State of the SOC Report: Security Operation Centers überschätzen sich

Security Operation Centers kämpfen weiterhin mit einem Mangel an Personal und Fähigkeiten. Gleichzeitig sind Sicherheitsteams bei der Erkennung von Cyber-Bedrohungen zu zuversichtlich. [...]

Exabeam hat seinen jährlichen „2020 State of the SOC Report“ veröffentlicht. Der Bericht untersucht den Zustand von Security Operations Centers (SOCs) in Unternehmen. In diesem Jahr befragte Exabeam 295 IT-Security-Analysten und SOC-Manager in den USA, Großbritannien, Kanada, Deutschland und Australien zu zahlreichen Aspekten ihrer Arbeit. Darunter die Kernaufgaben ihres Betriebs, die Personalsituation, Mitarbeiterbindung, eingesetzte Technologien, Ausbildung sowie Budgets. Die Ergebnisse des Reports sollen Unternehmen dabei unterstützen, ihre IT-Sicherheit zu verbessern, indem sie die Effektivität ihrer SOCs optimieren.

Unbegründetes Selbstvertrauen in vielen SOCs

Eine der auffälligsten Ergebnisse des diesjährigen Reports ist, dass viele SOCs ihre Fähigkeiten, Cyber-Bedrohungen abzuwehren wohl überschätzen. So gaben 82 Prozent der Befragten an, dass sie zuversichtlich seien, Cyber-Bedrohungen aufspüren zu können. Dies überrascht, da gleichzeitig nur 22 Prozent der Mitarbeiter an vorderster Front dazu eingeteilt sind, die mittlere Zeit bis zur Aufspürung (MTTD, Mean Time to Detection) zu verfolgen. Die MTTD ist ein wichtiger Indikator, der die Verweildauer von Hackern in einer Umgebung bestimmt. Mithin reicht es nicht, eine Bedrohung bloß erkannt zu haben, sondern es ist essenziell zu wissen, wie lange diese schon ihr Unwesen trieb. Zu dieser Fehleinschätzung kommt hinzu, dass 40 Prozent der SOCs nach wie vor personell unterbesetzt sind und es weiterhin schwer ist, qualifizierte Mitarbeiter zu finden. Das Ungleichgewicht zwischen Selbsteinschätzung und Realität wird auch dadurch deutlich, dass sich die SOC-Führungskräfte und die Analysten an vorderster Front nicht einmal über die häufigsten Bedrohungen einig sind, denen das Unternehmen ausgesetzt ist. So glauben SOC-Führungskräfte, dass Phishing und Schwachstellen in der Bedrohungskette große Gefahren seien, während Analysten DDoS-Angriffe und Ransomware als größere Bedrohungen einschätzen.

Herausforderungen bei der Personalbesetzung

Unternehmen haben es weiterhin schwer, die geeigneten Mitarbeiter für ihr SOC zu finden. Dass es einfach nicht genügend qualifizierte Fachkräfte gibt, ist für 40 Prozent der Befragten der Hauptgrund für unbesetzte Stellen. 34 Prozent gaben an, dass es grundsätzlich schwer sei, Kandidaten mit der richtigen Expertise zu finden. Und 33 Prozent der Befragten bemängelten, dass die auf dem Arbeitsmarkt verfügbaren Fachkräfte nicht die notwendigen Kenntnisse besäßen. In einem solchen Umfeld würden Unternehmen um die wenigen Fachkräfte ringen und Kandidaten könnten unter vielen konkurrierenden Angeboten auswählen, meinten 27 Prozent der Befragten. Eine Folge dieser Entwicklung scheint zu sein, dass viele Fachkräfte in die Selbstständigkeit abwandern, was 25 Prozent der Teilnehmer als weiteren Grund für die schwere Personalbesetzung angaben. In einem solchen Markt wird die Mitarbeiterbindung wichtiger denn je.

Gründe für gute Mitarbeiterbindung

Wie auch in der Vergangenheit ist gute Bezahlung der wichtigste Grund, Mitarbeiter im SOC zu halten (49 Prozent). Weitere Arbeitgeberleistungen sind mit 43 Prozent fast genauso wichtig. Als drittwichtigster Grund mit 42 Prozent wird eine positive Unternehmenskultur als wichtiges Motiv zu bleiben genannt, gefolgt von „herausfordernder Arbeit“ (35 Prozent) und Fortbildungen (32 Prozent).

