Personal-Management Wann ist die Zeit reif für einen CISO?

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

CISOs tragen dazu bei, sensible Daten oder geschäftskritische Infrastruktur zu schützen und die Wahrscheinlichkeit von Hacker-Angriffen zu verringern. Welche wichtigen Anzeichen müssen Unternehmen rechtzeitig erkennen, dass sie einen CISO benötigen?

Hacker suchen immer nach Schwachstellen und Schlupflöchern in den Netzwerken der Organisationen. Wenn Unterbrechungen im täglichen Geschäftsbetrieb vermieden werden sollen, wird ein Spezialist gebraucht, der für Integrität und Verfügbarkeit der Daten und Infrastruktur verantwortlich ist. Ein solcher Spezialist ist der CISO (Chief Information Security Officer).

Er kümmert sich unter anderem um Aufgaben wie beispielsweise geschäftliche Informationssicherheit, Governance-Risiken und Compliance, IT-Kontrollen, Risk-Management, digitale Forensik, Geschäftskontinuität und Notfall-Wiederherstellung, IT-Infrastruktur, E-Discovery, Informationssicherung, Notfall-Maßnahmen und Netzwerk- oder System-Datenschutz. Aber wie weiß ein Unternehmen, wann es einen CISO benötigt? In der Folge sind wichtige Anzeichen dafür aufgelistet:

Existierende Kompromittierungen

Falls die IT-Security eines Unternehmens bereits mehrmals angegriffen wurde, ist es angezeigt, dass sie erhöht werden muss und ein CISO auch die jeweils notwendigen strategischen Schritte einleitet. Wenn es Hackern also gelungen ist, Systeme und Netzwerke eines Unternehmens zu kompromittieren, kann es ein leichtes Ziel für zukünftige und vielleicht auch folgenschwerere Angriffe sein.

Manche Manager mögen vielleicht denken, dass es nicht sonderlich sinnvoll sein kann, in die IT-Security zu investieren, da die Netzwerke und Geräte bereits angegriffen und die meist eher notdürftigen Maßnahmen schon getätigt wurden. Dabei wäre es wichtig, ein solides und zukunftssicheres IT-Security-Management zu implementieren, um weiteren Angriffen nicht zum Opfer zufallen.

Ein solches Management umfasst unter anderem die Einteilung potenzieller Bedrohungen und Risiken, die Evaluierung ihrer Eintrittswahrscheinlichkeit als auch die Schätzung der Schäden, die entstünden, wenn das Risiko nicht reduziert wäre. Dagegen müssen die Kosten der potenziellen Maßnahmen und Kontrollen gegen die potenziellen Schäden abgewogen werden. Ein CISO testet beispielsweise auch regelmäßig, wie leistungsfähig die IT-Security-Programme in der Praxis tatsächlich sind.

Damit erhält ein Unternehmen die Möglichkeit zu erfahren, ob der Incident-Response-Plan und andere Sicherheitskontrollen einem potenziellen Angriff effektiv standhalten können. Die Beschäftigung eines CISOs bietet daher eine große Chance, die IT-Security grundsätzlich zu optimieren und vor allem an die spezifischen Erfordernisse der jeweiligen Geschäftstätigkeit anzupassen.

Komplexität der Geschäftsanforderungen

Die Anforderungen an die IT-Security von KMU mit einer vielleicht eher überschaubaren Anzahl von Mitarbeitern unterscheiden sich von denen einer großen Organisation mit mehreren Tausenden von Mitarbeitern und Kunden. Denn die geschäftliche Komplexität bestimmt, in welcher Weise die IT-Security priorisiert und die Dienste eines CISOs in Anspruch genommen werden sollten.

Dabei ist zu beachten, dass die geschäftliche Komplexität nicht automatisch mit der Größe eines Unternehmens einhergehen muss. Hinzu kommt, dass Top-Level-Führungskräfte, die es natürlich ebenfalls bei Mittelständlern gibt, gerne auch in Fragen der IT-Security mit einem entsprechend für diese Etagen geeigneten Ansprechpartner kommunizieren möchten.

Governance und Compliance

Unternehmen aus bestimmten Branchen, wie beispielsweise in der Gesundheits- und Finanzbranche, verarbeiten und speichern mitunter große Mengen sensibler Informationen. In der Regel sind diese Unternehmen meist sehr streng reguliert und benötigen im Vergleich zu anderen Unternehmen eine wesentlich umfassendere IT-Security-Lösung.

Kommt es innerhalb eines solchen Unternehmens zu einer Sicherheitsverletzung, könnte dies sehr schnell neben finanziellen und rufschädigenden Auswirkungen eines Cyberangriffs auch unangenehme rechtliche Konsequenzen nach sich ziehen.

Aus diesem Grunde überwiegen die Kosten einer Datenschutzverletzung oder eines Cyberangriffs bei weitem die Kosten für die Beschäftigung eines CISOs, der die IT-Security eines Unternehmens um ein Vielfaches verbessern kann.

IT-Security-Knowhow und Fachkräftemangel

Ein weiterer Hinweis dafür, dass ein Unternehmen das Wissen und die Erfahrungen eines CISOs benötigt, ist die aktuell meist knappe IT-Kapazität. Wenn dem Unternehmen beispielsweise IT-Experten fehlen, die mit Sicherheitsverletzungen professionell umgehen können, läge es nahe, einen CISO einzustellen.

Für den Fall, dass ein Unternehmen über IT-Experten mit dem geforderten Know-how im Bereich IT-Security verfügt, die für den Umgang mit Cyberangriffen oder Datenschutzverletzungen notwendig sind, fehlen ihnen möglicherweise wichtige Soft Skills wie Geschäftssinn oder Führungsqualitäten, um die aktuelle Lage im Hinblick auf die IT-Security des Unternehmens entsprechend zu optimieren.

Denn ein CISO ist wie der Chief Operations Officer (COO) eine wichtige Führungskraft auf oberster Ebene in einem Unternehmen, die gleichsam an die Unternehmensstrategie gebunden ist. Um seine Zielsetzungen umfassend zu erledigen, muss er am Cheftisch Platz nehmen. Auf diese Weise ist ein CISO befähigt, die IT-Security eines Unternehmens erheblich zu verbessern.

Das Management kann allerdings zu dem Schluss kommen, dass das Unternehmen zwar einen CISO braucht, aber es aus verschiedenen Gründen nicht möglich ist, einen internen CISO anheuern zu können. Dies kann vielleicht an der Marktsituation, der Größe des Unternehmens oder an Restriktionen des Budgets liegen. Daher ist es angezeigt, darüber zu befinden, ob im unmittelbaren Kontext des jeweiligen Unternehmens es überhaupt sinnvoll ist, einen Vollzeit-CISO zu beschäftigen. In solchen Fällen empfiehlt sich ein sogenannter virtueller, ausgelagerter oder Teilzeit-CISO.

(ID:48966284)