Als die Deutsche Post DHL Group – einer der weltweit größten Kuriere – eine benutzerdefinierte globale Cybersicherheitsrolle für David Thornewill entwickelte, war März 2020es mehr als ein Beweis des Vertrauens in sein Talent. Das war, so Thornewill, eine Erkenntnis, dass der multinationale Konzern mit mehreren Abteilungen, die in Hunderten von Ländern Geschäfte tätigen, eine einheitliche Möglichkeit benötigte, Cyberangriffe abzuwehren.
„Als die Cybersicherheit begann, einen größeren Anteil von Geist und Geldbeutel zu fordern, haben wir erkannt, dass wir eine bessere Koordination benötigten“, sagt Thornewill. „Da Menschen keine Abteilungen angreifen, greifen sie Marken an.“
Heute ist Thornewill der Group Chief Information Security Officer (CISO) für den Logistikriesen und geht davon aus, dass er im kommenden Jahr seinen vorherigen Titel als CIO für den Hauptsitzbetrieb aufgeben wird. (Das Unternehmen wuchs aus der privatisierten deutschen Post heraus und erzielte 2020 einen Umsatz von77 Milliarden
US-Dollar.) Seine Größe und Verteilungsnetzwerke bedeuten, dass seine Cybersecurity-Gatekeeper eine entscheidende Rolle spielen. Jede Abteilung, einschließlich DHL Express, DHL Supply Chain und DHL Global Forwarding, hat einen CIO und CISO, ebenso jede Geschäftseinheit. Die Rolle von Thornewill besteht darin, die verschiedenen Cybersicherheitsbemühungen unter allen zu koordinieren.
Nicht jede Organisation hat den gleichen Bedarf wie die Deutsche Post. Die neue Rolle von Thornewill weist jedoch zutreffend auf die wachsende Bedeutung qualifizierter CISOs angesichts der heutigen globalen Cybersicherheitskrise hin, und diese erhöhte Reputation spiegelt sich in ihrer Vergütung wider.
Laut einer Umfrage der Personalvermittlungsfirma Heidrick & Struggles stieg das mediane Gesamtgehalt für CISOs in den USA um 19 % auf 936 000 USD in diesem Jahr von 784 000 USD in 2020. Die Gesamtvergütung stieg um durchschnittlich 12 %, wobei die großzügigsten Pakete bei Unternehmen an der Westküste gefunden wurden. Laut einer Studie von Hitch Partners beträgt die jährliche Gesamtvergütung in dieser Region mehr als 1 Million US-Dollar bei börsennotierten Unternehmen und 731 000 US-Dollar bei privaten Unternehmen.
Herausforderungen bei der Rekrutierung
Während Unternehmen aus der Pandemie herauskommen, den Betrieb auf das Niveau vor der Pandemie hochfahren, ihre digitalen Transformationsreisen fortsetzen und versuchen, ihre Netzwerke zu sichern, finden sie CISOs schwer zu finden.
Die Suche akut gestalten: Sicherheitsexperten haben Probleme mit Burnout aufgrund der Belastungen der Rolle, und die Kandidaten werden wählerischer darüber, welches Gehalt oder welche Berichtsstruktur sie akzeptieren werden.
Daher wenden Fachleute wie Bryan Kissinger, Vice President und CISO bei Trace3, einer Technologie- und IT-Beratungsfirma, zunehmend Zeit darauf, Berater-CISOs für Organisationen bereitzustellen, die es sich nicht leisten können , sie dauerhaft einzustellen. Während Kissinger meint, dass eine Diskrepanz zwischen Talentangebot und Nachfrage ein gutes Geschäft ist, gibt es eine Kehrseite. „Ich arbeite mit ehemaligen CISOs zusammen, wo ich mit der täglichen Herausforderung konfrontiert bin, sie zu halten und sie genug zu bezahlen, um sie interessiert zu halten“, sagt er.
[Lesen Sie auch: Was ist eine Cyber-Risikobewertung und warum ist sie wichtig?]
