Blog
CTEM gegenüber Geschäftsleitung und Aufsichtsrat erklären, die noch nie davon gehört haben
Sie bekommen zehn bis fünfzehn Minuten auf der Tagesordnung, eingeklemmt zwischen einem Bericht des Prüfungsausschusses und einer Immobilienentscheidung. Niemand im Raum hat den Begriff CTEM (kontinuierliches Threat-Exposure-Management) je gehört, die meisten haben „Cybersicherheit“ zu oft gehört, um es noch einmal hören zu wollen, und Ihre Aufgabe ist es nicht, das Leitungsgremium über die Bedrohungslage aufzuklären. Ihre Aufgabe ist es, ein Budget, eine Stelle oder die Verlängerung eines Mandats genehmigt zu bekommen. Das sind unterschiedliche Aufgaben, und die zweite hat ein kürzeres, schärferes Drehbuch.
Sprechen Sie die Sprache des Leitungsgremiums, nicht die des SOC
Mitglieder von Geschäftsleitung und Aufsichtsrat denken in den Begriffen, die sie bereits für jedes andere Risiko auf der Tagesordnung verwenden: welche Geschäftsprozesse exponiert sind, was eine Unterbrechung kostet und wie sich die Wahrscheinlichkeit entwickelt. Sie denken nicht in CVEs, CVSS-Scores oder Tool-Namen, und das spontane Übersetzen im Raum ist der Punkt, an dem solche Berichte scheitern.
Die Übersetzung ist mechanisch, sobald die Daten vorliegen. Nennen Sie statt einer Schwachstellenzahl, wie viele der kritischen Prozesse des Unternehmens derzeit keinen nachgewiesenen Pfad haben, über den ein Angreifer sie erreichen könnte. Nennen Sie statt eines Patch-Rhythmus, wie lange es dauert, etwas zu schließen, sobald es nachweislich ausnutzbar ist. Das ist dieselbe Übersetzung, die der Beitrag zu den CTEM-Kennzahlen im Detail durcharbeitet – dort bauen Sie den Bericht; hier geht es um die zehn Minuten, in denen Sie dessen Kernaussage vortragen.
| Stattdessen | Sagen Sie das |
|---|---|
| „142 offene Befunde, 12 kritisch“ | „Drei unserer sieben kritischen Geschäftsprozesse haben heute keinen nachgewiesenen Angriffspfad, gegenüber einem im letzten Quartal“ |
| „Wir haben EDR auf 98 % der Endpunkte ausgerollt“ | „Wir können einen Angreifer auf den Systemen erkennen, auf denen Gehaltsabrechnung und Auftragsabwicklung laufen“ |
| „Einhaltung der Patch-SLA: 87 %“ | „Sobald etwas nachweislich ausnutzbar ist, wird es im Median in 9 Tagen geschlossen“ |
Jede Zeile der rechten Spalte ist ein Satz, den ein Mitglied des Leitungsgremiums am nächsten Tag gegenüber dem CEO wiederholen kann. Das ist der Test dafür, ob er in den Raum gehört.
Zwei Analogien, sparsam eingesetzt
Analogien verdienen ihren Platz, wenn sie einen echten Mechanismus verdichten, nicht wenn sie dem Publikum schmeicheln. Zwei halten Nachfragen stand.
Die erste ist der Wechsel von der jährlichen Vorsorgeuntersuchung zur kontinuierlichen Überwachung. Schwachstellenmanagement, also das, was das Leitungsgremium möglicherweise bereits zu finanzieren glaubt, ist der Check-up einmal im Jahr: eine Momentaufnahme, am Tag selbst nützlich, einen Monat später veraltet. CTEM ist die kontinuierliche Variante – eher ein Wearable, das ein echtes Problem meldet, während es entsteht, statt auf den nächsten Termin zu warten. Wer in anderen Ausschüssen sitzt, hat genau diese Abwägung meist schon an anderer Stelle im Unternehmen getroffen, und deshalb verfängt die Analogie, ohne zweimal erklärt werden zu müssen.
Die zweite lautet: die Schlösser testen, nicht nur einbauen. Die meisten bisherigen Sicherheitsausgaben haben das Äquivalent von Alarmanlagen und verstärkten Türen gekauft. CTEM ist die fortlaufende Praxis, die Türen tatsächlich auszuprobieren – sicher, am eigenen Gebäude –, um herauszufinden, welche ein Eindringling öffnen könnte, statt anzunehmen, dass eine Sicherheitsmaßnahme funktioniert, weil sie gekauft wurde. An dieser Stelle können Sie gezielt auf die Validierungsphase verweisen, ohne das Wort „Validierung“ zu verwenden.
Hören Sie bei zwei auf. Mit einer dritten Analogie beginnt die Präsentation, nach einem Verkaufsgespräch statt nach einem Briefing zu klingen.
