Für Andy Ellis ist die Rolle des Chief Information Officer (CIO) ein „Dead-End-Job“.
Ellis würde es wissen. Er arbeitete in Informationssicherheit in Organisationen, die so vielfältig sind wie die U.S. Air Force, hat Akamai Technologies zu einem Internetriesen aufgebaut, ist derzeit ein Betriebspartner bei YL Ventures, der Cybersicherheitsprojekte finanziert und unterstützt, und ist ein Beauftragter in die CSO Hall of Fame.
Wie der Cybersicherheitsveteran sieht: „Sicherheit wird überall eingebettet“ in naher Zukunft. Aus diesem Grund sagt er, „wird der CIO-Job als separate C-Level-Position weggehen“ und mit der Rolle des Chief Information Security Officer (CISO) als Jobfunktion zusammengeführt.
Das ist nur die Meinung eines Experten. Aber eine solche Aussprache wird sicherlich die bereits problematische Beziehung zwischen den beiden Berufen und ihren jeweiligen Teams auffangen. Hier ist der Grund: Seit Jahren stehen die Fiefdome von IT-Betrieb und Cybersicherheit im Widerspruch.
Während beide mit dem Schutz der Netzwerke und Endgeräte ihrer Organisation (die Zehntausende von Laptops, PCs, Tablets und virtuellen Maschinen in der Cloud umfassen können) beauftragt sind, möchte die IT sicherstellen, dass sie reibungslos funktionieren, während die Sicherheit sicherstellen möchte, dass jeder einzelne gesperrt ist.
Aus dieser einfachen Dichotomie wurde eine Rivalität geboren, die die Cybersicherheit und den allgemeinen Gesundheitszustand eines Unternehmens gefährden kann.
CIOs und CISOs haben „unterschiedliche Ziele, und das kann eine große Herausforderung sein“, sagt Duncan Miller, Direktor für Endpunktsicherheit bei Tanium. Die Zustimmung zu den Erfolgsmetriken ist eine der größten Hürden bei der Vereinheitlichung der beiden Abteilungen.
„Die beiden Teams werden für verschiedene Ziele gemessen“, sagt Miller. „Ihre IT-Organisation ist dafür verantwortlich, Dinge auf dem Laufenden und zugänglich zu halten. Ihr Sicherheitsteam ist da, um sicherzustellen, dass sie ordnungsgemäß verwendet werden und dass sie nicht für Personen zugänglich sind, die nicht über den entsprechenden Zugriff verfügen sollten. Es gibt einen inhärenten Konflikt zwischen diesen Rollen und der Sicherstellung, dass die Mitarbeiter aufeinander abgestimmt sind.“
Manipulation einer weitaus erweiterten und komplexen Bedrohungslandschaft
Wie alles andere verändern die Pandemie und der schnelle Wechsel zur Remote-Arbeit diese Dynamik. Heutzutage haben verteilte Belegschaften, bei denen jeder Mitarbeiter mindestens ein Gerät hat, das sich über das Internet mit dem Unternehmensnetzwerk verbindet, die Herausforderungen sowohl für IT als auch für Sicherheit verschärft .
„Es besteht ein inhärenter Konflikt zwischen diesen Rollen und der Sicherstellung, dass die Mitarbeiter aufeinander abgestimmt sind.“Duncan Miller, Direktor für Endpunktsicherheit, Tanium
Drei Viertel der mehr als 3 000 Sicherheits-, Geschäfts- und IT-Führungskräfte, die PwC nach seiner 2022 Global Digital Trust Insights Survey fragte, berichten über zu viel Komplexität in ihren Technologie-, Daten- und Betriebsumgebungen. Das wiederum hat zu vielen toten Winkeln geführt.
Infolgedessen fehlt IT-Teams oft die Visibilität für bis zu 20 % ihrer Endpunkte. Das bedeutet, dass diese Geräte falsch konfiguriert werden können, keine Softwareaktualisierungen aufweisen und nicht genehmigte Apps darauf haben, was alle zu einer schlechten Leistung für den Benutzer führen kann. Dieselben Dinge sind auch Schwachstellen.
