Der Begriff Resilienz

Der Begriff Resilienz  wird häufig verwendet, um die Widerstandsfähigkeit von Infrastruktur-Teilen gegenüber Angriffen zu beschreiben. Ziel eines Resilienz-Wertes ist die Güte der Widerstandsfähigkeit in einem Messwert festzuhalten. Dabei gibt es bisher noch keinen einheitlichen Messwert für die Resilienz. Einen Ansatz hat die Königlich Technische Hochschule in Stockholm mit dem Wert time to compromise etabliert. Dieser gibt an, wie lange ein Angreifer statistisch gesehen benötigt, um ein System zu korrumpieren, also zu übernehmen.

Der Vorteil eines solchen Messwertes ist, dass sowohl die Widerstandsfähigkeit von verschiedenen Systemen innerhalb der Systemlandschaft verglichen werden können. Darüber hinaus kann die Resilienz auch im zeitlichen Verlauf dargestellt werden. So lässt sich identifizieren, welche Änderungen der Systemlandschaft zu welchen Unterschieden innerhalb der Informations-Sicherheit geführt haben.

Erscheint der statistische Ansatz zu Beginn ggfs. etwas abstrakt, hat er einen eindeutigen Vorteil, gegenüber anderen Messmethoden. Der Wert lässt nicht nur den Vergleich innerhalb einer Systemlandschaft sondern auch den Vergleich verschiedener Systemlandschaften unter einander zu, so lange die Messmethodik identisch ist. Diese Herangehensweise objektiviert die Risikoeinschätzung für Systeme nicht nur, sondern macht Sie auch reproduzierbar. Das ist besonders dort wichtig, wo das Messen von Resilienz vorgeschrieben wird.

In welchen Bereichen kommt Resilienz in der Regel vor?

Die Feststellung von Resilienz und das Schlüpfen von Informations-Sicherheits-Verantwortlichen in die Angreifer-Perspektive wird zunehmend vorgeschrieben. Der Grund dafür ist, dass ein Resilienz-Wert etwas erlaubt, das in anderen Bereichen längst gängige Praxis ist. Nämlich den Zustandsvergleich mit anderen.

Unternehmen

Deshalb ist die Resilienz als Bestandteil der Informations-Sicherheit grundsätzlich für alle Unternehmens-Arten geeignet. Denn Unternehmen sorgen sich grundsätzlich um die Widerstandsfähigkeit am Markt, im Kapitalbereich sowie bei der Unternehmens-Entwicklung.

Dabei werden in der Regel Kennzahlen entwickelt, die den aktuellen Zustand beschreiben und Trendanalyse sowie Rückblick zulassen.

Geht es um die Budget-Planung und Weiterentwicklung von Informations-Sicherheit im eigenen Unternehmen, so eröffnet der Resilienz-Wert eine Vergleichsbasis für zukünftige Investitionsentscheidungen.

Banken- und Finanzbranche

Das kennt man beispielsweise aus dem Banken-Bereich. Hier wird auf europäischer sowie auf nationaler Ebene ein Stresstest für Banken gefordert, der die Resilienz bei der Kapitalausstattung zeigt. Auch im Bereich Informations-Sicherheit ist der Banken-Bereich richtungsweisend und schreibt unter dem Begriff Threat Intelligence-based Ethical Red Teaming (TIBER) die Informations-Sicherheitsbetrachtung aus der Angreifer-Perspektive vor. In der europäischen Umsetzung TIBER-EU, sowie in der nationalen Umsetzung TIBER-DE hält somit der Begriff Cyber-Resilienz im Bankensektor Einzug. Da Banken ein attraktives Ziel für Angreifer und Hacker sind, fasst Cyber-Resilienz die Widerstandsfähigkeit von Banken gegenüber Cyber-Attacken zusammen.