Angesichts der finanziellen, rechtlichen und rufschädigenden Folgen, die ein Unternehmen durch einen Hackerangriff oder eine Datenpanne erleiden kann, bringen immer mehr Vorstände Fachwissen im Bereich Cybersicherheit mit. Je nach Branche sind viele Vorstände von Unternehmen jedoch in Fragen der Cybersicherheit nicht so gut informiert, wie sie es sein sollten. Andere versuchen, sofern sie darüber informiert wurden, noch immer, ihre Aufgaben im Risikomanagement zu klären.
Eine Umfrage des MIT Sloan unter „ “ im vergangenen Jahr ergab, dass nur 68 % der Vorstände regelmäßig über Cybersicherheit beraten, während 9 % dieses Thema nach wie vor überhaupt nicht behandeln. Darüber hinaus gab zwar die Hälfte an, dass die Rolle des Vorstands im Hinblick auf die Cybersicherheit erörtert worden sei, doch wurde kein Konsens darüber erzielt, wie diese aussehen sollte.
Was können CISOs und Mitglieder der Führungsetage also tun, um diesen Kreislauf aus Diskussionen und Verzögerungen zu durchbrechen?
Dies wird Teil der Diskussion bei „t besser: Rechenschaftspflicht auf Vorstandsebene im Bereich Cybersicherheit“ sein, einer bevorstehenden Podiumsdiskussion im Rahmen der RSA Conference 2023, die von Chris Hallenbeck, CISO bei Tanium, moderiert wird und an der Greg Silberman, stellvertretender Leiter der Rechtsabteilung bei Zoom Video Communications, Brian Stafford, CEO von Diligent Corp., sowie Maggie Wilderotter, CEO von Grand Reserve Inn, teilnehmen werden. (Die Podiumsdiskussion findet am Montag, dem 24. April, um 11:30 ET / 08:30 PT im Raum RSAC 2023 statt, der vom 10. bis 24-27 . April im Moscone Center in San Francisco geöffnet ist.)
Die Bedeutung der Rechenschaftspflicht des Vorstands könnte nicht größer sein. Angesichts der zunehmenden Vorfälle mit der Ransomware „ “ ( ), massiver Datenlecks und eines enormen Anstiegs der Angriffe im Rahmen von „Business Email Compromise“ (BEC) () ( ) war das Jahr 2022 wohl eines der schlimmsten Jahre seit Beginn der Aufzeichnungen im Bereich der Cybersicherheit. Das FBI verzeichnete im Jahr 2022 mehr als 800 000 Anzeigen wegen Cyberkriminalität mit einem Gesamtschaden von über 10 Milliarden US-Dollar, verglichen mit 6,9 Milliarden US-Dollar im Vorjahr. Hacker haben zudem Daten und Geldmittel von Millionen privater Konten kompromittiert, was dazu führte, dass 57 % der Unternehmen ihre Budgets für Cybersicherheit in diesem Jahr aufstockten. All dies veranlasste die Securities and Exchange Commission (SEC) im vergangenen Jahr dazu, eine Reihe neuer Vorschriften vorzuschlagen, die erhebliche Auswirkungen darauf haben werden, wie US-Unternehmen – und deren Vorstände – ihre Geschäfte führen.
, Redakteur bei „Focal Point“, führte ein Gespräch mit Hallenbeck, um seine Einschätzung dazu zu erfahren, wie sich Vorstände auf Cyberbedrohungen einstellen – und was CISOs wissen müssen, um enger mit ihnen zusammenzuarbeiten.
Wie hat sich die Rechenschaftspflicht des Vorstands in Bezug auf Fragen der Cybersicherheit im Laufe der Jahre verändert?
Lange Zeit betrachteten Vorstände Cybersicherheit als Kostenfaktor, als eine Pflichtübung oder als betrieblichen Luxus, der am besten von IT-Fachleuten geregelt werden sollte. Sie hatten wenig Lust, sich direkt in solche Angelegenheiten einzumischen. Als jedoch Datenschutzverletzungen zunehmend Probleme in den Bereichen Finanzen, Recht und Image verursachten, wandten sich die Vorstandsmitglieder zunehmend an die CISOs, um über geschäftsrelevante Themen auf dem Laufenden gehalten zu werden. Dies bedeutete, dass die CISOs lernen mussten , sich in der Geschäftssprache statt in Fachbegriffen auszudrücken.
“Lange Zeit betrachteten Vorstände Cybersicherheit als Kostenfaktor, als reine Pflichtübung oder als betrieblichen Luxus, der am besten von IT-Fachleuten gehandhabt werden sollte. Sie hatten wenig Lust, sich direkt einzumischen.”Chris Hallenbeck, CISO, Tanium
Angesichts einer weitaus komplexeren Bedrohungslage und Endgeräten, die aufgrund des Wandels hin zu „ “ sowie Remote- und Hybridarbeit anfälliger sind als je zuvor, beobachten wir nun eine neue Entwicklung: Es besteht eine wachsende Erwartung, dass ein oder mehrere Vorstandsmitglieder über Fachwissen oder zumindest über grundlegende Kenntnisse im Bereich Cybersicherheit verfügen. In immer mehr Organisationen wird es im Prüfungsausschuss – wenn nicht sogar im gesamten Ausschuss – jemanden geben, der sich mit Cybersicherheit befasst. Das ist etwas anderes.
Ist dies in jeder Branche der Fall?
Ich glaube, dieser Trend ist überall zu beobachten, doch das Tempo, mit dem sich Vorstände auf das Management von Cyberrisiken konzentrieren, variiert je nach Branche.