Um das Endpunktmanagement und die Produktivität zu verbessern und diese Endpunkte vor Bedrohungen zu schützen, benötigen beide Teams zunächst eine 360-Grad-Ansicht all dieser Assets, nicht nur eine Teilansicht. Endpunktsicherheit kann kein Nachgedanke sein. „Wenn Sie später Sicherheit aufbauen, wird es scheitern“, sagt Miller.
Das Aufkommen eines einzigen Marktführers für IT-Ops und Sicherheit
Um den Rift zu patchen, müssen die Fiefdoms sich vereinen oder zumindest aus denselben Echtzeitdaten arbeiten, die über eine Plattform erreicht werden können, die ihre Interessen und Tools vereint. Dazu gehören Asset-Discovery, Risiko- und Compliance-Management, Überwachung sensibler Daten und Bedrohungssuche. Die Einheit der beiden Führungspositionen hat sowohl das Aufwärts- als auch das Abwärtspotenzial.
„Merging ist eine interessante Struktur“, die berücksichtigt werden muss, da sie Organisationen helfen könnte, produktiver und sicherer zu sein“, sagt Ellis, die als beratender CISO für den Cloud-Spezialisten Orca Security fungiert. „Allerdings besteht [bei der Kombination der Führung] ein Risiko, dass Sie die Perspektive einer Person verlieren, die sich ausschließlich darauf konzentriert, wie das Risiko technisch funktioniert.“
Wim Remes ist Vorstandsmitglied von (ISC)2, der internationalen gemeinnützigen Organisation, die Cybersicherheitsexperten schult und zertifiziert, sowie Geschäftsführer bei Damovo Security Services, die Organisationen zu Best Practices für Cybersicherheit berät. Er ist nicht davon überzeugt, dass IT und Sicherheit unter einer Führung stehen. „Ihre Ziele sind zu unterschiedlich, um erfolgreich zu sein“, sagt er.
[Lesen Sie auch: 6 Diagramme, die zeigen, was in der Endpunktsicherheit funktioniert und was nicht]
Zum Beispiel konzentriert sich die IT auf die „Verfügbarkeit“. Wenn ein System ausfällt, sind die geschäftlichen Auswirkungen direkt. Daher kann ein IT-Betriebsteam beschließen, eine Schwachstelle ungepatcht zu lassen, wenn die Behebung das System abstürzen könnte. Sicherheit konzentriert sich auf den Schutz der Integrität des gesamten Systems und der Daten, die es verarbeitet und speichert. Wenn ein Sicherheitsleiter der IT unterstellt ist, priorisiert die Führung dort fast immer die Verfügbarkeit des Unternehmens. Das macht die vollständige Vereinheitlichung des IT-Betriebs und der Sicherheit zu einer Herausforderung: „Sicherheit konzentriert sich auf alle Funktionen“, sagt Remes.
Er glaubt, dass ein starkes Sicherheitsprogramm mit einer gut implementierten IT-Strategie beginnt. „Viele sehr begehrte Sicherheitsfunktionen in großen Organisationen verlassen sich auf ein starkes Asset-Management, Konfigurationsmanagement, Anwendungssicherheitsmanagement und Patch-Management, was alles IT-Funktionen sind“, sagt er. „IT und Sicherheit sollten zusammenarbeiten, um Risiken zu identifizieren und zu mindern.“
Aufschlüsselung von IT- und Sicherheitssilos
Die heutige Geschäftsumgebung bedeutet, dass eine Sicherheitsstrategie nur erfolgreich sein kann, wenn sie mit dem IT-Betrieb synchronisiert ist. Jetzt ist es erforderlich, einen „konvergenten“ Managementansatz zu verfolgen. Das bedeutet, über Silos hinweg als ein Team zu arbeiten.
