Digitale Transformation der Sicherheit mit James Kaplan

Zum Jahresende 2019 blicken wir auf einige großartige Folgen unseres Podcasts The Secure Developer zurück. Dieser Beitrag ist der erste in der Reihe. Halten Sie also Ausschau nach weiteren Beiträgen.

Der Podcast The Secure Developer ist Teil unserer herstellerneutralen, auf Sicherheitsschulungen ausgerichteten Community. Die Community trifft sich virtuell in unserer Slack-Gruppe und bei virtuellen Veranstaltungen sowie persönlich bei DevSecCon-Veranstaltungen auf der ganzen Welt.

Über unseren Gast

James Kaplan ist Partner bei McKinsey & Company und Co-Leiter der Cybersecurity-Praxis des Unternehmens. Er ist seit 20 Jahren für das Unternehmen tätig und gehört zu den führenden Partnern in dem Bereich, den McKinsey „McKinsey Technology“ nennt. Seine besondere Expertise als Verantwortlicher für die IT-Infrastruktur- und Cybersecurity-Services des Unternehmens prägte die Themen einer kürzlich erschienenen Folge des Podcasts Secure Developer.

In seiner Funktion unterstützt James Unternehmen in verschiedenen Phasen der digitalen Transformation. Diese Einblicke helfen ihm, besser zu verstehen, wie Technologie sowohl das Geschäft als auch die Sicherheit stärken kann – und wo sich beide Bereiche überschneiden.

Er ist überzeugt, dass Cybersicherheit eine geschäftliche und nicht nur eine technische Angelegenheit ist – und wir stimmen ihm zu. Sehen wir uns deshalb an, wo Unternehmen vor Herausforderungen stehen und wie sie eine erfolgreiche Sicherheitstransformation parallel zu einer digitalen Transformation umsetzen können.

Cybersicherheit nach altem Muster: das Ticketing-Problem

Laut James gibt es einige Merkmale, auf die Sie achten sollten, wenn Sie erkennen und verbessern möchten, was er als „Cybersicherheit nach altem Muster“ bezeichnet. Viele Sicherheitssysteme sind vom Geschäftsbetrieb entkoppelt und in Silos organisiert. In solchen Fällen wird Sicherheit nachträglich hinzugefügt, statt von Anfang an in die Geschäftsprozesse integriert zu werden.

James bezeichnet dies als „ticketgesteuertes“ System. Das bedeutet: Wenn das Geschäft oder andere Technologieabteilungen etwas von der Sicherheitsabteilung benötigen, stellen sie eine Anfrage. Irgendwann später bearbeitet das Sicherheitsteam diese Anfrage in Form eines Tickets in einem IT-Service-Management-System.

Das ist aus mehreren Gründen alles andere als ideal:

• Komplexität: Das erhöht die Komplexität der Umgebung. Es führt zu überflüssigen Kontrollen, die Kosten verursachen, die Leistung beeinträchtigen und Kompatibilitätsprobleme hervorrufen können.

• Geschwindigkeit: Es geht langsam voran. Wenn Entwickler ständig Sicherheitsanfragen stellen und dann auf Antworten warten müssen, bremst das das gesamte Unternehmen aus.

• Sicherheitslücken: Wenn Sicherheit nicht in das Geschäftsmodell eingebunden ist, lassen sich die wichtigsten Geschäftsrisiken oft nur schwer mindern und die wertvollsten Ressourcen nur schwer schützen.

Veränderungen stehen bevor

Zum Glück stehen Veränderungen bevor. James beobachtet in der Branche sogar drei Veränderungen auf Makroebene. Sehen wir sie uns an.

Detailliertes und analytisches Risikomanagement

Sicherheitsteams sollten Beziehungen zu den Geschäftsbereichen aufbauen, damit sie klarer erkennen und analysieren können, welche Risiken für das Unternehmen am wichtigsten sind. So können Sicherheitsverantwortliche nachvollziehen und quantifizieren, wo sich die Schwachstellen befinden. Anschließend können sie strukturiert und quantitativ fundierte Entscheidungen darüber treffen, wo sich das Risiko am wirksamsten „reduzieren“ lässt. Ein detaillierter und analytischer Ansatz für das Risikomanagement vereinfacht die Entscheidungsfindung und führt zu besseren Geschäftsergebnissen.

Sicherheit in die Geschäftswertschöpfungskette integrieren

Durch die umfassende Integration von Sicherheit in die Geschäftswertschöpfungskette entstehen die richtigen Verbindungen zwischen Sicherheit, IT, Produktentwicklung, Marketing und Kundenservice. So erhalten Kunden letztlich ein ganzheitliches Erlebnis, das sowohl sicher als auch komfortabel ist.

Dazu sind vier zentrale Maßnahmen erforderlich:

• Den Unternehmenskunden das Sicherheitswertversprechen des Unternehmens vermitteln können.

• Einen integrierten Blick auf potenzielle Sicherheitslücken in Betriebstechnologie und Informationstechnologie einnehmen.

• Die Fähigkeiten aufbauen, um Konfigurationsprobleme und potenzielle Angriffe auf die Betriebstechnologie zu erkennen, die einen Fertigungsprozess steuert.

• Lieferanten dazu befragen, wie sie die Daten eines Unternehmens schützen und ob sie möglicherweise zu Risiken beitragen.

Technologie-Bereitstellung ermöglichen

James spricht sich dafür aus, Sicherheit in agile Bereitstellungsprozesse zu integrieren. Außerdem empfiehlt er, im Scrum-Team eine Person zu bestimmen, die als Security Champion fungiert und sicherstellt, dass wichtige Maßnahmen in die Entwicklungsprozesse eingebunden werden.

Von der Entwicklung von Automatisierungen und Services, mit denen Unternehmen die Cloud sicher nutzen können, bis hin zur Umstellung der Sicherheit selbst von einem ticketgesteuerten auf ein API-gesteuertes Modell: Der digitale Wandel im Sicherheitsbereich sollte die Wahrnehmung verändern – weg von einer bürokratischen Abfolge von Anfragen und Antworten, hin zu hochgradig automatisierten Services für Identitäts- und Zugriffsmanagement.

Weitere Informationen zu Kaplan und der Arbeit seines Teams finden Sie auf der Website von McKinsey. Suchen Sie dort nach McKinsey Technology oder McKinsey Cybersecurity Practice, denn dort werden regelmäßig Beiträge zu den neuesten Erkenntnissen im Bereich Sicherheit veröffentlicht.

Im Podcast The Secure Developer kommen regelmäßig hervorragende Gäste wie James Kaplan zu Wort. Wenn Sie mehr über die verschiedenen Aspekte der Sicherheit erfahren möchten, können Sie der DevSecCon-Community beitreten.