Als Vorstandsvorsitzender der Cinturion Group ist Richard Marshall maßgeblich daran beteiligt, die Sicherheit des Glasfasernetzes zu gewährleisten, das sein Unternehmen von Indien über den Nahen Osten bis nach Europa aufbaut.
Der Bau des monumentalen Trans-Europe-Asia-Systems (TEAS) wird schon allein deshalb eine große Herausforderung darstellen, da es unter Tausenden von Land- und Seemeilen verlegt werden soll. Erschwerend kommt hinzu, dass viele der Länder, durch die das Kabel verlegt werden soll, sich nicht besonders mögen, was potenzielle Probleme im Bereich der Cybersicherheit mit sich bringt.
Als er vor 15 Jahren seine Karriere auf Vorstandsebene begann, so Marshall, hätten er und seine Kollegen im Vorstand die Verantwortung für die Sicherung dieser Infrastruktur wahrscheinlich an die IT-Sicherheit „-Propellerheads“ delegiert. Doch angesichts der Tatsache, dass kostspielige Ransomware-Angriffe und Datenlecks die Geschäftsergebnisse zunehmend belasten, sagt er, erkennen Vorstandsmitglieder und ihre Prüfungsausschüsse, dass sie solche Verantwortlichkeiten nicht länger ignorieren können.
Die Vorstandsmitglieder sind sich bewusst, dass sie aufmerksamer sein und sich stärker einbringen müssen. Tatsächlich betrachten laut dem Marktforschungsunternehmen Gartner mittlerweile 88 % von ihnen Cybersicherheit als Geschäftsrisiko und nicht mehr als technologisches Problem.
„Ich habe den Wandel miterlebt“, sagt Marshall, der zudem den Vorsitz in zwei weiteren Gremien innehat und als Berater für Cybersicherheit tätig ist. „Vorstände werden immer anspruchsvoller. „Außerdem sind sie jünger, sodass sie in der Regel technikaffiner sind und eher erkennen, dass sie sich für die Risikominderung engagieren müssen.“
Was die Situation noch weiter anheizt: die Wahrscheinlichkeit eines verstärkten regulatorischen Drucks seitens der Regierung . Im vergangenen Jahr hat die US-Börsenaufsichtsbehörde (Securities and Exchange Commission, SEC) beispielsweise neue Vorschriften vorgeschlagen, wonach börsennotierte Unternehmen verpflichtet wären, ihre Verfahren zur Cybersicherheits-Governance offenzulegen, einschließlich der Art und Weise, wie die Vorstände Cyberrisiken überwachen. Die Ankündigung hat eine lebhafte Debatte und Kontroverse ausgelöst: . Zwar sind Organisationen nicht verpflichtet, Mitglieder zu ernennen, die sich mit Technologie- oder Cybersicherheitsfragen auskennen, doch würden die vorgeschlagenen SEC-Vorschriften vorschreiben, dass sie offenlegen müssen, ob sie dies getan haben.
Dies könnte für viele Organisationen problematisch sein, da Vorstandsmitglieder in der Regel eher aus der Wirtschaft als aus dem IT-Bereich stammen. Zwar ist der Anteil der börsennotierten Unternehmen mit ernannten, technologieorientierten Vorstandsmitgliedern in letzter Zeit gestiegen, doch liegt er laut Deloitte nach wie vor bei nur etwa 17 %. Darüber hinaus ergab eine aktuelle Studie von DHR Global mit dem Titel „ “ ( ), dass lediglich 1,4 % einen derzeitigen oder ehemaligen Chief Information Security Officer (CISO) in ihrem Vorstand haben und 65 % die Verantwortung für die Leitung und Berichterstattung im Bereich Cybersicherheit an Prüfungsausschüsse delegieren.
Zugegeben, gute CISOs sind immer schwerer zu finden, doch das reicht nicht aus, so die SEC.
„Cybersicherheit gehört bereits zu den obersten Prioritäten vieler Vorstände, und Cybersicherheitsvorfälle sowie andere Risiken gelten als eine der größten Bedrohungen für Unternehmen“, erklärte die Kommission im Rahmen der Bekanntmachung ihrer Regeländerung. „Dementsprechend könnte es für Anleger wichtig sein, zu erfahren, ob Mitglieder des Vorstands über Fachkenntnisse im Bereich Cybersicherheit verfügen, wenn sie über eine Investition in das registrierte Unternehmen nachdenken sowie über ihre Stimmabgabe bei der Wahl der Vorstandsmitglieder des registrierten Unternehmens entscheiden.“
[Lesen Sie auch: Gute Cyber-Governance beginnt mit einer soliden Vorstandsstruktur]
Wie können sich also Vorstandsmitglieder, die mit Technologie nicht so vertraut sind, in Sachen Cybersicherheit auf den neuesten Stand bringen? Experten sagen, dass man dafür weder eine Zertifizierung als „ “ (CISSP) noch die Erfahrung benötigt, einen Tag lang in die Rolle des CISO zu schlüpfen (obwohl beides sicherlich nicht schaden würde). Vielmehr schlagen sie einige Maßnahmen vor, um den anstehenden Vorschriften Rechnung zu tragen und eine bessere Aufsicht zu gewährleisten.
