Neue Organisationsstrukturen für die IT-Sicherheit So bauen Sie ein schlagkräftiges Cybersecurity-Team auf

Anbieter zum Thema

Vogel IT-Akademie

Outpost24 GmbH

valvisio international AG

Da der Mangel an qualifizierten IT-Fachkräften in Deutschland weiter zunimmt und dieser sich laut einer Studie der Boston Consulting Group bis 2030 auf 1,1 Millionen fehlende Expert*innen in diesem Bereich belaufen wird, wird es immer wichtiger, alternative Lösungen für dieses Problem zu finden. Ein Ende dieser anhaltend herausfordernden Situation ist also nicht in Sicht.

Unternehmen, denen es nicht gelingt, ihre offenen Stellen zu besetzen, werden höchstwahrscheinlich auf Schwierigkeiten stoßen. Am Ende könnte es sogar sein, dass die Digitalisierung als Ganzes in Deutschland nicht in dem Maße voranschreitet, wie es theoretisch möglich wäre. Fest steht: IT-Spezialist*innen, wie Software Engineers, Entwickler*innen, Berater*innen und Sicherheitsspezialist*innen sind gefragter als je zuvor.

Für ein Unternehmen, das auf der Suche nach solchen Expert*innen ist, hat dies ganz konkrete Auswirkungen: Eine unbesetzte Stelle kostet durchschnittlich 29.000 Euro. Aber die Konsequenzen können noch weitreichender sein: Stehen Cyber-Security Abteilungen bspw. nicht das nötige Personal und Fachwissen zur Verfügung, um die ständig zunehmende Zahl von Cyber-Angriffen zu bewältigen, läuft die Organisation Gefahr, erheblichen Schaden zu erleiden, der möglicherweise zu Einschränkungen der Betriebsfähigkeit führen kann.

Doch welche Optionen haben Unternehmen nun, anstatt verzweifelt um die wenigen verfügbaren Talente zu konkurrieren und auf das Beste zu hoffen? Outsourcing oder der Einsatz von Zeitarbeitskräften zur Besetzung der offenen Stellen könnten zwar mögliche Strategien sein, lösen das Problem – wenn überhaupt – nur vorübergehend. Konkret empfehle ich Unternehmen, ihre Suchkriterien bei der Suche nach neuen Mitarbeiter*innen grundlegend anzupassen.

Als Director of Privacy and Security bei Vinted sammelte ich umfassende Erfahrung darin, ein vielfältiges Cyber Security Team von Grund auf aufzubauen. Nachfolgend erläutere ich, wie man erfolgreich ein gut funktionierendes Team innerhalb kurzer Zeit in einem stark skalierenden Umfeld etabliert, das sich an das kontinuierlich verändernde Feld von Security und Privacy optimal anpassen kann.

Aufbau einer soliden Teamstruktur

Innerhalb von zweieinhalb Jahren wuchs mein Team von einer einzigen Person auf 35 Mitarbeiter*innen. Dies erforderte in erster Linie Planung, Struktur und Engagement. Zunächst beschlossen wir, die Abteilung in zwei Bereiche aufzuteilen: Security Governance und Security Engineering. Das war bis dato keine übliche Taktik in diesem Bereich. Wir gingen allerdings davon aus, dass wir perspektivisch weiter wachsen würden; darauf wollten wir vorbereitet sein, bevor es zu spät war, die notwendigen strukturellen Anpassungen vorzunehmen. Zahlreiche neue Mitarbeiter*innen einzustellen, die sich hauptsächlich mit Richtlinien, Verfahren und Anforderungen befassen, bedeutet, dass Teammitglieder hinzukommen, deren Kompetenzen nicht zwangsläufig ein umfassendes Verständnis moderner Technologien beinhalten. Durch die zusätzliche Einstellung von Engineering Expert*innen, die sich hauptsächlich mit den technischen Lösungen befassen, konnten wir die unterschiedlichen Fähigkeiten unserer Mitarbeiter*innen entsprechend den differenzierten spezifischen Aufgaben einsetzen. Die gleiche Vorgehensweise haben wir auch im Bereich Datenschutz angewandt.

