Angesichts immer restriktiverer Compliance-Vorgaben, der Zunahme von Cyber-Bedrohungen und der wachsenden Abhängigkeit von Cloud-Technologien ist die IT- und Datensicherheit zu einer kritischen Dimension der IT-Strategie geworden. Unternehmen sehen sich heute mit einer Vielzahl von Herausforderungen konfrontiert, die mitunter kritische Auswirkungen auf den Geschäftsbetrieb und den langfristigen Unternehmenserfolg haben können. Um dies zu vermeiden, wird die GAP-Analyse für immer mehr Unternehmen zu einem unverzichtbaren Instrument, um potenzielle Sicherheitsrisiken zu identifizieren und gezielt zu beheben. Warum eine GAP-Analyse auch bei kleinen und mittelständischen Unternehmen zum Standard gehören sollte und welche Risikobereiche damit abgedeckt werden, erläutert Viviane Sturm, IT-Security Consultant bei dem Braunschweiger IT-Systemhaus Netzlink Informationstechnik.
„Durch die Verwendung der Ergebnisse der GAP-Analyse als Roadmap verfügen Unternehmen über einen strategischen Plan, der sich an Branchenstandards und behördlichen Anforderungen orientiert und gleichzeitig kontinuierlich nach einer stärkeren IT-Sicherheit strebt – quasi als eine Art kontinuierlicher Verbesserungsprozess bei der IT-Sicherheit“, so Viviane Sturm.
Was ist Gegenstand einer GAP-Analyse im Bereich IT-Security?
Im Rahmen einer GAP-Analyse können Unternehmen ihre aktuellen IT-Sicherheitsmaßnahmen bewerten und etwaige Lücken identifizieren, z. B. im Hinblick auf umgesetzte technische und organisatorische Maßnahmen, Prozesse oder Dokumentationen. Dazu gehört der Vergleich des bestehenden Sicherheitsprotokolls mit branchenüblichen Best Practices und Standards (etwa Empfehlungen des BSI, Standards nach ISO 2700X) sowie behördlichen Anforderungen, um ein klares Bild davon zu erhalten, wo das Unternehmen in puncto Sicherheit Defizite aufweist. Mithilfe der GAP-Analyse gewinnen Unternehmen wertvolle Erkenntnisse über potenzielle Risiken, denen sie möglicherweise ausgesetzt sind, und können so wirksame Strategien zur Minderung dieser Risiken entwickeln.
Häufige Defizite in kleinen und mittelständischen Unternehmen liegen vor allem in unklaren bzw. nicht definierten Prozessen und Verfahren, in der mangelnden Dokumentationen (z. B. Notfallhandbücher sind nicht vorhanden) oder im Nichtvorhandensein oder mangelnden grundlegenden Sicherheitsmaßnahmen (wie etwa Zwei-Faktor-Authentifizierung). „Ein wichtiger Aspekt der GAP-Analyse ist ihr proaktiver Charakter. Anstatt darauf zu warten, dass eine Sicherheitsverletzung oder ein Sicherheitsvorfall auftritt, ergreifen Unternehmen damit die Initiative und führen regelmäßige Bewertungen durch, etwa nach der Integration neuer Systeme, um etwaige Sicherheitsmängel in ihrer IT-Infrastruktur oder den Prozessen zu identifizieren. Dies ermöglicht es ihnen, potenziellen Bedrohungen immer einen Schritt voraus zu sein und fundierte Entscheidungen zu treffen, wenn es um Prioritäten und die Zuweisung von Ressourcen zur Verbesserung der Sicherheitsmaßnahmen geht“, führt Viviane Sturm aus. „Unser Verständnis einer GAP-Analyse geht aber über die bloße Identifizierung von Schwachstellen hinaus: Der Schwerpunkt sollte vor allem auf der Ableitung und Beschreibung spezifischer Maßnahmen liegen, die erforderlich sind, um diese Lücken wirksam und dauerhaft zu schließen. Organisationen können diese Maßnahmen dann basierend auf dem Risikoniveau, dem Aufwand und den verfügbaren Ressourcen priorisieren. Durch die Verwendung der Ergebnisse der GAP-Analyse als Roadmap verfügen Unternehmen über einen strategischen Plan, der sich an Branchenstandards und behördlichen Anforderungen orientiert und gleichzeitig kontinuierlich nach einer stärkeren IT-Sicherheit strebt – quasi als eine Art kontinuierlicher Verbesserungsprozess bei der IT-Sicherheit.“
Vorgehen bei einer GAP-Analyse
Der erste Schritt bei der Durchführung einer GAP-Analyse besteht darin, gemeinsam mit dem Informationssicherheitsbeauftragen (oder dem IT-Verantwortlichen) den Umfang und die Ziele der Bewertung zu definieren. Dazu gehört die Festlegung, welche Bereiche der IT-Sicherheit bewertet werden, beispielsweise die Netzwerkinfrastruktur, Zutritts- und Zugangskontrolle, Datenschutzdokumentation, Dokumentationen, Prozesse, mobile Geräte oder Schulungsverfahren für Mitarbeitende. Im nächsten Schritt werden relevante Daten gesammelt, indem eine umfassende Überprüfung der festgelegten Bereiche, IT-Systeme, Richtlinien und Praktiken durchgeführt wird. Dies kann etwa die Überprüfung von Reaktionsplänen für Vorfälle oder die Prüfung von Sensibilisierungsprogrammen für das Personal umfassen. Sobald alle notwendigen Daten gesammelt und analysiert wurden, werden nun etwaige Lücken zwischen den aktuellen Sicherheitsmaßnahmen und dem gewünschten Niveau identifiziert. Diese Lücken können durch die Verwendung veralteter oder unzureichender Technologien, durch mangelndes Know-how oder durch Inkonsistenzen bei der Durchsetzung von Richtlinien im gesamten Unternehmen entstehen.
