Eine aktuelle Umfrage unter kleinen und mittelständischen Unternehmen ergab, dass 94 % der CISOs unter arbeitsbedingtem Stress litten, der sich auf ihre Arbeit auswirkte. Angesichts der sich wandelnden Erwartungen an die CISO-Rolle sprechen wir mit Steve Zalewski von S3 Consulting darüber, wie diese wichtigen Sicherheitsexperten ihre Karriere verlängern und ihre psychische Gesundheit erhalten können.
Moderatorin: Melissa Bischoping, Direktorin für Endpoint-Security-Forschung, Tanium
Gast: Steve Zalewski, ehemaliger CISO; Gründer, S3 Consulting
Shownotes
Für weitere Informationen – sowohl für CISOs (einschließlich der besten Strategien zur Bekämpfung von Burnout, effektiver Kommunikation mit dem Vorstand, neuer KI-Tools sowie umsetzbarer Tipps und Perspektiven aktueller CISOs in unserer beliebten Reihe „CISO Success Stories") als auch für Führungskräfte in Unternehmen, die die Rolle besser verstehen und unterstützen möchten – lesen Sie diese Artikel in Focal Point, Taniums preisgekröntem Online-Magazin für Cybersicherheitsnachrichten.
- 4 Kritische Führungsprioritäten für CISOs im KI-Zeitalter | Tanium
- Wie CISOs Burnout bekämpfen und ihre Karriere verlängern können | Tanium
- CISO-Erfolgsgeschichte: Ein echter Marvel-„Superheld" im Kampf gegen Cyberkriminalität mit KI | Tanium
- CISO-Erfolgsgeschichte: Cyber-Risiken (genau) vorherzusagen ist mit der Formel dieses Mannes einfacher | Tanium
- CISO-Erfolgsgeschichte: Wie LA County Mitarbeiter schult (und umschult), um Phishing zu bekämpfen | Tanium
- Der Leitfaden des CISOs für die ersten 90 Tage | Tanium
- Der M&A-Überlebensleitfaden des CISOs | Tanium
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
„Ich hatte mehrmals einen Burnout. Es war nicht gut. Ich pflegte zu scherzen, dass mir Leute um 2 Uhr morgens eine Nachricht schickten und ich antwortete, woraufhin sie fragten: „Was machst du noch wach?" Ich sagte dann, nun ja, Sicherheit schläft nie; es ist ein 7.12.-Job. Denn selbst wenn ich schlafen möchte, passiert ein Vorfall. Sie müssen loslegen."Steve Zalewski, ehemaliger CISO; Gründer, S3 Consulting
Melissa Bischoping: Chief Information Security Officers, kurz CISOs, stehen heutzutage unter großem Druck, insbesondere aufgrund neuer Vorschriften der Securities and Exchange Commission. Die neuen SEC-Regeln zur Cyber-Transparenz traten Ende 2023 in Kraft, und die Klage gegen die SolarWinds Corporation und ihren CISO Timothy Brown – die erste Klage, die sich jemals gegen einen bestimmten CISO richtete – hat viele Führungskräfte wie nie zuvor erschüttert und unter Stress gesetzt.
Hallo, ich bin Melissa Bischoping, Direktorin für Endpoint-Security-Forschung bei Tanium, und heute sprechen wir bei Let's Converge über CISOs und Burnout – und darüber, wie diese unverzichtbaren Sicherheitsexperten ihre Karriere verlängern und ihre psychische Gesundheit erhalten können.
Eine aktuelle Umfrage unter kleinen und mittelständischen Unternehmen ergab, dass 94 % der CISOs unter arbeitsbedingtem Stress litten, der sich auf ihre Arbeit auswirkte. Eine weitere Umfrage ergab, dass nur einer von drei CISOs eine D&O-Versicherung abgeschlossen hat, eine spezifische Versicherungsart, die Direktoren und leitende Angestellte eines Unternehmens schützt. Das sind keine guten Zahlen, und sie führen dazu, dass immer mehr CISOs den Beruf aufgeben.
Zu Gast, um zu besprechen, was CISOs tun können, ist Steve Zalewski, ehemaliger CISO und Sicherheitsarchitekt und zuletzt Gründer von S3 Consulting, das Sicherheitsunternehmen, Risikokapitalfirmen und anderen Unternehmen fachkundige Cyber-Beratung bietet. Willkommen im Podcast, Steve.
