Definition Chief Information Security Officer (CISO) / Chief Security Officer (CSO) Was ist ein CISO / CSO?

Der Chief Information Security Officer (CISO) übernimmt in einem Unternehmen oder einer Organisation die Rolle des Verantwortlichen für die Informationssicherheit. Er ist Teil der Geschäftsführung und stellt sicher, dass Informationen und Technologien geschützt sind.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Rapid7 Germany

Die Abkürzung CISO steht für den englischen Begriff Chief Information Security Officer und bezeichnet eine Position in einer Organisation oder einem Unternehmen, die für die Sicherheit von Informationen und der Informationstechnologie verantwortlich ist. Je nach Unternehmen oder Organisation können die Aufgaben des CISO variieren. Oft lassen sie sich aus Standards oder Normen zur Informationssicherheit ableiten. Als Teil der Geschäftsführung berichtet der Chief Information Security Officer in der Regel direkt dem Chief Executive Officer (CEO). Die IT-Sicherheit stellt nur ein Teil der Aufgaben eines CISO dar. Es kommen weitere Aufgaben im Risikomanagement und der Sicherung aller Informationswerte (auch Informationen auf Papier und in anderen Formen) hinzu. Zertifizierungslehrgänge versetzen den CISO in die Lage, seine Aufgaben zu identifizieren und durchzuführen.

Die verschiedenen Aufgaben eines Chief Information Security Officer

Ein Chief Information Security Officer hat eine Vielzahl an Aufgaben zu erfüllen, die von Organisation zu Organisation unterschiedlich ausfallen können. Hier ein kurzer Überblick über die wichtigsten Aufgaben des CISO:

• Identifizierung aller sicherheitsrelevanten Prozesse der Organisation

• Durchführung von Audits, um den Stand der Umsetzung von Sicherheitsvorschriften zu ermitteln

• Festlegung des Geltungsbereichs der sicherheitsrelevanten Maßnahmen

• Aufstellen von Richtlinien und Zielen für die Sicherheit

• Durchführung von Risikoanalysen und Ableitung von Maßnahmen

• Etablierung eines Managementsystemes zur Informationssicherheit (ISMS - Information Security Management System)

• Aufstellen, Bearbeiten und Anpassen von Sicherheitsvorgaben

• Schaffung eines Problembewusstseins im Umgang mit Informationen und Informationstechnik

• Aufbau einer Organisationseinheit, die die Sicherheitsziele umsetzt

• Durchführung von Trainings und Kampagnen der Informationssicherheit

• Sicherstellung des Datenschutzes

• Beaufsichtigung des Access- und Identity-Managements

• Zusammenarbeit mit anderen Führungskräften und dem Chief Security Officer (CSO) oder Chief Information Officer (CIO)

Abgrenzung von CISO, CSO und CIO

Oft werden die Stellenbeschreibungen des Chief Information Security Officer (CISO), Chief Security Officer (CSO) und des Chief Information Officer (CIO) in ähnlichen Zusammenhängen verwendet. In gewissen Bereichen kann es zu Überschneidungen der Aufgaben kommen. Die drei Rollen lassen sich dennoch deutlich voneinander abgrenzen. Während der Fokus des CISO auf der Sicherheit von Informationen und Daten liegt, steht beim CSO (Chief Security Officer) mehr die Sicherheit der technischen und physischen Infrastruktur im Vordergrund. Dazu zählen der Gebäudeschutz, der Personenschutz, der Brandschutz, der Schutz vor Einbrüchen oder die Terrorabwehr. Die Hierarchie betreffend befinden sich CISO und CSO auf der gleichen Ebene. Der CIO (Chief Information Manager) ist für den reibungslosen Betrieb der ITK-Infrastruktur zuständig.

Ausbildung und Zertifizierung des Chief Information Security Officers

Eine konkrete Ausbildung zum CISO existiert nicht. Meist übernehmen Spezialisten und Führungskräfte aus dem Bereich der Informationssicherheit diese Rolle in einer Organisation. Mit Hilfe von Zertifikaten lässt sich die Eignung und Kompetenz des Chief Information Security Officers nachweisen. Folgende Zertifizierungen sind in diesem Bereich verfügbar:

• der Certified Information Systems Security Professional (CISSP) - entwickelt vom ISC2 (International Information Systems Security Certification Consortium)

• der Teletrust Information Security Professional (TISP) - angeboten vom Bundesverband IT-Sicherheit Teletrust

• der Certified Information Security Manager (CISM) - angeboten von der Information Systems Audit and Control Association (ISACA)

• der Certified Information Systems Auditor (CISA) - angeboten von der Information Systems Audit and Control Association (ISACA)

(ID:45060552)