Vorhersage der Cyber-Resilienz einer Organisation durch Emulation der Geschäftsprozesse und des Laufzeitverhaltens von IT/OT-Infrastrukturen

Cyber-Resilienz ist ein entscheidender Faktor für die Widerstandsfähigkeit einer Organisation im Bereich der IT/OT-Sicherheit und beschreibt ihre Fähigkeit, IT/OT-Störungen zu widerstehen und sich davon zu erholen. Ein weit verbreiteter Ansatz zur Messung der Cyber-Resilienz sind Cyber-Resilienz-Metriken. Deren Datenbasis beschränkt sich nicht nur auf die Erfassung sicherheitskritischer Vorfälle in der IT/OT-Infrastruktur, sondern umfasst auch die organisatorische Prozessebene sowie die dahinter liegenden Abläufe beim Auftreten sicherheitsrelevanter Ereignisse im Unternehmen. Eine umfassende Aussage zur Cyber-Resilienz ist erst nachgelagert möglich, da sie direkt abhängig von der Verfügbarkeit ausreichend qualitativer Daten über einen längeren Zeitraum ist. Dazu zählen unter anderem der Umgang einer Organisation mit Sicherheitsmeldungen, die Durchführung von Patchprozessen, das Auftreten von Cyber-Angriffen sowie die Reaktion auf derartige Sicherheitsvorfälle. Fehlt diese Datenbasis, kann eine Aussage zur Cyber-Resilienz nicht oder nur eingeschränkt getroffen werden.
In diesem Beitrag wird ein modellbasierter Ansatz vorgestellt, der es ermöglicht, ohne langfristige Datenerfassung eine qualitative Aussage über die Cyber-Resilienz einer Organisation und ihrer IT/OT-Infrastruktur zu treffen. Dabei werden neben der technischen Infrastrukturebene auch alle relevanten organisatorischen Prozessschritte abgebildet. In dieser Umgebung können unterschiedliche Ereignisse und deren Auswirkungen auf die Cyber-Resilienz über verschiedene Zeiträume emuliert werden. Sie ermöglicht die Einbindung von Cyber-Resilienz-Metriken mit Bezug zu den organisatorischen Geschäftsprozessen. Darüber hinaus können ereignisbasierte Cyber-Resilienz-Metriken präventiv eingesetzt werden, da ihre Abhängigkeit von tatsächlichen IT-Sicherheitsvorfällen entfällt. Dies führt zu einer Vorhersagefähigkeit der Cyber-Resilienz für eine Organisation.