Effektive Kommunikation für CISOs Wie CISOs den Vorstand für IT-Risiken sensibilisieren

Anbieter zum Thema

CreditPlus Bank AG

FTAPI Software GmbH

Viele CISOs scheitern daran, Vorstände von IT-Sicherheitsmaßnahmen zu überzeugen, da sie technische Details überbetonen. Der Schlüssel: Risiken verständlich und spezifisch darstellen, klare Lösungsoptionen aufzeigen und den Vorstand in die Risikotoleranz einbinden, um fundierte Entscheidungen zu ermöglichen.

Viele Chief Information Security Officers (CISOs) stehen vor der Herausforderung, den Vorstand eines Unternehmens davon zu überzeugen, sich intensiv mit IT-Sicherheitsthemen auseinanderzusetzen. Obwohl es für CISOs oft naheliegend ist, die Notwendigkeit von Sicherheitsmaßnahmen durch Kennzahlen zu unterstreichen, scheitern sie häufig daran, die Bedeutung von Sicherheitslücken verständlich zu kommunizieren. Ein weit verbreitetes Problem liegt darin, dass viele CISOs nicht die Sprache des Vorstands sprechen und stattdessen durch die Präsentation technischer Daten mehr Verwirrung stiften, als Klarheit zu schaffen.

Hohe Belastung im Job durch wachsende Datenverantwortung

Wer will heute noch CISO werden?

Nehmen wir ein Beispiel aus dem Bereich der Schwachstellenanalyse: Es mag logisch erscheinen, dass ein Netzwerk mit 1.000 Schwachstellen einem höheren Risiko ausgesetzt ist als eines mit 100 oder 10 Schwachstellen. Doch ohne einen Blick in die Configuration Management Database (CMDB) - um den Standort eines Servers zu kennen, seine externe Erreichbarkeit zu bewerten und den Common Vulnerability Scoring System (CVSS) der Schwachstellen zu berücksichtigen - ist es nahezu unmöglich, das tatsächliche Risiko zu bestimmen. Wenn schon CISOs zusätzliche Informationen benötigen, um das Risiko eines Netzwerks korrekt einzuschätzen, wie soll dann der Vorstand die Auswirkungen solcher Schwachstellen nachvollziehen können?

Die Hauptherausforderung liegt darin, dass Vorstandsmitglieder selten Fachbegriffe aus dem IT-Sicherheitsbereich verstehen. Daher ist es unerlässlich, dass CISOs ihre Kommunikationsweise anpassen. Die gute Nachricht ist: Die Sprache des Vorstands ist einfacher, als viele denken – sie basiert auf einer Abwägung von Kosten und Nutzen. Dabei lassen sich drei wesentliche Nutzenarten identifizieren:

• 1. Kosteneinsparungen

• 2. Effizienzsteigerung

• 3. Risikominderung

Da alle drei Nutzenarten letztlich auf Kosteneinsparungen abzielen und Effizienzsteigerungen häufig durch Prozessverbesserungen und die Implementierung automatisierter Tools erreicht werden, sollte der größte Teil des CISO-Budgets auf die Risikominderung ausgerichtet sein.

MCTTP – Wachsende Herausforderungen für CISOs

Der CISO steht an vorderster Front der Cybersicherheit

Um dieses Budget erfolgreich zu beantragen, sollten CISOs stets drei wesentliche Punkte beachten:

1. Fokussierung auf spezifische Risiken

Allgemeine Risiken wie „Ransomware“ können zwar dazu beitragen, ein übergreifendes Risiko zu verdeutlichen oder Angst zu schüren, doch der Vorstand weiß oft nicht, wie er mit solch unspezifischen Bedrohungen umgehen soll. Effektiver ist es, ein spezifisches Risiko darzustellen, beispielsweise: „Über den ungehärteten, extern zugänglichen Server XY kann ein Angreifer auf unser internes Netzwerk zugreifen. Die Wahrscheinlichkeit ist gering, da es sich um einen gezielten Angriff handeln müsste, aber der Angreifer könnte unser flaches Netzwerk übernehmen und alle Server mit Ransomware verschlüsseln.“

2. Präsentation verschiedener Lösungsansätze

Dabei sollten die Vor- und Nachteile sowie die Kosten der verschiedenen Optionen klar beschrieben werden. Eine Lösung könnte minimal sein, was auch bedeuten kann, nichts zu tun, um das Risiko zu mindern. Eine andere könnte die Maximallösung darstellen, bei der das Risiko so weit wie möglich minimiert wird, auch wenn dies oft das Budget übersteigt. Eine realistische und bevorzugte Lösung könnte beispielsweise darin bestehen, die Schwachstellen auf dem extern zugänglichen Server zu schließen, was die Einstellung eines internen IT-Mitarbeiters in Vollzeit erfordern würde.

Hohe Anforderungen an CISOs

Warum CISOs gute Psychologen sein müssen

3. Festlegung der Risikotoleranz

Der wichtigste Schritt besteht darin, den Vorstand um eine Entscheidung zur Risikotoleranz zu bitten und diese Entscheidung zu dokumentieren. Um dies zu ermöglichen, müssen die ersten beiden Schritte sorgfältig vorbereitet sein. Der Vorstand muss über das verbleibende Risiko seiner Entscheidung informiert werden. Eine Über- oder Untertreibung des Restrisikos wäre hierbei kontraproduktiv, da dies zu Misstrauen führen kann. Transparenz in der Risikosteuerung ist entscheidend, und die meisten Vorstände übernehmen diese Verantwortung gerne, um das Risiko im besten Interesse des Unternehmens zu managen.

Es ist wichtig zu verstehen, dass die Entscheidung des Vorstands möglicherweise nicht immer dem Wunsch des CISOs entspricht. Doch durch die Befolgung dieser Schritte wird die Kommunikation zwischen dem Vorstand und dem CISO auf Augenhöhe stattfinden. Der Vorstand wird seine Gründe dafür offenlegen, warum bestimmte Sicherheitsmaßnahmen nicht umgesetzt werden sollen, und CISOs erhalten wertvolle Einblicke in die aktuellen geschäftlichen Prioritäten und die Unternehmenssituation.

Fazit

Zusammenfassend lässt sich sagen: Vermeiden Sie den Einsatz von Metriken in Budgetanfragen und konzentrieren Sie sich stattdessen auf spezifische Risiken und Maßnahmen, um den Vorstand zur verantwortungsvollen Risikosteuerung zu befähigen. Persönlich setze ich diesen Ansatz auch in meinen Quartals- und Jahresberichten um, indem ich den Fokus auf die Risikosituation des Unternehmens lege und den Einsatz von Metriken weitgehend vermeide.

Über den Autor: Dennis Pokupec ist CSO/CISO bei der Creditplus Bank AG.

(ID:50215402)