Wenn Sie beispielsweise im Bereich „ “ im Gesundheitswesen tätig sind, wird ein Großteil Ihrer Arbeit durch Daten und elektronische Systeme gesteuert. Sollten Sie niemanden in Ihrem Vorstand haben, der die Auswirkungen dieser Angelegenheit auf die Cybersicherheit versteht, könnte dies als erhebliches Versäumnis angesehen werden. Das Gleiche gilt für Finanzdienstleistungen und andere risikoscheue Branchen. Es gibt andere Branchen, in denen der Druck, das Bewusstsein für Cybersicherheit auf Vorstandsebene zu stärken, nicht so groß ist, da sie nicht so stark von Datenschutzverletzungen betroffen sind und nicht so streng reguliert werden.
Also, ja, die Vorstände in allen Branchen schlagen diesen Weg ein, wenn auch mit unterschiedlicher Geschwindigkeit.
Wie sollten CISOs angesichts dieser neuen Realität mit den Vorständen kommunizieren?
Sie müssen Gespräche über Risiken so gestalten, denn genau das ist es, was den Vorstandsmitgliedern am Herzen liegt. Inwiefern stellt dieser Vorfall im Bereich der Cybersicherheit oder dieser Beinaheunfall ein Risiko für das Unternehmen dar? Das ist die Art von Sprache, die Vorstandsmitglieder und Führungskräfte verstehen.
Es ist in Ordnung, einen Mittelweg zu finden, bei dem Sie geschäftliche und technische Aspekte miteinander verbinden, solange Ihre Zuhörer nicht den Faden verlieren. Und Sie möchten nicht zu sehr ins Detail gehen. Gleichzeitig sollten Sie jedoch nicht versäumen, sie über Probleme zu informieren, die Sie gelöst haben und die eine größere, langfristige Relevanz haben könnten.
Allzu oft gehen viele CISOs ihre Aufgaben sehr operativ an. Sie erkennen ein Problem, beheben es und wenden sich dann der nächsten Aufgabe zu. Stattdessen sollten sie den Vorstand über einige dieser Probleme auf dem Laufenden halten und sagen: „Wir haben dieses Problem kürzlich behoben.“ „Es war damals nicht notwendig, Sie darauf hinzuweisen, doch Sie sollten sich dessen bewusst sein, da dies auf einen Trend hindeutete, der zu einem späteren Zeitpunkt erneut auftreten und sich auf das Geschäft auswirken könnte.“
[Lesen Sie auch: Wie CISOs Burnout bekämpfen und ihre berufliche Laufbahn verlängern können]
Im Bereich der Cybersicherheit müssen wir nicht bis ins kleinste Detail gehen, um dem Vorstand eine aussagekräftige Darstellung zu liefern. Wir sollten jedoch einen ausreichenden Überblick über die Probleme geben, mit denen wir konfrontiert sind, und konkrete Empfehlungen für deren künftige Bewältigung vorlegen.
Was ist der größte Fehler, den CISOs bei der Kommunikation mit den Vorstandsmitgliedern begehen?
Zu ausführlich zu sein. Sie möchten die Höhepunkte erleben. Stellen Sie die gewünschten Daten oder Kernpunkte so prägnant wie möglich dar. Dann sollen diese klugen Leute doch fragen, was sie fragen möchten. Hören Sie genau auf deren Fragen, um zu verstehen, was sie wirklich wissen möchten. Achten Sie auf deren Äußerungen, denn diese geben Aufschluss darüber, wo ihre Interessen liegen und was ihnen am Herzen liegt, sodass Sie Ihre Präsentation beim nächsten Treffen entsprechend anpassen können.
“Achten Sie darauf, ob ihre Augen glasig werden … und beobachten Sie ihre Körpersprache, um festzustellen, ob das, was Sie vermitteln, auch dem entspricht, wonach sie suchen. Falls nicht, passen Sie die Einstellung bitte spontan an.”Hallenbeck
Der wichtigste Rat, den ich Ihnen geben kann, ist wirklich, darauf zu achten, ob ihre Augen irgendwann glasig werden, und ihre Körpersprache zu beobachten, um festzustellen, ob das, was Sie vermitteln, auch das ist, wonach sie suchen. Falls nicht, passen Sie die Einstellung bitte spontan an.
Glauben Sie, dass sich der Trend zur Rechenschaftspflicht des Vorstands – und zum Bewusstsein des Vorstands für Cybersicherheit im Allgemeinen – fortsetzen wird?
Ganz sicher. Auch hier hängt es wieder von der jeweiligen Branche ab. Es ist möglich, dass die Aufsichtsbehörden von einigen Unternehmen zu einem späteren Zeitpunkt verlangen könnten, dass in ihren Prüfungsausschüssen eine Person vertreten ist, die für die Cybersicherheit zuständig ist.
Auch Unternehmen im Bereich der Cyberversicherung könnten dies letztendlich als Voraussetzung für die Gewährung bestimmter Prämiensätze verlangen. Dennoch glaube ich, dass die Vorstände einen Reifeprozess durchlaufen müssen, in dessen Verlauf sie sich von der Vorstellung lösen, dass Cybersicherheitsvorfälle bei ihnen nicht auftreten werden und auch nicht auftreten sollten. Sie müssen sich bewusst sein, dass Cybersicherheitsvorfälle leider zum Alltag gehören – ganz gleich, wie viel Sie in deren Vermeidung investieren.
Stattdessen sollte es in der Diskussion darum gehen, wie man dafür sorgen kann, dass solche Vorfälle seltener auftreten oder weniger schwerwiegend ausfallen. Um Bedrohungen der Cybersicherheit praxisnah und wirksam zu begegnen, bedarf es eines ausgewogenen Verhältnisses zwischen Risiko und Akzeptanz.
