Neue Aufgaben und Verantwortungen für den CISO

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Onapsis Europe GmbH

Auswege aus dem ROI-Dilemma

Um die komplexe Thematik praktisch handhabbar zu machen, plädiert Sicherheitsexperte Störtkuhl für einen ganzheitlichen Ansatz. „Das bedeutet, man darf sich nicht in technischen Lösungen verlieren, man muss Steuerungselemente aufbauen, Sicherheitsanforderungen definieren und die Technik den Spezialisten überlassen“, sagt Störtkuhl.

Für ganz wichtig erachtet der Experte dabei die Einbeziehung der Mitarbeiter von Anfang an. Eine wichtige fachliche Richtschnur bieten dabei Standards wie ISO 27001 und Cobit. Zum Risikomanagement wird es in der ISO 270xx Reihe auch einen Standard geben. „Manche gehen auch nach dem Grundschutzhandbuch des BSI vor, das sich ja in den ISO 27001 Standard eingeklinkt hat“, so Störtkuhl weiter.

Ein eigentlicher ROI lässt sich indes nur schwer angeben, das weiß auch Thomas Störtkuhl. „Aus unserer Erfahrung bleib der Risikoansatz.“ Dort wo Risiken nicht tragbar seien, solle das Unternehmen Maßnahmen zur Reduktion implementieren. Dabei bestimme letztendlich das Management, welche Risiken nicht akzeptabel seien.

Fazit: Neuralgische Stellen mit transparenten Methoden schützen

Das Motto aus betriebswirtschaftlicher Sicht lautet also, für eine angemessene Sicherheit zu sorgen. Nicht mehr und nicht weniger. „Angemessenheit wird über das Risiko gemessen“, betont Störtkuhl.

Um die Risiken erfassen zu können, muss zunächst einmal bekannt sein, welche Assets zu schützen sind und wovor sie zu schützen sind. „In diesem Sinne fungiert der CISO tatsächlich als betriebswirtschaftlicher Asset Manager“, so der Experte.

Die vielen strategischen Bestandteile der Security-Strategie gilt es außerdem, zu einem konsistenten Gesamtbild zu vereinen. Die IT Security Governance stellt nach Auffassung von Thomas Störtkuhl die dafür notwendige Voraussetzung dar, um IT Sicherheit überhaupt managen zu können. Jedes Unternehmen benötige dazu ein Kontroll- und Steuerungsinstrument. „Aber hier gilt das Motto, nur das was man messen kann, kann man auch steuern“, so der Experte.

Vielseitigkeit statt abgeschlossenem Spezialistentum

Das Motto aus betriebswirtschaftlicher Sicht lautet also, für eine angemessene Sicherheit zu sorgen. Nicht mehr und nicht weniger. „Angemessenheit wird über das Risiko gemessen“, betont Störtkuhl.

Um die Risiken erfassen zu können, muss zunächst einmal bekannt sein, welche Assets zu schützen sind und wovor sie zu schützen sind. „In diesem Sinne fungiert der CISO tatsächlich als betriebswirtschaftlicher Asset Manager“, so der Experte.

Die vielen strategischen Bestandteile der Security-Strategie gilt es außerdem, zu einem konsistenten Gesamtbild zu vereinen. Die IT Security Governance stellt nach Auffassung von Thomas Störtkuhl die Voraussetzung dar, um IT Sicherheit überhaupt managen zu können. Jedes Unternehmen benötige dazu ein Kontroll- und Steuerungsinstrument. „Aber hier gilt das Motto, nur das was man messen kann, kann man auch steuern“, so der Experte.

Folglich fällt dem CISO die Aufgabe zu, für die Informationssicherheit des Unternehmens geeignete Messparameter neben dem Risiko zu entwickeln. Letztlich wird sich das Berufsbild bzw. Anforderungsprofil künftig ändern, darüber sind sich die Experten einig. Meist kommt der CISO aus einer sehr techniklastigen Ecke. „Aber man benötigt einen selbstbewussten Moderator, der etwas von Kommunikation und Management versteht und das im Hinblick auf Informationssicherheit, eben einen echten Streetworker“, fasst Störtkuhl zusammen.

(ID:2019067)