News und Produkte

Für die Exabeam Cybersecurity Professionals Salary, Skills and Stress Survey 2019 wurden im September weltweit 479 Sicherheitsexperten befragt. Neben Fragen zur Entwicklung der Gehälter, Bildungsniveau, Arbeitszufriedenheit und Einstellung zu neuer Technologie waren dieses Jahr erstmals die Themen Work-Life-Balance und Stress am Arbeitsplatz Teil der Umfrage. Die Durchschnittsgehälter, die im globalen Durchschnitt zwischen 75.000 und 100.000 US-$ lagen, zeigten sich unverändert gegenüber 2018 – etwa die Hälfte (53 %) der Befragten gab an, mit ihrem Gehalt zufrieden zu sein. Der Umfrage zufolge sind die Gehälter in Nordamerika, Asien und im Mittleren Osten am höchsten – am meisten wird in den Branchen Fertigung, Energie und Gesundheit bezahlt. Im Großen und Ganzen scheinen IT-Security-Profis weiterhin mit ihrem Job zufrieden zu sein: 71 % (2018: 83 %) gaben an, dass sie mit ihren Aufgaben und Verantwortlichkeiten „zufrieden“ (46 %) oder „sehr zufrieden“ (25 %) sind. Dennoch suchen 40 % der Befragten aktiv nach einem neuen Job – mehr als die Hälfte dieser Teilstichprobe gab schlechte Bezahlung und zu wenig Unterstützung durch die Führungspositionen als Gründe für einen geplanten Wechsel an.

Darüber hinaus hat ein erheblicher Teil der Angestellten in der ITSecurity mit Stress zu kämpfen: 62 % gaben an, dass ihre Jobs „stressig“ oder „sehr stressig“ sind – 44 % haben nicht das Gefühl, dass sie eine ausgewogene oder sehr ausgewogene Work-Life-Balance erreichen können. Dem steht interessanterweise gegenüber, dass für 58 % ein herausforderndes Arbeitsumfeld der lohnendste Aspekt ihres Jobs ist – der meistkritisierte Umstand waren beschränkte Aufstiegsmöglichkeiten (36%). Frustration durch Kollegen ist übrigens keineswegs die Regel, sondern bei jeweils grob einem Drittel der Befragten eher häufig, eher selten oder „weder noch“ anzutreffen (vgl. Abb.).

Die vollständigen Ergebnisse der Studie sind über www.exabeam. com/library/2019-cybersecurity-professionals-salary-skills-and-stress-survey/ als 47-seitiges PDF in englischer Sprache kostenlos verfügbar (Registrierung erforderlich). (www.exabeam.com)

Weniger Einfluss durch DevOps und Microservices?

Die Verantwortung für die Sicherheit der IT-Umgebungen verschiebt sich deutlich, wenn Unternehmen DevOps-Verfahren und Microservices einführen – zu diesem Ergebnis kommt zumindest die Studie Application Security in the Microservices Era von Radware. Etwa 70 % der befragten 278 Führungskräfte gaben an, dass die CISOs dabei nicht der wichtigste Einflussfaktor bei der Entscheidung über Politik, Tools und Implementierung von Sicherheitssoftware waren (Antworten aus Unternehmen mit einem Umsatz von mindestens 250 Mio. US-$/e/GBP und weltweiten Aktivitäten).

Unternehmen passen Rollen und Verantwortlichkeiten an, um sowohl Agilitäts- als auch Sicherheitsanforderungen gerecht zu werden, die neue Umgebungen mit sich bringen. Mehr als 90 % der Befragten gaben an, dass ihre Unternehmen über DevOps- oder DevSecOps-Teams verfügen. Diese Teams sind jedoch relativ neu: Nur 13 % besitzen DevSecOps-Teams, die länger als 24 Monate im Einsatz sind. Außerdem kommt bei mehr als der Hälfte der Unternehmen nur eine DevOps-Position auf 6–10 Entwickler, bei DevSecOps sieht es noch schlechter aus (vgl. Abb.). Bei der Bewertung der Zusammenarbeit zwischen DevOps und DevSecOps-Teams gehen 49 % von einer sehr engen Kooperation aus, während ebenfalls knapp die Hälfte (46 %) angaben, dass sie es „irgendwie schafften“ zusammenzuarbeiten.

Die schnelle Ausweitung der Rolle der „Development Security Operations“ (DevSecOps) hat die Art und Weise verändert, wie Unternehmen ihre Sicherheitslage angehen, folgert Radware. 90 % der Befragten berichteten auch über tatsächliche Datenschutzverletzungen innerhalb der letzten 12 Monate – 53 % sind der Ansicht, dass eine Exposition von Cloud- und Anwendungsdaten auf Missverständnisse in Bezug auf die Sicherheitsverantwortung mit ihrem Cloud-Provider zurückzuführen sind.

