Mobile-Menu

Im Gespräch mit Sergej Epp „Der CISO steht oft im Kreuzfeuer“

Von Melanie Staudacher 5 min Lesedauer

Anbieter zum Thema

SysDig, Inc.
sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
FTAPI Software GmbH

CISO, Berater, Dozent und einer von Deutschlands „Top 40 unter 40“: Sergej Epp repräsentiert die deutsche Cyber­sicherheits­branche in diesem Jahr wie kein Zweiter. Wir haben ihn an seinem ersten Arbeitstag als neuer CISO von Sysdig zum Gespräch getroffen.

Sergej Epp ist neuer CISO bei Sysdig und wurde vom Capital Magazin zu einem von Deutschlands „Top 40 unter 40“ gewählt.(Bild: Sysdig)
Sergej Epp ist neuer CISO bei Sysdig und wurde vom Capital Magazin zu einem von Deutschlands „Top 40 unter 40“ gewählt.
(Bild: Sysdig)

Nach über sechs Jahren als CISO bei Palo Alto Networks wechselt Sergej Epp zu Sysdig. In der neu geschaffenen Rolle des CISO wird er bei dem Cloud-Security-Spezialisten neben der allgemeinen Cybersicherheitsstrategie im Besonderen die Themen Software-Lieferkette, Vulnerability Management und Security Awareness vorantreiben. Besonders am Herzen liegt Epp jedoch die Aufklärung über Cybersicherheit – nicht nur in der Industrie, auch in der Gesellschaft. In einem Dschungel aus Konzepten und Frameworks, die von Analystenhäusern definiert wurden, will der Security-Experte die gewünschten Ergebnisse in den Vordergrund stellen und daraus individuelle und effektive Prozesse, Tools und Lösungen herausarbeiten. IT-Sicherheit müsse vor allem messbar sein, um erfolgreich zu sein. Denn: „Nichts ist schlimmer als die falsche Cybersecurity.“

Shift Left funktioniert in der Cloud nicht einfach so

Was viele Hersteller Epps Meinung nach noch nicht verinnerlicht hätten, ist, dass die Sicherheit für Cloud und Container anders aufgesetzt werden müsse. Denn die gesamte Cloud-Umgebung basiere zum Großteil auf Open Source Code sowie Komponenten von Drittanbietern. Viele Vulnerability-Management-Programme würden zudem nur in der Runtime, also in einer produktiven Umgebung, laufen können. Das „Shift Left“-Prinzip, bei dem die Testphase von Software in der Zeitachse des Entwicklungsprozesses nach links verschoben wird, gestalte sich in Cloud-Umgebungen oft als ineffektiv. Applikationen würden teilweise täglich aktualisiert und die Entwicklerteams kämen nicht hinterher, die Software immer wieder abzusichern. „Wir müssen hier neu denken und überlegen, wie wir die gesamte IT-Security ausbalancieren können. Von der Entwicklung bis zur produktiven Umgebung.“

Sysdigs Engagement für Open Source

Sysdig wurde 2013 von Loris Degioanni – Mitentwickler des weitverbreiteten Open-Source-Netzwerkanalysetools Wireshark – gegründet. Ein Meilenstein in der Firmengeschichte war die Entwicklung des Open-Source-Programms „Sysdig Inspect“, das Einblicke in Container- und Kubernetes-Umgebungen liefert und dem Wireshark zugrunde liegt. Mit Falco folgte 2016 ein weiteres Open-Source-Projekt, das sich auf die Laufzeitischerheit und Bedrohungserkennung für Kubernetes, Container und Cloud-Umgebungen konzentriert. 2018 wurde Falco Teil der Cloud Native Computing Foundation (CNCF). Seit 2020 gehört Falco zur Zertifizierungs­spezifikation für Kubernetes-Security-Spezialisten der CNCF.

Bis heute unterstützt Sysdig die Open Source Community, indem der Hersteller die Basis seiner Produkte als Open-Source-Version frei zugänglich macht. Zudem unterstützt Sysdig die CNCF-Ökosysteme mit Integrationen und gemeinsamen Projekten. Sysdig gilt als Vorreiter hinsichtlich der Zusammenarbeit zwischen kommerziellen Unternehmen und Open-Source-Stiftungen, die die Sicherheit, Akzeptanz und Weiterentwicklung von Technologie fördert.

Neben dem Fokus auf „Security by Design“ müssen Epp zufolge auch die Detection-and-Response-Fähigkeiten in Unternehmen verbessert werden. Bei einem Cyberangriff auf eine Cloud würden Kriminelle mittlerweile nur wenige Minute benötigen, um Daten zu exfiltrieren. „Die Cyberangreifer werden schneller und ihre Taktiken komplexer. Wir müssen mit unseren operativen Security-Prozessen genauso schnell sein.“

CISOs stehen unter Druck

Für IT-Sicherheitsverantwortliche geht der Wunsch nach mehr Aufmerksamkeit für die Cybersecurity oft mit Frustration und Druck einher. Denn in vielen Unternehmen fehlt häufig ein Verständnis für die Notwendigkeit von IT-Sicherheitsmaßnahmen – sowohl unter Mitarbeitenden wie auch in der Führungsebene, im Vorstand und im Aufsichtsrat.

