Argumente für die Überwachung von Cyberrisiken durch den Vorstand

Modell für das Unternehmensrisikomanagement (ERM)

Als Vorsitzender des Prüfungsausschusses eines börsennotierten Unternehmens überprüfe ich kontinuierlich das Modell des Unternehmensrisikomanagements (ERM), um die verschiedenen Risikokomponenten des Unternehmens zu überwachen. Dabei kann es sich um operative Risiken wie den Weggang von Fachkräften oder die Übernahme eines neuen Geschäftsbereichs handeln; oder um Risiken im Bereich der Finanzberichterstattung, wie beispielsweise die Einführung eines neuen Transaktionssystems oder neuer Umsatzmodelle. Das traditionelle ERM-Modell hat jedoch Schwierigkeiten, eine Komponente zu integrieren, die für manche Unternehmen heute wohl zu den gefährlichsten Risiken zählt: das Cybersicherheitsrisiko.

In der heutigen Cyberlandschaft sollte jedes Unternehmen, das sensible Daten verwaltet und pflegt, darüber nachdenken, wie der Vorstand dieses Risiko überwacht. Dies könnte durch einen Beauftragten für Cyberrisiken oder einen leitenden Direktor im Prüfungsausschuss des Vorstands erfolgen.

Als Vorsitzender des Prüfungsausschusses stelle ich sicher, dass der Jahresbetriebsplan über die erforderlichen Ressourcen, Mitarbeiter und Instrumente verfügt, um die Bereiche Rechnungswesen und Finanzen des Unternehmens zu unterstützen. Wenn die Cybersicherheit für ein Unternehmen ein hohes Risiko darstellt, sollte in gleichem Maße geprüft werden, ob die IT- und Sicherheitsabteilungen über ausreichende Unterstützung verfügen.

Cybersicherheit sollte nicht erst im Nachhinein berücksichtigt werden

Hier geht es nicht um Aufsicht um der Aufsicht willen. In einer aktuellen Studie der NYSE unter dem Titel „ “ () (wird in einem neuen Tab geöffnet) gab jeder fünfte Vorstandsmitglied an, dass das Thema Cybersicherheit erst nach einem internen Vorfall oder einem Vorfall in derselben Branche erörtert werde. Ein designierter Vorsitzender oder leitender Verwaltungsratsmitglied kann nicht nur proaktiv die richtigen Fragen stellen, sondern auch gemeinsam mit der Geschäftsführung ein grundlegendes Cyber-Risikoprofil des Unternehmens erstellen, die Fortschritte der Geschäftsführung bei der Umsetzung von Verbesserungsmaßnahmen und der Erreichung von Zielen überwachen sowie sicherstellen, dass ausreichende Ressourcen zur Verfügung gestellt werden, um die Risiken des Unternehmens zu mindern und das anhaltende Vertrauen der Interessengruppen zu gewährleisten.

Viele Unternehmen sind bereits zu dem Schluss gekommen, dass sie die Cybersicherheit nicht ausreichend gefördert haben – dabei nimmt der Bankensektor eine Vorreiterrolle ein. Im vergangenen Jahr kündigte CEO Jamie Dimon an, dass JPMorgan Chase seine Ausgaben für Cybersicherheit um 500 Millionen US-Dollar jährlich (wird in einem neuen Tab geöffnet) erhöhen werde. Andere Finanzinstitute sind diesem Beispiel gefolgt und haben ihre Ausgaben für Cybersicherheit ebenfalls außerhalb des regulären Haushaltszyklus erhöht. Insgesamt haben Finanzunternehmen zusätzlich 2 Milliarden US-Dollar bereitgestellt, um ihre Systeme über das derzeitige Ausgabenniveau hinaus zu modernisieren.

Moderne Cyberrisiken erfordern einen Paradigmenwechsel für Unternehmen, doch viele sind noch nicht bereit, sich weiterzuentwickeln, um diesen neu auftretenden Herausforderungen zu begegnen. In the early 2000s, in the wake of Enron and WorldCom, the Sarbanes-Oxley Act imposed strict accounting reforms on corporate financial disclosures, and the underlying transaction processing systems, to prevent accounting fraud. In der Folge kam es zu einem erheblichen Anstieg der Ausgaben für Compliance-Maßnahmen, um diesen Anforderungen gerecht zu werden. Wenn wir uns heute kostspielige und in den Medien stark beachtete Sicherheitsvorfälle wie die bei Sony und Anthem ansehen, wird deutlich, dass Unternehmen einen neuen Ansatz für das Management von Cyberrisiken benötigen.

Fragen zum Nachdenken

Wenn Sie in einer Branche tätig sind, die einem hohen Cyberrisiko ausgesetzt ist – das heißt, wenn Sie Finanzdaten und sensible Daten wie personenbezogene Daten (PII), Gesundheitsdaten (PIH), PCI-Daten sowie Daten im Zusammenhang mit geistigem Eigentum verarbeiten –, ist es Aufgabe des Vorstands und der Geschäftsführung, dies als potenzielles Betriebsrisiko zu betrachten.

Beginnen Sie mit folgenden Fragen:

• Wie hoch ist das Cyberrisiko des Unternehmens, und welche Quellen und Arten sensibler Daten fließen in diese Bewertung ein?
• Hat das Unternehmen eine grundlegende Bewertung der Cyberrisiken erstellt, und gibt es einen fortlaufenden Prozess, um die Fortschritte im Laufe der Zeit zu erfassen?
• Gibt es einen Plan für die Reaktion auf Cybervorfälle oder einen Krisenmanagementplan?
• Welche Informationen werden dem Vorstand in Bezug auf Cyberrisiken übermittelt – gibt es ein regelmäßiges Verfahren, um den Stand der Dinge gemeinsam mit dem CIO auf der Ebene eines Vorstandsausschusses zu erörtern?
• Sollten wir innerhalb des Prüfungsausschusses einen leitenden Direktor ernennen, die Satzung des Prüfungsausschusses offiziell um das Thema Cyberrisiken erweitern oder wird unser Cyberrisiko als so hoch eingestuft, dass die Einrichtung eines separaten, ständigen Ausschusses für Cyberrisiken erforderlich ist?
• Wie hoch sind die Kosten für das Cyber-Risikomanagement im Vergleich zu den Kosten einer Datenpanne – haben wir uns mit Datenpannen in unserer Branche befasst, um zu verstehen, wie hoch die Gesamtkosten einer solchen Panne sind?
• Sollte das Unternehmen den Abschluss einer Cybersicherheitsversicherung oder den Einsatz anderer neuer Sicherheitstechnologien in Betracht ziehen, um Risiken und Kosten zu minimieren?

Letztendlich obliegt das Management der Cybersicherheit dem gesamten Führungsteam – es handelt sich nicht nur um eine Angelegenheit des CIO oder CISO, sondern um eine Angelegenheit des CEO und der Geschäftsleitung. Die Einbindung des Themas Cybersicherheit auf Vorstandsebene trägt dazu bei, dass eine angemessene Überprüfung stattfindet, während der Vorstand seiner treuhänderischen Verantwortung zur Überwachung des Gesamtrisikos des Unternehmens nachkommt.

Eric Brown, Finanzvorstand und Betriebsleiter

Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.