Wie alle anderen Führungskräfte in der Wirtschaft könnten auch Chief Information Security Officers (CISOs) in die Arbeitslosigkeit geraten, sollte unter ihrer Verantwortung etwas ernsthaft schiefgehen.
Was aber, wenn CISOs einfach nicht genügend geschäftlichen Mehrwert nachweisen?
Angesichts einer möglichen Rezession, wie sie derzeit unter angedeutet wird, und angesichts der Kosteneinsparungen in den Unternehmen ist es für den Schutz von Budgets und Arbeitsplätzen mittlerweile von entscheidender Bedeutung, nachzuweisen, dass Cybersicherheitsprogramme dem Unternehmen zugutekommen.
Aus diesem Grund wird das Leistungs-Benchmarking für Führungskräfte im Bereich Cybersicherheit weltweit zunehmend unverzichtbar. Tatsächlich prognostiziert das Branchenanalyseunternehmen „ “ Gartner unter , dass bis zum Jahr 2026 die Hälfte aller Führungskräfte auf C-Level Leistungsvorgaben in ihren Arbeitsverträgen haben wird, die an Risiken geknüpft sind. Solche Anreize sorgen in der Regel dafür, dass man sich auf das Wesentliche konzentriert.
Der Druck für ein Benchmarking im Bereich Cybersicherheit nimmt zu
Da Führungskräfte zunehmend mit risikobasierten Leistungskennzahlen konfrontiert sind, werden CISOs mit ziemlicher Sicherheit verstärkt unter Druck geraten, den Erfolg ihrer Programme in Besprechungen und Berichten zu quantifizieren. Das bedeutet, dass sie ihre technologieorientierte Komfortzone verlassen und geschäftlichen Aspekten wie der Förderung von Innovationen, der Optimierung von Investitionsergebnissen und der Weiterentwicklung der Cybersicherheit mehr Priorität einräumen müssen.
„CISOs tun sich schwer, mit der Führungsetage zu sprechen, denn diese möchte vor allem wissen: ‚Bin ich sicher?‘ „Bin ich in Sicherheit?“ sagt Frank Dickson, Group Vice President für Sicherheit und Vertrauen beim Marktforschungsunternehmen IDC. „CISOs neigen jedoch dazu, eine Vielzahl von aktivitätsbezogenen Kennzahlen zu melden, die diese Fragen nicht beantworten, was die CEOs verärgert.“
Laut Dickson müssen CISOs vor allem hervorheben, inwiefern ihre Maßnahmen zur Risikominderung beitragen. Zu diesem Zweck ermöglichen Leistungsbenchmarks den Führungskräften, die Fortschritte bei der Risikominderung zu überwachen und aufzuzeigen, wie ihre Programme im Vergleich zu internen Zielen sowie zu denen anderer Unternehmen abschneiden. Darüber hinaus ermöglichen sie es den CISOs, geschäftsrelevante Daten zu erfassen und darzustellen.
„Vorstände und Führungsteams beschäftigen sich heutzutage viel intensiver mit dem Thema Cybersicherheit“, sagt Lou Celi, CEO der ThoughtLab Group, eines weltweit tätigen Marktforschungsunternehmens. „Sie möchten sicherstellen, dass sie nicht in Rückstand geraten. „Sie wollen nicht weniger leisten als andere.“
Es ist an der Zeit, einen Standard auszuwählen
Zahlreiche IT-Sicherheitsrahmenwerke von Branchen und Verbänden können für Benchmarking-Zwecke nützlich sein, darunter: das National Institute of Standards and Technology (NIST) Cybersecurity Framework, die „ “ des Verteidigungsministeriums sowie die „Cybersecurity Maturity Model Certification“ (CMMC), die Normenreihe 27000 der Internationalen Organisation für Normung (ISO) (die Normen ISO 27001 und 27002 sind im Bereich Cybersicherheit weit verbreitet) sowie der „Standard of Good Practice for Information Security“ des Information Security Forum (ISF) . Die meisten Organisationen und Tools nutzen solche Rahmenkonzepte.
„Vorstände und Führungsteams … möchten sicherstellen, dass sie nicht ins Hintertreffen geraten. Sie wollen nicht weniger leisten als andere.”Lou Celi, Vorstandsvorsitzender der ThoughtLab Group
Dickson erklärt, dass es sich lohnen kann, all diese Rahmenkonzepte zu prüfen, weist jedoch darauf hin, dass ihre Anwendbarkeit und ihr Nutzen je nach Branche variieren können. Er sagt, es sei eine gute Idee, sich darüber zu informieren und die verschiedenen Angebote zu vergleichen, um dann „dasjenige auszuwählen, das zu Ihnen passt“.
