Was Berufseinsteiger von erfahrenen CISOs lernen können CISO-Tipps für Berufseinsteiger

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Erfolgreiche CISOs sind vielseitige Experten, die nicht nur alle Bereiche der IT-Security aus dem Effeff beherrschen, sondern sie verstehen vor allem auch die Komplexität eines Unternehmens und seine wichtigsten Stakeholder. Welche Skills müssen Berufseinsteiger dafür erwerben?

Vom ersten Tag stehen CISOs unter dem Druck, mit begrenzten Budgets sich gegen eine wachsende Zahl von Bedrohungen zu verteidigen und gleichzeitig vordringliche IT-Security-Maßnahmen zu priorisieren, ohne das Geschäft zu gefährden. Wie kann dieser Drahtseilakt gelingen? In der Folge sind einige der wichtigsten Ansätze aufgelistet:

688.000 Dollar für deutsche CISOs

CISO-Einkommen explodieren weltweit!

Technologie allein reicht nicht aus

Für einen erfolgreichen CISO reicht es bei weitem nicht aus, Server abzusichern oder Laptops mit Patches zu versorgen. CISOs sind für die Sicherung der Unternehmensinformationen verantwortlich. Das ist ein Unterschied. CISOs sollten daher eine ganzheitliche Sichtweise entwickeln, die Menschen und Prozesse einschließt.

Sicherheitsmaßnahmen bedeuten für Geschäftsleute oftmals eine potenzielle Einschränkung. Daher muss immer zwischen Sicherheit und Benutzerfreundlichkeit abgewogen werden. Zu viel Dogmatik kann auch kontraproduktiv sein. Denn wenn es den Mitarbeitern schwer gemacht wird, ihre Arbeit zu erledigen, kann das dem Geschäft unter Umständen mehr schaden als ein Hacker von außen.

Hohe Belastung im Job durch wachsende Datenverantwortung

Wer will heute noch CISO werden?

Improvisationstalent und Anpassungsfähigkeit

CISOs können sehr leicht in Situationen geraten, wo sie schnell beurteilen müssen, welches Problem besonders kritisch ist und eine sofortige Aufmerksamkeit erfordert, und diesen Initiativen Vorrang vor langfristigen, transformativen Projekten einzuräumen. Wobei Anpassungsfähigkeit jeden Aspekt des Jobs betrifft, einschließlich der Vermeidung von Büropolitik und dem Aufbau von konstruktiven Beziehungen. Wenn es zu einem Vorfall kommt – und das wird passieren –, sollten sich CISOs lieber auf die Dinge konzentrieren, die Sie kontrollieren können.

Security-Insider Podcast – Folge 76

Wenn Forscher auf CISO-Praktiker treffen

Unternehmen als Ganzes verstehen

IT-Security wird in Unternehmen nicht selten als lästiges Hindernis angesehen. Daher muss der CISO gute Beziehungen zum Management pflegen, damit er bei wichtigen Entscheidungen ebenfalls einbezogen wird. Auf diese Weise ist es ihm möglich, neue Geschäftsinitiativen frühzeitig zu verstehen und daran zu arbeiten, einen Weg zu finden, diese sicher umzusetzen. Wenn der CISO in diesem Fall sagt, dass etwas nicht sicher umgesetzt werden kann, wird das Management seine Bedenken eher berücksichtigen.

Diese Vorgehensweise empfiehlt sich ebenfalls, wenn ein Geschäftsmodell für das Unternehmen von entscheidender Bedeutung ist, aber kein IT-Security-Budget dafür zur Verfügung steht. Ein respektierter CISO kann dem Management dann erklären, dass das Unternehmen jetzt in die IT-Security investieren sollte, um es zu seinen eigenen Bedingungen zu schützen, anstatt später aufgrund eines unerwarteten Hackerangriffs hohe Schäden zu erleiden – zusätzlich zu allen anderen Nebenwirkungen eines Angriffs.