Die Frage, der Sie nicht ausweichen können
Jemand wird fragen, direkt oder auf Umwegen: „Werden wir gehackt?“ Die ehrliche Antwort ist, dass Sie kein Nein versprechen können, und ein Programm, das dies andeutet, verliert seine Glaubwürdigkeit, sobald zum ersten Mal ein Vorfall in den Nachrichten steht, in Ihrer Branche oder in Ihrer Lieferkette.
Die ehrliche Fassung lautet: Kein Maßnahmenpaket senkt das Risiko auf null, und Exposure-Management ändert daran nichts. Was es ändert, ist, welche Prozesse ein Angreifer jetzt gerade tatsächlich erreichen kann und wie schnell eine nachgewiesene Lücke geschlossen wird, sobald sie gefunden ist. Sagen Sie das klar und gehen Sie zu den Belegen über – der Zahl der kritischen Prozesse ohne nachgewiesenen Pfad und ihrem Trend. Eine Zahl, die sich in die richtige Richtung bewegt, ist eine überzeugendere Antwort als eine Beruhigung, und eine, die Sie bei Nachfragen verteidigen können.
Widerstehen Sie dem Drang, dies mit Statistiken darüber abzumildern, wie selten Sicherheitsvorfälle bei Unternehmen Ihrer Größe sind. Es wirkt wie die Suche nach Beruhigung, und das eine Mitglied des Leitungsgremiums, das eine Schlagzeile über ein vergleichbares Unternehmen gelesen hat, wird es bemerken.
Was nicht in den Raum gehört
Die Zeit des Leitungsgremiums ist die teuerste Zeit im Unternehmen. Drei Dinge verschwenden sie zuverlässig.
Jargon und Tool-Namen. „Wir haben eine neue ASM-Plattform eingeführt, die in unser CAASM integriert ist“ sagt dem Leitungsgremium nichts über Risiko und alles über Anbieterbeziehungen, die es nicht beurteilen muss. Sagen Sie, was sich an dem geändert hat, was Sie sehen oder beheben können, nicht, was Sie gekauft haben.
Eine Wand aus CVEs oder ein Tortendiagramm nach Schweregrad. Es sieht nach Gründlichkeit aus und liest sich als Rauschen; niemand im Raum kann danach handeln, und es provoziert genau die falsche Frage – „warum ist der oberste Eintrag noch rot“ – zu einem Punkt, der womöglich keine Rolle spielt.
Ein Versprechen von null Risiko. Es ist der schnellste Weg, ein Finanzierungsgespräch in ein Haftungsgespräch zu verwandeln, in dem Moment, in dem irgendwann etwas schiefgeht.
Fortschritt zeigen, ohne zu übertreiben
Leitungsgremien finanzieren Entwicklungsverläufe bereitwilliger als Zustände. „Wir sind in drei von fünf CTEM-Phasen auf Stufe Definiert und in den beiden anderen auf Stufe Im Aufbau, und unser Plan bringt die Validierung in diesem Jahr auf Definiert“ ist eine Aussage, die Sie mit Belegen verteidigen können und die einer erneuten Überprüfung im nächsten Jahr standhält. Der Beitrag zum CTEM-Reifegradmodell legt dar, welche Belege jede Stufe je Phase stützen – bringen Sie die schwächste Phase und den Plan zu ihrer Verbesserung mit, nicht eine einzelne Punktzahl, die verbirgt, welche Teile des Programms noch jung sind.
Widerstehen Sie dem Aufrunden. Ein Programm, das in der Validierung auf Stufe Im Aufbau steht und sich selbst als „reif“ meldet, fliegt auf, sobald ein Mitglied des Leitungsgremiums zum ersten Mal eine konkrete Nachfrage stellt, und der Verlust an Glaubwürdigkeit ist größer, als es die Anerkennung für ein gutes Quartal gewesen wäre.
Diese Art der Aufsicht ist inzwischen eine ausdrückliche Erwartung an das Leitungsgremium, nicht nur gute Praxis. Das NACD and Internet Security Alliance Director’s Handbook on Cyber-Risk Oversight ordnet Cybersicherheit als Unternehmensrisiko ein, das eigene, wiederkehrende Zeit im Leitungsgremium und eine definierte Reihe von Aufsichtsaktivitäten rechtfertigt – kein Briefing einmal im Jahr. Zehn Minuten mit einer Trendlinie und einer ehrlichen Antwort auf die Frage nach dem Sicherheitsvorfall: So sieht diese Aufsicht in der Praxis aus, und so werden Sie auch wieder eingeladen.
Weiter
Erstellen Sie den Bericht, den diese Präsentation zusammenfasst, mit Die einzigen CTEM-Kennzahlen, die die Führung liest. Nutzen Sie das Reifegradmodell, um die Aussage zum Entwicklungsverlauf mit Belegen statt mit Adjektiven zu untermauern. Wenn Sie wissen müssen, wo Ihr Programm tatsächlich steht, bevor Sie vor das Leitungsgremium treten, machen Sie zuerst die Selbstbewertung.