Es ist zwei Uhr morgens. Ein ungewöhnlicher Login, auffällig
viele Downloads und die Frage: Ist das ein Angriff? Wer darf
jetzt eingreifen? Und was passiert, wenn ausgerechnet die
Gegenmaßnahme den Betrieb lahmlegt?
In dieser Folge von „Cybersecurity ist Chefsache“ sprechen Nico
Freitag und Ann-Katrin Lange mit Lora Schedlik von CANCOM
darüber, was ein Security Operations Center leisten kann, wie
sich die Leistungen in einem Cyber Defense Center erweitern und
welche Rolle KI dabei spielt. Im Mittelpunkt stehen Menschen,
Prozesse und die Entscheidungen, die Unternehmen vor dem
Ernstfall treffen müssen.
Lora ist seit mehr als zehn Jahren in der Cybersecurity
unterwegs. Im Gespräch erzählt sie von ihren Stationen in
Security Operations, Architektur, regulatorischen Themen und
DevSecOps sowie ihrer Rückkehr in das SOC- und CDC-Umfeld. Sie
bringt die Perspektive eines Dienstleisters mit, der technische
Erkenntnisse mit den Anforderungen und Abläufen seiner Kunden
zusammenbringen muss.
Schon beim Einstieg wird deutlich: Ein externer Dienstleister
kann nur dann sinnvoll unterstützen, wenn die Grundlagen stimmen.
Welche Systeme gibt es? Welche Anwendungen sind für das Geschäft
kritisch? Wer ist erreichbar und wer darf welche Entscheidung
treffen? Ein 24/7-Monitoring hilft nur begrenzt, wenn nachts
niemand auf Kundenseite Verantwortung übernehmen kann und
mögliche Reaktionen nicht vorher vereinbart wurden.
Besonders anschaulich erklärt Lora die Priorisierung mit einem
Einbruchsszenario: Weiß jemand nur, wo das Haus steht, schaut er
bereits durchs Fenster oder befindet er sich schon im Wohnzimmer?
Das Bild macht die unterschiedliche Dringlichkeit greifbar. Für
die tatsächliche Einordnung braucht das SOC aber den
Geschäftskontext und den Schutzbedarf des Kunden. Auch bewusst
akzeptierte Risiken müssen bekannt und dokumentiert sein.
Ein großer Teil des Gesprächs dreht sich um KI. Sie kann dabei
helfen, Zusammenhänge in historischen Daten zu erkennen, Analysen
zu beschleunigen und Routineaufgaben zu erleichtern. Gleichzeitig
diskutieren die drei, warum das keine saubere Datenbasis,
verlässliche Prozesse oder kritisches Denken ersetzt. Wenn es um
die Verifikation eines verdächtigen Zugriffs oder die Folgen
eines Eingriffs in die Produktion geht, bleibt menschliches
Urteilsvermögen entscheidend.
Dazu kommen Threat Intelligence, Schwachstellenmanagement und
Incident Response. Lora beschreibt, warum ein eingespielter Patch
allein noch nicht jede Frage zu einem möglichen früheren Angriff
beantwortet. Entscheidend ist auch, welche Spuren vorhanden sind,
was tatsächlich beobachtet wurde und ob weiter untersucht werden
muss. Die Folge zeigt, wie eng Prävention, Erkennung und Reaktion
zusammenhängen.
Auch die Perspektive der Geschäftsführung kommt zur Sprache:
Woran erkennt man, ob das SOC gute Arbeit leistet?
Reaktionszeiten und bearbeitete Meldungen sind relevant,
beantworten aber nicht automatisch die Frage nach dem Nutzen.
Lora erklärt, warum nachvollziehbare Berichte über konkrete
Prüfungen, erkannte Risiken und durchgeführte Analysen mehr
Orientierung geben können als eine reine Aufzählung von Tickets.
Zum Schluss geht es um Datenmengen und Kosten. Nur weil Logs in
einem SIEM liegen, werden daraus noch keine wirksamen
Erkennungen. Dafür braucht es passende Use Cases,
Detection-Regeln und die richtigen Datenquellen. In der
Schnellfragerunde diskutieren die drei unter anderem
Eigenbetrieb, externe und hybride Modelle, die Zukunft von
Analysten und die Frage, wer nachts über einen Produktionsstopp
entscheiden darf.
Im Gespräch geht es unter anderem um:
Wie SOC-Leistungen in ein umfassenderes Cyber Defense Center
eingebettet werden
Warum Asset-Übersicht und Sichtbarkeit die Grundlage der
Überwachung bilden
Welche Systeme und Anwendungen besonderen Schutzbedarf haben
Weshalb Eskalationspfade und Entscheidungsbefugnisse vorab
geklärt werden müssen
Was 24/7-Monitoring ohne erreichbare Ansprechpartner leisten
kann
Welche Voraussetzungen Unternehmen für die Zusammenarbeit mit
einem Dienstleister brauchen
Wie Prioritäten anhand von Geschäftskontext und Dringlichkeit
entstehen
Warum ein Alert zunächst geprüft werden muss, bevor daraus
ein Incident wird
Wie technische Analysen die Dokumentation und Meldung von
Vorfällen unterstützen können
Wie mit bekannten, bewusst akzeptierten Risiken umgegangen
wird
Wo KI Analysten entlasten und die Auswertung beschleunigen
kann
Weshalb KI-Ergebnisse nachvollziehbar sein und hinterfragt
werden müssen
Warum Threat Intelligence und Incident Response eng
zusammenarbeiten
Welche Rolle Social Engineering und persönliche Verifikation
spielen
Welche Kennzahlen dem Management tatsächlich Orientierung
geben
Warum gespeicherte Logs noch keine wirksame Angriffserkennung
bedeuten
Wie Detection Use Cases die Auswahl relevanter Datenquellen
beeinflussen
Was für externe oder hybride Betriebsmodelle spricht
Warum Tools, Menschen und Prozesse gemeinsam betrachtet
werden müssen
Der rote Faden der Folge: Gute Cyberabwehr beginnt nicht mit dem
Kauf eines Tools oder der Unterschrift unter einem SOC-Vertrag.
Sie braucht Klarheit über Systeme, Risiken und Verantwortung. KI
kann diese Arbeit unterstützen und beschleunigen. Welche
Entscheidungen für das eigene Unternehmen tragbar sind, muss
jedoch vorher gemeinsam geklärt werden.
Eine Folge für Geschäftsführungen, CISOs, IT-Leitungen,
Security-Verantwortliche und alle, die ein SOC auswählen,
weiterentwickeln oder dessen Nutzen für ihr Unternehmen besser
beurteilen möchten.
____________________________________________
Mehr Informationen
Lora Schedlik - LinkedIn Profil
____________________________________________
Reinschauen lohnt sich!
Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache
Podcast - Cybersecurity shall be C-Level priority:
@cybersec_clevel_priority
Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber
Schließe dich uns an, um tiefer in die Welt der digitalen
Sicherheit einzutauchen.
____________________________________________
Du findest mich auf folgenden Social Media Kanälen:
Instagram: cybersec_ist_chefsache
TikTok: cybersec_ist_chefsache
LinkedIn - Nico: nicofreitag
LinkedIn - Ann-Katrin: annkatrin
Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache
____________________________________________
Deine Reise in die Welt der Cyber Security startet hier – ich
freue uns darauf, mich mit dir zu vernetzen.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.