„IT hat eine eigene massive Buchungsliste. Ein Sicherheitsteam mit demselben Endziel kann dabei helfen.“Allan Alford, CISO und CTO, TrustMAPP
Experten sagen, dass es völlig möglich ist, die beiden Teams zu synchronisieren, da ihre endgültigen Ziele die gleichen sind. „Sicherheit findet das Problem, aber letztendlich muss die IT das Problem beheben“, sagt Allan Alford, CISO und CTO bei TrustMAPP, einem Cybersicherheits-Performance-Management-Unternehmen. „IT verfügt über eine riesige eigene Punchliste und eine riesige Liste von Prioritäten, und sie sind nur in der Lage, eine bestimmte Menge an Ressourcen zuzuweisen. Ein Sicherheitsteam mit demselben Endziel kann dabei helfen.“
Die Herausforderung kann jedoch auf verschiedene Zeitansichten zurückgehen. Das Sicherheitsteam möchte vielleicht alles über Nacht beheben, sagt Alford, aber die IT kann diese Art von schneller Zeitleiste nicht immer berücksichtigen. Manchmal ist ein Upgrade nicht möglich, weil die Person, die die Software geschrieben hat, nicht mehr im Unternehmen ist oder ein Teil der kommerziellen Software eingestellt wurde.
Die einfache Bereitstellung von Sicherheit und IT im selben Raum, um Lösungen auszublenden, löst das Problem nicht unbedingt, insbesondere wenn die Führungskräfte unterschiedliche Führungsstile haben. Der CIO kann manchmal gezwungen sein, zwischen zwei kriegerischen Stämmen zu wählen.
Oft wird die Sicherheit zugunsten einer anderen Abteilung, die sich direkt auf die finanziellen Ziele der IT bezieht, abgegrenzt. „Der Erfolg der IT wird daran gemessen, was sie nicht ausgeben“, sagt Alford. „Wenn die Sicherheit in die IT eingeflossen ist, kann sie unter Druck gesetzt werden, keine Ausgaben auszugeben, wenn es wirklich für die Sicherheit erforderlich ist, Geld auszugeben. Sie möchten nicht, dass die Sicherheit schnell von der IT begrenzt wird.“
IT und Sicherheit zur Zusammenarbeit an einer Identitäts- und Zugriffsmanagementlösung bringen
Alford bietet eine Fallstudie an. Bei seiner vorherigen Tätigkeit als Delivery CISO bei NTT Data Services war er für 50 000 Personen auf der ganzen Welt verantwortlich. Sein Team lebte sowohl in städtischen als auch ländlichen Gebieten.
Zu Beginn der Pandemie stand er vor einer globalen Herausforderung, nur die richtigen Computer für die richtige Situation zu finden und Menschen in ländlichen Gebieten einen zuverlässigen Internetzugang zu bieten. „Wir hatten eine Vielzahl von Szenarien, und IT und Sicherheit mussten zusammenarbeiten, um dies zu bewältigen“, sagt er.
Um dies zu unterstützen, vereinten sich die beiden Teams unter einer gemeinsamen Identitäts- und Zugriffsmanagementlösung. „Traditionell wurde die Identität von der IT verwaltet“, sagt Alford. „Wir haben gesehen, dass es integraler Bestandteil der Sicherheitsvorrichtung war, da sich jedes Sicherheitstool, das wir hatten, auf eine Identitäts- und Zugriffsmanagementlösung konzentriert hatte. Also hat die Sicherheit das letztendlich übernommen, mit Zusammenarbeit zwischen den beiden Abteilungen.“
Die Teams stellten eine Lösung für Secure Access Service Edge (SASE) bereit, um Daten, die von zentralisierten Rechenzentren fließen, mit einer Reihe von Diensten in der Cloud zu verbinden. Das Unternehmen stellte auch sicher, dass es über Endpunktmanagementschutz verfügte, als Mitarbeiter auf die Cloud zugegriffen haben.
[Lesen Sie auch: Da die Cyberkrise zunimmt, müssen CISOs und Vorstände lernen, zu kommunizieren]
Vorbereitung, so Alford, ist der Schlüssel zur Vereinheitlichung von Sicherheit und IT in
der perimeterlosen Welt einer weit entfernten, hybriden Belegschaft. Bereiten Sie sich mit den richtigen Tools vor, empfiehlt er. Trennen Sie Silos, aber halten Sie Experten an der Spitze, die die Funktion ihres Teams wirklich verstehen.
„Es sollte egal sein, ob jemand bei Starbucks ist oder ob jemand zu Hause ist“, sagt er. „Die Infrastruktur muss vorhanden sein, um dem Mangel an Grenzen gerecht zu werden. Alles kann gemacht werden. Der Schlüssel liegt in der Koordination zwischen IT und Sicherheit.“
