Sicherheitsteams und Vorstände sehen sich mit einer Kommunikationslücke in Bezug auf Risiken konfrontiert. Wenn CISOs und Sicherheitsteams Kennzahlen und Daten an den Vorstand weitergeben, sprechen sie die Sprache der IT: „ “ Phishing-Versuche, „ “ blockiert, gepatchte Systeme, Prozentsätze der Endgeräte, auf denen Antivirensoftware läuft. Der Vorstand hört zu und hat dabei ein offenes Ohr für die Sprache der Wirtschaft: Betriebskontinuität, Ausfallrisiken, Auswirkungen auf Gewinn und Produktivität, Investitionen und versunkene Kosten sowie die Wahrscheinlichkeit von behördlichen Sanktionen oder negativer Presseberichterstattung.
Zahlen zu Sicherheitsmaßnahmen: Updates, Patches, durchschnittliche Reparaturzeit (MTTR). Auch der Vorstand spricht über Zahlen: Dollar, Mitarbeiterzahlen, das Risiko eines Angriffs. Am Ende reden beide Seiten aneinander vorbei. Infolgedessen geht die Darstellung der Risiken, denen das Unternehmen ausgesetzt ist, unter. Ohne ein klares Verständnis der Risiken kann das Unternehmen nicht umgehend und wirksam handeln, um Cyberbedrohungen wie Datenlecks und Ransomware-Angriffe zu minimieren.
Dies ist nur eine der Schlussfolgerungen einer aktuellen Umfrage von Harvard Business Review Analytic Services (wird in einem neuen Tab geöffnet), die von Tanium gesponsert wurde. Die Studie mit dem Titel „Unternehmen haben Schwierigkeiten bei der Messung und Überwachung von Cyberrisiken“ vermittelt ein klares Bild vom aktuellen Stand der Risikoberichterstattung in der heutigen Unternehmenswelt. Die Schlussfolgerungen des Berichts bieten nützliche Hinweise für jedes Sicherheitsteam oder jeden Vorstand, der daran interessiert ist, Risiken besser zu verstehen und zu lernen, wie man mit ihnen umgeht.
Der aktuelle Stand der Risikoberichterstattung
Im Rahmen der Umfrage von Harvard Business Review Analytic Services wurden 180 Befragte aus dem mittleren, höheren oder leitenden Management von Unternehmen weltweit zu den Themen Sicherheitsberichterstattung und Risiken befragt. Die Befragten waren sich im Allgemeinen einig, dass Führungskräfte in der Wirtschaft besser über die erheblichen Risiken informiert sein müssen, denen Unternehmen heute ausgesetzt sind.
- 70 % stimmten der Aussage „Führungskräfte in ihrem Unternehmen sollten der Cybersicherheit ihres Unternehmens mehr Aufmerksamkeit schenken“ eher oder voll und ganz zu.
- 68 % stimmten eher oder voll und ganz zu, dass IT-Teams mehr tun könnten, um sicherzustellen, dass Führungskräfte besser über die Cyberrisiken und die Cybersicherheit ihres Unternehmens informiert sind.
Sollten Probleme bei der Berichterstattung zur Cybersicherheit bestehen, lohnt es sich zu fragen, wie oft diese Berichterstattung tatsächlich erfolgt. Die Umfrage ergab Folgendes:
- 33 % der Sicherheitsteams informieren die Führungskräfte des Unternehmens ad hoc über Cyberrisiken.
- 29 % der Führungskräfte werden monatlich informiert.
- 24 % der Führungskräfte werden vierteljährlich informiert.
- 7 % der Führungskräfte werden jährlich informiert.
- 7 % der Führungskräfte geben selten oder gar keine Auskünfte.
Durch eine ad-hoc-Berichterstattung, eine jährliche Berichterstattung oder – was am schlimmsten ist – eine nur selten erfolgende Berichterstattung bleiben Führungskräfte im Unklaren über Risiken, die dem Unternehmen erheblichen Schaden zufügen könnten. Von Führungsteams kann nicht erwartet werden, dass sie die richtigen Entscheidungen in Bezug auf Risiken treffen, wenn sie nicht rechtzeitig darüber informiert werden.
Ein weiterer Faktor, der in der Umfrage berücksichtigt wurde, war die Art und Weise, wie über die Risiken berichtet wurde. Haben die Sicherheitsteams eine umfangreiche Liste von Kennzahlen vorgelegt, die im Laufe der Zeit erfasst wurden? Haben sie sich für allgemeine Aussagen entschieden? Oder für eine Kombination aus Kennzahlen und Themen?
Die Umfrage ergab Folgendes:
- 52 % stellte den allgemeinen Risikostatus zusammen mit einigen Kennzahlen und Vergleichswerten dar.
- 44 % gaben den allgemeinen, übergreifenden Risikostatus wieder, wobei kaum oder gar keine Vergleichswerte angegeben wurden.
- 13% legte einen umfassenden Bericht vor, der zahlreiche Kennzahlen und Vergleichswerte enthielt.
Allgemeine Aussagen können natürlich zu allgemein sein, um von Nutzen zu sein. Kennzahlen können nützlich sein, jedoch nur, wenn sie in einer Weise dargestellt werden, die für die Führungskräfte des Unternehmens verständlich ist.