Deutsche Post geht diese Herausforderung an, indem sie Mitarbeiter weiterbildet , die bereits über Talente in den Bereichen Anwendungssicherheit, DevOps, Risikomanagement oder Bedrohungssuche verfügen, ihnen hilft, notwendige Zertifizierungen zu erhalten und Karrierecoaching anzubieten. „Ich würde lieber jemanden leidenschaftlich als gebildet nehmen“, sagt Thornewill. „Ich kann immer eine leidenschaftliche Person schulen“, sagt er.
CISOs müssen anpassungsfähig, schnell denkend sein und es hilft, wenn sie zweisprachig sind, was bedeutet, dass sie sowohl technische als auch geschäftliche Ergebnisse mit einem Führungspublikum sprechen können. Etwa 90 % der CISOs sind in den Vorständen des Unternehmens vertreten, und drei Viertel tun dies vierteljährlich, wie die Heidrick-Umfrage ergab. „Vorstände stellen mehr Fragen zu Technologie als je zuvor“, sagt Martha Heller, CEO von Heller Search Associates, die CIOs, CTOs und CISOs des Unternehmens rekrutiert. „Die Fähigkeit des CISO, mit dem CEO, dem CFO und dem Vorstand zu sprechen, ist die höchste Fähigkeit, nach der wir suchen.“
Wer berichtet an wen?
Für CISOs, denen sie berichten, wird ein Schlüsselfaktor bei der Abwägung von Stellenangeboten. In vielen Geschäftsbereichen haben CISOs traditionell an CIOs berichtet. Dies hat oft zu Interessenkonflikten von CISOs geführt, die beanstanden, dass ihre Sicherheitsprioritäten an zweiter Stelle der operativen und geschäftlichen Ziele des CIO stehen.
„Die Fähigkeit des CISO, mit dem CEO, dem CFO und dem Vorstand zu sprechen, ist die wichtigste Fähigkeit, nach der wir suchen.“Martha Heller, CEO, Heller Search Associates
Heute ist es immer noch üblich, dass CISOs an einen CIO berichten, laut der Heidrick-Umfrage, in der 38 % der Befragten diese Struktur anführten, 16 % an einen CTO- oder Engineering-Leiter, 12 % an einen COO oder einen Verwaltungsleiter, 11 % an den CEO und der Rest an eine Reihe anderer Titel, einschließlich globaler CISO und Chief Risk Officer.
Möglichkeiten für Konflikte in Berichtslinien sind real, sagt Thornewill. Zum Beispiel möchte ein CISO vielleicht, dass Kunden Multifaktor-Authentifizierung verwenden, aber der CIO würde den Komfort lieber priorisieren. CISOs können nicht erwarten, in jedem Fall zu bestehen, da ein Teil des Unternehmens ein gewisses Risiko akzeptiert. Aber sie möchten, dass ihre Bedenken ernst genommen werden, sagt Thornewill.
[Lesen Sie auch: Die Pandemie machte CISOs geschäftskritisch. So können sie ihren Status behalten]
In seiner eigenen Unternehmensstruktur berichtet Thornewill direkt an den CEO der Deutschen Post. Er sagt, dass die CISOs in den wichtigsten Abteilungen der Gruppe den größten Teil der Arbeit erledigen, um die Organisation zu schützen und eine traditionellere Berichtsstruktur zu haben. „Die CISOs der Division berichten an den lokalen CIO, von dem ich nicht sicher bin, ob es die beste Struktur ist, aber so machen wir es“, sagt Thornewill.
Er versucht, den Bereichs-CISOs „an einen anderen Ort zu gehen“, wenn sie nicht gehört werden. Überdenken, an wen der CISO berichten sollte – vielleicht den COO, wenn nicht den CEO – ist „ein ernsthafter Gedanke wert“, sagt Thornewill.
Die ideale Struktur variiert wahrscheinlich je nach Reife des Cybersicherheitsprogramms, sagt Kissinger. Wenn eine Organisation über ein gut entwickeltes Programm verfügt, kann es für den CISO hilfreich sein, mehr Unabhängigkeit zu haben. Andererseits kann es für einen CISO des Unternehmens, der versucht, zu wachsen und ein Cybersicherheitsprotokoll zu entwickeln, „ein Teil des IT-Teams zu sein, sehr, sehr wertvoll sein“, sagt er.
