Cyber-Kompetenz und der Vorstand

Die Verantwortlichkeitslücke

Tanium hat sich mit NASDAQ zusammengetan, um die Lücke zwischen dem mutmaßlichen und tatsächlichen Verständnis der eigenen Cybersicherheitsschwachstelle von Unternehmensleitern zu erkennen. In The Accountability Gap: Cybersecurity & Building a Culture of Responsibility (eröffnet in einer neuen Registerkarte) identifizierten Forscher von Goldsmiths, University of London, sieben inhärente Herausforderungen, die Unternehmen überwinden müssen, um Cybersicherheitsschwachstellen zu bewältigen: Cyber-Literacy, Risikobereitschaft, Bedrohungsinformationen, Gesetzgebung und Regulierung, Netzwerk-Resilienz, Reaktion und Verhalten.

Bedeutung des Enterprise Risk Management (ERM)

Die Beziehung zwischen Risiko und Vorstand ist ein zunehmend komplizierter Tanz. Das blitzschnelle Tempo technologischer und wirtschaftlicher Veränderungen hat Enterprise Risk Management (ERM) zu einer anspruchsvolleren, praktischen Verantwortung für Direktoren gemacht. Und während die Übernahme von Risiken viele strategische Vorteile für das Wachstum einer Organisation hat, ist die Cybersicherheit an die Spitze der ERM-Liste gerückt – eine sehr andere Bedrohung, die eine andere Strategie, Sprache und Grundregeln erfordert. Cybersicherheitsschwachstelle ist ein Risiko, das nicht verwaltet oder gemindert werden kann. Es muss eliminiert werden. Eine Organisation kann die Verantwortung für Cyber nicht mehr ausschließlich der technischen Führung überlassen: Jeder von oben nach unten sollte für die Folgen der Cybersicherheitsschwachstelle zur Rechenschaft gezogen werden.

Während von Vorstandsmitgliedern nicht erwartet werden sollte, dass sie Technologieexperten sind, sollte der Vorstand in der Lage sein, die richtigen Fragen zu IT-Benchmarks und Best Practices innerhalb der Branche zu stellen. Wir stellten fest, dass 91 % der Vorstandsmitglieder der anfälligsten Unternehmen einen Cybersicherheitsbericht nicht interpretieren können und nur 50 % gaben an, Cybersicherheitsschulungen zu erhalten.

Vorstände müssen die Cyber-Bedrohungslandschaft eines Unternehmens verstehen – genau wie jedes finanzielle Risiko. Aber wer ist tatsächlich rechenschaftspflichtig, wenn eine Organisation nicht auf ihre Daten vertraut und die richtigen operativen Kontrollen nicht vorhanden sind, aber die Vorstände nicht genug verstehen, um die Cybersicherheit zu bewerten und zu überwachen? Vorstandsmitglieder können mehr tun, um sich selbst zu helfen, und technische Führungskräfte können mehr tun, um mit dem Vorstand zusammenzuarbeiten.

Was Vorstandsmitglieder mehr tun können, um sich selbst zu helfen

CIOs und CISOs können beginnen, diese Zahlen umzukehren, indem sie dem Vorstand Folgendes bereitstellen:

• Ein Gesamtverständnis der Bedrohungslandschaft
• Eine genaue Identifizierung der Vermögenswerte des Unternehmens und der damit verbundenen Risikostufen
• Eine klare Erklärung der Kosten, die für die Sicherheit im Verhältnis zur Risikominderung für das Unternehmen entstehen

Als Direktor selbst spreche ich regelmäßig mit Cybersicherheitsexperten und überprüfe Fallstudien, um auf dem neuesten Stand zu bleiben. Im Laufe meiner Jahre in der Unternehmens- und Consumer-Tech-Branche habe ich das Glück, IT-Umgebungen, Klassen von Sicherheitstechnologie und die allgemeine Sprache zu verstehen, die zur Beschreibung von Cybersicherheitsproblemen verwendet wird; Vorstandsmitglieder, die diesen Hintergrund nicht haben, sollten mit ihrem CIO oder CISO des Unternehmens sprechen. Zumindest sollten Informations- und Sicherheitsleiter eine jährliche „Cyber 101” -Sitzung“ leiten und ein Glossar der Terminologie in Laienbegriffen teilen.

Andere empfohlene Aktivitäten:

• Erweitern Sie den Prüfungsausschuss Ihres Vorstands, um sowohl Audit als auch Risiko einzuschließen, und fügen Sie dem Ausschuss ein Cyberrisikomitglied hinzu, das über einen tiefen Hintergrund und ein tiefes Wissen über Cybersicherheit verfügt und wie sie sich auf die Organisation bezieht und sich auf sie auswirkt.
• Führen Sie eine Bewertung der Auswirkungen auf das Geschäft durch und stellen Sie sicher, dass die nicht-technische Führung die Auswirkungen der Cybersicherheit auf das Geschäft versteht.
• Führen Sie jährliche Vorstandsbewertungen durch, um proaktiv zu identifizieren, wo Anstrengungen zur kontinuierlichen Verbesserung der Cyberfähigkeiten angestrebt werden sollten.
• Erstellen Sie einen Standardsatz von Metriken und eine Scorecard für ein einfaches Benchmarking im Monats- und Jahresvergleich
• Entwickeln Sie einen dreijährigen Sicherheitsplan, der es dem Vorstand ermöglicht, den Fortschritt geplanter Verbesserungen zu verstehen und zu verfolgen, um identifizierte Risiken zu mindern
• Die Einführung von Sarbanes-Oxley vor zehn Jahren war ein Wendepunkt bei der finanziellen Aufsicht und Kontrolle des Unternehmens und hat die Art und Weise, wie die treuhänderische Aufsicht gehandhabt wurde, vollständig verändert. Obwohl wir noch nicht den gleichen Wendepunkt in Bezug auf Cybersicherheit erreicht haben, ist die Überwachung der IT-Umgebung ein Schlüsselelement für alle Auditpläne öffentlicher Unternehmen. Ich werde ermutigt, heute die Entwicklung von Cyber-Risikomanagement-Frameworks zu sehen und zu erwarten, dass die Vorstände öffentlicher Unternehmen letztendlich Cyber-Risiko-Frameworks verstehen und überwachen werden, wie sie es heute bei der Finanzberichterstattung tun. Bis dahin ist es auf allen Vorstandsmitgliedern, eine aktive Rolle in ihrer eigenen Cyber-Kenntnis zu übernehmen.

Interessiert daran, Tanium in Aktion zu sehen? Planen Sie eine persönliche Demo oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie bei unseren bevorstehenden Veranstaltungen mit unseren Tanium-Experten.