Als die Sicherheitsleiterin Theresa Payton ihre vorherige Stelle im Bereich Cybersicherheit antrat, erkundigte sie sich als eines der ersten Dinge nach der Häufigkeit der Patch-Management-Routine des Unternehmens im Rahmen des „ “ (). Die Antwort war nicht die, die sie hören wollte. Sie führten Software-Updates lediglich monatlich durch und verfolgten eine „Null-Ausfallzeit“-Richtlinie.
„Ich hatte ein flaues Gefühl im Magen“, erinnerte sie sich an jene Zeit. Das Team tat das, was es für richtig hielt, und die Organisation war mit dem Ablauf zufrieden, doch dies reichte einfach nicht aus, um die Sicherheit des Betriebs angemessen zu gewährleisten. „Was soll ich hier bloß tun?“ fragte sie sich. „Zeigen Sie mir den Rückstand bei den Aktualisierungen“, bat sie. Der Rückstand war beträchtlich.
Letztendlich wandte sich Payton – die erste Frau, die das Amt der Chief Information Officer im Weißen Haus bekleidete und die gemeinsam mit ihrem Direktor den IT-Betrieb für den Präsidenten und seine Mitarbeiter von der 2006 . bis zur 2008—sat . Amtsperiode leitete – an ihren Direktor und fragte, ob die Organisation für andere Möglichkeiten offen sei. Die Art und Weise, wie sie sich für das weitere Vorgehen entschieden, würde tiefgreifende Auswirkungen auf den Erfolg ihrer Führungsrolle im Bereich Cybersicherheit haben.
Für einen frisch ernannten Chief Information Security Officer (CISO) sind die ersten 90 Tage eine Zeit, die sowohl Gefahren als auch Chancen birgt. Wenn CISOs zu schnell vorgehen oder zu viel Druck ausüben, laufen sie Gefahr, sich das Unternehmen zum Feind zu machen. Wer zu langsam vorgeht, läuft Gefahr, dass neue CISOs ihren Schwung und ihre „Flitterwochenphase“ verspielen. Erfahrene CISOs berichten dem „ “-Ansprechpartner , wie sie ihre ersten Monate im neuen Amt gemeistert haben. So meistern Sie Ihre neue Aufgabe.
Bereiten Sie sich mental auf das Stellenangebot vor
„Machen Sie sich bereits vor Ihrer Einstellung ein gutes Bild von dem Unternehmen“, empfiehlt David Elfering, Senior Director für Informationssicherheit bei ReSource Pro, einem Anbieter von Versicherungslösungen. Elfering rät Bewerbern, sich ein genaues Bild vom Geschäftsmodell des Unternehmens zu machen und zu verstehen, inwiefern dessen Geschäftsergebnis von der Cybersicherheit abhängt.
Der künftige CISO wird sich zudem ein Bild von der Organisationshierarchie machen wollen – wem der CISO unterstellt ist, wer die wichtigsten Führungskräfte sind, wie die finanzielle Gesamtsituation des Unternehmens aussieht und wie hoch die Fluktuationsrate der Mitarbeiter ist. Abschließend: Wie hoch ist das gesamte IT-Budget, und welcher Prozentsatz dieses Budgets ist für die Sicherheit vorgesehen?
„Unternehmen erwarten, dass Sie von Anfang an über einen nahezu allumfassenden Überblick verfügen und sofort voll einsatzfähig sind“, sagt Elfering. „Man möchte so gut wie möglich vorbereitet sein.“
Machen Sie sich vor Ort ein Bild von der Lage
Die erste Arbeitswoche ist eine der entscheidenden Phasen. „Dies ist die Woche, in der wir vor Ort im Einsatz sind“, sagt Payton, der mittlerweile Geschäftsführer der Sicherheitsberatungsfirma Fortalice Solutions ist. „Und ich nenne das Ihre ‚Hör-Einschätzungstour‘“, fügt sie hinzu. Die Anfangsphase ist eine Zeit, in der man sich voll und ganz auf die Informationsbeschaffung konzentrieren und alle wichtigen Details erfassen sollte, die ein CISO im weiteren Verlauf über das Programm benötigen wird. „Sie müssen sich mit allen Führungskräften treffen und auf deren Bedürfnisse eingehen“, fügt Payton hinzu. „Wenn Sie die Führungskräfte im Unternehmen nicht unterstützen, dann erfüllen Sie Ihre Aufgabe nicht und werden keinen Erfolg haben.“
„Wenn Sie die Führungskräfte nicht unterstützen, dann erfüllen Sie Ihre Aufgabe nicht und werden keinen Erfolg haben.“Theresa Payton, Geschäftsführerin des Sicherheitsberatungsunternehmens Fortalice Solutions
Sie möchten sich mit Führungskräften aus den Bereichen Personalwesen, Rechtsabteilung, Finanzen, Betrieb und schließlich mit dem Vorstandsvorsitzenden treffen. Payton empfiehlt, zu erfragen, was nach Ansicht der Führungskräfte gut funktioniert. „Machen Sie sich auf eine kurze Liste gefasst“, warnt sie. Fragen Sie dann, was ihrer Meinung nach nicht gut funktioniert. Machen Sie sich auf eine längere Liste gefasst.