Der sich ständig ändernde CISO
Während der Bedarf an CISOs steigt, ändern sich ihre Rollen und Verantwortlichkeiten ständig.
Traditionell erforderte der Job technische IT-Kenntnisse sowie ein tiefes Wissen über Netzwerk- und Anwendungssicherheit, Penetrationstestsund defensive Gegenmaßnahmen. Da der Bedarf an anspruchsvolleren und teureren Sicherheitstools und -prozessen steigt, müssen CISOs strategische Einblicke und Erfahrungen in andere Geschäftselemente wie Finanzen und Compliance bieten.
Der CISO muss außerdem sowohl ein qualifizierter Kommunikator als auch ein Experte für Governance, Regulierung, Risikomanagement und Auditing sein.
[Lesen Sie auch: Was ist Bedrohungssuche und warum ist sie wichtig?]
Thornewill verfügt über einen MBA, der ihm hilft, die Sprache des Geschäfts und der Finanzen zu sprechen, wenn er mit dem CEO und CFO spricht. In 20 Jahren arbeitete er in vielen Bereichen des Unternehmens, einschließlich Logistik. Er sagt, dass einige seiner CISO-Kollegen tiefere technische Fähigkeiten haben, während andere über Finanz- und Compliance-Hintergründe verfügen. Vor allem, sagt Thornewill, müssen CISOs neugierig sein und ständig lernen.
Onboarding
Angesichts der Tatsache, dass der Wert von CISOs zunehmend in ihrer On-the-Job-Schulung liegt, werden Arbeitgeber immer bereiter, Kandidaten zu betrachten, die nur einige der Qualitäten auf ihrer Wunschliste erfüllen und Wachstumspotenzial zeigen.
„Wir arbeiten hauptsächlich mit Kandidaten zusammen, die kein Endprodukt sind“, sagt Michael Piacente, Managing Partner und Mitbegründer bei Hitch Partners, der Cybersicherheitstalent für cloudorientierte Technologieunternehmen rekrutiert. Er sagt, dass Kandidaten eine bestimmte „Superpower“ in den Bereichen Netzwerksicherheit, Anwendungssicherheit oder Governance, Risiko und Compliance haben können, aber sie benötigen Coaching in anderen Fähigkeiten, wie z. B. der jargonfreien Kommunikation mit dem Vorstand.
Eine Strategie, um einen talentierten CISO zu erreichen, besteht darin, ihre Ambitionen zu verwirklichen – zum Beispiel durch das Anbieten eines Vorstandssitzes des Unternehmens. In der Umfrage von Heidrick gaben nur 4 % der CISOs an, in einem Vorstand zu sitzen, die Hälfte gab jedoch an, dass sie Vorstandsmitglieder werden möchten. Heidrick sagt, dass dieses Ziel erreichbar sein könnte, da viele CISOs bereits in Beratungsgremien sitzen, „und dass die Cybersicherheit weiterhin an Bedeutung gewinnen wird, wenn mehr Elemente des Betriebs vollständig digital werden.“
[Lesen Sie auch: Sie können die Bedrohungen von morgen mit der gestrigen Denkweise nicht überwinden]
Ein schwieriges Rekrutierungsproblem war der traditionelle Talentpool für CISOs. In Heidricks CISO-Umfrage waren mehr als 80 % der Befragten weiß und mehr als 80 % männlich. Das kann sich in naher Zukunft ändern. Dieses Jahr, sagt der Personalvermittler, „erkennt er eine größere Vielfalt bei den Menschen, die die CISO-Rolle übernehmen, und einen größeren Fokus von Unternehmen auf die Einstellung verschiedener CISOs.“
Heidrick sagt, dass Unternehmen zunehmend außerhalb der traditionellen Branche suchen werden, „um die besten Führungskräfte für die Rolle zu finden, einschließlich Menschen, die in Bezug auf Geschlecht und ethnische Herkunft oder Zugehörigkeit sowie Branchen- und Funktionsexpertise vielfältig sind.“
