Wie muss IT Riskmanagement skaliert werden?
Industrie
Zunehmende Spezialisierung, schnelle Produktentwicklungen und flexible Anpassungen an den Markt lassen sich heute nur durch eine hochkomplexe, oft internationale, Lieferantenstruktur realisieren.
Vorprodukte werden Just-in-time geliefert um eine schlanke Lagerhaltung zu ermöglichen. Alle diese Prozesse sind ohne IT Unterstützung nicht mehr denkbar.
Doch das alles birgt Risiken. Ein Ausfall in der komplexen Lieferkette kann unabsehbare Folgen haben.
Nicht nur Streiks, hohe IT-Komplexität oder der Ausfall einen Lieferanten durch Insolvenz, sondern auch die immer stärker steigenden Risiken durch Cyber Attacken gefährden heute die Produktion. Eine erfolgreiche Cyber Attacke kann einen Lieferanten für Tage außer Gefecht setzten.
Viele Unternehmen haben dies erkannt und die IT-Sicherheit bereits heute neben der Bonitätsprüfung in ihr Vendor-Risk- oder Supply-Chain-Management integriert. Aber das Auditieren von Lieferanten ist teuer und skaliert nicht. In der Folge werden oft nur die strategischen Lieferanten vom Kunden bewertet. Bei 90% der Lieferanten findet keine IT Risikobewertung statt.
Versicherungen
Auch Versicherer haben das Risiko erkannt und bieten entsprechende Produkte an. Cyber Versicherungen helfen Schäden durch IT Sicherheitsvorfälle zu begrenzen, stellen aber die Versicherung vor die gleiche Herausforderung.
Wie geht mein Kunde mit IT-Sicherheit um? Welches Risiko hat die Versicherung zu tragen? Wie kann ein wirtschaftlich angepasstes IT Risikomanagement erfolgen?
Angepasstes Risikomanagement
Large Scale Cyber Risk Management bietet hier einen Lösungsansatz. Bei dieser Technik wird eine Vielzahl öffentlich verfügbarer Informationen über Unternehmen gesammelt, verdichtet und bewertet. Aus der Vielzahl der einzelnen Informationen ergibt sich ein Bild über den Umgang mit IT-Sicherheit der einzelnen Unternehmen.
Durch den vollautomatischen Ansatz ist diese Lösung sowohl preiswert als auch skalierend.
Grenzen des Scoring
Systembedingt hat auch diese Technik ihre Grenzen. Das vollautomatische Bewerten ersetzt keine individuellen Audits oder Risikobewertungen, es ergänzt sie vielmehr. Cyber Scoring liefert die Grundlage für methodisches IT-Risikomangement in großen Umgebungen mit mehreren hunderten oder gar tausenden Lieferanten oder Kunden.