Steve Zalewski: Danke, Melissa. Ich freue mich, dass Sie mich eingeladen haben.
Bischoping: Bevor wir einsteigen, möchte ich zunächst festhalten, dass die CISO-Rolle schon immer mit erheblichem Stress verbunden war und dass es viele Aspekte gibt, die zum Burnout-Risiko beitragen. In den letzten Jahren scheint dieser Trend jedoch deutlich zuzunehmen. Was glauben Sie, was der Grund dafür ist?
Zalewski: Veränderte Erwartungen. Traditionell war der CISO dem CIO unterstellt – es handelt sich um eine technische Rolle, und die Aufgabe eines CISO besteht darin, technische Tools einzusetzen, um das Unternehmen zu sichern. Ich sage daher scherzhaft, meine [frühere] Aufgabe war es, in einen perfekten Geschäftsprozess Reibungspunkte einzubauen, um ihn ineffizienter zu machen – aber um Angriffe zu verhindern. Und das war eine Weile lang gut so. Aber immer mehr Geschäftsbereiche sagen schlicht: Ich möchte das Ausmaß der Reibung, die die Sicherheit in meinen Geschäftsprozess einbringt, aushandeln. Und das bedeutet, dass ich als Sicherheitsexperte vom Technologen, der das Unternehmen absichert, zum Risikomanager werde, der das Unternehmen schützt. Und dahin haben sich viele der Gespräche entwickelt. Das ist jetzt unsere Aufgabe: das Unternehmen zu unterstützen.
Bei Levi's pflegte ich zu sagen, meine Aufgabe sei es nicht, das Unternehmen zu sichern oder das Geschäft zu schützen. Es sollte mehr Jeans verkaufen. Wie führe ich also ein Gespräch über Geschäftsrisiken mit dem Führungsteam, anstatt über Cyberrisiken zu sprechen? Infolgedessen werden wir – um Ihren Punkt bezüglich der SEC aufzugreifen – nun aus einer Perspektive des Führungsrisikos zur Verantwortung gezogen, obwohl viele von uns im Grunde einfach Technologen sind.
Bischoping: Lassen Sie mich das etwas weiter ausführen: Als Sie noch CISO waren – welchem Arbeitsdruck waren Sie in dieser Rolle ausgesetzt, während Sie gegen all diese verschiedenen Dinge ankämpfen mussten – haben Sie gespürt, wie sich das allmählich aufgebaut hat, oder gab es einen bestimmten Wendepunkt, an dem das Burnout und der Stress ihren Höhepunkt erreichten?
Zalewski: Es wächst. Ich würde sagen, es ist ähnlich – aber vielleicht nicht die richtige Analogie – wie ein Kind zu bekommen. Man erlebt die Trotzphase, dann werden sie Teenager und ziehen sich zurück. Und dann kommen sie wieder heraus, und alles ist gut. Nun, ein Sicherheitsprogramm aufzubauen und zu leiten ist heutzutage sehr ähnlich. Denn wenn ich anfange, gibt es bestimmte Erwartungen daran, was dieses Programm leisten soll. Aber die Erwartungen des Kindes – also des Unternehmens selbst, des Führungsteams, des Vorstands, falls es sich um ein börsennotiertes Unternehmen handelt – reifen heran. Sie verstehen zunehmend: Möchte ich technische Kennzahlen, oder möchte ich Risikokennzahlen? Möchte ich Geschäftskennzahlen? Und die CISOs kommen hauptsächlich als Technologen oder vielleicht aus dem Bankwesen, wo sie stärker mit Risikoregistern vertraut sind – auf beiden Seiten findet eine Reifung statt, was bedeutet, dass das, was vor zwei Jahren gut war, heute nicht mehr ausreicht. Aber es ist kein festgelegter Reifungsprozess.
Wir finden unseren Weg. Deshalb sieht man so viel Stress. Weil es nicht so klar definiert ist wie die Ausbildung zum Wirtschaftsprüfer oder Anwalt. Wir finden gerade heraus, wie man ein CISO sein sollte. Und viele Menschen erkennen diese Übergangspunkte nicht unbedingt, und so brennen sie entweder aus und gehen, weil sie die Art und Weise, wie sie gearbeitet haben, nicht mehr aufrechterhalten können. Oder die Erwartungen des Führungsteams ändern sich, und sie sagen einfach: „Ich schätze Sie, aber ich muss ein anderes Gespräch mit Ihnen führen."
