: Die bewerteten Schwachstellen werden priorisiert. Dies geschieht anhand der Risiken, die sie für das Unternehmen darstellen.
• Behebung: Diese Phase hat die Behebung der priorisierten Schwachstellen zum Ziel. Dies kann durch Software-Updates, Konfigurationsänderungen oder andere Maßnahmen geschehen.

Schritte zur Implementierung eines Vulnerability Management Prozesses

Die Implementierung eines Vulnerability Management Prozesses ist ein wichtiger Schritt zur Verbesserung der IT-Sicherheit eines Unternehmens. Der Prozess sollte so konzipiert sein, dass er die spezifischen Bedürfnisse des Unternehmens erfüllt und regelmäßig überprüft und aktualisiert wird.

1. Planung zur Implementierung eines Vulnerability Management Prozesses

Der erste Schritt bei der Implementierung eines Vulnerability Management Prozesses ist die Planung. In diesem Schritt werden die Ziele und Anforderungen des Prozesses definiert. Die Planung sollte in enger Abstimmung mit den Verantwortlichen für IT-Sicherheit und IT-Infrastruktur erfolgen. Dazu gehören unter anderem

• Was soll mit dem Vulnerability Management Prozess erreicht werden?
• Welche IT-Systeme und IT-Anwendungen sind in den Prozess einzubeziehen?
• Wie oft sollen Schwachstellen identifiziert und bewertet werden?
• Wie sollen Schwachstellen behoben werden?

2. Implementierung eines Vulnerability Management Prozesses

Nach der Planung folgt die Umsetzung des Prozesses. Die Implementierung sollte von erfahrenen IT-Sicherheitsexperten durchgeführt werden. Diese Maßnahmen umfassen

• Erstellung eines Vulnerability Management Plans
• Auswahl einer Vulnerability Management Lösung
• Konfiguration der Vulnerability Management Lösung
• Schulung der Mitarbeiter

3. Regelmäßige Überprüfung der Vulnerability Management Prozesse

Der Vulnerabilitätsmanagementprozess sollte regelmäßig überprüft und gegebenenfalls angepasst werden. Die Überprüfung sollte von den IT-Sicherheitsverantwortlichen durchgeführt werden. Hierzu gehören insbesondere

• Überprüfung der Zielsetzungen und Anforderungen
• Analyse der Ergebnisse der Schwachstellenerkennung und Schwachstellenbewertung
• Überprüfung der Effektivität des Prozesses

Vulnerability Management: Welcher Anbieter ist der richtige für Sie?

Der Markt für Vulnerability Management-Lösungen ist stark fragmentiert. Es gibt eine Vielzahl von Anbietern, die unterschiedliche Lösungen mit unterschiedlichen Funktionalitäten und Preisen anbieten. Exemplarisch stellen wir Ihnen drei Anbieter für Vulnerability Management (VM) Lösungen vor. Die Reihenfolge der Auflistung ist dabei wertfrei zu verstehen.  

• Qualys VMDR: Eine Cloud-basierte Plattform, die Unternehmen dabei unterstützt, ihre Assets zu identifizieren und Schwachstellen aufzudecken. Die Lösung bietet Voice Agents, virtuelle Scanner und passives Netzwerk-Scanning.
  • Automatisierte Schwachstellenerkennung und Schwachstellenbewertung
  • Priorisierung der Schwachstellen
  • IT-Sicherheitsberichte und Dashboards
  • Integration in andere Sicherheitslösungen
• OpenVAS: Eine Open-Source-Software, die Schwachstellenmanagement-Tools bereitstellt. Sie hilft nicht nur bei der Suche nach Schwachstellen, sondern unterstützt auch bei der Risikobewertung und der Priorisierung von IT-Sicherheitsmaßnahmen.
  • Schwachstellenerkennung und Schwachstellenbewertung
  • Risikobewertung
  • Priorisierung der Schwachstellen
  • IT-Sicherheitsberichte und Dashboards 
• Rapid7: Rapid7 bietet eine Reihe von Tools, darunter Schwachstellenscanner, Risikobewertungstools und Schwachstellenmanagement-Tools.

Auswahlkriterien für Anbieter von Vulnerability Management Lösungen

Die Auswahl einer Schwachstellenmanagement-Lösung ist eine wichtige Entscheidung, die die IT-Sicherheit eines Unternehmens maßgeblich beeinflussen kann. Unternehmen sollten sich daher vor der Auswahl genau informieren. Bei der Auswahl einer Vulnerability Management Lösung sollten Unternehmen folgende Kriterien berücksichtigen:

• Funktionalität: Die Lösung sollte die Anforderungen des Unternehmens an das Vulnerability Management erfüllen. Dazu gehören beispielsweise die Art der zu scannenden Assets, die Art der zu identifizierenden Schwachstellen und die gewünschten Funktionen zur Risikobewertung und Priorisierung.
• Preis: Die Kosten für Vulnerability Management-Lösungen können je nach Anbieter und Funktionsumfang stark variieren. Unternehmen sollten daher ein Budget festlegen und die Kosten verschiedener Lösungen vergleichen.
• Support: Der Anbieter sollte einen guten Support anbieten, um Unternehmen bei der Implementierung und Nutzung der Lösung zu unterstützen.