Die Bedeutung des Risikoverständnisses
Die meisten Führungskräfte verfügen nicht über fundierte technische Kenntnisse. Es fällt ihnen schwer, Sicherheitskennzahlen nachzuvollziehen, was zum Teil daran liegt, dass nicht klar ist, inwiefern diese Kennzahlen auf die vorrangigen Ziele des Vorstands abgestimmt sind. Zu diesen Zielen gehören in der Regel die Aufrechterhaltung des Geschäftsbetriebs, die Erzielung von Gewinnen und die Einhaltung gesetzlicher Vorschriften.
Wie sollten Führungskräfte in der Wirtschaft vor dem Hintergrund dieser Ziele auf einen Bericht über Ransomware-Trends, schnellere Reaktionszeiten im Service Desk und die Anzahl der Laptops reagieren, deren Betriebssysteme noch aktualisiert werden müssen? Die Führungskräfte können das nicht beurteilen.
Es muss eine entscheidende Übersetzung erfolgen. Sicherheitsteams sollten Kennzahlen zum Zustand ihrer IT-Infrastruktur erfassen. Allerdings müssen sie diese Kennzahlen in Begriffe übersetzen, die für die Geschäftsziele des Unternehmens aussagekräftig sind.
Sicherheitsverantwortliche müssen die Kennzahlen ermitteln, die für beide Teams sinnvoll und relevant sind, damit alle dieselbe Sprache sprechen. Diese Kennzahlen liefern Erkenntnisse, auf deren Grundlage Vorstände und Sicherheitsteams gemeinsam Maßnahmen ergreifen können, wobei Menschen, Prozesse und Technologie gleichermaßen berücksichtigt werden.
Letztendlich nehmen Führungskräfte an diesen Sitzungen teil, um Entscheidungen zu treffen. Sie müssen wissen, in welche Bereiche sie investieren und welche Maßnahmen sie ergreifen, korrigieren oder aufgeben sollten. Sie werden diese Entscheidungen auf der Grundlage der übergeordneten Unternehmensziele in Bezug auf finanzielle Stabilität und Wachstum treffen.
Forschungsergebnisse legen nahe, dass die Kennzahlen einen Bezug zu den Finanzen des Unternehmens haben sollten. Um diesen Zusammenhang herzustellen, müssen Sicherheitsteams verstehen, wie Menschen, Prozesse und Technologien die Geschäftstätigkeit des Unternehmens heute unterstützen.
Sie müssen die Einzelheiten verstehen. Wenn beispielsweise die neue mobile App des Unternehmens das Wachstum vorantreibt, auf welche IT-Systeme ist diese App dann angewiesen? Um welche Server und Datenbanken handelt es sich? Welche Betriebssysteme und Softwarepakete werden auf diesen Systemen ausgeführt? Sind einige dieser Betriebssysteme aufgrund einer kürzlich bekannt gewordenen Sicherheitslücke gefährdet?
Sobald dieser Kontext klar ist, fällt es Führungskräften leichter zu verstehen, welche Auswirkungen das Risiko durch nicht gepatchte Server auf ihr Unternehmen hat. Dank der Berichterstellung konnten sie erkennen, inwiefern eine Sicherheitskennzahl mit einem finanziellen Ergebnis zusammenhängt: in diesem Beispiel mit dem potenziellen Ausfall einer umsatzgenerierenden App.
In den Worten des HBR-Berichts: „CISOs müssen den Fokus auf technische Kennzahlen reduzieren und Cyberrisiken in wirtschaftlichen Begriffen darstellen.“ Diese Kennzahlen und Begriffe sollten von Quartal zu Quartal einheitlich sein, damit alle Beteiligten – einschließlich der Sicherheitsteams und der Führungskräfte – nachvollziehen können, wo das Unternehmen in der entscheidenden Frage des Cyberrisikos steht.
Um mehr über den Bericht und seine Ergebnisse zu erfahren, besuchen Sie bitte und melden Sie sich für unser Webinar unter 27. April an. (wird in einem neuen Tab geöffnet) In diesem interaktiven Live-Webinar wird Alex Clemente, Geschäftsführer von Harvard Business Review Analytic Services, Erkenntnisse aus dieser Umfrage darüber vermitteln, wie Unternehmen Cyberrisiken messen und überwachen.
Anschließend wird er gemeinsam mit Chris Hallenbeck, dem Chief Information Security Officer bei Tanium, über die Bedrohung durch Cyberrisiken sowie über Maßnahmen sprechen, die Unternehmen ergreifen können, um diese zu mindern. Clemente und Hallenbeck werden folgende Themen erörtern:
- Wie Unternehmen die Kommunikation zum Thema Cyberrisiken besser gestalten können
- Die Bedeutung der Verwendung geeigneter Kennzahlen für Cyberrisiken
- Warum die Verwendung zu vieler Kennzahlen (insbesondere technischer Kennzahlen) zu Verwirrung führen kann
- Wie man Führungskräfte dazu bringt, der Cybersicherheit weiterhin Priorität einzuräumen
Wenn Sie mehr über die IT-Risikosituation Ihres Unternehmens im Rahmen des „ “ erfahren möchten, fordern Sie eine kostenlose Risikobewertung an und erhalten Sie einen umfassenden Überblick über die Risikosituation sowie proaktive Maßnahmen zum Schutz Ihres Unternehmens.
