Kommentar: Trends im Attack Surface Management und der Rolle des CISO für 2025

(Artikel vom 10.12.2024) Das Jahr neigt sich dem Ende zu - eine gute Gelegenheit, die Cybersecurity-Entwicklungen und -Trends zu reflektieren. Während Unternehmen ihre Sicherheitsstrategien anpassen, werfen wir einen Blick auf zentrale Fragen zum Attack Surface Management (ASM) und zur Rolle des Chief Information Security Officer (CISO).
Kommentar von Martin Jartelius, CISO bei Outpost24

1. Was wird 2025 im Bereich Attack Surface Management passieren?
Attack Surface Management (ASM) greift ein altes Problem auf: Wenn man nicht weiß, was man besitzt, nutzt oder wovon man abhängig ist, ist es schwierig, dieses zu schützen. ASM fungiert als Detektiv, der Organisationen hilft, ihre Assets zu identifizieren und zu inventarisieren, um diese besser verwalten zu können. Der Schwerpunkt wird 2025 auf der Weiterentwicklung von der bloßen Identifikation von Assets hin zur Risikobewertung und Priorisierung der Risikobeseitigung liegen - ein Bereich, in dem viele Organisationen weiterhin dringend Nachholbedarf haben.
2. Wird die Angriffsfläche 2025 wachsen, schrumpfen oder gleich bleiben?
Die IT-Welt durchläuft eine Art Industrialisierung, bei der Unternehmen zunehmend auf externe Organisationen und standardisierte Technologien angewiesen sind. Während dies zahlreiche Wettbewerbsvorteile bietet, erweitert es auch die potenzielle Angriffsfläche durch Drittanbieter und Plattformen. Diese Entwicklung wird sich fortsetzen, da sie essenziell für den Geschäftserfolg ist - allerdings nur, wenn die damit verbundenen Risiken ebenfalls adressiert werden.
3. Werden unsichere Unternehmens-Chatbots die Angriffsfläche erweitern?
Ja, wenn sie falsch eingesetzt werden, sensible Daten nicht isolieren oder in ungeschützten Netzwerken betrieben werden. Obwohl größere Zwischenfälle selten sein dürften, könnten einzelne Vorfälle peinlich und medienwirksam sein. Unternehmen sollten aus bestehenden Fehlern lernen und neue Technologien nicht leichtfertig einsetzen.
4. Werden wir besser im Management von Angriffsflächen?
Es gibt immer mehr Lösungen auf dem Markt, die sowohl eine effiziente Asset-Erkennung als auch eine fundierte Risikobewertung bieten. Wichtig ist, dass diese Priorisierung durch Bedrohungsinformationen aus realen Vorfällen gestützt wird, sodass Organisationen kollektiv voneinander lernen. Viele Systeme befinden sich weiterhin in einem vernachlässigten Zustand, ein fokussiertes ASM kann dazu beitragen, das Sicherheitsniveau insgesamt zu heben.
5. Worauf wird 2025 das Hauptaugenmerk liegen?
Die größte Herausforderung bleibt die Mobilisierung: Auch wenn Organisationen über ausgereiftere Werkzeuge zur Risikobewertung verfügen, wird es oft an der Priorisierung und effizienten Umsetzung von Gegenmaßnahmen hapern. Dies mindert die Effektivität der Risikominimierung.
6. Wie werden sich die Taktiken der Angreifer 2025 entwickeln?
Angreifer spezialisieren sich zunehmend, was zu besseren Werkzeugen und Taktiken führt, die selbst weniger erfahrenen Akteuren zur Verfügung stehen. Politische Spannungen könnten zudem dazu führen, dass ehemals staatlich entwickelte Tools in die Hände Krimineller gelangen und auf breiter Basis gegen Unternehmen eingesetzt werden.

7. Wird es Fortschritte im Pen-Testing, Red Teaming oder in der Schwachstellenanalyse geben?
Ja, insbesondere durch die Integration moderner Technologien. Red Teams, die realistische Angriffsszenarien auf Basis von Bedrohungsanalysen simulieren, werden weiterhin an Relevanz gewinnen. Zukünftig könnten ASM-Tools die Prozesse von der Erkennung über die Risikobewertung bis hin zum kontinuierlichen Reporting automatisieren. Schwachstellenmanagement sollte eng mit der Entdeckung von Angriffsflächen und der Nutzung relevanter Bedrohungsinformationen verzahnt sein.

Auch der moderne CISO steht mehr denn je im Spannungsfeld zwischen strategischem Risikomanagement und operativer Verantwortung. Im Jahr 2025 wird die Rolle des CISO von mehreren zentralen Trends und Herausforderungen geprägt sein.

1. Was wird 2025 mit CISOs passieren?
CISOs, die als Business Enabler agieren und Veränderungsprozesse sicher und strukturiert begleiten, werden ihre Organisationen nachhaltig prägen. Die Zeiten des "Neinsagers" sind vorbei - der moderne CISO benötigt ein stärker unternehmensorientiertes Mindset. Die NIS-2-Richtlinien mit ihrem Fokus auf Drittanbieter und Lieferkettenmanagement werden die Arbeitsbelastung von CISO-Teams massiv erhöhen. Die Verwaltung dieser Risiken und die Beantwortung zahlreicher Anfragen erfordert einen höheren Grad an Automatisierung und eine stärkere Vernetzung mit Partnern, Kunden und Lieferanten.
2. Werden Sicherheitsbudgets 2025 steigen, sinken oder gleich bleiben?
Sicherheitsbudgets folgen oft der allgemeinen Wirtschaftslage. Investitionen in Lösungen, die sowohl die Produktivität als auch die Effizienz steigern, werden Priorität haben. Lösungen, die keine unmittelbare Produktivitätssteigerung bieten, könnten hingegen unter Sparmaßnahmen leiden.
3. Sollten mehr CISOs in der Unternehmensführung vertreten sein?
Das hängt davon ab, wie die Organisation Risikomanagement definiert. CISOs, die Risiken strategisch managen und optimieren, gehören in die Führungsebene. Operativ ausgerichtete CISOs hingegen berichten ihre Ergebnisse meist über andere Kanäle.
4. Wird der Ansatz "Security by Resilience" die Prioritäten von CISOs beeinflussen?
Ja, die zunehmende Bedrohung durch Destabilisierung - sei es durch staatliche oder private Akteure - macht Resilienz zu einem zentralen Element der Sicherheitsstrategie. Ziel ist es, die Auswirkungen von Vorfällen zu minimieren und die Geschäftskontinuität zu gewährleisten.

(Die Bildrechte liegen bei dem Verfasser der Mitteilung.)

---