Bei ordnungsgemäßer Umsetzung können Programme, die sich an Cybersicherheits-Benchmarks orientieren, die Wahrscheinlichkeit von Netzwerkverletzungen verringern. Tatsächlich ergab eine kürzlich von ThoughtLab durchgeführte Umfrage unter 1 200 großen Unternehmen, dass diejenigen, die bei der Umsetzung des NIST-Cybersicherheits-Frameworks bereits weiter fortgeschritten sind, bei wichtigen Kennzahlen wie der Zeit bis zur Erkennung einer Sicherheitsverletzung besser abschneiden als andere (119 Tage bei fortgeschrittenen Unternehmen gegenüber 132 Tagen bei allen anderen). Dem Bericht zufolge verzeichneten führende Unternehmen zudem weniger wesentliche Verstöße pro Jahr.
Das sind genau die Zahlen, die die Führungsetagen und die oberste Führungsebene gerne hören. Sie zeigen an, dass für ein Unternehmen ein geringeres Angriffsrisiko besteht, was dazu beiträgt, der Öffentlichkeit zu vermitteln, dass es nicht nur seine eigenen Daten, sondern auch die Daten seiner Kunden und Partner schützt.
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
Da die Wahrscheinlichkeit eines schwerwiegenden Hackerangriffs geringer ist, ist ein Unternehmen zudem wesentlich agiler und innovationsfähiger, was zu einem Wettbewerbsvorteil führen kann.
„Wenn Sie Ihre eigenen Angelegenheiten im Griff haben und ein gewisses Maß an Flexibilität an den Tag legen können, können Sie den Führungskräften zeigen, dass Sie eine ‚Shift-Left‘-Mentalität vorantreiben“, sagt Paul Watts, renommierter Analyst bei der ISF. „Hier übernehmen Sie eine proaktive Rolle, um die Sicherheit in Ihrem Unternehmen in Bezug auf Mitarbeiter, Prozesse und Technologie zu gewährleisten.“ Das bedeutet, dass Sie flexibel reagieren und Dinge auf schnelle und innovative Weise umsetzen können. „Sie verfügen über die Flexibilität, neue Dinge auszuprobieren.“
Die Vorgehensweisen können variieren
Dennoch kann die Erhebung relevanter Daten, aus denen hervorgeht, inwieweit ein IT-Sicherheitsteam die wichtigsten Standards erfüllt, mühsam und schwierig sein. Nicht alle Organisationen tun dies besonders gut.
Viele verfolgen beispielsweise nach wie vor einen „Do-it-yourself“-Ansatz. Sie wählen einen Standard aus, beauftragen Mitarbeiter damit, Leistungsdaten aus dem gesamten Unternehmen zu erheben, und tragen diese Daten in Tabellenkalkulationen ein. Das Problem ist, dass die Datenerhebung äußerst zeitaufwendig sein kann und die endgültigen Ergebnisse, sobald sie eingegeben sind, oft bereits veraltet sind. Infolgedessen sind Berichte an den Vorstand oder die Führungsspitze möglicherweise nicht so hilfreich für die unternehmerische Entscheidungsfindung.
Ein weiterer Ansatz besteht darin, einen Berater zu beauftragen, eine Benchmarking-Analyse zur Cybersicherheit durchzuführen. Dadurch stehen sofort Ressourcen und Fachwissen zur Verfügung, über die die Mitarbeiter des CISO möglicherweise nicht verfügen. Und aller Wahrscheinlichkeit nach verfügen diese externen Fachleute möglicherweise über einen aktuelleren Überblick über die sich wandelnde Landschaft der Cybersicherheits-Frameworks als die internen Mitarbeiter. Sie können Unternehmen zwar einen allgemeinen Überblick über ihre Sicherheitslage verschaffen, doch ähnlich wie beim „Do-it-yourself“-Ansatz handelt es sich hierbei um Momentaufnahmen, die für die Führungskräfte möglicherweise nicht den relevantesten Kontext liefern.
Ein dritter Ansatz besteht darin, in Leistungsvergleichstools von Drittanbietern zu investieren, die unternehmensweit Daten erfassen, relevante Daten in großem Umfang sammeln und in Echtzeit Berichte erstellen können. Echtzeit-Tools stellen sicher, dass die Ergebnisse bei der Bereitstellung nicht bereits veraltet sind.