1. Berufen Sie mindestens einen Cybersicherheitsexperten in den Vorstand
Dr. Keri Pearlson, Geschäftsführerin des Bereichs Cybersicherheit am MIT Sloan (CAMS), beschäftigt sich seit mehr als 30 Jahren mit der Schnittstelle zwischen Technologie und Wirtschaft und hat zahlreiche Fachartikel zum Thema Cybersicherheit veröffentlicht. Daher lag es nahe, dass das TMF Health Quality Institute, das auf der Suche nach Fachwissen im Bereich Cybersicherheit war, um den zunehmenden Cybersicherheitsbedrohungen in dieser Branche zu begegnen, Herrn Pearlson bat, dem Vorstand beizutreten.
„[Die Vorstandsmitglieder sind] jünger, daher sind sie in der Regel technisch versierter und erkennen eher, dass sie sich für die Risikominderung engagieren müssen.“Richard Marshall, Vorstandsvorsitzender der Cinturion Group
Während andere Vorstandsmitglieder zwar Interesse, Einblicke und gewisse Erfahrungen im Bereich Cybersicherheit mitbringen, erklärt Frau Pearlson, dass es ihre Aufgabe sei, tiefgreifendere Einblicke und Orientierungshilfen zu zentralen Themen zu liefern.
„Ich glaube, dass die Vorstände immer reifer werden und die Mitglieder diese Verantwortung verstehen“, sagt sie. „Sie steuern Geschäftsrisiken, und Cybersicherheit ist ein Geschäftsrisiko. „Doch sie sind nicht identisch, und daher besteht ein Teil meiner Aufgabe darin, die von ihnen getroffenen Entscheidungen im Bereich der Cybersicherheit zu prüfen, um sicherzustellen, dass diese fundiert sind.“
Einige Unternehmen bauen ihre personellen Ressourcen im Bereich Cybersicherheit noch weiter aus. Eine aktuelle Umfrage von Gartner unter „ “ ( ) prognostiziert, dass bis zum Jahr 2025 40 % der Vorstände über einen eigenen Ausschuss für Cybersicherheit verfügen werden, gegenüber derzeit 10 %.
„Viele Vorstände richten spezielle Ausschüsse ein, die es ermöglichen, Fragen der Cybersicherheit in einem vertraulichen Rahmen unter der Leitung einer als entsprechend qualifiziert erachteten Person zu erörtern“, erklärte Sam Olyaei, Forschungsdirektor bei Gartner, in einer Stellungnahme. „Diese Änderung in den Führungs- und Kontrollstrukturen dürfte sich auf die Beziehung zwischen dem Vorstand und dem Chief Information Security Officer ( ) im Rahmen des „“ auswirken.“
2. Machen Sie die Cybersicherheits-Governance zu einem zentralen Tagesordnungspunkt
Die Satzung schreibt vor, dass der Vorstand mindestens einmal im Jahr zusammentreten muss, doch die Häufigkeit der Sitzungen variiert in der Regel je nach Bundesland. In manchen Fällen wird dies zweimal oder viermal im Jahr der Fall sein. Experten zufolge sollte der Rhythmus im Idealfall alle sechs bis acht Wochen betragen.
Das liegt vor allem daran, dass sich geschäftliche und risikobezogene Aspekte schlagartig ändern können, und wenn ein Vorstand im Januar Entscheidungen trifft, sind diese möglicherweise bereits Wochen oder Monate später nicht mehr relevant. Dies gilt insbesondere für die Cybersicherheit, die laut Marshall ein regelmäßiger Diskussionspunkt auf jeder Tagesordnung sein muss.
