5 wichtige Handlungsempfehlungen für CISOs – Source: www.csoonline.com

Das öffentliche Interesse an Cybersicherheit ist zwar noch ausbaufähig, aber heute schon deutlich größer als noch vor zehn oder zwanzig Jahren. Mittlerweile wird selbst über einfache Sicherheitsvorfälle wie den Verlust von Zertifikaten berichtet. Ein Beispiel ist der Crowdstrike-Vorfall vor einigen Monaten. Damals führte ein fehlerhaftes Update zu einem weltweiten Ausfall von Microsoft-Geräten.

CISOs stehen zunehmend in der Verantwortung

Fälle wie dieser haben das öffentliche Bewusstsein für die Notwendigkeit einer effektiven Cybersicherheit enorm geschärft. Dies hat auch die Position der CISOs in den Unternehmen gestärkt. Sie werden nun aber auch stärker unter die Lupe genommen. So werden ihre Berichte, Einschätzungen und Anweisungen nun stärker hinterfragt und analysiert.

Lesetipp: Ein neues Berufsbild für CISOs

Darüber hinaus werden die Sicherheitsverantwortlichen zur Rechenschaft gezogen, wenn es zu einem größeren Sicherheitsvorfall kommt und sie nicht eindeutig nachweisen können, dass sie keine Schuld an dessen Zustandekommen tragen. Hier sei nur an den Fall des SolarWinds-CISO Timothy Brown erinnert. Er wurde im vergangenen Jahr wegen eines Angriffs auf die Software-Lieferkette von SolarWinds angeklagt.

Solche Beispiele zeigen: Längst geht es in der täglichen Arbeit der CISOs nicht mehr nur darum, das Unternehmen zu schützen – sondern auch sich selbst. Diese wachsende Verantwortung stellt jedoch eine enorme Belastung dar. Im Folgenden werden fünf Möglichkeiten aufgezeigt, die Abhilfe schaffen sollen:

1. Prioritäten setzen

Die Ressourcen und das Personal der CISOs sind begrenzt. Ein erheblicher Teil der eigenen Experten ist derzeit primär mit administrativen Aufgaben, der Erstellung von Berichten und Präsentationen beschäftigt. Dabei werden sie aufgrund ihrer seltenen Fachexpertise eigentlich an ganz anderer Stelle viel dringender benötigt.

Die zunehmende Automatisierung der administrativen Prozesse wird hier in den nächsten Jahren sicherlich für eine gewisse Entlastung sorgen. CISOs sollten aber auch ehrlich sein. Es wird nicht möglich sein, alle Risiken auf Null zu reduzieren. Dafür werden auch weiterhin zu wenig Ressourcen zur Verfügung stehen. Ziel muss es vielmehr sein, die vorhandenen Risiken so weit zu reduzieren, dass die wenigen verbleibenden Risiken für die eigenen Sicherheitsteams beherrschbar werden.

2. Alles dokumentieren – auch zur eigenen Sicherheit

Als CISO ist es Ihre Aufgabe, dem Top-Management die Risikosituation zu präsentieren. Auf Basis Ihrer Präsentation entscheidet es dann, ob es sich lohnt, Ressourcen in die Minimierung eines Risikos zu investieren – oder nicht. Die Entscheidung, ob und wie viele Ressourcen bereitgestellt werden, treffen die Business-Entscheider, nicht die Sicherheits-Entscheider eines Unternehmens. Schreiben Sie also alles auf. Dokumentieren Sie alles – für die Sicherheit Ihres Unternehmens, aber auch für Ihre eigene Sicherheit. Achten Sie darauf, dass jede Risikobeurteilung, jede Empfehlung, jede Entscheidung schriftlich festgehalten wird.

3. Sprechen Sie mehr Business

Wie bereits erwähnt, können CISOs nur fachliche Ratschläge und Empfehlungen geben. Das letzte Wort haben immer andere Führungskräfte, Abteilungsleiter, Vorstandsmitglieder oder die Geschäftsführung. Eine effektive Kommunikation und Zusammenarbeit mit allen Stakeholdern im Unternehmen ist daher unerlässlich, um die Sicherheitsarchitektur effizient und effektiv optimieren zu können. Dazu müssen Sie die Sprache, die Denkweise der verschiedenen Abteilungen, des Vorstandes und der Geschäftsführung erlernen und letztendlich auch beherrschen. Und der dort immer noch weit verbreiteten Vorstellung entgegenwirken, dass Sicherheit nur als Kostenfaktor verstanden werden kann und darf. Dies zu ändern, erfordert Überzeugungsarbeit und ein tiefes Verständnis für die ‚Sprache‘ des Gegenübers, dessen Denken in der Regel eher dem Geschäft als der Sicherheit verpflichtet ist.

4. Regulatorische Anforderungen als Chance begreifen

Schon heute sind die regulatorischen Anforderungen an IT, OT und IoT komplex. Jedes Jahr kommen neue Standards, Richtlinien und Verordnungen hinzu. Die Aufrechterhaltung der Compliance stellt daher eine immer größere Herausforderung für CISOs dar. Sie kann von diesen aber auch gezielt im eigenen Interesse genutzt werden, um sicherheitstechnische Optimierungen voranzutreiben.

Dabei kann es sich lohnen, eng mit den Rechtsexperten des Unternehmens zusammenzuarbeiten. Diese können beispielsweise die Kosten eines Sicherheitsvorfalls im Falle eines Compliance-Verstoßes ermitteln, so dass man mit objektiven Fakten gestärkt in die nächste Verhandlungsrunde gehen kann.

5. Möglichkeiten neuer Technologien mit verlässlichen Partnern ausloten

Der rasante technologische Fortschritt der letzten Jahre – man denke nur an LLM, KI und Quantencomputing – bietet Unternehmen zahlreiche Möglichkeiten zur Produktivitätssteigerung. Er bringt aber auch viele Herausforderungen für die Cybersicherheit mit sich. Die verstärkte Zusammenarbeit mit externen Experten, Managed Service Providern und anderen strategischen Partnern kann CISOs dabei helfen, objektiver zwischen der sicheren Integration neuer Technologien und anderen Geschäftsanforderungen zu vermitteln. (jm)