Dies ist auch eine Gelegenheit, eine vertrauensvolle Beziehung aufzubauen. Martin Fisher, CISO am Northside Hospital in Atlanta, empfiehlt, etwa Folgendes zu sagen: „Ich möchte Ihre Meinung hören, und ich werde hier sitzen und Ihnen zuhören.“
[Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, damit CEOs ihnen tatsächlich zuhören]
Wenn Sie dies in den ersten 90 Tagen tun, gewinnen Sie das Vertrauen Ihres Teams und tragen gleichzeitig dazu bei, einige Herausforderungen auf diesem Weg zu bewältigen. „Währenddessen“, so sagt er, „bewerten Sie Ihr Programm.“ Sie führen eine Leistungsbeurteilung Ihrer Mitarbeiter durch. „Und Sie prüfen gerade Ihren Technologie-Stack.“
Machen Sie sich mit der Unternehmenskultur vertraut
Der Führungsguru Peter Drucker sagte einmal den berühmten Satz: „Kultur verschlingt Strategie zum Mittagessen.“ Fisher erklärte dies folgendermaßen: „Das bedeutet: Wenn Sie eine hervorragende Sicherheitsstrategie vorlegen, diese jedoch nicht mit der Unternehmenskultur im Einklang steht, wird sie scheitern.“
Wenn CISOs über Unternehmenskultur sprechen, spielen drei Beziehungen eine wichtige Rolle: die Beziehung zur Führungsetage und zu den Geschäftsleitern, die Beziehung zu den Mitarbeitern und Endnutzern sowie die Beziehung zum Sicherheitspersonal. „Bauen Sie in dieser Zeit Partnerschaften auf, denn die geschäftlichen Ergebnisse sind für beide Seiten von Vorteil, beispielsweise die sichere Gewährleistung der Geschäftsergebnisse“, sagt Elfering. „Dies muss jedoch in einer Weise geschehen, die mit der Unternehmenskultur im Einklang steht.“
Es ist von entscheidender Bedeutung, dass neue CISOs sich mit den Entscheidungsprozessen des Unternehmens vertraut machen und die bereits bestehenden Abläufe einhalten. „Unsere Organisation ist verdammt hierarchisch – so ist es nun einmal“, sagt Fisher. „Und wenn Sie als Führungskraft nicht respektiert werden und sich nicht um die Menschen kümmern, die Ihnen unterstellt sind, wird es für Sie ein böses Ende nehmen.“
Schaffen Sie Glaubwürdigkeit auf allen Hierarchieebenen
Die erste Regel, um Glaubwürdigkeit aufzubauen, lautet laut Fisher: „Seien Sie kein Idiot.“ Die Menschen gehen tatsächlich davon aus, dass ein neuer Chef schlecht sein wird. „Dies bietet Ihnen eine hervorragende Gelegenheit zu beweisen, dass Sie kein Unverschämter sind, dass Sie dem Team und der Geschäftsleitung zugehört haben und dass Sie bereit sind, ihnen zum Erfolg zu verhelfen“, sagt er.
Nehmen wir an, der neue CISO befolgt den zuvor gegebenen Rat, sich ein Bild vom bestehenden Programm, dem bestehenden Team und dem aktuellen Technologie-Stack zu machen und diese zu bewerten. In diesem Fall ist es an der Zeit, bei den Führungskräften Glaubwürdigkeit aufzubauen.
„Wenn es Probleme gibt, können Sie sich an das Team wenden und diese beheben.“David Elfering, Senior Director für Informationssicherheit bei ReSource Pro
Elfering empfiehlt, sich ein Bild davon zu machen, wie das Sicherheitsteam von anderen wahrgenommen wird. Hat das Sicherheitsteam sie in der Vergangenheit daran gehindert, wenn sie versucht haben, interessante Dinge zu tun? Wie kann der neue CISO diese Beziehung wieder ins Lot bringen?
