Cyber-Kompetenz und der Vorstand

Die Rechenschaftslücke

Tanium hat sich mit der NASDAQ zusammengetan, um die Diskrepanz zwischen dem vermeintlichen und dem tatsächlichen Verständnis von Führungskräften in Unternehmen hinsichtlich ihrer eigenen Anfälligkeit im Bereich Cybersicherheit zu beleuchten. In „ : The Accountability Gap: Cybersecurity & Building a Culture of Responsibility“ (wird in einem neuen Tab geöffnet) haben Forscher der Goldsmiths, University of London, sieben grundlegende Herausforderungen identifiziert, die Unternehmen bewältigen müssen, um Schwachstellen in der Cybersicherheit zu bewältigen: Cyberkompetenz, Risikobereitschaft, Bedrohungsinformationen, Gesetzgebung und Regulierung, Netzwerkresilienz, Reaktionsfähigkeit und Verhalten.

Die Bedeutung des Unternehmensrisikomanagements (ERM)

Das Verhältnis zwischen Risiko und Vorstand entwickelt sich zu einem immer komplexeren Wechselspiel. Das rasante Tempo des technologischen und wirtschaftlichen Wandels hat das Unternehmensrisikomanagement (ERM) zu einer anspruchsvolleren und praxisorientierteren Aufgabe für die Vorstandsmitglieder gemacht. Und obwohl das Eingehen von Risiken zahlreiche strategische Vorteile für das Wachstum eines Unternehmens mit sich bringt, ist die Cybersicherheit mittlerweile ganz oben auf der ERM-Prioritätenliste angelangt – eine ganz andere Bedrohung, die eine andere Strategie, eine andere Sprache und andere Grundregeln erfordert. Eine Schwachstelle in der Cybersicherheit stellt ein Risiko dar, das sich weder steuern noch mindern lässt. Es muss beseitigt werden. Ein Unternehmen kann die Verantwortung für die Cybersicherheit nicht länger ausschließlich der technischen Leitung überlassen: Alle Mitarbeiter, von der obersten Führungsebene bis hinunter zu den Mitarbeitern, sollten für die Folgen von Sicherheitslücken in der Cybersicherheit zur Rechenschaft gezogen werden.

Zwar sollte von den Vorstandsmitgliedern nicht erwartet werden, dass sie Technologieexperten sind, doch sollte der Vorstand in der Lage sein, die richtigen Fragen zu IT-Benchmarks und bewährten Verfahren innerhalb der Branche zu stellen. Wir haben festgestellt, dass 91 % der Vorstandsmitglieder der am stärksten gefährdeten Unternehmen nicht in der Lage sind, einen Bericht zur Cybersicherheit zu interpretieren, und dass lediglich 50 % angaben, eine Schulung zum Thema Cybersicherheit erhalten zu haben.

Vorstände müssen die Cyber-Bedrohungslage eines Unternehmens verstehen – genau wie jedes andere finanzielle Risiko auch. Doch wenn ein Unternehmen kein Vertrauen in seine Daten hat und keine geeigneten operativen Kontrollmechanismen vorhanden sind, die Vorstände jedoch nicht über ausreichende Kenntnisse verfügen, um die Cybersicherheit zu bewerten und zu überwachen – wer trägt dann tatsächlich die Verantwortung? Die Vorstandsmitglieder können mehr tun, um sich selbst zu helfen, und die technische Führung kann mehr tun, um mit dem Vorstand zusammenzuarbeiten.

Was Vorstandsmitglieder tun können, um sich selbst besser zu unterstützen

CIOs und CISOs können damit beginnen, diese Zahlen zu verbessern, indem sie dem Vorstand Folgendes vorlegen:

• Ein umfassendes Verständnis der Bedrohungslage
• Eine genaue Erfassung der Unternehmensvermögenswerte und der damit verbundenen Risikostufen
• Eine anschauliche Darstellung der Kosten, die im Zusammenhang mit der Risikominderung für das Unternehmen anfallen

Da ich selbst in leitender Position tätig bin, tausche ich mich regelmäßig mit Experten für Cybersicherheit aus und setze mich mit Fallstudien auseinander, um auf dem Laufenden zu bleiben. Dank meiner langjährigen Tätigkeit in der Unternehmens- und Verbrauchertechnologiebranche habe ich das Glück, IT-Umgebungen, verschiedene Arten von Sicherheitstechnologien sowie die allgemeine Fachsprache zur Beschreibung von Cybersicherheitsproblemen zu verstehen; Vorstandsmitglieder, die nicht über diesen Hintergrund verfügen, sollten sich an den CIO oder CISO ihres Unternehmens wenden. Zumindest sollten die Verantwortlichen für Information und Sicherheit jährlich eine „Cyber 101” “-Schulung leiten und ein Glossar mit Fachbegriffen in allgemein verständlicher Sprache zur Verfügung stellen.

Weitere empfohlene Aktivitäten:

• Erweitern Sie den Prüfungsausschuss Ihres Vorstands, sodass er sowohl die Bereiche Prüfung als auch Risiko abdeckt, und nehmen Sie zudem ein Mitglied in den Ausschuss auf, das über fundierte Erfahrungen und Kenntnisse im Bereich Cybersicherheit verfügt und versteht, inwiefern diese mit dem Unternehmen zusammenhängt und sich auf dieses auswirkt.
• Führen Sie eine Bewertung der Auswirkungen auf das Geschäft durch und stellen Sie sicher, dass die nicht-technische Führungsebene die Auswirkungen der Cybersicherheit auf das Unternehmen versteht
• Führen Sie jährliche Bewertungen des Vorstands durch, um proaktiv zu ermitteln, auf welche Bereiche die Bemühungen ausgerichtet werden sollten, um die Cyber-Kompetenzen kontinuierlich zu verbessern
• Erstellen Sie einen Standardsatz von Kennzahlen und eine Scorecard, um einen einfachen Vergleich im Monats- und Jahresvergleich zu ermöglichen
• Erstellen Sie einen dreijährigen Sicherheitsplan, der es dem Vorstand ermöglicht, den Fortschritt der geplanten Verbesserungen zur Minderung der identifizierten Risiken nachzuvollziehen und zu verfolgen
• Die Einführung des Sarbanes-Oxley-Gesetzes vor zehn Jahren stellte einen Wendepunkt in der Finanzaufsicht und -kontrolle von Unternehmen dar und veränderte die Art und Weise, wie die treuhänderische Aufsicht gehandhabt wurde, grundlegend. Auch wenn wir im Bereich der Cybersicherheit noch nicht denselben Wendepunkt erreicht haben, ist die Überwachung der IT-Umgebung ein wesentlicher Bestandteil aller Prüfungspläne für börsennotierte Unternehmen. Es stimmt mich zuversichtlich, die Entwicklung von Rahmenwerken für das Cyber-Risikomanagement in der heutigen Zeit zu beobachten, und ich gehe davon aus, dass die Vorstände börsennotierter Unternehmen solche Rahmenwerke letztendlich ebenso verstehen und überwachen werden, wie sie es heute bei der Finanzberichterstattung tun. Bis dahin ist es Aufgabe aller Vorstandsmitglieder, sich aktiv um ihre eigene Cyberkompetenz zu bemühen.

Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.