Das Überleben von Unternehmen ist entscheidend. Dies umfasst Bedrohungen des Unternehmensrufs, darunter Angriffe von intern und extern, Diebstahl/Verlust, unsichere Richtlinien, Betrug usw., die zu Identitätsdiebstahl/Offenlegung führen können. Beispielsweise veröffentlichte LulzSec Benutzernamen und Passwörter, die das Unternehmen durch Cyberangriffe von Sony gestohlen hatte. Viele Unternehmen und Institutionen erleben zudem Vergeltungsmaßnahmen von entlassenen Mitarbeitern oder Angestellten, die ihre Vorgesetzten nicht mögen oder gar hassen. Schließlich sind Unternehmen verpflichtet, die gesetzlichen Bestimmungen einzuhalten, darunter zwingende Gesetze und Verordnungen wie das LOPD-RMS (Organisches Datenschutzgesetz, Verordnung über Sicherheitsmaßnahmen zum Schutz vor dem Diebstahl personenbezogener Daten), PCI-DSSv2 (für elektronische Transaktionen), HIPAA, GLBA, SOX (Sarbanes-Oxley Act, Unabhängigkeit der Wirtschaftsprüfer) usw. Es zeigt sich, dass manche Unternehmen lieber Bußgelder zahlen, als die technischen Anforderungen professionell umzusetzen, die ihnen die Einhaltung der Vorschriften ermöglichen. Diese Versäumnisse können sich auf verbundene Dritte (Geschäftspartner) auswirken, die die Gesetze und Verordnungen einhalten. (2) Schattenwirtschaft.
Laut dem Symantec Norton Report 2011 verursachen Cyberkriminalitätsfälle der organisierten Kriminalität höhere Kosten als der Drogenhandel. Botnetze wie Zeus, die Spam und Phishing kombinieren, können bis zu 9,4 Millionen US-Dollar einbringen (Clusif, 2011). Weitere Bereiche sind Pornografie und Cyberkriminalität. Im Jahr 2011 gab es weltweit 431 Millionen Opfer, die einen Umsatz von 114 Milliarden US-Dollar generierten (Symantec, 2011). (3) Cyberkriegsführung. Dazu gehören Angriffe auf kritische Infrastrukturen und Industrieanlagen. Beispiele hierfür sind der Stuxnet-Wurm, eine Bedrohung für iranische Atomanlagen; der mutmaßliche chinesische Angriff auf G20-Dateien in Paris (BBC, 2011); und der Angriff von Black Spook und iranischen Hackern auf DigiNotar, bei dem über 200 gefälschte Zertifikate von DigiNotars Zertifizierungsstellen erbeutet wurden (F-Secure, 2011). (4) Hacker-Aktivisten. Dies sind Personen, die Mitgliedern bestimmter Protestgruppen angehören. Sie können als gefährlich eingestuft werden, da einige ihrer Aktionen Cyberkriminalität darstellen könnten und Regierungen ihren zivilen Ungehorsam fürchten. Beispiele hierfür sind: WikiLeaks (die Informationen an die Medien weitergeben), die Anonymous-Gruppe, die ihrer Ansicht nach ungerechte Handlungen verteidigt, indem sie DDoS-Angriffe gegen Websites wie PayPal, Amazon, Visa/Mastercard (Operation Payback), Twitter, die tunesische Regierung (gegen Zensur) und die US-Regierung (wegen des SOPA-Gesetzes) durchführt, sowie die LulzSec-Gruppe (die die CIA-Website mit DDoS-Angriffen attackiert und Passwörter von Sony (mittels SQL-Injection), Nintendo, X-Factor usw. stiehlt).
Wirtschaftliche Machbarkeit.
