Als COVID-19 ausbrach, war Kurt John, Chief Cybersecurity Officer bei Siemens USA, darauf vorbereitet.
Schon lange vor der Pandemie hatte sich Siemens Gedanken über die Zukunft der Arbeit gemacht. Zu dieser Zukunft gehörte der Übergang zu einer remote arbeitenden, weit verstreuten und gemäß dem „ “ geschützten Belegschaft. Als also weltweit Quarantänemaßnahmen eingeführt wurden, so John, erwies sich diese Umstellung als weniger einschneidend und weitaus produktiver als bei vielen anderen Unternehmen von der Größe von Siemens.
„Niemand wusste, dass COVID kommen würde, daher kann ich nicht behaupten, besondere Weitsicht bewiesen zu haben“, sagt John. „Doch die Tatsache, dass wir bereits vorausschauend gehandelt, uns an den geschäftlichen Prioritäten orientiert und wirksame Sicherheitsmechanismen eingeführt hatten, verschaffte uns eine deutlich bessere Ausgangsposition, als sich die Weltlage veränderte.“ „Wir hatten Glück.“
Wie andere Unternehmen, die während der Pandemie einensprunghaften Anstieg von Cyberangriffen verzeichneten, musste auch Siemens im vergangenen Jahr einen Anstieg der Phishing-Versuche um rund 30 % hinnehmen. Die mehr als 385 000 Mitarbeiter waren jedoch dank der guten Vorbereitung der IT-Sicherheit nicht stark betroffen. Tatsächlich verzeichnete der globale Mischkonzern im Jahr 2020 einen Rückgang der kompromittierten Systeme.
Wie sich herausstellte, traf dies auch auf viele andere Unternehmen zu. Tatsächlich führte der sprunghafte Anstieg von Phishing- und Ransomware-Angriffen nicht unmittelbar zu so vielen entsprechenden Cybervorfällen, wie es eigentlich hätte der Fall sein können. Das liegt daran, dass die Chief Information Security Officers (CISOs) ihre Arbeit gut gemacht haben.
Das Ergebnis: CISOs, deren Teams von anderen Führungskräften der obersten Ebene bislang lediglich als „Kostenstellen“ betrachtet worden waren, saßen nun denselben Führungskräften am virtuellen Tisch gegenüber – sie schufen Mehrwert und beeinflussten die Unternehmensstrategie.
Tatsächlich geben laut der auf Sicherheitspersonal spezialisierten Personalberatungsfirma Hitch Partners 81 % der Anfang dieses Jahres von „ “ befragten CISOs an, dass sie nun direkt an den Vorstand berichten, verglichen mit 69 % vor der Pandemie. Laut einer aktuellen Schätzung von Gartner werden bis zum Jahr 2025, 40 % der Vorstände über einen eigenen Ausschuss für Cybersicherheit verfügen – ein Anstieg gegenüber den derzeitigen 10 % –, der sich zum Teil aus ehemaligen CISOs zusammensetzen wird. Der Schwerpunkt sollte hier auf der Schätzung liegen.
Diese Transparenz ist für CISOs keineswegs dauerhaft gegeben. In der Tat: Während die Welt allmählich wieder einen Anschein von Normalität zurückgewinnt und sich Sicherheitsverantwortliche virtuell zur „ “ und zur „RSA Conference 2021“ () versammeln, fragen sich CISOs, welche Maßnahmen sie ergreifen müssen, um weiterhin relevant zu bleiben.
„Als die Pandemie begann, war es, glaube ich, das erste Mal, dass ich miterlebte, wie das Sicherheitspersonal von der Unternehmensleitung und dem Rest des Unternehmens große Anerkennung erhielt“, sagt Chris Hallenbeck, CISO für Nord- und Südamerika bei Tanium. „Viele Menschen haben endlich erkannt, dass Cybersicherheit nicht nur den Betrieb eines Unternehmens aufrechterhalten, sondern auch dessen Wachstum beschleunigen kann.“ „Um auch nach der Pandemie ihren Platz am Tisch zu behalten, müssen CISOs weiterhin unter Beweis stellen, wie ihre Teams dazu beitragen, das Geschäft voranzutreiben.“
Zu diesem Zweck heben die CISOs drei zentrale Strategien hervor.
