Für Andy Ellis ist die Position des Chief Information Officer (CIO) ein „Job ohne Zukunft“.
Ellis müsste es wissen. Er war im Bereich Informationssicherheit bei so unterschiedlichen Organisationen wie der US-Luftwaffe tätig, hat Akamai Technologies zu einem Internetgiganten ausgebaut, ist derzeit operativer Partner bei YL Ventures, einem Unternehmen, das Start-ups im Bereich Cybersicherheit finanziert und unterstützt, und wurde in die CSO Hall of Fame aufgenommen.
Der Experte für Cybersicherheit sieht es so: „Sicherheit wird in naher Zukunft überall integriert sein.“ Aus diesem Grund, so sagt er, „wird die Position des CIO als eigenständige C-Level-Funktion wegfallen“ und als Aufgabenbereich mit der Rolle des Chief Information Security Officer (CISO) zusammengelegt werden.
Das ist lediglich die Meinung eines Experten. Eine solche Äußerung wird jedoch mit Sicherheit die ohnehin schon angespannten Beziehungen zwischen den beiden Berufsgruppen und ihren jeweiligen Teams weiter verschärfen. Und zwar aus folgendem Grund: Seit Jahren stehen sich die Bereiche IT-Betrieb und Cybersicherheit unversöhnlich gegenüber.
Zwar haben beide die Aufgabe, die Netzwerke ihrer Organisation sowie die Endgeräte (zu denen Zehntausende von Laptops, PCs, Tablets und virtuellen Maschinen in der Cloud gehören können) zu schützen, doch die IT-Abteilung möchte sicherstellen, dass diese reibungslos funktionieren, während die Sicherheitsabteilung dafür sorgen will, dass jedes einzelne Gerät streng gesichert ist.
Aus dieser einfachen Dichotomie entstand eine Rivalität, die die Cybersicherheit und die allgemeine Stabilität eines Unternehmens gefährden kann.
CIOs und sowie CISOs verfolgen „unterschiedliche Ziele, und das kann eine große Herausforderung darstellen“, sagt Duncan Miller, Leiter des Bereichs Endpunktsicherheit bei Tanium. Eine Einigung hinsichtlich der Erfolgskennzahlen zu erzielen, ist eine der größten Hürden bei der Zusammenführung der beiden Abteilungen.
„Die beiden Teams werden anhand unterschiedlicher Ziele bewertet“, sagt Miller. „Ihre IT-Abteilung hat die Aufgabe, dafür zu sorgen, dass alles funktioniert und zugänglich ist. Ihr Sicherheitsteam hat die Aufgabe, sicherzustellen, dass diese ordnungsgemäß genutzt werden und dass Personen, die nicht über die entsprechenden Zugriffsrechte verfügen, keinen Zugriff darauf haben. „Zwischen diesen Rollen besteht ein inhärenter Konflikt, und es gilt, dafür zu sorgen, dass alle an einem Strang ziehen.“
Bewältigung einer erheblich gewachsenen und komplexen Bedrohungslandschaft
Wie alles andere verändern auch die Pandemie und der rasche Übergang zur Telearbeit diese Dynamik. Heutzutage haben verteilte Belegschaften – bei denen jeder Mitarbeiter über mindestens ein Gerät verfügt, das über das Internet eine Verbindung zum Unternehmensnetzwerk herstellt – die Herausforderungen sowohl für die IT als auch für die Sicherheit noch verstärkt.
„Es besteht ein inhärenter Konflikt zwischen diesen Rollen und der Sicherstellung, dass alle Beteiligten an einem Strang ziehen.“Duncan Miller, Leiter des Bereichs Endgerätesicherheit bei Tanium
Drei Viertel der mehr als 3 000 Führungskräfte aus den Bereichen Sicherheit, Wirtschaft und IT, die die Wirtschaftsprüfungsgesellschaft PwC im Rahmen ihres Berichts „ 2022 Global Digital Trust Insights Survey“ befragt hat, berichten von einer zu hohen Komplexität in ihren Technologie-, Daten- und Betriebsumgebungen. Dies hat wiederum dazu geführt, dass zu viele blinde Flecken entstanden sind.
Infolgedessen fehlt es IT-Teams häufig an Transparenz über bis zu 20 % ihrer Endgeräte. Das bedeutet, dass diese Geräte möglicherweise falsch konfiguriert sind, keine Software-Updates erhalten haben und nicht zugelassene Apps enthalten, was insgesamt zu einer schlechten Leistung für den Nutzer führen kann. Genau diese Dinge stellen zugleich Schwachstellen dar.