„Wenn ich Vorstände berate, empfehle ich ihnen, jedes Mal einen CISO hinzuzuziehen, der einen kurzen Bericht erstellt“, sagt er. „Dadurch bauen die CISOs ein Vertrauensverhältnis zum Vorstand auf.“ „Und es trägt dazu bei, die Vorstandsmitglieder aufzuklären, insbesondere wenn die CISOs wissen, wie sie mit ihnen aus geschäftlicher Perspektive kommunizieren können.“
3. Blicken Sie über das Risiko hinaus auf die Widerstandsfähigkeit
Pearlson erklärt, dass Vorstandsmitglieder einen anderen Ansatz in Bezug auf Cybersicherheit verfolgen müssen: Anstatt diese ausschließlich als Mittel zur Minderung technologischer Risiken zu betrachten, sollten sie auch der Widerstandsfähigkeit Priorität einräumen, wozu auch die Frage gehört, wie sie sich von einem erfolgreichen Cyberangriff erholen würden.
„Wäre es nicht großartig, wenn Ihr Unternehmen zwar einen Cybervorfall erleiden würde, aber keine finanziellen Einbußen davontragen müsste? Kein Datenverlust? Keine Systemausfälle? Kein Reputationsschaden? Das ist die Vision, in welche Richtung wir im Bereich der Cybersicherheit gehen sollten.”Dr. Keri Pearlson, Geschäftsführerin des Bereichs Cybersicherheit am MIT Sloan (CAMS)
Dies erfordert die Bereitschaft, sich von der Annahme, dass Angriffe größtenteils vermeidbar sind, abzuwenden und stattdessen anzuerkennen, dass sie auftreten werden – daher benötigen Sie einen Plan zur Schadensminimierung, sagt sie.
„Als Vorstandsmitglied muss man davon ausgehen, dass jedes Unternehmen wahrscheinlich irgendwann einmal mit einer Sicherheitsverletzung oder einem Angriff irgendeiner Art konfrontiert wird“, sagt Pearlson. „Sie möchten außerdem sicher sein, dass Ihr Unternehmen Ausfälle schnell auffangen und ohne Betriebsunterbrechungen wieder in Gang kommen kann.“ Ich meine, wäre es nicht großartig, wenn Ihr Unternehmen zwar einen Cybervorfall erleben würde, aber keinen finanziellen Schaden davontragen würde? Kein Datenverlust? Keine Systemausfälle? Kein Reputationsschaden? „Das ist die Vision davon, in welche Richtung wir im Bereich der Cybersicherheit gehen sollten.“
4. Bilden Sie sich weiter – Cyberkompetenzen sind der Motor für eine intelligentere Cyber-Governance
Experten sind der Ansicht, dass selbst mit einem für Cybersicherheit zuständigen Vorstandsmitglied die meisten Vorstandsmitglieder ihre Aufgaben besser erfüllen könnten, wenn sie eine kurze Schulung in diesem Bereich absolvieren würden. Pearlson weist beispielsweise darauf hin, dass ihre Hochschule, das „ “ des Massachusetts Institute of Technology (), Kurse anbietet, die speziell darauf ausgerichtet sind, Vorstandsmitglieder mit den Grundlagen der Cybersicherheits-Governance vertraut zu machen. Ähnliche Kurse werden von (Harvard), (Wharton) sowie von der Cyber Risk GmbH angeboten.
Darüber hinaus empfiehlt Marshall, die Zusammenarbeit mit Anbietern von Cyberversicherungen in Betracht zu ziehen, die ein großes Interesse daran haben, dass ihre Versicherungsnehmer so gut wie möglich geschützt bleiben. Externe Berater könnten eine weitere wirksame Option sein, fügt er hinzu.
5. Kommen Sie zusammen – gleich jetzt
Vorstandsmitglieder und CISOs sprechen nicht immer dieselbe Sprache, doch laut Pearlson finden sie zunehmend mehr Gemeinsamkeiten. Sie empfiehlt den Vorstandsmitgliedern, engere Beziehungen zu den CISOs aufzubauen, um besser über wichtige Fragen der Cybersicherheit informiert zu sein.
„Zwar trägt die Einbindung der CISOs in den Vorstand zur Identitätsbildung bei, doch entstehen dadurch keine starken Verbindungen zwischen den Vorstandsmitgliedern und den Führungskräften im Sicherheitsbereich“, sagt sie.
Pearlson fügt hinzu, dass ihre Untersuchung ergeben habe, dass einige Vorstandsmitglieder und CISOs zwischen den Sitzungen der Geschäftsleitung proaktiv Kontakt aufnehmen, um aktuelle Themen der Cybersicherheit und potenziell schädliche Vorfälle zu erörtern. Da sie sich besser kennen, sind sie in der Regel besser darauf vorbereitet, gemeinsam auf auftretende Cybersicherheitsvorfälle zu reagieren.
„Ein Cybervorfall ist nicht der richtige Zeitpunkt, um eine Brücke zu bauen“, sagt Pearlson. „Das sollte geschehen, lange bevor schwierige Gespräche geführt werden müssen.“