Es stehen zahlreiche Benchmarking-Tools zur Verfügung. Einige Anbieter haben beispielsweise Tools veröffentlicht, die in ihren Produkten integriert sind oder zusammen mit diesen verkauft werden. Die besten Tools ermöglichen es Unternehmen, ihre Kennzahlen zu IT- -Risiken in Echtzeit mit denen von Branchenkollegen zu vergleichen und Probleme direkt über dieselbe Konsole zu beheben. Verbände wie die ISF stellen ihren Mitgliedern zudem kostenlose Tools zum Benchmarking im Bereich Cybersicherheit zur Verfügung ( , ), während Organisationen wie die Security Industry Association (SIA) nützliche Benchmarking-Studien anbieten (,). Gartner plant zudem, ein eigenes Benchmarking-Tool namens „ “ unter anzubieten.
Abstimmung der Kennzahlen
Fazit: Unternehmen stehen zahlreiche Möglichkeiten zur Verfügung, ihre Leistung zu vergleichen. Die Kombination mehrerer Ansätze kann sinnvoll sein. Tatsächlich ist dies ratsam, da Benchmark-Daten mitunter auf kleinen, nicht repräsentativen Stichproben basieren. Die Kombination interner und externer Daten kann daher einen umfassenderen und ausgewogeneren Überblick über die Fortschritte einer Organisation im Hinblick auf die Kennzahlen bieten.
„Wenn Sie Ihre internen Abläufe im Griff haben und ein gewisses Maß an Agilität an den Tag legen können, zeigen Sie den Führungskräften, dass Sie eine ‚Shift-Left‘-Mentalität vorantreiben.“Paul Watts, renommierter Analyst beim Information Security Forum (ISF)
Um sicherzustellen, dass die Kennzahlen auf die geschäftlichen Anforderungen abgestimmt sind, sollten CISOs einen kontinuierlichen Austausch mit den Vorstandsmitgliedern und der Geschäftsleitung pflegen, um sich über sich ändernde Prioritäten zu informieren. Laut Watts vom ISF sollten diese Gespräche dazu dienen, einzuschätzen, wie viel Risiko Führungskräfte im Laufe der Zeit bereit sind, in Kauf zu nehmen.
„[Unternehmen] weisen unterschiedliche Risikobereitschaft auf“, sagt er. „Start-ups in der Anfangsphase sind im Allgemeinen bereit, etwas mehr Risiko einzugehen, da sie versuchen, zu wachsen, und bereit sind, dabei auch mal über ihre eigenen Schnürsenkel zu stolpern.“ „Größere Organisationen, insbesondere solche, die strengen Vorschriften unterliegen oder gegenüber Investoren rechenschaftspflichtig sind, neigen dazu, risikoscheuer zu sein.“
[Lesen Sie auch: So können CISOs über Cyberrisiken sprechen, damit CEOs ihnen tatsächlich zuhören]
Watts fügt hinzu, dass CISOs gemeinsam mit der Unternehmensleitung ermitteln sollten, welches Reifegradniveau im Bereich Cybersicherheit ein Unternehmen anstreben sollte, und sich auf Wege einigen sollten, wie sich diese Position in einen Wettbewerbsvorteil umsetzen lässt.
Brogan Ingstad, Vizepräsident für Risikoberatung bei Teneo, einem weltweit tätigen Beratungsunternehmen für CEOs, erklärt, dass CISOs zudem sicherstellen sollten, dass sie tatsächliche Kennzahlen zur Cybersicherheit auswerten. Einige Führungskräfte, so sagt er, seien der Ansicht, dass betriebliche Aspekte wie Personalbestand und Budget als Kennzahlen für die Cybersicherheit gelten. Auch wenn dies aus betriebswirtschaftlicher Sicht wichtig ist, sollten sich CISOs stärker darauf konzentrieren, die Fortschritte eines Unternehmens im Hinblick auf sicherheitsspezifische Benchmarks oder Ziele aufzuzeigen, sagt er.
Es ist zudem wichtig, sich nicht mit Kennzahlen zu überfordern, sagt Dickson von IDC. Häufig glauben CISOs, sie müssten 10 oder 20 Kategorien von Kennzahlen im Blick behalten, obwohl es sinnvoller wäre, sich auf nur wenige zu konzentrieren. Dickson empfiehlt drei Aspekte: Sicherheitseffizienz, Risiko und geschäftlicher Nutzen.
„Im Bereich der Sicherheit verstricken wir uns oft in dem Bestreben, perfekt zu sein“, sagt er. „Das Perfekte ist der Feind des Guten, und bei Kennzahlen ist es in Ordnung, wenn sie gut genug sind.“