Gründe für Abwanderung

Allerdings gibt es für Mitarbeiter viele Gründe, das Unternehmen zu verlassen. Insbesondere für gut ausgebildete Fachkräfte ist hier die bereits genannte hohe Konkurrenzsituation zu nennen, die dazu führt, dass Spezialisten mithilfe besserer Konditionen abgeworben werden. 49 Prozent der SOC-Manager nennen dies als wichtigsten Grund für einen Arbeitsplatzwechsel. Auch der hohe Stressfaktor im SOC ist ein weiterer Grund, den Job zu wechseln. Sowohl CIO/CISO (42 Prozent) als auch Mitarbeiter am unteren Ende der Hierarchie (45 Prozent) nennen Stress, als Grund zu gehen. Der über alle Gruppen hinweg wichtigste Grund für einen Jobwechsel ist mit 64 Prozent jedoch ein „undefinierter Karriereweg“ bei Einstiegspositionen. Weniger effektive SOCs berichteten darüber hinaus, dass sie das Gefühl haben, es fehle ihnen an notwendigen Investitionen in Technologie, Ausbildung und Mitarbeiter, um ihre Arbeit gut zu erledigen.

Technologie-Trends: Deutsche Unternehmen setzen vermehrt auf Outsourcing

Beim anhaltendem Mangel an Fachkräften und den Schwierigkeiten, diese überhaupt erst zu finden, um sie langfristig an das Unternehmen binden zu können, überrascht es nicht, dass mehr Unternehmen bestimmte Teile ihrer IT-Sicherheit auslagern. Während das SOC-Outsourcing in den USA im Vergleich zum Vorjahr von 36 Prozent auf 28 Prozent, zurückgegangen ist, setzen Unternehmen in Großbritannien und in Deutschland vermehrt auf externe Dienstleister. Fast die Hälfte (47 Prozent) der deutschen SOCs nutzen hierbei hauptsächlich Threat-Intelligence-Services.

Überwachung und Analyse, Zugriffsverwaltung und Protokollierung haben höhere Priorität

Gefragt sind Technologien, die den Problemen des Fachkräftemangels entgegenwirken könnten. CIOs und CISOs sehen hier großes Potenzial in Advanced Network Monitoring & Big Data Analytics (55 Prozent), Biometric Authentication und Identity Access Management (48 Prozent) sowie Tools zur Orchestrierung, Automatisierung und Reaktion, wie Next-Gen SOAR-Tools (44 Prozent). Mehr als die Hälfte der Befragten SOCs protokolliert ihre Sicherheitslogs bereits innerhalb einer SIEM-Lösung. Insgesamt erwarten 44 Prozent der befragten CIOs/CISOs, dass SIEM-Lösungen der neuesten Generation und UEBA zukünftig eine noch wichtigere Rolle spielen werden.

Deutsche SOCs haben höhere Anforderungen an den Datenschutz und Compliance

Viele SOCs haben Schwierigkeiten damit, ihre Arbeit zu validieren, mit anderen Abteilungen abzustimmen oder Berichte zu erstellen, die aus Compliance-Gründen immer wichtiger werden. Aufgrund der bereits geltenden Regelungen der DSGVO haben SOCs in Deutschland deutlich höhere Anforderungen an Datenschutz und Compliance als andere Regionen. Aufgrund dessen arbeiten die SOCs in Deutschland öfter mit den zuständigen Stellen für den Datenschutz zusammen (65 Prozent).

„Aus den Reports 2018 und 2019 haben wir gelernt, dass die Verweildauer von Hackern in ihrer Zielumgebung zugenommen hat, also die Zeit zwischen dem ersten Angriff und dessen erster Entdeckung. Es überrascht deshalb, dass viele SOCs sehr hohes Vertrauen in ihre Fähigkeiten haben, Cyberbedrohungen abzuwehren. Dies kann gefährlich sein, wenn Mitarbeiter an der Frontlinie deshalb glauben, dass ihr Unternehmen sehr gut geschützt sei, wenn es das nicht ist.“ sagt Steve Moore, Chief Security Strategist bei Exabeam. „Aber es gibt auch Positives zu berichten: Mehr Unternehmen legen jetzt mehr Wert auf das Wohlbefinden ihrer Mitarbeiter und ergreifen Maßnahmen für eine bessere Kommunikation und ein weniger stressreiches Arbeitsumfeld.“