Ein Ansatz, der bei der Implementierung von Informationsschutzmaßnahmen und -kontrollen angewendet werden kann, ist die Prüfung der wirtschaftlichen Machbarkeit. Diese beginnt mit der Bewertung des Wertes der zu schützenden Informationswerte und des potenziellen Wertverlusts bei Gefährdung ihrer Sicherheit und Vertraulichkeit. Es liegt auf der Hand, dass jedes Unternehmen oder jede Organisation mehr in den Schutz seiner wertvollsten Werte investieren sollte. Das formale Verfahren heißt Kosten-Nutzen-Analyse (KNA) und ermöglicht die quantitative Berechnung der wirtschaftlichen Machbarkeit. Zu den Kostenfaktoren einer Kontrollmaßnahme oder Schutzmaßnahme gehören: (i) Entwicklungs- oder Anschaffungskosten, (ii) Schulungskosten, (iii) Implementierungskosten, (iv) Servicekosten und (v) Wartungs- und Aktualisierungskosten. Der Nutzen ist der Wert, den das Unternehmen durch den Einsatz der Kontrollmaßnahmen zur Vermeidung von Verlusten aufgrund einer spezifischen Schwachstelle oder Bedrohung erzielt. Dieser Nutzen wird typischerweise ermittelt, indem die Gesamtheit der gefährdeten Informationswerte bewertet und anschließend ihr Wert im Risikofall bestimmt wird. Die Bewertung von Vermögenswerten ist der Prozess der Zuordnung eines finanziellen Wertes zu jedem Informationswert. Die Bewertung von Vermögenswerten umfasst die Schätzung der tatsächlichen und erwarteten Kosten für Design, Entwicklung, Installation, Wartung, Schutz, Wiederherstellung und die Abwehr von Marktverlusten für jeden Satz von Informationswerten und den zugehörigen Systemen. Die Bewertung von Vermögenswerten besteht aus vielen Komponenten. Sobald der Wert der verschiedenen Vermögenswerte geschätzt wurde, wird das Verlustpotenzial aufgrund von Schwachstellen oder Bedrohungen untersucht. Dieser Prozess liefert eine Schätzung des potenziellen Verlusts pro Risiko. Wichtige Fragen in dieser Phase sind: Welcher Schaden könnte entstehen und welche finanziellen Auswirkungen hätte er? Welche Kosten entstünden für die Wiederherstellung nach einem Angriff, zusätzlich zu den oben genannten Kosten? Wie hoch ist der erwartete Einzelverlust (Single Loss Expectancy, SLE) für jedes Risiko? Der erwartete Verlustwert oder der jährliche Verlusterwartungswert (Annualized Loss Expectancy, ALE) kann wie folgt berechnet werden: ALE = SLE x ARO, d. h. das Produkt aus SLE und ARO (Annualized Rate of Occurrence). Der SLE ergibt sich aus: SLE = Vermögenswert x EF, d. h. Multiplikation des Vermögenswerts mit dem Expositionsfaktor (EF). ARO steht für die Häufigkeit (wie oft) eines bestimmten Angriffstyps pro Jahr zu erwarten ist. SLE berechnet den Wert des wahrscheinlichsten Schadens durch einen Angriff. EF gibt den prozentualen Schaden an, der bei Ausnutzung einer bestimmten Schwachstelle entstehen würde (selbst wenn diese versteckt ist; beispielsweise könnte eine schwer erkennbare Portnummer unbemerkten Zugriff auf einen Server ermöglichen oder ein Debug-Modus in einer Anwendung für verdeckten Zugriff sorgen; Abhilfe schafft eine Code-Überprüfung). Die Kosten-Nutzen-Analyse (CBA) ermöglicht es Ihnen zu ermitteln, ob die zu bewertende Sicherheitsmaßnahme im Verhältnis zu den Kosten für die Behebung der bestehenden Schwachstelle wirtschaftlich ist. Die Wirtschaftlichkeit, auch bekannt als ANB (Annualized Net Benefit) oder CBA, lässt sich aus dem ALE (Annualized Loss Expectancy) berechnen, indem man den ALE-nachher vom ALE-vorher und den ACS abzieht: ANB = CBA = (ALE-vorher – ALE-nachher – ACS). Dabei repräsentiert der ALE-vorher den ALE des Risikos vor der Implementierung des Kontroll- oder Schutzsystems. Der ALE-nachher stellt den ALE dar, der nach einer gewissen Nutzungsdauer des Kontroll- oder Schutzsystems berechnet wird. Die jährlichen Kosten der Schutzmaßnahme (ACS) berechnen sich wie folgt: ACS = ((Kosten der Schutzmaßnahme / Nutzungsdauer in Jahren) + jährliche Wartungskosten). Dies geschieht durch Addition der jährlichen Wartungskosten zum Quotienten aus den Kosten der Schutzmaßnahme und der Nutzungsdauer in Jahren. Ist der ANB positiv, ist die zu bewertende Schutzmaßnahme wirtschaftlich; ist er negativ, ist sie es nicht.