An strategische Geschäftsziele ausrichten
Die Ausrichtung auf die Faktoren, die das Unternehmenswachstum vorantreiben, war nicht immer die Stärke der IT-Sicherheit. Wie viele andere Technikexperten lassen sich auch CISOs oft von den neuesten und modernsten Technologien blenden, ohne gründlich zu bedenken, wie sich diese Technologien auf die Betriebsfähigkeit eines Unternehmens und dessen Fähigkeit, neue Kunden zu gewinnen, auswirken könnten. Microsoft beispielsweise brachte im Jahr 2008 bekanntlich frühe Versionen seines Betriebssystems Windows Vista auf den Markt, die so viele einschränkende Sicherheitsfunktionen enthielten, dass Analysten, Partner, Medien und Kunden das System scharf kritisierten und die IT-Abteilungen von Unternehmen es Berichten zufolge ignorierten.
Roger Kay, Präsident des Analystenunternehmens Endpoint Technologies Associates, erklärt, dass CISOs in der Vergangenheit häufig übermäßig in gut gemeinte Sicherheitstechnologien investiert haben, die für das Unternehmen nur einen geringen Mehrwert schaffen. Angesichts neuer Impulse und der jüngsten Aufstockungen des Sicherheitsbudgets ist es für CISOs von entscheidender Bedeutung, diesen Fehler nicht zu wiederholen.
„CISOs müssen weiterhin nachweisen, wie ihre Teams zur Geschäftsentwicklung beitragen.“Chris Hallenbeck, CISO für Nord- und Südamerika bei Tanium
„Wenn man es in den Kreis der Entscheidungsträger schafft und mehr Budget zur Verfügung hat, liegt es vielleicht in der menschlichen Natur, ein wenig über die Stränge zu schlagen“, sagt Kay. „CISOs können es sich nicht leisten, dies zu tun. „Um ihren Platz an der Führungsspitze zu behalten, müssen sie die Zügel straffen und vermeiden, Geld für Dinge auszugeben, die für das Unternehmen wirklich keine Rolle spielen.“
Das bedeutet, dass man sich stattdessen auf die geschäftlichen Ergebnisse konzentrieren muss. Dazu gehören die Senkung der Betriebskosten, die Steigerung der Widerstandsfähigkeit, die Verbesserung der Mitarbeitererfahrung und die Steigerung der betrieblichen Effizienz.
[Lesen Sie auch: So stärken Sie die IT-Resilienz]
Dies kann auch bedeuten, Sicherheit zu einem Verkaufsargument für die Produkte oder Dienstleistungen des Unternehmens zu machen, dessen Bemühungen um die digitale Transformation zu beschleunigen (anstatt diese zu behindern), sicherzustellen, dass das Unternehmen keine Probleme mit der Einhaltung gesetzlicher Vorschriften bekommt, sowie Sicherheitsprobleme zu erkennen, die zu Umsatzsteigerungen führen könnten.
Fruchtbare Beziehungen pflegen
Chris Payne, CISO der US-Immobilienwebsite Zillow, ist davon überzeugt, wie wichtig es ist, engen Kontakt zur Unternehmensleitung zu pflegen und technische Sicherheitskonzepte so zu erläutern, dass diese sie verstehen und wertschätzen können. Er merkt jedoch an, dass dies in hohem Maße eine wechselseitige Angelegenheit ist. CISOs müssen in der Lage sein, ihren technisch orientierten Teams die geschäftlichen Prioritäten und die Ausrichtung des Unternehmens zu vermitteln, um sie auf einen gemeinsamen Nenner zu bringen.