Die GAP-Analyse steht meist am Anfang weiterer Maßnahmen. Sobald der SOLL-/IST-Vergleich abgeschlossen wurde, können gezielt weitere Maßnahmen umgesetzt werden. Dies kann vom Notfallhandbuch über Schulungen von Mitarbeitenden bis zum Aufbau von einem Information Security Management System alles sein – je nachdem, was zum Unternehmen und den Compliance-/Governance-Anforderungen passt. Ob restriktivere Firewall-Konfigurationen, die Absicherung des Active-Directories oder die Etablierung eines externen Informationssicherheitsbeauftragten, bei Netzlink unterstützen dedizierte Fachteams die Umsetzung der jeweiligen Maßnahmen.
Technologische und menschliche Schwachstellen beseitigen
„Ein weiterer wichtiger Aspekt der IT-Sicherheit, der immer noch von vielen Unternehmen übersehen wird, ist der „Faktor Mensch“. Während Investitionen in die neuesten Cybersicherheitstools und -technologien unerlässlich sind, ist es ebenso wichtig, die Mitarbeitenden über Cyber-Bedrohungen und Best Practices für sicheres Online-Verhalten sowie die Aufrechterhaltung einer sicheren IT-Umgebung zu informieren. Dazu gehört die Schulung in der Erkennung von Phishing-E-Mails, der Verwendung sicherer Passwörter und der ordnungsgemäßen Verarbeitung und Nutzung von Daten. Durch die Bereitstellung von Schulungen oder Workshops können Unternehmen ihren Mitarbeitenden das Wissen und die Fähigkeiten vermitteln, die sie benötigen, um potenzielle Sicherheitsrisiken zu erkennen und effektiv darauf zu reagieren. Darüber hinaus kann die Durchführung simulierter Phishing-Übungen dazu beitragen, die Wachsamkeit der Mitarbeitenden zu testen und zu unterstreichen, wie wichtig der Umgang mit vertraulichen Informationen ist. Durch die Befähigung von Mitarbeitenden, proaktive Hüter der Unternehmensdaten zu werden, können Unternehmen eine Kultur des Sicherheitsbewusstseins schaffen, die als zusätzlicher Schutz vor potenziellen Cyber-Bedrohungen dient“, betont Viviane Sturm.
Außenwirkung von GAP-Analysen oft unterschätzt
Durch die Priorisierung der IT-Sicherheit durch GAP-Analysen ermöglichen Unternehmen, ihren aktuellen Grad der Einhaltung relevanter Vorschriften durch externe Experten zu bewerten sowie alle Bereiche zu identifizieren, in denen Verbesserungen vorgenommen werden müssen. Das proaktive Vorgehen trägt nicht nur zum Schutz sensibler Daten bei, sondern dokumentiert auch das Engagement zum Schutz der Daten, Interessen und Vermögenswerte gegenüber Kunden, Partnern und anderen Stakeholdern. Dies ist ein immer wichtigerer Aspekt im digitalen Zeitalter, in dem Datenschutzverletzungen allzu häufig vorkommen.
Mit Cyber-Bedrohungen Schritt halten
Die GAP-Analyse ist üblicherweise eine Beratungsleistung, die einmalig durchgeführt und auch abgerechnet wird. Jedoch sollten Unternehmen GAP-Analysen in regelmäßigen Abständen wiederholen (z. B. einmal jährlich), um Veränderungen in der Infrastruktur und IT-Sicherheit zu überprüfen sowie die Umsetzung der Maßnahmen als Nachweis für Stakeholder zu belegen. „Da sich Technologien und Cyber-Bedrohungen ständig weiterentwickeln, reicht es nicht aus, Sicherheitslücken nur einmal zu schließen. Es erfordert ständige Anstrengungen zur Anpassung und Stärkung der Abwehrkräfte“, so Viviane Sturm weiter. „Letztlich zahlt sich die Investition in eine regelmäßige Überprüfung durch geringere finanzielle Verluste durch potenzielle Verstöße oder Betriebsunterbrechungen aufgrund von Sicherheitsvorfällen aus. In der heutigen digitalen Landschaft ist Wachsamkeit der Schlüssel zur Sicherung des langfristigen Erfolgs und Überlebens jedes Unternehmens, das auf über Technologie gesteuerte Prozesse angewiesen ist.“
Die regelmäßige Überprüfung der Systeme, die Durchführung von Penetrationstests und die ständige Aktualisierung neuer Bedrohungen sind ebenfalls entscheidende Elemente für die Aufrechterhaltung einer starken IT-Sicherheitslage (z. B. für KRITIS-Unternehmen). Das ist wichtig, um mit den sich entwickelnden Risiken in der heutigen digitalen Landschaft Schritt zu halten. Letztlich versetzt die Implementierung eines fortlaufenden Zyklus von GAP-Analysen Unternehmen in die Lage, ihre Sicherheitsmaßnahmen kontinuierlich neu zu bewerten und sich effektiv an sich entwickelnde Cyberrisiken anzupassen.