Um mehr Aufklärung zu schaffen, ist Epp seit zehn Jahren als externer Dozent an der Frankfurt School of Finance & Management tätig, an der er selbst Informatik und Betriebswirtschaft studiert hat. Dort unterstützt er Geschäftsführer, Vorstandsmitglieder und Aufsichtsräte dabei, hinter die Kulissen der Cybersicherheit zu blicken und technisches Know-how aufzubauen, um fundierte Entscheidungen treffen zu können. Bei der Deutschen Bank, wo Epp für die Leitung von Cyberabwehrzentren in Amerika, Europa und APAC, die digitale Forensik, Ermittlungen und Cyberhygiene verantwortlich war, gab es einen beratenden externen CISO im Aufsichtsrat. „Das war bereits vor zwölf Jahren und der CISO hat das Thema IT-Sicherheit dann sehr stark nach vorne getragen und das interne Team und mich immer wieder herausgefordert.“ Auch andere große Finanz­institute, wie die Allianz oder ING, hätten bereits Security-Experten als Berater an ihrer Seite.

In anderen Industrien sehe dies aber ganz anders aus. „Da ist es teilweise so, dass manche Unternehmen und deren Führungsebene noch nie ein intensives Security-Training gehabt haben. Da darf der CISO sich und seinen Bereich mal kurz vorstellen, bekommt seine Aufgaben und dann geht er wieder. Cybersecurity betrifft jedoch alle im Unternehmen, nicht nur den CISO.“

Richtig mit dem Vorstand kommunizieren

Für die Kommunikation mit dem Vorstand und der Führungsebene hat Epp einen Tipp: „Versuchen Sie nicht, Ihrem Gegenüber Angst zu machen. Sondern versuchen Sie, alle Unternehmensbereiche für die IT-Sicherheit zu begeistern. Wecken Sie Interesse. Das kann schon ganz banal losgehen mit Aufklärung über Cyberangriffe und darüber, was da draußen passiert. Auch Phishing-Tests sind eine gute Option. Das Ziel ist es, eine intrinsische Motivation für den sicheren Umgang mit IT zu wecken.“ Um alle Bereiche miteinzubeziehen, könnten zudem Vorstandsvorsitzende oder der Aufsichtsrat die Mitarbeitenden – und nicht den CISO – nach den geschaffenen Mehrwerten von Cybersicherheit für ihre Abteilungen fragen. „Da wird am Anfang bestimmt nicht so viel kommen. Aber nach und nach werden die Mitarbeitenden mehr zu dem Thema lernen und sich selbstständig informieren. Das bringt auch den CISO aus dem Kreuzfeuer raus, dem er oft ausgesetzt ist, da nicht nur er in die Verantwortung genommen wird, sondern alle.“

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Sergej Epp unter Deutschlands „Top 40 unter 40“

Mit seiner Auszeichnung als einer von Deutschlands „Top 40 unter 40“ hat Epp ebenfalls dafür gesorgt, dass die IT-Sicherheit ins Zentrum der Aufmerksamkeit rückt. Seit 2007 kürt das Capital Magazin mit den „Top 40 unter 40“ Talente, die Deutschland voranbringen. Bereits im vergangenen Jahr wurde mit Jens-Philipp Jung, CEO und Mitgründer von Link11, ein Experte aus der IT benannt. Allerdings kein dedizierter IT-Sicherheitsbeauftragter. „Ich freue mich sehr, gemeinsam mit vielen tollen Menschen, in dieser Liste aufgenommen worden zu sein und damit das Thema Cybersicherheit ein bisschen weiter nach vorne bringen zu können. Wenn ich die Möglichkeit habe, werde ich natürlich versuchen, mehr Experten aus dem Cybersecurity-Umfeld für diese Auszeichnung vorzuschlagen. Ich denke, das wird künftig die Branche ermutigen und auch gesellschaftlich zeigen, dass das Thema wichtig ist.“

Epp sieht die besorgniserregende Cyberbedrohungslage als ein gesellschaftliches Problem an. Neben seiner Haupttätigkeit als CISO ist er als Berater für verschiedene Cybersicherheitsfirmen tätig und hat auch der Agentur der Europäischen Union für Cybersicherheit (ENISA) beratend zur Seite gestanden. Epp unterstützt die Unternehmen unter anderem bei der Verbesserung ihrer Bedrohungsabwehr und Sensibilisierung der Mitarbeitenden. „Bei der Cybersecurity sitzen wir alle in einem Boot und müssen das Thema als Teamplayer voranbringen. Neben den wirtschaftlichen Aspekten können wir in Europa und Deutschland ohne Cybersicherheit keine Souveränität aufbauen. In diese Richtung müssen wir aber gehen. Wir müssen die Cybersicherheit mehr aus der politischen und gesellschaftlichen Perspektive heraus diskutieren.“

(ID:50255118)

Weiterführende Inhalte