Um die Verwaltung der Endgeräte sowie die Produktivität zu verbessern und diese Endgeräte vor Bedrohungen zu schützen, benötigen beide Teams zunächst einen 360-Grad-Überblick über alle diese Ressourcen und nicht nur eine Teilansicht. en zur Endgerätesicherheit dürfen nicht erst im Nachhinein berücksichtigt werden. „Wenn man Sicherheit erst nachträglich einbaut, wird das scheitern“, sagt Miller.
Die Etablierung einer einzigen Führungskraft für den IT-Betrieb und die IT-Sicherheit
Um diese Kluft zu überbrücken, müssen sich die Lehensgebiete zusammenschließen oder zumindest auf der Grundlage derselben Echtzeitdaten arbeiten; dies lässt sich über eine „ “-Plattform erreichen, die ihre Interessen und Werkzeuge vereint. Dazu sollten folgende Bereiche gehören: (Ermittlung von Systemressourcen), (Risiko- und Compliance-Management), (Überwachung sensibler Daten), sowie (Bedrohungssuche),. Die Zusammenführung der beiden Führungsgremien hat sowohl Vor- als auch Nachteile.
„Die Zusammenführung ist ein interessantes Konzept“, das in Betracht gezogen werden sollte, da es Unternehmen dabei helfen könnte, produktiver und sicherer zu werden, sagt Ellis, der als beratender CISO für den Cloud-Spezialisten Orca Security tätig ist. „Allerdings besteht [bei der Zusammenlegung der Führungsaufgaben] die Gefahr, dass man die Perspektive einer Person aus den Augen verliert, die sich ausschließlich darauf konzentriert, wie das Risikomanagement technisch funktioniert.“
Wim Remes ist Vorstandsmitglied von (ISC)², einer internationalen gemeinnützigen Organisation, die Fachkräfte im Bereich Cybersicherheit ausbildet und zertifiziert, sowie Geschäftsführer bei Damovo Security Services, einem Unternehmen, das Organisationen hinsichtlich bewährter Verfahren im Bereich Cybersicherheit berät. Er ist nicht davon überzeugt, dass IT und Sicherheit unter einer gemeinsamen Leitung zusammengefasst werden sollten. „Ihre Ziele unterscheiden sich zu sehr, als dass dies erfolgreich sein könnte“, sagt er.
[Lesen Sie auch: 6 Grafiken, die zeigen, was bei der Endgerätesicherheit funktioniert und was nicht]
Beispielsweise legt die IT den Schwerpunkt auf „Verfügbarkeit“. Fällt ein System aus, hat dies unmittelbare Auswirkungen auf den Geschäftsbetrieb. Daher kann es vorkommen, dass ein IT-Betriebsteam beschließt, eine Sicherheitslücke ungepatcht zu lassen, falls deren Behebung zu einem Systemabsturz führen könnte. Im Mittelpunkt der Sicherheit steht der Schutz der Integrität des gesamten Systems sowie der Daten, die es verarbeitet und speichert. Wenn ein Sicherheitsverantwortlicher der IT-Abteilung unterstellt ist, wird die dortige Führung fast immer der Verfügbarkeit der Geschäftsprozesse Vorrang einräumen. Dies macht die vollständige Zusammenführung von IT-Betrieb und IT-Sicherheit zu einer Herausforderung: „Sicherheit betrifft alle Funktionen“, sagt Remes.
Er ist der Ansicht, dass ein solides Sicherheitskonzept mit einer gut umgesetzten IT-Strategie beginnt. „Viele der in großen Unternehmen besonders gefragten Sicherheitsfunktionen stützen sich auf ein solides Asset-Management ( ), Konfigurationsmanagement (), Anwendungssicherheitsmanagement sowie Patch-Management ( ) () – allesamt IT-Funktionen“, sagt er. „Die IT- und die Sicherheitsabteilung sollten zusammenarbeiten, um Risiken zu erkennen und zu mindern.“
Abbau von IT- und Sicherheitssilos
Angesichts des heutigen Geschäftsumfelds kann eine Sicherheitsstrategie nur dann erfolgreich sein, wenn sie eng mit dem IT-Betrieb abgestimmt ist. Nun ist es erforderlich, einen „konvergenten“ Managementansatz zu verfolgen. Das bedeutet, über Abteilungsgrenzen hinweg als ein Team zusammenzuarbeiten.
