“„Die Einführung eines Risiko-Ertrags-Ansatzes für die Sicherheit erfordert ein grundlegendes Umdenken im Umgang mit digitalen Assets. Angesichts der rasanten Entwicklung digitaler Bedrohungen und der Tatsache, dass bestehende Sicherheitsmodelle diese nicht eindämmen können, ist dieses Umdenken jedoch unerlässlich.“ ”
Wert ist subjektiv. Wenn Sie beim Betreten meines Hauses eine Karteikarte auf einem Tisch liegen sehen, halten Sie sie vielleicht für ein unbedeutendes Stück Papier von geringem Wert. Da darauf jedoch das Rezept meiner verstorbenen Großmutter für süßen, scharfen Senf steht, ist sie für mich unbezahlbar. Dieselbe Karteikarte, zwei völlig unterschiedliche Einschätzungen ihres Wertes. Mit allen digitalen Assets verhält es sich wie mit dieser Karteikarte. Ihr Wert wird von jedem Unternehmen subjektiv beurteilt, doch entscheidend ist, dass sie einen Wert haben. Digitale Assets, die einen Wert haben – und damit meine ich ausdrücklich alle – müssen geschützt werden.
Während eine Nulltoleranzpolitik gegenüber Risiken für Unternehmen häufig als Sicherheitsansatz galt, erkennen ausgereifte digitale Unternehmen, dass ein Sicherheitsansatz, der Risiken und Chancen gegeneinander abwägt, besser ist. Bei Ladengeschäften zeigt sich ein solcher Ansatz deutlich daran, wie sie ihre zum Verkauf angebotenen Produkte anordnen und schützen. Artikel von geringem Wert (ah, schon wieder dieses Wort) sind für Kunden leicht zugänglich, während hochwertige Artikel in verschlossenen Vitrinen aufbewahrt werden. Ein einfacher Zugang verbessert das Kundenerlebnis und erhöht die Kaufwahrscheinlichkeit, erleichtert zugleich aber auch Diebstähle und steigert das potenzielle Verlustrisiko. Während sich der Wert physischer Produkte und digitaler Assets mit einem monetären Gegenwert leicht bestimmen lässt, ist die Bewertung immaterieller digitaler Assets jedoch schwieriger.
Der heutige Umgang mit „immateriellen digitalen Vermögenswerten“
Der Schutz der immateriellen digitalen Vermögenswerte eines Unternehmens – etwa seines proprietären Codes, seiner Betriebs- und Kundendaten (Telemetriedaten), seiner Modelle für maschinelles Lernen (ML) usw. – ist ebenso wichtig wie die Absicherung seiner Systeme, seiner E-Commerce-Website und seiner Kundentransaktionen. Eine Verletzung dieser immateriellen Werte ist vergleichbar mit der Verletzung der Ehre eines Ritters im Mittelalter. Obwohl Ehre nicht denselben materiellen Wert wie Gold und Edelsteine hatte, verteidigten Ritter sie mit ihrem Leben, denn sie ermöglichte ihnen die Teilnahme an Turnieren, den Zugang zum Hof und die Gunst adliger Damen.
Eine Verletzung der digitalen Vermögenswerte eines Unternehmens schädigt dessen Markenimage und birgt das Risiko, Entwicklungsmöglichkeiten oder neue Einnahmequellen zu verlieren. Ein Beispiel dafür ist der US-amerikanische Einzelhändler Kroger, der aus seinen Kundendaten einen zusätzlichen Wert schöpft, um gemeinsam mit anderen Unternehmen neue Einnahmequellen zu erschließen. Wäre dieser digitale Vermögenswert für Bedrohungsakteure leicht zugänglich, könnte Kroger die daraus gewonnenen Erkenntnisse über das Einkaufsverhalten und die Kaufmotive seiner Kunden nicht monetarisieren. Doch eine umfassende Firewall allein reicht nicht unbedingt aus, um den digitalen Vermögenswert als sicher zu betrachten.
Digitale Assets in modernen Unternehmensarchitekturen absichern
Die Schutzmaßnahmen, die Unternehmen zur Sicherung ihrer digitalen Assets ergreifen, hängen von der zuvor erörterten Frage nach deren Wert ab. Um beim Beispiel Kroger zu bleiben: Die gewonnenen Erkenntnisse sind eindeutig von hohem Wert, da sie in direktem Zusammenhang mit einer Einnahmequelle stehen. Die Daten als zugrunde liegendes digitales Asset mögen zwar nicht hinter einer Tür verschlossen sein, die in Ihrer von einem Wassergraben und einer Zugbrücke umgebenen Burg von einem Ritter bewacht wird, doch sollen Außenstehende auch keinen Zugriff darauf erhalten, um sie zu stehlen oder zu manipulieren. Daher müssen Sie den Wert dieser Daten bestimmen und sie entsprechend schützen. Damit sind wir wieder bei der Umstellung auf einen Sicherheitsansatz, der Risiken und Nutzen gegeneinander abwägt – und all dies wird durch moderne Unternehmensarchitekturen ermöglicht.
Moderne Unternehmensarchitekturen setzen auf Sicherheitskonzepte, die einen umfassenden Schutzrahmen bieten. Dabei kommen deterministische Durchsetzungsmechanismen wie Authentifizierung und Zugriffskontrolle ebenso zum Einsatz wie mehrere Ebenen des Situationsbewusstseins und risikobewusste Richtlinien zur Behebung von Sicherheitsproblemen.
Wenn Sie erfahren möchten, wie Sie bewusste, risikobewusste Entscheidungen für die Sicherheit moderner Anwendungen treffen und einen Rahmen für den Schutz digitaler Assets schaffen können, lesen Sie „Moving Beyond Fight or Flight“, ein Kapitel des Distinguished Engineer Ken Arora in unserem bei O’Reilly erschienenen Buch Enterprise Architecture for Digital Business.
Ähnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.