Bei einem primären E-Commerce-Webserver (im Wert von 6.000 €) kann die Sicherheit beeinträchtigt werden, wodurch der Server nicht mehr erreichbar ist. Bei einem Fehlerrisiko (EF) von 75 % ergeben sich folgende Kosten: SLE = 6.000 € x 0,75 = 4.500 €. Dies entspricht den Kosten für den Ausfall einer einzelnen Website-Instanz. ARO ist die geschätzte Häufigkeit des Auftretens dieses Ereignisses. Geht man von drei Ereignissen pro Jahr aus (basierend auf bekannten und dokumentierten Schwachstellen und Bedrohungen für diesen Servertyp), berechnen sich die Gesamtkosten (ALE) als Produkt aus SLE und ARO. In diesem Fall beträgt das Ergebnis 13.500 €.
Eine alternative Strategie zur Kosten-Nutzen-Analyse (die den finanziellen Wert von Informationsressourcen nutzt) ist das Benchmarking. Dabei werden ähnliche Unternehmen oder Institutionen hinsichtlich ihres Geschäftsmodells und ihres Schutzniveaus analysiert, um festzustellen, welche Maßnahmen sie zum Schutz ihrer Ressourcen ergreifen. Beim Benchmarking sollten Unternehmen folgende Kennzahlen verwenden: (i) Kennzahlenbasierte Kennzahlen, die Vergleiche anhand numerischer Standards ermöglichen. (ii) Prozessbasierte Kennzahlen, die die zur Zielerreichung durchgeführten Aktivitäten untersuchen, anstatt die Details der Zielerreichung zu analysieren.
Bedrohungskategorien. Sprungrate. Risikoexposition.
Einige Bedrohungskategorien sind: (1) DoS/DDoS-Angriffe. (2) Eindringen in externe Systeme (z. B. Ausnutzung von Datenbank-Schwachstellen mittels SQL-Injection-Angriffen). (3) Sabotage auf Datenebene. (4) Diebstahl/Verlust von Informationen über geistiges/gewerbliches Eigentum (mittels Spyware, Ausnutzung von DNS-Schwachstellen oder Manipulation des ARP-Caches). (5) Unbefugter Zugriff durch interne Stellen. (6) Malware, Viren, Würmer, Trojaner, Spam, Pharming, Phishing, Keylogger und Dialer. (7) Passives (Sniffer) und aktives (MITM) Abhören. (8) Missbrauch von Ressourcen (unbeabsichtigt oder vorsätzlich). (9) Naturkatastrophen (Erdbeben, Überschwemmungen usw.) oder von Menschen verursachte Ereignisse (Bombenanschläge, Brandstiftung). (10) Zufälliger oder vorsätzlicher Ausfall von Strom, Hardware, Netzwerk usw.
Betrachten wir das Unternehmen NZPQ, das derzeit eine Wahrscheinlichkeit von 60 % für einen Sicherheitsvorfall der Kategorie A und eine Wahrscheinlichkeit von 30 % für einen Vorfall der Kategorie B aufweist. Ermitteln Sie das Risiko in Prozent, wenn keine Schutzmaßnahmen oder Risikominderungsmaßnahmen implementiert werden. In diesem Fall beträgt das Basisrisiko für Kategorie A 60 % und für Kategorie B 30 %. Die Sicherheitsmarge ergibt sich somit aus der Multiplikation von (1 - 60 %) mit (1 - 30 %), was 28 % entspricht. Das Risiko ohne Sicherheitsmaßnahmen ergibt sich demnach aus der Subtraktion von (1 - Sicherheitsmarge) und beträgt 72 %. Angenommen, das Unternehmen implementiert Maßnahmen zur Minderung von Vorfällen der Kategorien A und B; ermitteln Sie die resultierende Risikomarge. Nehmen wir an, die Sicherheitslösung zur Abwehr von Vorfällen des Typs A ist hocheffizient und weist eine Umgehungsrate von 5 % auf (die Umgehungsrate einer Sicherheitslösung oder Schutzmaßnahme ist die Wahrscheinlichkeit, dass ein Angriff tatsächlich Schaden für das Unternehmen verursacht; d. h. die Wahrscheinlichkeit, dass ein Angriff eine Sicherheitslösung umgeht oder durchdringt und dem Unternehmen Schaden zufügt. Jede Sicherheitslösung hat für jeden Vorfallstyp eine Umgehungsrate; eine Umgehungsrate von 100 % bedeutet, dass die Sicherheitslösung keine Vorfälle dieses Typs verhindert). Im Gegensatz dazu ist die Sicherheitslösung zur Abwehr von Vorfällen des Typs B mit einer Umgehungsrate von 70 % weniger effektiv. Wir beginnen mit der Ermittlung des Restrisikos für Vorfälle des Typs A, indem wir das Basisrisiko von 60 % mit der Umgehungsrate von 5 % multiplizieren, was 3 % ergibt. Wir ermitteln das Restrisiko für Vorfälle des Typs B, indem wir das Basisrisiko von 30 % mit der Umgehungsrate von 70 % multiplizieren, was 21 % ergibt. Die Sicherheitsmarge ergibt sich aus dem Produkt von (1 – 3 %) und (1 – 21 %), also 77 %. Das Expositionsrisiko beträgt daher (1 – 77 %), also 23 %.
