Security-Studie Unternehmen sind auf Cyber-Risiken nicht vorbereitet

Rund drei Viertel der IT-Sicherheitsprogramme in Unternehmen und Behörden weisen nach wie vor kritische Lücken auf. Das geht aus dem jüngsten „Cybersecurity Poverty Index Report“ hervor, den RSA diese Woche veröffentlicht hat.

Anbieter zum Thema

Parasoft® Deutschland GmbH

NetModule AG

TXOne Networks

EMC DEUTSCHLAND GmbH

Dem Bericht der EMC-Tochter RSA zufolge fehlt es vor allem an der Fähigkeit, schnell auf Sicherheits-Vorfälle zu reagieren: Rund die Hälfte der untersuchten Organisationen beschrieben die eigene „Incident-Response“ als „ad-hoc“ oder sogar „nicht existent“ – darunter auch viele Betreiber kritischer Infrastrukturen.

Weitere Schlüsselresultate des Reports: IT-Organisationen, die gezielt in Technologien zur Erkennung und Begrenzung von Angriffen investieren, erreichen damit oft mehr Schutzwirkung als andere, die ihr Geld überwiegend für Präventions-Technologien ausgeben (also etwa für Firewalls). Und: Viele Unternehmen investieren erst dann vermehrt in IT-Sicherheit, nachdem sie Opfer eines geschäftsschädigenden Angriffs geworden sind. Allerdings scheitern viele schon deshalb beim Verbessern der eigenen Schutzprogramme, weil sie nicht genau verstehen, wie IT-Risiken auf ihr Geschäft wirken.

Nur sieben Prozent mit sehr gutem Schutz

Der Bericht zeigt einen klaren Zusammenhang zwischen der Fähigkeit zum Bemerken von Angriffen und dem IT-Sicherheits-Reifegrad: Firmen, die häufig Unregelmäßigkeiten in oder Angriffe auf ihre IT-Umgebung verzeichnen, verfügen mit 65-Prozentiger Wahrscheinlichkeit über fortschrittliche oder sogar sehr fortschrittliche IT-Sicherheitsstrategien und -Technologien.

Doch wie der Report ebenfalls zeigt, ist die Zahl dieser Unternehmen weiterhin niedrig, wenn sie auch zu wachsen scheint: Der Anteil der sehr gut geschützten IT-Umgebungen an der Gesamtstichprobe betrug 7,4 Prozent (in der Vorjahres-Ausgabe des Berichts waren es noch 4,9 Prozent gewesen). Die Zahl der Befragten, die den eigenen Betrieb als von IT-Risiken betroffen betrachtet, bleibt dagegen weiterhin hoch: rund 75 Prozent der Umfrageteilnehmer gaben eine entsprechende Einschätzung ab.

Das könnte mit dem Umstand zusammenhängen, dass vielen Unternehmen das Einleiten vorausschauender Sicherheitsmaßnahmen schwerfällt: 45 Prozent der Befragten gaben an, ihre Organisationen seien überhaupt nicht oder nur fallbezogen in der Lage, IT-Risiken zu katalogisieren, zu bewerten oder zu reduzieren; nur 24 Prozent der Umfrageteilnehmer schätzten die entsprechenden Fähigkeiten ihrer IT als fortschrittlich ein.

Vor allem die Unfähigkeit, genaue Toleranzwerte und -schwellen für bestimmte Risiken vorzugeben, erschwert den Verantwortlichen das Priorisieren von Investitionen oder Gegenmaßnahmen – dabei ist das eine der wichtigsten Voraussetzungen für das Steigern der IT-Sicherheit im Unternehmen.

Luftfahrtindustrie, EMEA-Region führen in Sachen Sicherheit

Wie schon die Vorjahresausgabe zeigt auch der 2016er-Bericht, dass die beschriebenen Schwierigkeiten auch und gerade die Betreiber kritischer Infrastrukturen betreffen. Behörden und andere öffentliche Betriebe sowie Energieversorger schnitten im Vergleich der IT-Sicherheits-Reifegrade sogar am schlechtesten ab: Nur 18 Prozent der Betriebe dieser Gruppe schätzen die eigenen Sicherheitsprogramme als fortschrittlich oder sehr fortschrittlich ein.

Nicht viel besser gerüstet erscheinen die Unternehmen der Finanzbranche: Obwohl sie häufig als führend in Sachen IT-Sicherheit beschrieben werden, erreichten nur 26 Prozent der befragten Finanz-Dienstleister von den fünf Reifegraden einen der beiden oberen – ein erheblicher Rückgang gegenüber dem Vorjahreswert von 33 Prozent. Zum Vergleich: Von den untersuchten Unternehmen der Luft-, Raumfahrt- und Rüstungsindustrie verfügen immerhin 39 Prozent über fortschrittliche oder sehr fortschrittliche Sicherheitsprogramme.

Den Regionen-Vergleich des Reports führen die Länder der EMEA-Region an (Europa, Mittlerer Osten und Afrika); hier erreichen 29 Prozent der Unternehmen und Behörden einen fortschrittlichen oder sehr fortschrittlichen IT-Sicherheits-Reifegrad. Auf Platz zwei folgen die Staaten der Asien-Pazifik-Region einschließlich Japans mit 26 Prozent, das Schlusslicht hat die Americas-Region mit 23 Prozent. Auffällig hierbei: Während die EMEA-Region sich im Vergleich zum Vorjahr um drei Prozentpunkte und einen Platz verbessern konnte, verlor die APJ-Region 13 Punkte und fiel deshalb auf Platz zwei zurück.

Dieser Beitrag erschien zunächst auf unserem Partnerportal Security Insider

(ID:44170481)