«Ein SOC muss Risiken sichtbar machen und priorisieren»

Computerworld: Weshalb reicht schnelle Reaktion nicht mehr aus?

Colin Germann: Schnelle Detection und Response bleiben unverzichtbar. Doch viele Risiken bestehen lange vor dem eigentlichen Angriff – etwa durch Fehlkonfigurationen oder ungewollt exponierte Dienste. Bleibt diese Angriffsfläche unentdeckt, kann sie von Angreifern ausgenutzt werden. Ein modernes SOC muss Risiken sichtbar machen und priorisieren, bevor daraus Sicherheitsvorfälle entstehen.

CW: Welche Risiken werden oft unterschätzt?

Germann: Viele Unternehmen vertrauen darauf, dass ihre Sicherheitsplattformen dauerhaft funktionieren. Doch die IT-Landschaft verändert sich. Schon kleine Fehlkonfigurationen lassen Schutzmechanismen versagen oder Systeme unbemerkt aus der Verwaltung fallen. Was zu tun wäre, ist bekannt. Doch fehlen im Tagesgeschäft dafür oft Zeit und Ressourcen.

CW: Wie unterscheidet sich MRE vom Schwachstellenmanagement?

Germann: Managed Risk Exposure (MRE) erweitert das klassische Schwachstellenmanagement, indem es neben bekannten technischen Schwachstellen auch Fehlkonfigurationen oder nicht verwaltete Systeme als potenzielle Einfallstore betrachtet. Dabei priorisieren wir Risiken im Business-Kontext und steuern sie bis zur Behebung oder bewussten Risikoakzeptanz. So entsteht ein kontinuierlicher Prozess statt einer Momentaufnahme.

CW: Wie verändert MRE das SOC?

Germann: MRE baut auf Managed Detection & Response (MDR) auf und ergänzt das klassische SOC um eine proaktive, risikobasierte Perspektive. Erkenntnisse aus Vorfällen fliessen direkt in die Betrachtung ein. Gleichzeitig helfen identifizierte Exposures, Sicherheitsereignisse einzuordnen und ihre Kritikalität realistisch zu bewerten. Das SOC entwickelt sich so von reaktiver Incident-Bearbeitung zu kontinuierlicher Risikoreduktion.

CW: Wie lassen sich Risiken besser priorisieren?

Germann: Nicht jede Schwachstelle ist kritisch. Entscheidend ist ihr Zusammenspiel mit Erreichbarkeit, Geschäftskritikalität und möglichen Fehlkonfigurationen. MRE identifiziert Massnahmen mit geringem Aufwand und hohem Sicherheitsgewinn.

CW: Haben Sie ein Praxisbeispiel dabei?

Germann: In einem Kundenprojekt wurde ein Account übernommen, weil die Multi-Faktor-Authentifizierung noch nicht ausgerollt war. Gleichzeitig verfügte das Konto über weiterreichende Berechtigungen. Erst das Zusammenspiel beider unterschätzter Faktoren führte zum Sicherheitsvorfall.

CW: Wie teilen sich Mensch und KI die Rollen?

Germann: KI automatisiert die kontinuierliche Auswertung grosser Datenmengen, erkennt Muster und priorisiert Ereignisse anhand ihrer Kritikalität. Die Security-Fachpersonen ordnen die Findings im konkreten Unternehmenskontext ein, entscheiden über geeignete Massnahmen und begleiten deren Umsetzung bis zur Behebung. Menschliche Erfahrung und Urteilsvermögen sind und bleiben unverzichtbar.

CW: Was prägt das SOC der Zukunft?

Germann: MRE wird zum festen Bestandteil moderner Security Operations. Ziel ist, Risiken zu erkennen und zu reduzieren, bevor daraus Sicherheitsvorfälle entstehen. Dafür wird die Exposure-Steuerung im täglichen Betrieb verankert, aus Daten werden Massnahmen abgeleitet und die Angreifbarkeit messbar reduziert. Das SOC der Zukunft verbindet schnelle Detection und Response mit der kontinuierlichen, risikobasierten Steuerung realer Angriffsflächen.