In diesem Blogbeitrag unterhielt sich Chris Hodson, Global CISO bei Tanium, mit Geoff Fisher, Leiter des Bereichs Cybersicherheit und Incident Response bei EY, über die Rolle von CISOs und darüber, wie sich diese infolge der COVID-19-Pandemie gewandelt hat.
Die Umsetzung von Cybersicherheit in betriebswirtschaftliche Kennzahlen
Chris Hodson: Ich möchte mit einer Frage beginnen, die mir seit Beginn der Pandemie schon recht häufig gestellt wurde: Verstehen CISOs ihr Geschäft wirklich? Es gibt viele, die den Sicherheitsbereich nach wie vor als sehr IT-orientiert und losgelöst vom normalen Geschäftsbetrieb betrachten. Wie sehen Sie das?
Geoff Fisher: Ich bin daher der Ansicht, dass CISOs auf Unternehmensebene ihr Geschäft zwar wirklich verstehen, es ihnen jedoch an den notwendigen Daten fehlt, um ihren Führungskräften zu verdeutlichen, warum Cybersicherheit und die Reaktion auf Sicherheitsvorfälle für sie von Bedeutung sein sollten. Alle CISOs verstehen letztendlich, was ihr Unternehmen tut, und versuchen, dies unter dem Gesichtspunkt der Sicherheit zu betrachten. In vielen Fällen verfügen sie einfach nicht über die richtigen Daten, um der obersten Führungsebene zu erläutern, warum sie versuchen, ein bestimmtes Ziel zu erreichen. Und ihnen fehlt der Überblick, um die Sachverhalte zu quantifizieren. Ich denke, was sie benötigen, ist eine Möglichkeit, ihre Anforderungen datengestützt darzulegen – ähnlich wie es die Geschäftsseite bei ihren Anforderungen hinsichtlich Budget und Wachstum tut.
Chris Hodson: Das ist in der Tat die Lücke, die mir aufgefallen ist. Sicherheitsfachleute verstehen doch Sicherheitskennzahlen, oder? Wir verstehen, warum wir Firewalls benötigen, warum wir Patches installieren müssen und warum wir ein robustes Identitätsmanagement benötigen – doch dies in eine Reihe von geschäftsorientierten Kennzahlen umzusetzen, ist eine ganz andere Sache.
Sich in der neuen Risikolandschaft zurechtfinden
Chris Hodson: Dies führt mich zu meiner nächsten Frage: Glauben Sie, dass sich die Bedrohungslage für CISOs während der Pandemie verändert hat?
Geoff Fisher: Diejenigen, die diese Angriffe verübt haben, werden auch in dieser Zeit weiterhin Erfolg haben, da die Pandemie daran nichts geändert hat. Dies hat die Vorgehensweisen der Angreifer nicht wirklich verändert. Folglich geht es im Bereich der Cybersicherheit nach wie vor um dieselbe Frage: Weiß ich, wo sich alle meine Ressourcen befinden? Muss ich sie alle reparieren? Beobachte ich sie? Kann ich die Endgeräte meiner Endbenutzer zügig überprüfen und unter Quarantäne stellen und anschließend umgehend die richtigen Maßnahmen ergreifen? Daran hat sich nichts geändert.
Was sich geändert hat, ist die Frage, wofür Sie Ihr Geld ausgeben möchten. Möglicherweise gebe ich heute mehr für die Personalbeschaffung aus als in der Vergangenheit. Ich weiß nun, dass sich dieses schwächste Glied aus Risikosicht noch weiter ausweiten wird.
Chris Hodson: Was Ihren Punkt bezüglich der Sicherheit der Mitarbeiter betrifft, müssen wir bedenken, dass aus Sicht der Endnutzer derzeit alle von zu Hause aus arbeiten. Sie sind anfälliger für Phishing, sie sind müde und gestresst, und sie versuchen, ihr Privatleben, ihre Kinder und die Arbeit in einer ungewohnten Umgebung unter einen Hut zu bringen. Ich denke also, dass Sie dadurch anfälliger für böswillige Aktivitäten sind.
Das Gleiche gilt für die Verteidiger, die Sicherheitsteams. Sie sind in der Regel daran gewöhnt, in einer SOC- oder NOC-Umgebung zu arbeiten. Sie führen funktionsübergreifende Stand-up-Meetings durch und arbeiten gemeinsam an der Lösung von Problemen; die Umstellung auf die Arbeit aus der Ferne stellt dabei eine erhebliche Herausforderung dar.
Eine weitere zentrale Herausforderung betrifft den Zugang zum Internet und zu Anwendungen. Die Anzahl der Organisationen, die aufgrund von Problemen mit der Bandbreite und der Netzwerkleistung Split-Tunneling zulassen mussten, ist gezwungen, ihre Patch-Updates über ein VPN bereitzustellen. Mittlerweile ist das VPN jedoch vollständig ausgelastet und wird zur Bereitstellung zentraler Geschäftsanwendungen genutzt. Es sind schwierige Zeiten für den CISO.
Die Weiterentwicklung der Rolle des CISO
Chris Hodson: Glauben Sie, dass sich die Rolle des CISO an sich verändert hat?