„“ – Die IT-Abteilung hat selbst eine umfangreiche Liste offener Aufgaben. Ein Sicherheitsteam, das dasselbe Endziel verfolgt, kann dabei helfen.”Allan Alford, CISO und CTO bei TrustMAPP
Experten zufolge ist es durchaus möglich, die beiden Teams aufeinander abzustimmen, da sie letztlich dieselben Ziele verfolgen. „Die Sicherheitsabteilung deckt das Problem auf, doch letztendlich muss die IT-Abteilung es beheben“, sagt Allan Alford, CISO und CTO bei TrustMAPP, einem Unternehmen für das Leistungsmanagement im Bereich Cybersicherheit. „Die IT-Abteilung hat eine umfangreiche eigene Aufgabenliste sowie eine umfangreiche Prioritätenliste, und sie kann nur eine bestimmte Menge an Ressourcen bereitstellen.“ „Ein Sicherheitsteam, das dasselbe Endziel verfolgt, kann dabei helfen.“
Die Herausforderung lässt sich jedoch auf unterschiedliche Sichtweisen auf die Zeit zurückführen. Das Sicherheitsteam möchte vielleicht, dass alle Probleme über Nacht behoben werden, sagt Alford, doch die IT-Abteilung kann einem derart engen Zeitplan nicht immer gerecht werden. Manchmal ist ein Upgrade nicht möglich, weil die Person, die die Software „ “ ( ) entwickelt hat, nicht mehr im Unternehmen tätig ist oder weil eine kommerzielle Software nicht mehr weiterentwickelt wird.
Allein die Tatsache, dass die Sicherheits- und die IT-Abteilung in einem Raum zusammenkommen, um Lösungen auszuarbeiten, löst das Problem nicht unbedingt, insbesondere wenn die Führungskräfte unterschiedliche Führungsstile haben. Der CIO kann mitunter gezwungen sein, sich zwischen zwei verfeindeten Lagern zu entscheiden.
Häufig wird der Bereich Sicherheit zugunsten einer anderen Abteilung, die in einem direkteren Zusammenhang mit den finanziellen Zielen der IT steht, in den Hintergrund gedrängt. „Der Erfolg der IT-Abteilung lässt sich daran messen, was sie nicht ausgibt“, sagt Alford. „Wenn die Sicherheit in den IT-Bereich integriert wird, könnte dort der Druck entstehen, keine Ausgaben zu tätigen, obwohl für die Sicherheit gerade finanzielle Investitionen erforderlich sind.“ „Sie möchten nicht, dass der Bereich Sicherheit von der IT schnell an den Rand gedrängt wird.“
Die Zusammenarbeit von IT und Sicherheitsabteilung bei der Entwicklung einer Lösung für das Identitäts- und Zugriffsmanagement
Alford liefert eine Fallstudie. In seiner früheren Position als CISO für den Bereich Delivery bei NTT Data Services leitete er 50 000 Mitarbeiter weltweit. Sein Team lebte sowohl in städtischen als auch in ländlichen Gebieten.
Zu Beginn der -Pandemie stand er vor der weltweiten Herausforderung, den Mitarbeitern die richtigen Computer für die jeweilige Situation zur Verfügung zu stellen und den Menschen in ländlichen Gebieten einen zuverlässigen Internetzugang zu gewährleisten. „Wir hatten mit einer Vielzahl unterschiedlicher Szenarien zu tun, und die IT- und Sicherheitsabteilungen mussten zusammenarbeiten, um diese zu bewältigen“, sagt er.
Um dies zu ermöglichen, haben sich die beiden Teams auf eine gemeinsame Lösung für die Identitäts- und Zugriffsverwaltung geeinigt. „Traditionell wurde die Identitätsverwaltung von der IT-Abteilung übernommen“, sagt Alford. „Wir haben erkannt, dass dies ein wesentlicher Bestandteil des Sicherheitsapparats war, da sich jedes unserer Sicherheitstools um eine Lösung für das Identitäts- und Zugriffsmanagement drehte.“ „Letztendlich übernahm der Sicherheitsdienst diese Aufgabe in Zusammenarbeit mit der anderen Abteilung.“
Die Teams setzten eine SASE-Lösung (Secure Access Service Edge) ein, um den Datenfluss von zentralisierten Rechenzentren zu einer Reihe von Diensten in der Cloud zu verbinden. Das Unternehmen stellte zudem sicher, dass beim Zugriff der Mitarbeiter auf die Cloud Schutzmaßnahmen im Bereich des Endpunktmanagements vorhanden waren.
„Vorbereitung“, so Alford, „ist der Schlüssel zur Vereinigung von Sicherheit und IT in
der grenzenlosen Welt einer weit verstreuten, hybriden Belegschaft.“ Er empfiehlt, sich mit den richtigen Hilfsmitteln vorzubereiten. Bauen Sie Silos ab, behalten Sie jedoch an der Spitze Experten, die die Aufgaben ihres Teams wirklich verstehen.
„Es sollte keine Rolle spielen, ob jemand bei Starbucks ist oder zu Hause“, sagt er. „Es muss eine entsprechende Infrastruktur vorhanden sein, um dem Fehlen von Grenzen Rechnung zu tragen.“ All das ist möglich. „Entscheidend ist eine umfassende Abstimmung zwischen der IT-Abteilung und der Sicherheitsabteilung.“