Mit seiner 12 -jährigen Amtszeit als Chief Information Security Officer des Bundesstaates Pennsylvania gelang es Erik Avakian nicht nur, drei aufeinanderfolgende Gouverneure zu überdauern, sondern auch die durchschnittliche Amtszeit von CISOs—18 bis 26 Monaten, die vom „ “ ermittelt wurde, bei weitem zu übertreffen.
Es ist nicht so, dass Avakian keinen Stress gehabt hätte oder sich nicht ebenso ausgebrannt gefühlt hätte wie seine Branchenkollegen. Das tat er gelegentlich. Er sah sich jedoch als Kämpfer und liebte die Herausforderung, Hacker abzuwehren – zumindest bis zum vergangenen Herbst, als er beschloss, dass es endlich an der Zeit sei, etwas anderes zu tun.
„Ich fühle mich jetzt tatsächlich sowohl geistig als auch körperlich besser“, gibt Avakian zu, der mittlerweile in der Privatwirtschaft als technischer Berater bei Info-Tech Research tätig ist. „Mein Teint ist strahlender, und ich fühle mich insgesamt gesünder.“
Avakian ist nicht der Einzige, der sich eine Veränderung wünscht. Tatsächlich ergab eine Umfrage von BlackFog unter 2022 , dass fast ein Drittel (32 %) der CISOs in den USA und Großbritannien erwägt, ihr derzeitiges Unternehmen zu verlassen.
Unterdessen ergab eine weitere aktuelle Studie „ “ des Personalberatungsunternehmens Heidrick & Struggles, dass 60 % der CISOs unter Stress leiden und 53 % von beruflichem Burnout betroffen sind.
Es handelt sich um eine Situation, die bereits seit einiger Zeit außer Kontrolle gerät. Sicherheitsexperten sind jedoch der Ansicht, dass sich die Situation zum Positiven wenden lässt, wenn sie die Ursachen der Probleme aktiv angehen.
Der Kern der Sache
Ein Problem ist das Gefühl, in einem undankbaren Job festzustecken. Die meisten CISOs unterstehen den Chief Information Officers (CIOs). Genau wie ihre Vorgesetzten wird von ihnen erwartet, dass sie die betriebliche Effizienz fördern. Sie erhalten nur selten ein Lob. Sie hören nur dann von der Führungsebene, wenn etwas schiefgeht, und sie verbringen mehr Zeit damit, den Mitarbeitern „Nein“ zu sagen, als sie zu fragen, wie sie ihre Kollegen dabei unterstützen können, Innovationen voranzutreiben. CISOs gelten zudem als Kostenstellen und nicht als Einnahmequellen.
All dies trägt nicht dazu bei, dass sie beliebt sind.
“„Es gibt viele Menschen, die glauben, bei der Sicherheit ginge es darum, die Abläufe zu verlangsamen, wenn sie versuchen, ihre Geschäfte zu erledigen.“Chris Prewitt, CTO/CISO, Inversion6
„Es gibt viele Menschen, die glauben, bei der Sicherheit ginge es nur darum, die Abläufe zu verlangsamen, wenn sie versuchen, ihre Geschäfte zu erledigen“, sagt Chris Prewitt, CTO/CISO bei Inversion6, einem Anbieter von Lösungen für das Cybersicherheits-Risikomanagement. „Sie kämpfen gegen die Trägheit des Unternehmens an – zumindest ist das die allgemeine Auffassung.“
Da CISOs zudem mehrere Hierarchieebenen unterhalb der Geschäftsleitung angesiedelt sind und dem Vorstand nur einige Male im Jahr Bericht erstatten, leiden sie darunter, dass sie aus den Augen und aus dem Sinn geraten. Die Entwicklung ihrer Erfolgskennzahlen durchläuft häufig mehrere Überprüfungsstufen, wobei die Erwartungen bis dahin möglicherweise so stark abgeschwächt wurden, dass sie die Realität nicht mehr widerspiegeln.
Ein CISO eines großen Lebensmittel- und Snackherstellers berichtet, dass ein CIO in seinem früheren Unternehmen einmal sogar den Compliance-Bericht seines Werks geändert habe, um bei einer Präsentation vor dem Vorstand bessere Ergebnisse auszuweisen.