Geoff Fisher: Ich würde behaupten, dass die Rolle des CISO in der nicht allzu fernen Vergangenheit eher stark auf Governance ausgerichtet und regelbasiert war. Ich glaube, dass sie mittlerweile aus Sicht des CIO und des CTO auf Augenhöhe agieren und geschäftliche Entscheidungen treffen. CISOs haben heute letztlich mehr Mitspracherecht als vielleicht noch in der Vergangenheit. Sie gewöhnen sich daran, ein gewisses Maß an Unsicherheit und Risiko in ihrem Unternehmen zu bewältigen, und wissen, dass ihnen dafür dynamische Kontrollmechanismen zur Verfügung stehen, mit denen sie dies angemessen umsetzen können. Sie versuchen, ein Gleichgewicht zwischen Risiko und Funktionalität zu finden, wobei es vor allem darauf ankommt, die Aufgabe zu erledigen. Ich glaube, genau darin liegt der Vorteil, den die Entwicklungen der letzten Monate für die Branche mit sich bringen werden. Die Beziehungen, die CISOs, CIOs und CTOs infolgedessen letztendlich aufbauen, werden sich als äußerst hilfreich erweisen.
Chris Hodson: Ja, ich glaube, dass sich die Rolle des CISO zunehmend in Richtung einer beratenden Funktion verlagert. Während der Pandemie ist der CISO dafür zuständig, Kontrollmaßnahmen zu konzipieren oder Empfehlungen auszusprechen, um ein Risikoniveau zu erreichen, das der Organisation angemessen ist. Die Aufgaben des CISO mussten sich ändern, doch ich denke, es spricht auch für den CIO und den CTO, dass sich auch ihre Aufgaben entsprechend angepasst haben. Sie müssen wesentlich flexibler und wesentlich beratungsorientierter vorgehen.
Den Fokus über die Erkennung hinaus erweitern
Chris Hodson: Die letzte Frage, die mir heute gestellt wurde, betraf die Bedeutung solider Sicherheitsgrundlagen und bewährter Verfahren. Haben all diese aufsehenerregenden Nachrichten über staatlich geförderte Cyberbedrohungen es den CISOs erschwert, Prioritäten zu setzen?
Geoff Fisher: Wissen Sie, ich glaube, genau hier liegt die Schwierigkeit. Diese „sensationellen“ Bedrohungen gab es schon immer, doch sie blieben bislang eher im Verborgenen und betrafen vielleicht eher kritische Infrastrukturen. Ich bin mir nicht sicher, ob dies auch für die Welt im Allgemeinen gilt. Ich bin fest davon überzeugt, dass sich jeder darauf konzentrieren sollte, die Grundlagen richtig zu verstehen, und ich glaube einfach nicht, dass es zur Aufklärung beiträgt, all diese einmaligen Ereignisse bestimmter Organisationen übermäßig hochzuspielen.
Sollten sich die Menschen vor dateiloser Malware in Acht nehmen? Einhundert Prozent. Sollten Sie sich wegen des Prozessaushöhlungseffekts Sorgen machen? Das glaube ich auch. Wenn Sie jedoch nicht wissen, wo sich alle Ihre Ressourcen befinden, und Sie keine Sicherheitspatches für Java und den PDF-Reader installieren, haben Sie die Grundlagen nicht beherrscht. Ich bin der festen Überzeugung, dass das NIST CSF genau die Grundlage bildet, auf der Sie Ihr Sicherheitsprogramm ausrichten sollten. Sollten Ihnen jedoch die Aspekte der Reaktion und Wiederherstellung fehlen – was bei vielen kleineren Organisationen der Fall ist –, wird dies zu Problemen für Sie führen.
Chris Hodson: Ich stimme Ihnen voll und ganz zu. Ich glaube, viele Organisationen konzentrieren sich zu sehr auf die Erkennung. Doch eine Erkennung ohne die Mittel zur Behebung und Reaktion versetzt die CISOs fast in eine noch schwierigere Lage. Ein Feueralarm wird ausgelöst, und sie sind weder befugt noch in irgendeiner Weise in der Lage, Abhilfe zu schaffen.
Davon sind wir bei Tanium fest überzeugt. Sicherheit ist unglaublich wichtig, aber ebenso wichtig ist die Möglichkeit, einen Rechner unter Quarantäne zu stellen, einen Patch zu installieren oder ein System vom Netz zu nehmen. Unternehmen müssen in Echtzeit einen Überblick darüber haben, was in ihrem Netzwerk vor sich geht – insbesondere nachdem fast die gesamte Belegschaft auf Remote-Arbeitsumgebungen umgestellt wurde – und in der Lage sein, schnell und entschlossen auf Bedrohungen zu reagieren und diese zu beseitigen, bevor aus einer Bedrohung ein unternehmensweiter Sicherheitsvorfall wird.
Vielen Dank, dass Sie sich heute Zeit genommen haben, Geoff. Ich freue mich darauf, unsere Diskussion bei unserer bevorstehenden Podiumsdiskussion zum Thema „ 23. Juli “ gemeinsam mit der ehemaligen Hackerin Alissa Knight von Knight Ink und dem Cybersicherheitsanalysten Chris Wilder von Moor Insights & Strategy fortzusetzen.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine Einzelvorführung oder sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen unter .