„Wir befinden uns kulturell an einem Wendepunkt zwischen der Rolle von DevSecOps und dem CISO“, kommentiert Anna Convery-Pelletier, Chief Marketing Officer von Radware. Dass die Befragten – unabhängig vom Titel – das Gefühl haben, die Kontrolle über ihre Sicherheitslage zu besitzen, aber dennoch fast alle Datenverluste beklagen, sei ein Widerspruch, der auf die organisatorischen Unterschiede zwischen DevSecOps und traditionellen IT-Sicherheitsrollen hinweise. „Während das Team des CISO unmittelbar mit der Verantwortung für die Sicherheit konfrontiert ist, stellen die DevSecOpsTeams die Agilität in den Vordergrund. Bei der Sicherheit verfolgen sie daher oft einen ‚gut genug‘-Ansatz“, konstatiert Convery-Pelletier.

Interne IT-Sicherheitsteams halbieren Kosten von Sicherheitsvorfällen

Mit der Einführung eines internen IT-Sicherheitsteams lassen sich die durchschnittlichen Kosten eines Cybersicherheitsvorfalles deutlich reduzieren, schließt Kaspersky aus Ergebnissen seines weltweiten IT Security Economics Report. Demnach schätzen Unternehmen, die über ein internes Security-Operations-Center (SOC) verfügen, die finanziellen Auswirkungen eines Cyberangriffs signifikant geringer ein als Unternehmen ohne SOCs.

Die Kosten einer Datenschutzverletzung für Großunternehmen lagen der Umfrage des Vorjahres zufolge 2018 noch bei 1,23 Mio. US-$ – 2019 waren es bereits 1,41 Mio. US-$. Parallel zu dieser Entwicklung hätten die Befragten auch mehr in Cybersicherheit investiert: Lag das Budget für IT-Sicherheit 2018 im Mittel der Erhebung noch bei 8,9 Mio. US-$, war es dieses Jahr auf durchschnittlich 18,9 Mio. US-$ gestiegen.

Laut Kaspersky zahlen sich Investitionen in IT-Sicherheit aus: Durch ein internes SOC, das fortlaufend Sicherheitsereignisse überwacht und für die Reaktion darauf verantwortlich ist, können Unternehmen die finanziellen Auswirkungen von Datenpannen reduzieren. Die Einführung eines SOC senke die Kosten von Datenschutzverletzungen in einem Großunternehmen auf 675.000 US-$, also um mehr als die Hälfte. Größere mittelständische Unternehmen (>500 Mitarbeiter) mit SOC haben die finanziellen Auswirkungen in der Umfrage im Mittel auf 106.000 US-$ beziffert – Unternehmen dieser Größe ohne SOC gaben im Durchschnitt 129.000 US-$ an.

Ein externes SOC reduziert die Kosten für Unternehmen allerdings nicht unbedingt, warnt Kaspersky: Das Auslagern der Sicherheit an einen Managed-Service-Provider (MSP) könne die finanziellen Auswirkungen tatsächlich sogar erhöhen, vor allem wenn Unternehmen unterqualifizierte Subunternehmer einsetzen. So hätten knapp ein Viertel (23 %) der Organisationen mit MSP in der Studie finanzielle Auswirkungen zwischen 100.000 und 249.000 US-$ beklagt – von den Unternehmen mit einem internen IT-Team meldeten nur 19 % dieselbe Schadenshöhe.

Neben einem SOC könnten die Kosten einer Sicherheitsverletzung auch durch einen Datenschutzbeauftragten reduziert werden, der für die Erstellung und Implementierung von Datenschutzstrategien sowie für das Management von Compliance-Fragen verantwortlich ist. Laut Kaspersky-Studie hat ein gutes Drittel (34 %) der Befragten mit Datenschutzbeauftragten, die im Untersuchungszeitraum von einem Datenverstoß betroffen waren, dennoch keine finanziellen Verluste erlitten – bei Unternehmen ohne Datenschutzbeauftragten blieben nur 20 % ohne Folgekosten.

Zögerliche Migration von Windows 7

Obwohl der reguläre Support für Windows 7 am 14. Januar 2020 endet, haben 59 % der Unternehmen laut einer Ivanti-Onlineumfrage unter mehr als 500 IT-Professionals noch nicht alle Nutzer-Geräte auf Windows 10 migriert – 39 % werden es demnach auch nicht bis zur Deadline schaffen.

Dabei sei das Ende des Windows-7-Lebenszyklus durchaus ein wichtiger Auslöser für die Migration (44 %). Schwachstellenmanagement und Minimierung von Sicherheitsrisiken gaben 23 % der Befragten als wichtige Punkte an, 11 % eine Reduzierung von Betriebsrisiken und 10 % die Verbesserung der Nutzerproduktivität (10 %). Hindernisse für eine Migration sehen die IT-Experten vor allem in damit verbundenem Zeit- und Kostenaufwand (57 %), gefolgt von höheren Prioritäten für andere IT-Projekte (47 %) sowie Bedenken hinsichtlich der Anwendungskompatibilität und des Supports für Windows 10 (40 %). Einige weitere Ergebnisse behandelt ein Blogbeitrag auf www.ivanti.com/blog/study-professionals-users-windows-10. (www.ivanti.com)