Als der Kern der Abteilung eingerichtet wurde, führten wir neue Funktionen wie Assurance, Risk Management und Business Continuity ein – Disziplinen, die es vorher in dieser Form nicht gab. Wir sahen, dass der Bereich der Sicherheit und des Datenschutzes drastisch an Bedeutung gewann und dadurch die Notwendigkeit, aussagekräftige und nachvollziehbare Entscheidungen zu treffen, wichtiger denn je wurde. Als das Unternehmen weiter expandierte, etablierten wir eine noch umfassendere Organisationsstruktur, um unser Ziel zu erreichen, eine grundlegend innovative Abteilung für Sicherheit und Datenschutz im Segment der Online-Marktplätze zu schaffen. Vor allem möchten wir aber sicherstellen, dass unsere Nutzer*innen sich keine Sorgen über etwaige Risiken machen müssen, wenn sie uns ihre Daten anvertrauen.

Diversität am Arbeitsplatz fördert Innovation

Bei der Suche nach neuen Mitarbeiter*innen kann es sein, dass der ausschließliche Fokus auf hochqualifizierte IT-Spezialist*innen nicht den gewünschten Erfolg bringt. Im Folgenden gehe ich auf zwei Beispiele ein, die deutlich machen, wann anderweitige Fähigkeiten von entscheidendem Wert sind:

Das erste Beispiel bezieht sich auf den Bereich Risk Management, bei dem sich die Teammitglieder mit sogenannten “bekannten Unbekannten” und “unbekannten Unbekannten” auseinandersetzen müssen. Bei einer bekannten Unbekannten hat man es mit Ereignissen zu tun, die man so oder so ähnlich schon mal gesehen hat und deren Verlauf man bis zu einem gewissen Grad vorhersagen kann; jedoch weiß man nicht mit absoluter Sicherheit, ob sie tatsächlich genau so eintreten. Eine unbekannte Unbekannte ist etwas, das man nicht einmal annähernd vorhersehen kann, mit dem man sich aber trotzdem zwangsläufig auseinandersetzen muss.

Hier kommen die Methoden des Risk Managements ins Spiel. Die verantwortlichen Teammitglieder sollten in der Lage sein, stichhaltige Vorhersagen zu treffen, logische Schlussfolgerungen zu ziehen und dabei fortwährend die potenziellen Risiken im Auge zu behalten. Für diese herausfordernde Aufgabe ist ein breites Spektrum an Fähigkeiten erforderlich. Die universitäre Lehre fokussiert sich jetzt mehr und mehr auf diesen Bereich und bildet zunehmend mehr Absolvent*innen aus, die fähig sind, solche Aufgaben zu bewältigen. Da die Absolvent*innen jedoch neu in diesem Bereich sind, verfügen sie noch nicht über ausreichende praktische Erfahrungen, sondern hauptsächlich über theoretisches Wissen. Deshalb arbeiten wir mit verschiedenen Universitäten zusammen, um den Ausbildungsprozess so weit wie möglich zu unterstützen und die Kompetenzen für dieses wachsende Fachgebiet mitzugestalten. In der Zwischenzeit haben wir festgestellt, dass insbesondere nicht spezialisierte Expert*innen, zum Beispiel Psycholog*innen, Pädagog*innen, Designer*innen, Marketing- oder Wirtschaftsfachkräfte, meine Abteilung auf vielen verschiedenen Ebenen enorm bereichern. Designer*innen und Marketingexpert*innen spielen beispielsweise eine wichtige Rolle dabei, die Kluft zwischen dem Bereich Security und den betriebswirtschaftlichen Abteilungen zu überbrücken, weil sie in der Lage sind, in der notwendigen Fachsprache zu kommunizieren, die unter anderem Punkte wie Metriken, KPIs, Business Cases und Return on Investment beinhaltet. Der Hauptgrund für diesen Ansatz: Wenn das Security Team das Business Team versteht und umgekehrt, erreichen wir einen Punkt, an dem ein großes Potenzial freigesetzt wird.