„Das ist genau die Art von Situation, die zusätzlichen Stress verursacht“, sagt der CISO, der anonym bleiben möchte. „Ich weiß nicht, ob es unbedingt böswillig gemeint war, aber ich empfand es als Verletzung meiner Integrität, und deshalb habe ich dies auch ein wenig zum Ausdruck gebracht.“ „Letztendlich wurde mir als CISO, der direkt dem Vorstand unterstellt ist, dadurch klar, dass es vielleicht an der Zeit war, dort zu kündigen.“
[6 Fragen zur Cybersicherheit, die ich den Vorständen stets empfehle, zu stellen]
Eine damit verbundene Schwierigkeit: Rechenschaftspflicht ohne Befugnisse. Die meisten CISOs sind 24 Stunden am Tag im Bereitschaftsdienst, da Sicherheitsvorfälle jederzeit auftreten können. Tatsächlich geben laut 60 % der Befragten unter an, „sich nur selten vom Internet abzukoppeln“. Die meisten Mitarbeiter leisten 16,5 strapaziöse Stunden pro Woche mehr, als vertraglich vereinbart ist. Sollte es jedoch zu einem Cyberangriff kommen und es nicht gelingen, jemanden zu erreichen, der eine rasche Reaktion genehmigen kann, wird die Schuld wahrscheinlich voll und ganz auf den Schultern des CISO lasten.
„Viele CISOs haben Schwierigkeiten, als Teil der Führungsriege akzeptiert zu werden, doch von allen wird erwartet, dass sie sich wie ein Mitglied der Führungsriege verhalten, wenn es unseren Herren und Meistern gerade passt“, sagt Paul Watts, ehemaliger CISO bei Kantar, einem Beratungsunternehmen für Datenanalyse, sowie bei Domino’s Pizza. Er ist derzeit als renommierter Analyst für das Information Security Forum (ISF) tätig.
Zusammenarbeit mit der obersten Führungsebene
Wenn es den CISOs gelänge, enge Beziehungen zu Führungskräften der obersten Ebene und Vorstandsmitgliedern aufzubauen, ließe sich natürlich eine ungerechtfertigte Schuldzuweisung vermeiden. Viele von ihnen sind jedoch taktisch orientierte Technologen, denen die sozialen Kompetenzen fehlen, um mit ihren Vorgesetzten gut umzugehen. Dadurch entgeht ihnen die Unterstützung durch hochrangige Förderer, die ihnen den Rücken stärken würden, während sie sich abmühen, die Unterstützung der Geschäftsleitung für entscheidende Budget- und Personalbedürfnisse zu gewinnen.
„Als CISO geht es nicht mehr nur darum, zu wissen, wie man eine Paketaufzeichnung auswertet; es geht vielmehr darum, den Führungskräften des Unternehmens zu vermitteln, wie sich der Inhalt dieser Paketaufzeichnung auf das Unternehmen auswirkt“, sagt Avakian. „Leider sieht man viele junge CISOs, die ihre Fähigkeiten in der geschäftlichen Kommunikation noch ausbauen müssen.“ „Manchmal haben sie Schwierigkeiten bei der Kommunikation mit der Führungsebene, finden keine Unterstützung für ihre Programme und verlassen das Unternehmen schließlich.“
Viele CISOs haben zudem Schwierigkeiten mit der zunehmenden Komplexität, Raffinesse und dem Umfang der Cyberangriffe, denen sie ausgesetzt sind, so Sicherheitsexperten. Automatisierte Hacking-Tools, die künstliche Intelligenz (KI) und maschinelles Lernen (ML) nutzen, um nach Schwachstellen in Netzwerken zu suchen und diese in großem Umfang zu durchdringen, könnten Hackern bald einen Vorteil verschaffen. Selbst mit ihren eigenen Gegenmaßnahmen im Bereich KI und ML sind IT-Sicherheitsteams oft zu unterbesetzt oder unerfahren , um die Flut von mit KI ausgerüsteten Hackern in Schach zu halten.
Steve Zalewski, ehemaliger CISO bei Levi Strauss, erklärt, sein Team habe oft über seine Verhältnisse geleistet, da es nur über begrenzte finanzielle Mittel und Kapazitäten verfügte, um gegen immer versiertere Hacker vorzugehen.