Firmen, Finanzen & Fusionen

• Adaptiva verstärkt Präsenz im DACH-Markt: Der Anbieter von Endpunkt-Management- und Sicherheitslösungen ist seit Mitte Oktober mit einem dedizierten ManagementTeam im deutschsprachigen Raum vertreten.
• Kooperation von Airbus CyberSecurity und Thales: Eine gemeinsame Securitylösung solle künftig die Dateianalyse von Airbus’ Orion Malware mit Thales’ IntrusionDetection-System (IDS) Cybels Sensor kombinieren
• Aqua Security akquiriert CloudSploit: Mit der Übernahme steigt der Hersteller von Softwarelösungen, mit denen sich containerisierte, serverlose und cloudnative Anwendungen absichern lassen, nun nach eigenen Angaben auch in den Cloud-Security-Posture-Management-(CSPM)-Markt ein. Bereits im August hatte das israelische Startup den Open-Source-Scanner Trivy zur Schwachstellenprüfung von Container-Images erworben.
• Broadcom hat Anfang November die Übernahme des Enterprise-Security-Business von Symantec abgeschlossen: Die akquirierte Geschäftseinheit werde künftig als „Symantec Enterprise division of Broadcom“ operieren. Die von der Transaktion nicht betroffene Consumer-Products-Linie firmiert hingegen nunmehr als NortonLifeLock
• Forschungskooperation von Bundesdruckerei und CERN: Es gehe um mögliche Zusammenhänge von Quantenphysik, Identitäten und Vertrauen – allem voran um die Frage, wie sich Erkenntnisse aus der Quantenphysik auf IT-Systeme übertragen lassen. Gemeinsam wolle man neue Wege und Konzepte im Identitätsmanagement und der Kryptografie entwickeln, die auf quantenmechanischen Phänomenen basieren
• G DATA mit neuem Namen: Der deutsche IT-Security-Anbieter firmiert seit Ende September als G DATA CyberDefense AG und wolle damit 34 Jahre nach der Gründung der „G DATA Software“ seine strategische Ausrichtung unterstreichen
• Infosys eröffnet „Digital Innovation Centre“ in Düsseldorf: Das Zentrum solle Kunden bei ihrer digitalen Transformation unterstützen und deutsche Spitzenkräfte einsetzen, um „die IT-Joblücke in Europa zu schließen“. Schwerpunkte lägen auf den Business-Suiten der nächsten Generation sowie auf cloudbasierten Services, künstlicher Intelligenz, dem Internet der Dinge sowie 5G. Das Innovation Centre werde darüber hinaus als Bindeglied zwischen Unternehmen und führenden deutschen Bildungseinrichtungen fungieren
• Proofpoint übernimmt ObserveIT: Der Abschluss der Transaktion werde voraussichtlich Ende des vierten Quartals 2019 erfolgen und unterliege noch den üblichen Bedingungen. Mit der Übernahme erweitere Proofpoint seine Data-LossPrevention-(DLP)-Funktionen und führe Endpoint, E-Mail, CASB und „Data at Rest“ zu einem umfassenden Enterprise-DLP-Angebot zusammen. Parallel wolle man zudem in ObserveITs Lösung zum Management von Insider-Bedrohungen investieren.
• Technologiepartnerschaft von SEPPmail und eperi: Die Kombination aus dem Secure E-Mail Gateway von SEPPmail und eperis CloudData-Protection-Lösung ermögliche eine durchgängige Ende-zu-Ende-Sicherheit und eine Verschlüsselung in cloudbasierten Lösungen wie Office 365 oder Salesforce sowie CloudPlattformen wie Amazon
• Zusammenarbeit von Thales mit ID Quantique und ISARA: Gemeinsam wolle man Sicherheitsbedrohungen durch Quantencomputing entgegentreten und quantensichere Kryptografie einem breiteren Publikum zugänglich machen
• Thoma Bravo will Sophos: Die Beteiligungsgesellschaft, zu deren Portfolio bereits 19 IT-SecurityUnternehmen gehören, hat Mitte Oktober ein Kaufangebot für den Sicherheitsanbieter vorgelegt, dessen Annahme der Aufsichtsrat von Sophos den Anteilseignern einstimmig empfohlen hat. Bis zum Redaktionsschluss dieser Ausgabe lagen noch keine weiteren Informationen zur möglichen Übernahme vor
• Trend Micro und Snyk verkünden strategische Partnerschaft: Gemeinsam wolle man integrierte Fähigkeiten zum Abschirmen und Fixen von Open-Source-Schwachstellen für DevOps bereitstellen und so Unternehmen dabei helfen, mit dem Risiko von Schwachstellen umzugehen, ohne den Software-Lieferprozess zu unterbrechen. Außerdem hat Trend Micro im Oktober die Übernahme von Cloud Conformity, einem Anbieter von Cloud-SecurityPosture-Management (CSPM) für AWS und Azure, bekanntgegeben.