Metriken für CISOs zur Risiko-Evaluierung

Wichtige Kennzahlen und KPIs für CISOs

Evaluierung der potenziellen Risiken

Der erste Schritt einer systematischen Risikobewertung besteht darin, festzustellen, welche Anwendungen für ein Unternehmen am wichtigsten sind, und so deren potenziellen Risiken zu definieren. In einem nächsten Schritt muss der CISO bestimmen, wie sich die identifizierten Risikoszenarien auf das Unternehmen auswirken können. Mithilfe einer Risikomatrix lässt sich jedes Risikoszenario klassifizieren und für das Management anschaulich darstellen.

Dabei ist es wichtig, eine Risikotoleranzquote zu definieren und anzugeben, welche Bedrohungsszenarien diesen Schwellenwert überschreiten. Jedes Evaluierungsprogramm muss in Betracht ziehen, dass ein gewisses Restrisiko bestehen bleibt und nicht vollständig eliminierbar ist. Dies muss vom Management als Teil der IT-Security-Strategie akzeptiert werden.

Cyber-Resilienz

Was ein CISO heute wissen muss!

Reaktion und Wiederherstellung

CISOs sollten sich nicht nur auf Schutzmaßnahmen konzentrieren, sondern ebenso erhebliche Anstrengungen und Budgets den Bereichen Backup, Reaktion und Wiederherstellung widmen. Ferner empfiehlt es sich die Backup- und Wiederherstellungsfunktionen regelmäßig zu testen, um die Gefahren vor Ransomware zu reduzieren.

Apropos, jeder CISO sollte über einen Vorfall-Reaktionsplan basierend auf Aktivitäten wie Bedrohungsmodellierung und Planspielen verfügen. Ferner geht es bei der IT-Security also nicht nur darum, die Türen und Tore streng zu bewachen, sondern auch mit sinnvollen Aktivitäten des Lebenszyklus-Managements und Änderungsstrategien alles unter Kontrolle zu behalten und sicherzustellen, dass die IT-Infrastruktur stabil bleibt.

IT-Security und Recht

CISOs sollten enger mit Rechts­beratungen zusammenarbeiten

Automatisierte Sicherheitstests

Sicherheitskontrollen sind nicht nur dafür da, um sie einzuführen, sondern auch um sie kontinuierlich zu testen. Manuelle Bewertungen, die früher vielleicht einmal gut funktionierten, reichen heute angesichts der rapiden Zunahme von Bedrohungen und digitaler Transformationsprojekte längst nicht mehr aus. Aus diesem Grunde müssen automatisierte Tests in die Gleichung einbezogen werden.

Erst eine automatisierte Sicherheitsvalidierung bietet CISOs eine kontinuierliche, umfassende und datengesteuerte Ansicht aller Investitionen in Sicherheitskontrollen und deren Performance. Sie unterstützt CISOs dabei, sich auf die Schwachstellen ihrer Teams zu konzentrieren und zu verstehen, wo mehr Zeit und Ressourcen investiert werden müssen. Mithilfe von Tools für die Sicherheitsvalidierung können CISOs mit dem Management über die Schwachstellen und Lücken in der Organisation, die Strategie zu deren Schließung und die Ergebnisse der Bemühungen des Teams kommunizieren.

Outsourcing

Wann ist ein CISO-aaS die richtige Lösung?

Informieren und schulen

In vielen Unternehmen verfügen die Mitarbeiter meist nur über ein begrenztes Sicherheitswissen. Insbesondere das Bewusstsein der Kollegen in Bezug auf IT-Security-Risiken ist - unabhängig von ihrer Position - in der Regel sehr rudimentär. Dies kann jedoch durch Schulungen in allen Abteilungen, einschließlich der IT, geändert werden. CISOs sollten daher Partnerschaften anstreben, statt mit dem Finger auf andere zu zeigen, denn sie sind da, um zu helfen, und nicht, um Fehler anzuprangern.

(ID:50303135)