„Mir wurde klar, dass wir bereits alle erdenklichen Tricks ausprobiert hatten und uns immer häufiger auf das Glück verlassen mussten“, sagt Zalewski, der den Beruf aufgab, um S3 Consulting, einen Beratungsdienst für Cybersicherheit, zu gründen. „Dann steigt die Frustration, denn man möchte so viel mehr erreichen.“
Wie kann man sich also aus dem Getümmel herausheben?
Es ist nicht leicht, Frustration und schlechte Stimmung zu überwinden. CISOs können jedoch ihr Wohlbefinden steigern und ihre berufliche Laufbahn verlängern, indem sie die folgenden vier Empfehlungen befolgen:
1. Verhandeln Sie bessere Konditionen aus
In der Funktion als CISO ist es – um der eigenen geistigen Gesundheit willen – wichtig, die Beschäftigungsbedingungen auszuhandeln. Ein Gespräch sollte idealerweise vor der Annahme einer Stelle stattfinden. Sollten Sie jedoch bereits eingestellt worden sein, sollten Sie zunächst ein offenes Gespräch über etwaige Probleme mit dem CIO oder dem Abteilungsleiter führen, bevor Sie die Hände in den Schoß legen und das Unternehmen verlassen.
“„Junge CISOs … haben manchmal Schwierigkeiten bei der Kommunikation mit der Unternehmensleitung, finden keine Unterstützung für ihre Programme und verlassen das Unternehmen schließlich.“Erik Avakian, ehemaliger CISO des Bundesstaates Pennsylvania
Ein Teil dieses Gesprächs sollte darin bestehen, sich im Vorfeld darüber zu verständigen, was hinsichtlich des Budgets und der Personalausstattung zu erwarten ist. Wenn ein Unternehmen seine Investitionen in die Cybersicherheit einschränkt oder kürzt, kann es nicht erwarten, dass die CISOs, die unter Ressourcenmangel leiden, dieselben Ergebnisse erzielen wie vor den Kürzungen.
„Ich habe zahlreiche Fälle erlebt, in denen CISOs zwar im Amt blieben, ihr Budget und ihr Personalbestand jedoch drastisch gekürzt wurden, sodass sie ihre Aufgaben nicht mehr effektiv erfüllen konnten“, sagt Zalewski. „Sollte Ihr Budget gekürzt werden, sind Sie verpflichtet, die vertraglichen Vereinbarungen mit Ihrer Geschäftsleitung neu zu verhandeln.“ „Wenn Sie nur andeuten, dass Sie mit weniger mehr leisten werden, sollten Sie sich schämen, denn genau das erwartet die Geschäftsleitung von Ihnen.“
Der CISO des Lebensmittel- und Snackherstellers empfiehlt zudem, das Dilemma „Verantwortung ohne Befugnis“ in den Griff zu bekommen, indem man sich das Recht auf Handeln sichert, falls bereits ein schwerwiegender Cyberangriff stattgefunden hat – ein Kennzeichen des Zero-Trust-Rahmenwerks „ “. CISOs sollten zudem sicherstellen, dass ihre Arbeitgeber ihnen denselben Cyberschutz durch eine Haftpflicht sversicherung für Führungskräfte (D&O) bieten, wie ihn die Mitglieder der Geschäftsleitung und des Vorstands erhalten, sagt er. Die Versicherung schützt sie, falls sie nach einem Angriff verklagt werden oder sogar strafrechtlich verfolgt werden – so wie es Joseph Sullivan, Sicherheitschef bei Uber, erlebt hat, nachdem er wegen der Verschleierung einer Sicherheitslücke wegen einer Straftat verurteilt wurde.
