Synack-Studie zeigt: 95 % der Sicherheitsteams in Großunternehmen entdecken schwerwiegende oder kritische Schwachstellen außerhalb geplanter Tests

Synack, Anbieter eines KI-gestützten kontinuierlichen Penetrationstests für Unternehmen, hat den Report „The State of Continuous Security Validation“ veröffentlicht, eine Erhebung unter Führungskräften und Fachleuten im Bereich Unternehmenssicherheit. Die Untersuchung ergab, dass 95 % im vergangenen Jahr außerhalb der geplanten Testzeitfenster hohe oder kritische Schwachstellen entdeckt haben, darunter 42 %, bei denen dies mindestens einmal monatlich der Fall war. Die Ergebnisse verdeutlichen eine wachsende Kluft zwischen der Geschwindigkeit des Wandels in Unternehmensumgebungen und dem Rhythmus von punktuellen Tests. Die Untersuchung hebt drei miteinander verbundene Herausforderungen hervor:

• Abdeckungslücke: 38 % gaben an, dass mindestens ein Viertel ihrer kritischen Angriffsfläche in den vergangenen 90 Tagen nicht unabhängig getestet oder validiert worden war.
   

Vertrauenslücke gegenüber KI: 79 % würden ohne menschliche Validierung keine Maßnahmen aufgrund eines von KI generierten Befunds ergreifen.

• Reifegradlücke: Nur 15 % bezeichneten ihr Programm für Sicherheitstests und -validierung als kontinuierlich.

KI erweitert die Testabdeckung. Der Mensch entscheidet, worauf es ankommt.

Die Studie zeigt ein starkes Interesse an KI-gestützten Sicherheitstests, jedoch kein Interesse an einer KI, die autonom – ohne menschliches Urteilsvermögen – arbeitet. Die Befragten erwarten, dass KI eine wichtige Rolle bei der Ausweitung der Erkundung, der Aufdeckung potenzieller Schwachstellen und der Erweiterung der Testabdeckung spielen wird. Menschliches Fachwissen bleibt jedoch von zentraler Bedeutung für die Validierung der Ausnutzbarkeit, die Bewertung des Schweregrads und des Geschäftsrisikos, das Testen komplexer Arbeitsabläufe, die Reduzierung von Fehlalarmen und die Kommunikation von Risiken an die Beteiligten.

Kontinuierliche Penetrationstests oder Validierungen waren mit 22 % die von den Befragten am häufigsten genannte Methode, um zu überprüfen, ob ein Befund ausnutzbar ist. Dennoch würden nur 15 % den Reifegrad ihres Gesamtprogramms als kontinuierlich bezeichnen. Die häufigsten Hindernisse für eine kontinuierliche Sicherheitsvalidierung drehten sich um Compliance-gesteuerte Testzyklen, die Komplexität der Integration, mangelndes Vertrauen in automatisierte Befunde, Fehlalarme, Schwierigkeiten beim Nachweis des ROI sowie unklare Zuständigkeiten zwischen den Teams. Die Ergebnisse unterstreichen die Notwendigkeit eines „Human + AI“-Ansatzes für die kontinuierliche Sicherheitsvalidierung.

Zum Report