Betrachten wir das Unternehmen NZPQ, das pro Sicherheitsvorfall der Kategorie A 50.000 € verliert, wobei jährlich zehn solcher Vorfälle auftreten. Ebenso verliert das Unternehmen pro Sicherheitsvorfall der Kategorie B 100.000 €, wobei jährlich zwei solcher Vorfälle auftreten. Der jährliche Verlust für Vorfälle der Kategorie A beträgt somit 500.000 € (50.000 € multipliziert mit zehn), und der jährliche Verlust für Vorfälle der Kategorie B beträgt 200.000 € (100.000 € multipliziert mit zwei). Die Basiskosten für Vorfälle der Kategorie A ergeben sich aus der Multiplikation des jährlichen Verlusts (500.000 €) mit dem Basisrisiko (60 %), was 300.000 € ergibt. Die Restkosten für Vorfälle der Kategorie A ergeben sich aus der Multiplikation des jährlichen Verlusts (500.000 €) mit dem Restrisiko (3 %), was 15.000 € ergibt. Die Basiskosten für Ereignisse der Kategorie B ergeben sich aus der Multiplikation des jährlichen Schadens (200.000 €) mit dem Basisrisiko (30 %) und betragen somit 60.000 €. Die Restkosten für Ereignisse der Kategorie B ergeben sich aus der Multiplikation des jährlichen Schadens (200.000 €) mit dem Restrisiko (21 %) und betragen somit 42.000 €.
Der materielle Nutzen der Minderung von Vorfällen der Kategorie A berechnet sich, indem die Restkosten für Vorfälle der Kategorie A (15.000 €) von den Basiskosten für Vorfälle der Kategorie A (300.000 €) abgezogen werden. Dies ergibt 285.000 €. Der materielle Nutzen der Minderung von Vorfällen der Kategorie B berechnet sich, indem die Restkosten für Vorfälle der Kategorie B (42.000 €) von den Basiskosten für Vorfälle der Kategorie B (60.000 €) abgezogen werden. Dies ergibt 18.000 €. Erhält das Unternehmen von einem Verband eine Prämie in Höhe von 50.000 € für die Aufrechterhaltung des Schutzes vor Vorfällen der Kategorie A, so beträgt der immaterielle Nutzen der Minderung von Vorfällen der Kategorie A 50.000 €. Der immaterielle Nutzen der Minderung von Vorfällen der Kategorie B beträgt null. In diesem Fall ergeben sich die Gesamtvorteile aus der Addition der materiellen und immateriellen Vorteile für alle Ereigniskategorien, d.h.: 285.000 + 18.000 + 50.000 + 0 = 353.000 Euro.
Schlussbetrachtungen
Unsere Forschungsgruppe beschäftigt sich seit über fünfzehn Jahren mit der Wirtschaftlichkeitsanalyse des Einsatzes und der Implementierung von Schutzmechanismen, Diensten und Ökosystemen für Informationssicherheit in verschiedenen gesellschaftlichen Bereichen, darunter Wirtschaft, IT und Netzwerktechnik.
Dieser Artikel ist Teil der Aktivitäten des LEFIS-Themennetzwerks.
Literaturverzeichnis
– Areitio, J. „Information Security: Networks, Computing and Information Systems“. Cengage Learning-Paraninfo. 2012.
– Areitio, J. „Evolution of Threats and Trends in Network Security in the Web Context“. Conectrónica Magazine. Nr. 142. November
– Areitio, J. „Identification and Analysis of Web Application Protection“. Conectrónica Magazine. Nr. 143. Januar 2011.
– Schneier, B. „Economics of Information Security and Privacy“. Springer. 2011.
– Nicastro, FM „Security Patch Management“. CRC Press. 2011.
– Norman, TL „Risk Analysis and Security Countermeasure Selection“. CRC Press. 2009.
Autor:
Prof. Dr. Javier Areitio Bertolín – E-Mail:
Professor an der Fakultät für Ingenieurwissenschaften. ESIDE.
Leiter der Forschungsgruppe Netzwerke und Systeme. Universität Deusto.
