IT, Cloud, IoT und OT formen eine komplexe Computing-Landschaft, die eine moderne Angriffsfläche darstellt. Zu dieser Komplexität kommen unzählige Schwachstellen hinzu, die täglich entdeckt werden.
Die Lösung ist jedoch relativ einfach – Sicherheitsteams brauchen Transparenz, um die Risiken zu verstehen. Unabhängig von der Größe der Organisation nimmt die Behebung jeder Schwachstelle selbst mit einem großen IT-Team und erheblichem finanziellen Aufwand viel Zeit in Anspruch. Anstatt sich mit Schwachstellen aufzuhalten, die nicht Ziel von Angriffen sind, können Organisationen tausende von Sicherheitslücken zurückstellen, um sich auf diejenigen zu konzentrieren, die eine echte Bedrohung sind.
Doch wie viele Schwachstellen kann ein Sicherheitsexperte pro Tag beheben? Pro Woche? Pro Monat? Die Stoppuhr beginnt, wenn der Sicherheitsmanager nach der Offenlegung der Schwachstelle durch CVE (Common Vulnerabilities and Exposures) davon erfährt. Mit diesen begrenzten Informationen fängt dann ein Wettlauf um die Feststellung an, ob die Schwachstelle innerhalb des eigenen Netzwerks existiert und welche Systeme, Geräte oder Anwendungen betroffen sind – bevor überhaupt mit der Behebung begonnen werden kann. Die CVE-ID informiert die Sicherheitsexperten nur darüber, dass die Schwachstelle existiert – das ist alles. Um das tatsächlich bestehende Risiko zu bestimmen, bedarf es weiterer umfangreicher Recherchen in zahlreichen öffentlichen Quellen. Das größte Problem sind die bekannten, aber noch nicht gepatchten Schwachstellen.
Es ist unmöglich, alle Sicherheitslücken zu beheben. So besteht die Herausforderung darin, zu wissen, was ein reales und was ein theoretisches Risiko darstellt. Laut einer Studie von Tenable wird nur für 20 Prozent der Schwachstellen ein Exploit entwickelt und Hacker nutzen lediglich einen Bruchteil davon aus. Die Studie ergab auch, dass weniger als 6 Prozent der Organisationen, Schwachstellen wirksam beseitigen. Viele Unternehmen sind mit ihren Sicherheitsprozessen nicht auf dem Stand der Zeit und halten sich mit der Behebung von Mängeln auf, die möglicherweise nie ausgenutzt werden oder Bereiche betreffen, von denen kein wirkliches Risiko ausgeht. Das Auffinden und Beheben der Schwachstellen, die aktiv ausgenutzt werden, ist für die Reduzierung des Geschäftsrisikos von größter Bedeutung. Mithilfe eines risikobasierten Schwachstellenmanagementprogramms können Sicherheitsteams selbst die komplexeste IT-Landschaft absichern.