Eine Sache sollte an dieser Stelle klar sein: Risk Management, Assurance und Business Continuity sind Bereiche, die aufgrund der sich ständig ändernden Herausforderungen, mit denen diese Teams konfrontiert sind, eine Vielzahl von Kenntnissen und Fähigkeiten erfordern. Der Schlüssel zum Erfolg liegt im Recruiting von Mitarbeiter*innen, die über ein breites Spektrum an Erfahrungen und Fachkenntnissen verfügen.

Ein weiteres Beispiel sind unsere Awareness-Expert*innen: Sie sind zumeist ehemalige Lehrer*innen und Psycholog*innen und deshalb in der Lage, komplexe Informationen präzise und verständlich zu vermitteln. Diese Qualifikationen sind elementar, um intern ein ausreichendes Bewusstsein für die ständigen Bedrohungen und Herausforderungen durch externe Attacken zu schaffen. Diese hochqualifizierten Kommunikator*innen arbeiten dabei eng mit den Security Engineers zusammen, die ihrerseits ein tiefes Verständnis für die technischen Aspekte der Materie haben.

Ein drittes wichtiges Beispiel ist das Vulnerability Management, d. h. das Erkennen und Managen von Software-Schwachstellen. Für diese Aufgabe sind Personen mit guten Kenntnissen im Stakeholder-Management gefragt. Idealerweise verfügt das dafür zuständige Personal über die Fähigkeit, ein funktionierendes System zu schaffen, das diese Schwachstellen effizient strukturiert und nach Prioritäten ordnet. Jemand mit einem betriebswirtschaftlichen Hintergrund weiß, wie solch ein System funktioniert und wäre zum Beispiel optimal für diese Aufgabe. Beim Vulnerability Management arbeiten wir nicht individuell, sondern meist in Gruppen daran, jene Schwachstellen zu bekämpfen, die uns von den Teams übermittelt wurden, die die Sicherheitstests durchführen. Dabei spielen kaum messbare Faktoren eine bedeutende Rolle, die wir aber dennoch brauchen, um aussagekräftige Entscheidungen treffen zu können. Je vielfältiger die Expertise in der verantwortlichen Gruppe ist, desto besser.

Fazit

Der Fachkräftemangel macht es zwar notwendig, nach alternativen Quellen zu suchen, aus denen man kompetente neue Mitarbeiter*innen rekrutieren kann, aber ein vielfältiges Team anzustreben ist etwas, das ich generell empfehle. Meiner Meinung nach entsteht wahre Innovation erst dann, wenn man eine Gruppe von Menschen mit unterschiedlichen Fähigkeiten und voneinander abweichenden beruflichen Hintergründen zusammenbringt. Die Teamstruktur entscheidet schlussendlich, ob ein Projekt erfolgreich wird. Dabei sollten die vielfältigen Fähigkeiten und Talente der Angestellten so fusioniert werden, dass sich die technischen Kompetenzen mit vermeintlichen Soft Skills ergänzen.

Das Ziel von Führungskräften von Security und Privacy Teams sollte sein, ein Team aufzubauen, das in der Lage ist, das Unternehmen umgehend zu unterstützen und gleichzeitig mittel- bis langfristig innovative Konzepte zu realisieren. Dabei darf eines nicht vergessen werden: Es kommt eben nicht einzig und allein auf die technischen Aspekte an, sondern vor allem auf ein breites Verständnis für den Bereich der Sicherheit sowie die Effekte auf und die Verknüpfungen mit den anderen Abteilungen des Unternehmens.

Über den Autor: Tomas Martinkenas ist Director of Security and Privacy bei Vinted, dem größten C2C Marktplatz für secondhand Mode in Europa. Er verfügt über langjährige Erfahrung, Cyber Security Teams strategisch aufzubauen und zu managen.

(ID:49219638)