Relationship-Management für CISOs Solide Partnerschaften zwischen CISO und Security-Anbietern

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

Für CISOs ist es nicht nur wichtig über ihre eigenen Anforderungen genau Bescheid zu wissen, sondern auch zu verstehen, was ein IT-Security-Anbieter im Gegenzug von ihnen erwartet. Wie lassen sich Beziehungen zwischen CISOs und Anbietern für beide Seiten effektiver gestalten?

Für CISOs ist eine partnerschaftliche Beziehung zu ihren Security-Anbietern ein wichtiges Element, um beispielsweise über branchenbezogene Trends gut informiert zu bleiben, Wettbewerbsanalysen zu alternativen Lösungen zu erstellen und vor allem Vertrauen aufzubauen, um durch ein tiefergehendes partnerschaftliches Verständnis die Sicherheitsleistung zu optimieren.

Es empfiehlt sich daher für CISOs, zu einer ausgewählten Gruppe von wichtigen Security-Anbietern dauerhaft einen engeren Kontakt zu halten, wobei diese Partnerschaft aber für beide Seiten von Vorteil sein soll.

Wenn CISOs es versäumen, gute Arbeitsbeziehungen mit ihren Anbietern einzugehen oder aufrechtzuerhalten, werden sie oft feststellen, dass ihr Anbieter ihren Bedürfnissen weniger Priorität einräumen, und die Reaktionsfähigkeit sich dadurch sogar verzögern könnte. Im schlimmsten Fall werden solche Unternehmen als „toxischer Kunde“ eingestuft, dem kein Vertriebsmitarbeiter zugewiesen werden möchte.

Geheimnisse einer guten Geschäftspartnerschaft

IT-Security ist komplex, eine Partnerschaft mit einem Anbieter oder CISO sollte es dagegen nie sein. Die Bereitstellung einer wertorientierten Methodik, die Unternehmen dabei hilft, datengestützte Sicherheitsentscheidungen besser und schneller zu treffen, ist das oberste Ziel. Das wird erreicht, indem die Herausforderungen und Ziele des CISOs in den Mittelpunkt gestellt werden.

Die Kunden sollten nicht nur darauf vertrauen, dass die Anbieter das halten, was sie versprechen, sondern auch darauf, dass sie ihnen zur Seite stehen und als verlängerter Arm ihres Teams arbeiten - insbesondere dann, wenn ein Angriff erfolgt. Da es jede Minute eine neue Bedrohung geben kann, muss der Schwerpunkt darauf liegen, CISOs dabei zu helfen, einen Angriff zu ihrem Vorteil zu nutzen, indem sie daraus lernen und sich anpassen, damit ihr Unternehmen in einer noch stärkeren Position als zuvor wieder weiterarbeiten kann.

Was erwarten CISOs von ihren Security-Anbietern?

CISOs sollten ein klares Verständnis davon haben, was sie von einem Anbieter erwarten. Selbst wenn die spezifischen Kriterien variieren, existieren einige universell geltende Voraussetzungen. Das bedeutet, CISOs müssen dafür einen klar definierten Auftragsumfang mit greifbaren KPIs und messbaren Ergebnissen und/oder Berichten definieren. Dies ist entscheidend, um die Verantwortlichkeiten und die Rechenschaftspflicht des Anbieters gegenüber dem Unternehmen festzulegen.

Was erwarten Security-Anbieter von ihren CISOs?

Partnerschaften beruhen auf Gegenseitigkeit. Daher ist es für CISOs nicht nur wichtig zu wissen, was das Unternehmen tatsächlich benötigt, sondern auch zu verstehen, was ein Anbieter im Gegenzug von ihnen erwartet. Aus diesem Grunde empfiehlt es sich für CISOs den Anbietern offen und ehrlich gegenüberzutreten. Das heißt aber auch, der Anbieter sollte immer auch wissen, welche anderen Anbieter im Mix enthalten sind.

Natürlich garantiert kein einziger Anbieter Schutz vor jeder Bedrohung, aber er kann sich mit seinen Lösungen an die speziellen Bedürfnisse eines Unternehmens anpassen, wenn er genau weiß, welche diese Anforderungen sind. Beispielsweise stiftet ein ständiger Austausch von Informationen über Bedrohungsgruppen, Angriffstechniken oder branchenspezifische Bedrohungstrends für einige CISOs einen deutlich größeren Nutzen als ohne.

Das heißt, je mehr die Anbieter über das Geschäft und die Prioritäten der Kunden wissen, umso mehr können sie ihnen auch die relevanten Informationen zur Verfügung stellen, die sie effektiv benötigen.

Kommunikation im Relationship-Management

Wenn die beiderseitigen Bedarfe bekannt sind, wird die Kommunikation an sich zum wichtigsten Element in jeder Partnerschaft zwischen CISO und Anbieter. In einer vertrauenswürdigen Kommunikation werden nicht nur die Erwartungen offen geteilt, sondern auch die Grenzen aufgezeigt, die für beide Parteien gelten. Entscheidend ist dabei, dass eine Kommunikation zwischen beiden Parteien regelmäßig stattfindet.

Bei einer schlecht funktionierenden Kommunikation stellen eine mangelnde Klarheit über Lösungsimplementierungen oder Ergebnisse von Projekten ein häufiges Problem dar. CISOs sollten stets die Häufigkeit ihrer Kommunikation mit Anbietern sorgfältig prüfen. Es ist nicht ratsam, sich nur zum Zeitpunkt des Kaufs oder der Vertragsverlängerung zu treffen. Zeit und Häufigkeit der Treffen stehen jedoch oft im Konflikt mit konkurrierenden Prioritäten.

Risikomanagement und Vorbereitung auf Veränderungen

Auf den Punkt gebracht: Mehr Risiko/Exposure erfordert eine intensivere Partnerschaft zwischen einem CISO und seinen Anbietern. Es ist dabei wichtig, dass beide Parteien auch den geschäftlichen Wert verstehen, der mit dem Risiko und der Gefährdung verbunden ist, und wie es sich auf Joint Ventures, Lieferanten und andere Partner auswirken kann.

Anbieter, die größere Veränderungen durchlaufen, wie beispielsweise strategische Fusionen oder Übernahmen, plötzliche Änderungen der Eigentumsverhältnisse oder sogar die Zuführung von Risikokapital, können ebenfalls erhebliche Auswirkungen auf eine Partnerschaft ausüben, worauf CISOs vorbereitet sein müssen. Denn diese Ereignisse auf höchster Ebene äußern sich häufig in einem Wechsel des Kundenbetreuers, Kundendienstleiters oder der Geschäftspolitik.

Was CISOs an Anbietern nicht mögen

Es gibt eine Reihe von Warnsignalen, die CISOs schnell davon abhalten können, mit einem Anbieter zusammenzuarbeiten. Dazu gehören unter anderem die Erzwingung eines Produktdemos oder eine nervende Panikmache. Wenn ein Anbieter einen CISO mit zu vielen Ängsten bombardiert, anstatt ihm zu zeigen, wie man IT- und Sicherheitsteams zusammenbringen oder seine Probleme einfach lösen kann, ist er kaum bereit, ein Produkt kennenzulernen. Ferner sind damit unrealistische Anbieter-Roadmaps bzw. die Notwendigkeit gemeint, bestehende Sicherheitskontrollen zu verschlechtern oder zu deaktivieren, damit eine neue Lösung funktioniert.

(ID:48567148)