„Sollte es zu Problemen kommen, können Sie sich an das Team wenden und diese beheben“, sagt er. „Sie können Glaubwürdigkeit aufbauen und gleichzeitig dem Unternehmen einen Mehrwert aufzeigen sowie unter Beweis stellen, dass Sie so schnell wie möglich einen Mehrwert schaffen können.“
Neben dem Aufbau von Glaubwürdigkeit gegenüber Führungskräften ist es von entscheidender Bedeutung, eine möglichst gute Beziehung zu Ihrem Team aufzubauen. „In dieser Anfangsphase wird jemand Fehler machen“, sagt Fisher. Neue CISOs haben die Gelegenheit zu zeigen, dass sie auf Fehltritte fair reagieren können.
Beginnen Sie mit den Änderungen
Gegen Ende der ersten 90 Tage ist es an der Zeit, sicherzustellen, dass sich alle darüber einig sind, was getan werden muss, um das neue Sicherheitsprogramm aufzubauen. Die CISOs haben sich bei ihrem Team Glaubwürdigkeit erarbeitet. Die Menschen hatten das Gefühl, dass ihnen Gehör geschenkt wurde. Sie hatten das Gefühl, Teil des Aufbauprozesses des neuen Programms zu sein.
„Jetzt ist es an der Zeit, die Entscheidungen zu treffen, die neue CISOs treffen müssen“, sagt Fisher. „Und Sie werden die Verantwortung dafür übernehmen: ob gut, schlecht oder gleichgültig.“
„“ Es ist eine Entscheidung, die Sie treffen. Das ist keine Diskussion.”Martin Fisher, CISO am Northside Hospital in Atlanta
Wenn Sie Änderungen vornehmen, klären Sie alle Beteiligten darüber auf, wie diese Änderungen Risiken verringern, das Arbeitsleben der Mitarbeiter verbessern und das Unternehmen voranbringen werden. An dieser Stelle sagen Sie: „Das sind die Änderungen, über die ich sprechen möchte.“ „Lassen Sie uns darüber sprechen, wie wir diese umsetzen werden.“
„Das ist eine Entscheidung, die Sie treffen“, sagt Fisher. „Das steht nicht zur Diskussion.“
Messen Sie Ihren Erfolg
Die von uns befragten Führungskräfte erklärten, dass der Erfolg in dieser Phase davon abhängt, inwieweit es einem CISO gelungen ist, eine solide Grundlage im Zusammenspiel mit dem Sicherheitsteam und der Unternehmensleitung zu schaffen. Der neue CISO wird darauf achten wollen, wie gut das Sicherheitsteam ihn unterstützt und wie viel Glaubwürdigkeit es bei der Geschäftsleitung aufgebaut hat. Das Erreichen von Erfolgskriterien hängt weniger von den Bits oder Bytes der eingesetzten Sicherheitstechnologie ab, sondern vielmehr davon, ob damit die richtigen geschäftlichen Ergebnisse erzielt werden.
Woran erkennen neue CISOs, dass sie erfolgreich waren? Wählen Sie einen Mentor aus. „Ich würde jemanden aus dem Geschäftsbereich auswählen, von dem Sie das Gefühl haben, dass er Sie während des Bewerbungsprozesses am stärksten unterstützt hat“, sagt Payton. „Fragen Sie sich, wie Erfolg für Sie aussieht. Sagen Sie ihnen, dass Sie in dieser Position in diesem Unternehmen außerordentlich erfolgreich sein möchten, und bitten Sie sie um ihre Unterstützung als vertrauliche Ansprechpartner, die Ihnen Ihre Erfolge und Misserfolge aufzeigen.“
Wie hat Payton ihr Problem mit dem Patch-Management letztendlich gelöst? In den ersten Monaten hörte sie sich die Anliegen des Teams und der Führungskräfte an, um sich einen möglichst umfassenden Überblick über deren IT-Bestand, Lösungen für das Asset-Management, Prozesse und die Teamkultur zu verschaffen.
Durch das Verständnis der Arbeitsabläufe und des Technologie-Stacks gelang es Payton, Wege zu finden, um die Patch-Zyklen zu beschleunigen, ohne den Betriebsablauf des Unternehmens zu beeinträchtigen. „Wir haben die Zeiten mit dem höchsten Aufkommen für die Gruppen im Tages- und Wochenverlauf ermittelt und konnten unsere Aktualisierungen entsprechend planen“, erklärt sie. „Wäre ich hereingekommen und hätte einfach verkündet, dass wir täglich Patches bereitstellen würden, hätte das niemals funktioniert.“
Neue CISOs, bitte beachten Sie diese weisen Ratschläge. Sie werden Ihnen dabei helfen, sich in den ersten 90 Tagen von Ihrer besten Seite zu zeigen.
