CISOs stehen unter Druck Compliance fordert ihren Tribut von IT-Sicherheitsverantwortlichen

Anbieter zum Thema

Splunk Services Germany GmbH

Vogel IT-Medien GmbH

Fsas Technologies GmbH

Dass die Kommunikation zwischen Cybersecurity-Abteilung und Vorstand viel Fingerspitzengefühl erfordert, ist bekannt. Splunk hat Unstimmigkeiten zwischen beiden Seiten identifiziert. Probleme machen vor allem die Compliance und Druck der Führungsebene.

Unternehmen sollten ihre CISOs mit klaren Prozessen und Ressourcen unterstützen und ihnen allen voran Rückendeckung geben, heißt es im „CISO-Report“ von Splunk. Doch die Realität sieht einer Umfrage unter 500 CISOs, CSOs und vergleichbaren Security-Verantwortlichen sowie 100 Vorstandsmitgliedern zufolge, leider anders aus. So gaben 21 Prozent der CISOs an, schon einmal gedrängt worden zu sein, einen Compliance-Vorfall nicht zu melden. 59 Prozent würden Splunk zufolge somit als Whistleblower auftreten, wenn ihr Unternehmen Compliance-Anforderungen ignoriert. „Wenn CISOs unter Druck gesetzt werden, Probleme nicht zu melden, fehlt es an echter Transparenz und risikobasierte Entscheidungen werden unmöglich – eine gefährliche Entwicklung“, warnt Kirsty Paine, Field CTO und Strategic Advisor bei Splunk.

„Für CISOs ist Risiko das Element in dem wir leben, jeden Tag. Wir bekämpfen Malware, stoppen böswillige Insider und setzen Compliance durch. Aber wenn wir uns nicht mit dem Vorstand auf einen gemeinsamen Takt einigen, dann entsteht eine andere Art von Risiko“, ergänzt Michael Fanning, CISO bei Splunk. „Wenn wir nämlich die potenziellen Folgen von Sicherheitsproblemen nicht deutlich machen können, schwelen diese Probleme weiter. Dies ist die eigentliche Herausforderung: den Menschen, die unsere Vision unterstützen können, unser Security-Narrativ zu erzählen, und zwar so, dass sie mitgehen.“

Sorge vor Konsequenzen

Mitarbeitende haben Angst, Vorfälle zu melden

Compliance setzt CISOs unter Druck

Zwar ist die Regelkonformität der Studie zufolge für CISOs keine relevante Leistungskennzahl – nur 15 Prozent der befragten CISOs sehen dies so. Doch 57 Prozent der Sicherheitsverantwortlichen sehen „fundierte Kenntnisse in Compliance“ als essenziell für ihren Erfolg an. Im Gegensatz dazu sehen 45 Prozent der Vorstände Compliance als relevante Leistungskennzahl an. Dies verdeutliche die Diskrepanz zwischen den Erwartungen der Vorstände und dem Verantwortungsgefühl hinsichtlich Compliance der CISOs, was eine konstruktive Zusammenarbeit erschwere. IT-Sicherheitsverantwortliche seien oft allein mit der Last der Verantwortung. Denn neben Haftungsrisiken und drohenden Geldstrafen würden sie im Ernstfall sogar ihren Job verlieren.

Ein weiterer Faktor ist Splunk zufolge, dass das regulatorische Umfeld für CISOs härter geworden sei. Strengere Vorschriften und kürzere Meldefristen würden sie zwingen, schnell Entscheidung zu treffen und gleichzeitig die persönliche Haftung erhöhen. Als Folge würden Sicherheitsverantwortliche zunehmend auf einen strikteren und persönlicheren Compliance-Ansatz im Unternehmen setzen. Dieser sei oft mit Risiken für die Transparenz und Entscheidungsqualität verbunden.

Im Gespräch mit Sergej Epp

„Der CISO steht oft im Kreuzfeuer“

CISOs und Vorstände sind sich uneins

Eine weitere Unstimmigkeit zwischen IT-Sicherheitsverantwortlichen und den Unternehmensvorständen ergibt sich hinsichtlich den Prioritäten der Cybersicherheit. Zwar sind sich CISO-Report zufolge die beiden Gruppen einig, dass der Schutz sensibler Unternehmensdaten sehr wichtig oder ganz wichtig sind (Vorstände: 70 Prozent; CISO: 68 Prozent). Doch wenn es um Innovation im Unternehmen mit aufkommenden neuen Technologien geht, sehen 52 Prozent der CISOs dies als Priorität und nur 33 Prozent der Vorstände.

Auch das Weiterbilden des Sicherheitspersonals sowie Beiträge zu Wachstumsvorhaben empfinden CISOs mit 51 Prozent und 36 Prozent wichtiger als Vorstände mit 27 Prozent und 24 Prozent. Insgesamt gaben 53 Prozent der CISOs an, dass ihre Aufgaben schwieriger geworden sind und dass mehr von ihnen erwartet wird. So nennen beispielsweise 63 Prozent der Vorstände „Leadership“ als eine wichtige Fähigkeit, die CISOs entwickeln sollten. Auch emotionale Intelligenz (45 Prozent) und Geschäftssinn (55 Prozent) sollten die Security-Spezialisten mitbringen.

Soft Skills für CISOs

Welche Kommunikationsfallen muss ein CISO vermeiden?

ROI ist für Vorstände entscheidend

Grundsätzlich sind sich Vorstände und CISOs einig, dass zum Beispiel die Anzahl der wesentlichen Security Incidents und die Aktualität des Schwachstellenmanagements relevante Erfolgskennzahlen sind. Beide Seiten stimmen zudem überein, dass sich die Key Performance Indicators (KPIs) der Sicherheitsteams in den vergangenen Jahren erheblich verändert haben. „Das Geschäft verändert sich. Wir wollen in neue Geschäftsmodelle und neue Geschäfts­bereiche einsteigen, und dann werden wir es mit User-Daten und persönlichen Daten zu tun haben. Meine Haltung hat sich geändert, weil ich Sicherheit jetzt als ein größeres Risiko sehe als noch vor zwei Jahren“, sagt Prasanna Ramakrishnan, Global CISO bei Clarios.

Außerdem haben die Vorstände dem Report zufolge eigene Standards zur Bewertung der CISOs Leistung, wie den Return on Investment (ROI) von Sicherheitsinvestitionen. Sie würden von den CISOs daher ein mehr strategisches als taktisches Vorgehen erwarten und dass sie ganzheitlich kommunizieren, wie sich ihre Vorhaben auf das Geschäft auswirken. „Wir ziehen eine Security-Investition nur dann in Betracht, wenn sie einen ROI von mindestens 15 Prozent bringt. Alles andere ist schwer zu rechtfertigen“, kommentiert ein Vorstandsmitglied einer multinationalen britischen Bankengruppe. Daraus folge, dass die Vorstandschaft „ausgereifte, strategische, proaktive Führungsqualitäten und Business Enabler“ wolle, nicht nur „Schadensbegrenzung“. CISOs, die ihrem Vorstand begreiflich machen können, wie ihre Sicherheits-KPIs dem Geschäft zugutekommen, werden Splunk zufolge erfolgreicher sein. „CISOs müssen auch ihre Taktik ändern, um sich besser Gehör zu verschaffen. Sie müssen ihre kostbare Zeit im Vorstand nutzen, den ROI ihrer Sicherheitsinvestitionen darlegen und Sicherheit als Business Enabler präsentieren, nicht nur als Kostenstelle“, fasst Paine zusammen.

Personal-Management

Wann ist die Zeit reif für einen CISO?

(ID:50292299)