Vulnerability Management: Erfahrungen aus der Praxis

Unsere Erfahrungen mit Vulnerability Management (VM)-Lösungen haben gezeigt, dass trotz des erheblichen technischen Aufwands, die wahre Herausforderung in der Berücksichtigung von organisatorischen und prozessualen Aspekten bei der Implementierung liegt. Es ist also nicht nur eine technische Aufgabe, sondern erfordert auch eine umfassende organisatorische und prozessuale Anpassung.   

Dies erfordert eine sorgfältige Planung und Umsetzung, um sicherzustellen, dass die VM-Lösung über verschiedene Unternehmensbereiche hinweg effektiv funktioniert. Ein typisches Finanzinstitut hat eine Vielzahl von Systemverantwortlichen, die jeweils für die Behebung von Schwachstellen in ihren Systemen verantwortlich sind. Daher ist es notwendig, alle diese Systemverantwortlichen mit den notwendigen Schwachstelleninformationen zu versorgen, die zeitnahe Behebung der Schwachstellen sicherzustellen und den jeweiligen Status regelmäßig zu dokumentieren. Eine nahtlose Integration in die Service Management Tool-Landschaft, wie z.B. Change und Incident Management oder Configuration Database Management Systeme (CMDB), kann ein effizienter Ansatz sein, um dieser Komplexität zu begegnen. Darüber hinaus ist ein revisionssicheres Reporting an verschiedene Stakeholder zu gewährleisten.

Insgesamt ist der operative Aufwand als erheblich einzustufen. Unternehmen sollten daher die Umsetzung sorgfältig planen und durchführen, um den gewünschten Nutzen zu erzielen.

Vulnerability Management – Selbst betreiben oder outsourcen?

Die Einführung einer VM-Lösung ist unumgänglich, um die Anforderungen von DORA zu erfüllen. Für den operativen Betrieb einer solchen Lösung ist mit einem hohen Aufwand zu rechnen. Um diesen Aufwand auf Institutsseite zu reduzieren und eine hohe Qualität sicherzustellen, kann es sinnvoll sein, VM-Lösungen von einem erfahrenen und spezialisierten Dienstleister betreiben zu lassen, der die Umsetzung der hohen Anforderungen der europäischen Regulierung wie DORA in seiner Geschäftsstrategie verankert hat. 

Die Entscheidung, ob eine VM-Lösung selbst betrieben oder ausgelagert werden soll, hängt von einer Reihe von Faktoren ab:

• Größe des Unternehmens: Kleine und mittlere Unternehmen (KMU) verfügen in der Regel nicht über die Ressourcen, um eine VM-Lösung selbst zu betreiben.
• Die IT-Kompetenz des Unternehmens: Unternehmen mit hoher IT-Kompetenz können die Implementierung und den Betrieb einer VM-Lösung selbst übernehmen.
• Compliance-Anforderungen des Unternehmens: Unternehmen, die strenge Compliance-Anforderungen erfüllen müssen, sollten überlegen den Betrieb einer VM-Lösung an einen erfahrenen und spezialisierten Dienstleister auszulagern.

Die Entscheidung, ob eine VM-Lösung selbst betrieben oder ausgelagert werden soll, ist eine individuelle Entscheidung, die von den jeweiligen Anforderungen des Unternehmens abhängt. Unternehmen sollten die Vor- und Nachteile von Eigenbetrieb und Outsourcing sorgfältig abwägen, bevor sie eine Entscheidung treffen.

Vulnerability Management: Ein wichtiger Baustein von DORA

Cyber-Attacken sind eine Bedrohung für jedes Unternehmen. Schwachstellen in der IT-Infrastruktur können Angreifern Tür und Tor öffnen. Vulnerability Management hilft, diese Schwachstellen zu identifizieren und zu beheben.

Die Einführung eines Vulnerability Management Prozesses ist ein wichtiger Schritt zur Verbesserung der IT-Sicherheit eines Unternehmens. Der Prozess sollte auf die spezifischen Bedürfnisse des Unternehmens zugeschnitten sein und regelmäßig überprüft und aktualisiert werden.

Eine Schwachstellenmanagement-Lösung auszuwählen ist eine wichtige Entscheidung, die die IT-Sicherheit eines Unternehmens maßgeblich beeinflussen kann. Unternehmen sollten sich daher vor der Auswahl genau informieren und die Anforderungen des Unternehmens an das Vulnerability Management berücksichtigen.

Für den operativen Betrieb einer Vulnerability Management Lösung ist mit einem hohen Aufwand zu rechnen. Um diesen Aufwand zu reduzieren und eine hohe Qualität sicherzustellen, kann es sinnvoll sein, die Lösung von einem erfahrenen und spezialisierten Dienstleister betreiben zu lassen.