[Lesen Sie auch: Cyber-Whistleblowing bringt Sicherheitschefs in die Bredouille]
„Sollte es zu einem zivil- oder strafrechtlichen Verfahren kommen und Sie über keinen D&O-Schutz verfügen, müssten Sie eine eigene Versicherung abschließen“, erklärt der CISO. „Das ist ein entscheidender Punkt, den CISOs bei der Entscheidung für eine Stelle besprechen sollten.“
2. Soft Skills erlernen und anwenden
CISOs der Zukunft können nicht allein auf ihre technischen Fähigkeiten setzen, um erfolgreich zu sein. Da sich Fragen der Cybersicherheit zunehmend auf das Geschäftsergebnis auswirken, werden Führungskräfte von den Mitarbeitern der IT-Sicherheit erwarten, dass diese darlegen, wie sie die kritischen Daten , und Vermögenswerte des Unternehmens schützen und es ihm gleichzeitig ermöglichen, seine Geschäftstätigkeit auszuüben und Innovationen leichter voranzutreiben. Um ihren Arbeitsplatz zu sichern, müssen CISOs daher lernen, sich eher in geschäftlichen als in technischen Begriffen auszudrücken.
[Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, sodass CEOs tatsächlich zuhören]
Manche CISOs eignen sich diese Soft Skills im Laufe der Zeit an. Angesichts der sich ständig ausweitenden und verschärfenden Bedrohungslage ist dies jedoch nicht schnell genug. Avakian empfiehlt die Teilnahme an einem Schulungsprogramm zur Geschäftskommunikation, um den Lernprozess zu beschleunigen. Er weist darauf hin, dass einige Studiengänge im Bereich Cybersicherheit im Rahmen ihres Lehrplans auch Kommunikationskurse für Führungskräfte anbieten.
3. Machen Sie eine Arbeit, die Ihnen am Herzen liegt
Michael P. Leiter, Organisationspsychologe und Mitautor von „ “ (), „“, „The Burnout Challenge“ (), „“ und „“, erklärt, dass CISOs Irritationen zudem minimieren können, indem sie sich notieren, welche Aspekte ihrer Arbeit sie motivieren, und ihre Programme und Arbeitsbelastung dann schrittweise in diese Richtung lenken.
„Nur wenige Menschen haben einen Beruf, den sie jede einzelne Minute des Tages lieben“, sagt Leiter, ehemaliger Professor für Organisationspsychologie an der Deakin University in Australien. „Das Ziel sollte darin bestehen, ein besseres Gleichgewicht zwischen den Dingen, die Sie wirklich gerne tun, und denen, die Sie nicht gerne tun, zu finden.“
4. Legen Sie den Schwerpunkt auf Körper und Geist
Die Arbeit im Bereich der Cybersicherheit kann CISOs in den Wahnsinn treiben oder ihnen den Seelenfrieden rauben. Aus diesem Grund empfehlen einige Sicherheitsexperten, Zeit in eine Therapie oder andere Maßnahmen zur Förderung der psychischen Gesundheit zu investieren.
“„Wenn Ihr Budget gekürzt wird [und] Sie dann nur andeuten, dass Sie mit weniger mehr leisten werden, sollten Sie sich schämen.“Steve Zalewski, ehemaliger CISO bei Levi Strauss
„Ich bin der Meinung, dass jeder CISO sein allgemeines Wohlbefinden in den Mittelpunkt stellen muss“, sagt Avakian. „In diesem Beruf braucht man viel mentale Stärke. „Sie sollten sich dazu verpflichten, sowohl körperlich als auch geistig gesund zu bleiben, damit Sie eine effektive Führungskraft und ein guter Anführer für Ihr Team sein können.“
Er fügt hinzu, dass es für den CISO zudem wichtig ist, sich regelmäßig bei den einzelnen Mitgliedern des Sicherheitsteams zu erkundigen, wie es ihnen geht.
CISOs benötigen zudem körperliche Kraft und Ausdauer; aus diesem Grund gaben 80 % von 250 Führungskräften aus der Technologiebranche weltweit gegenüber OneLogin an, dass sie Sport treiben, um den beruflichen Druck auszugleichen.
„Wir wissen, dass der aktuelle körperliche Zustand das Verhalten, die Gefühle und das Denken beeinflusst“, erklärte Robin Massey, eine Arbeits- und Organisationspsychologin, in einer Stellungnahme. „Daher ist es wichtig zu verstehen, in welcher Wechselbeziehung physiologische Faktoren zu zwischenmenschlichen und psychologischen Faktoren stehen.“
Das ist ein hart erkämpfter Ratschlag für Körper und Geist. Doch es ist für jeden hilfreich, der im Bereich der Cybersicherheit in der Verantwortung steht.