Es sei zudem von entscheidender Bedeutung, so sagt er, dass CISOs von Anfang an in diese Gespräche eingebunden sind und bei der Pflege von Beziehungen ein breites Netz auswerfen, da Sicherheit nicht nur in einer einzigen Abteilung angesiedelt ist. Tatsächlich werden laut Gartner bis zum Jahr 2024,60 % der CISOs wichtige Partnerschaften mit Führungskräften aus den Bereichen Vertrieb, Finanzen und Marketing aufbauen müssen – ein Anstieg gegenüber den derzeitigen weniger als 20 %. Diese Beziehungen werden gegenüber denen auf der technischen Seite überwiegen. Gartner stellte fest, dass die leistungsstärksten CISOs laut einer von dem Unternehmen Anfang 2020 durchgeführten Umfrage regelmäßig dreimal so viele Stakeholder aus Nicht-IT-Bereichen treffen wie solche aus dem IT-Bereich.
„CISOs müssen in der Lage sein, allen zu erklären, dass die Einbindung der IT-Sicherheit von Anfang an die Sicherheitslage und Flexibilität gewährleisten kann, die das Unternehmen benötigt, um sicherer mit neuen Technologien zu experimentieren“, sagt Payne. „Dies kann dazu beitragen, eine solide Grundlage zum Schutz von Vermögenswerten und den Kronjuwelen des Unternehmens zu schaffen und gleichzeitig den Weg dafür zu ebnen, dass Unternehmen neue Produkte und Apps mit minimalem Risiko und in deutlich schnellerem Tempo auf den Markt bringen können.“
Den Weg in die Zukunft ebnen
Durch den Aufbau eines solchen sicheren Fundaments können Unternehmen neue Möglichkeiten erschließen, anstatt sich erst im Nachhinein gegen Bedrohungen verteidigen zu müssen. Kurt John von Siemens erklärt, dass sein Team bei der Vorbereitung seines Unternehmens auf die Zukunft der Arbeit wusste, dass dazu auch mehr Endgeräte gehören würden, die außerhalb des Netzwerks betrieben werden. Daher entwickelten sie einen ausgewogenen und nicht einschränkenden Plan zum Schutz von Remote-Geräten, der sich letztendlich als erfolgreich erwies.
„Alle Vorbereitungen, die wir getroffen hatten, haben sich als vorteilhaft erwiesen, denn als die Quarantänemaßnahmen begannen, verfügten wir bereits über einen Prozess zur kontinuierlichen Bereitstellung von Sicherheitsmaßnahmen auf Endgeräten, unabhängig davon, wo sich diese befanden“, sagt er.
„. Durch die Schaffung einer sicheren Grundlage können CISOs neue Möglichkeiten erschließen, anstatt sich erst im Nachhinein gegen Bedrohungen verteidigen zu müssen.“
John erklärt, dass sich diese Initiative von herkömmlichen Ansätzen dadurch unterschied, dass sie nicht unbedingt darauf abzielte, Menschen von irgendetwas auszuschließen oder ihnen etwas zu verweigern. Es ging nicht ausschließlich darum, den Betrieb, die Einnahmen oder die Beschäftigten zu schützen. Vielmehr hat das Unternehmen geschäftliche Prioritäten vorweggenommen und Sicherheitsmaßnahmen ergriffen, um den Weg für deren Umsetzung zu ebnen.
„Genau hier können CISOs ihren wahren Wert unter Beweis stellen“, fügt John hinzu, „indem sie mit der Unternehmensleitung zusammenarbeiten, um den strategischen Kurs zu verstehen, den diese für das Unternehmen vorgibt, und indem sie diesen Kurs gemeinsam mit ihr konsequent verfolgen.“
„Es gibt zahlreiche disruptive Technologien – wie , Cloud, , 5G, IoT und KI –, die sich auf Unternehmen auswirken werden“, sagt er. „Eine der größten Herausforderungen, vor denen CISOs stehen werden, besteht darin, herauszufinden, wie sie sich in diesen Fragen mit der Unternehmensführung abstimmen können, während diese selbst noch dabei ist, herauszufinden, wie sie diese Technologien sinnvoll einsetzen kann.“
Auch wenn der Weg noch nicht klar abgesteckt ist, sollten CISOs in der Lage sein, den Führungskräften die Auswirkungen dieser Technologien auf die Cybersicherheit zu erläutern, damit diese fundierte Entscheidungen treffen können.
