Strategien zur Risikobehandlung

Es wäre ein Irrglaube als Pentester anzunehmen, dass aufseiten des Auftraggebers alle Schwachstellen behoben werden. Rein wirtschaftlich gesehen, lohnt sich beispielsweise ein Fix nicht, wenn dieser höhere Kosten verursacht als eine kriminelle Ausnutzung. Ebenfalls könnte unser Finding eine Geschäftsanforderung an das Zielsystem bzw. -anwendung darstellen, wofür sich die Geschäftsführung explizit entschieden hat. Betreiber von sozialen Netzwerken entscheiden sich beispielsweise häufig dafür, eine Benutzersitzung nach längerer Inaktivität des Anwenders nicht automatisch zu terminieren, obwohl dieser Sachverhalt als Schwachstelle in Penetration-Testing-Standards wie dem OWASP Testing Guide gelistet ist. In Hinsicht auf die Bedienbarkeit von sozialen Netzwerken ist solch eine Entscheidung auch nachvollziehbar, da sich vermutlich die durchschnittliche Nutzungsdauer reduzieren würde, wenn man sich jedes Mal erneut authentifizieren müsste. Aus Sicht der IT-Sicherheit ist ein fehlendes Session-Timeout aber mit Risiken verbunden. Ein Bedrohungsszenario wäre unter anderem, dass Dritte im Namen eines abwesenden Anwendungsbenutzers und einem nicht gesperrten Endgerät Aktionen ausführen könnten. Grundsätzlich stehen unserem Auftraggeber die folgenden Strategien für eine Risikobehandlung zur Verfügung:

• Risikominderung: Es werden Gegenmaßnahmen für das Risiko ergriffen.
• Risikotransfer: Das Risiko wird verlagert durch bspw. Software-Outsourcing oder Abschluss einer Versicherung.
• Risikoakzeptanz: Das Risiko wird von der Geschäftsführung bewusst akzeptiert.
• Riskovermeidung: Es werden Funktionen unterlassen, welche sich negativ auf den Betrieb eines Unternehmens auswirken könnten.

Nachdem wir nicht sicher sein können, dass alle Schwachstellen aufseiten des Auftraggebers behoben werden, ist es umso wichtiger, dass wir das Schadenspotenzial klar kommunizieren. Unabhängig von unserer Sichtweise sollte der Auftraggeber aber eine eigene Risikobewertung vornehmen, da wir nicht alle Hintergründe vom Betrieb kennen.