Bischoping: Wenn ich Ihren Werdegang betrachte, haben Sie für Pacific Gas & Electric gearbeitet, für Levi Strauss, also auch im Einzelhandel. Sehen Sie, dass diese Branchen auf dieselben oder unterschiedliche Schwachstellen stoßen, wenn sie darum ringen, verschiedene Reifegrade zu erreichen und ihre Prozesse parallel zur Branche weiterzuentwickeln?
Zalewski: Auf der Ebene der technischen Kontrollen ist alles gleich – Identitäts- und Zugriffsmanagement, Netzwerkschutz, Endgeräteschutz. Aber wenn ich mir anschaue, mit welchen Arten von Angreifern ich es zu tun habe und welche Verpflichtung ich habe, sowohl die Unternehmensdaten als auch die Verbraucherdaten zu schützen, ist das sehr unterschiedlich. Dann schaue ich mir die eingesetzten Kontrollen an, wie SOX-Kontrollen oder HIPAA-Kontrollen, und wie ich das umsetze. Und dann betrachte ich junge Unternehmen, kleine und mittlere Unternehmen, die SaaS-basiert sind und weder einer strengen Regulierung unterliegen noch über große Sicherheitsteams verfügen, weil ihnen das Geld fehlt. [Das sind] die Einzelfälle – das ist die Realität, wenn man das versteht. Und so sind die einzelnen Sicherheitsexperten, wenn sie sich in diesen Bereichen oder unter diesen Bedingungen bewegen, sehr unterschiedlich aufgestellt.
Ich würde also sagen, auf einer übergeordneten Ebene gibt es die S&P 500 CISOs – die großen börsennotierten Unternehmen, die über große Sicherheitsteams verfügen und seit 10 oder 15 Jahren dabei sind. Wir haben diesen Weg selbst durchlaufen und wissen daher, wie ein umfangreiches Sicherheitsprogramm aussieht. Und dann gibt es all diese neue Generation kleiner und mittlerer Unternehmen – SaaS-Unternehmen, die entstehen, Arztpraxen oder medizinische Einrichtungen –, die möglicherweise kein Sicherheitsteam haben oder nur ein sehr kleines, sodass sie keine 25 Sicherheitsprodukte einsetzen können.
Bischoping: Etwas, das mir sehr am Herzen liegt, ist die politische Natur des Arbeitsplatzes und der Beziehungsaufbau. Eines der Dinge, über die ich im Laufe meiner Karriere viel gesprochen habe, ist, dass man, wenn man im Bereich Sicherheit erfolgreich sein möchte, vor allem in der Lage sein muss, Beziehungen aufzubauen und mit anderen Unternehmensbereichen in einer Sprache zu kommunizieren, die sie verstehen und nachvollziehen können, sowie den Mehrwert der Sicherheit für andere Unternehmensbereiche aufzuzeigen. Und ich denke, dass Sicherheitsteams – insbesondere die CISOs, die Leiter dieser Teams – häufig als jemand wahrgenommen werden, der „nur dazu da ist, mir etwas zu verbieten oder mir zu sagen, dass ich etwas nicht tun kann."
Wie würden Sie vorgehen, um zu vermitteln und dafür einzutreten, dass das Sicherheitsteam dazu da ist, bessere Geschäftspraktiken zu fördern, und um Beziehungen aufzubauen, die mehr Unternehmensbereiche auf Ihre Seite bringen?
Zalewski: Nun, um ehrlich zu sein: Sicherheit ist eine nicht-funktionale Anforderung in einer Welt funktionaler Anforderungen. Niemand würde Sicherheitsmaßnahmen umsetzen, wenn er nicht dazu gezwungen wäre, denn für die meisten Unternehmen bringen sie keinen Gewinn. Sie sind ein Hemmnis, und was wir wollen, ist ein effizienter Geschäftsprozess, um mehr Jeans zu verkaufen. Lassen Sie uns das also anerkennen, auch wenn wir sagen: „Hey, wir sind hier, um Ihnen zu helfen – lassen Sie mich Ihnen Cybersicherheit erklären, damit Sie verstehen, warum meine Arbeit wichtig ist." Es kann dennoch eine Belastung für ihre Arbeit darstellen. Es ist also ein sehr schwieriges Gespräch zu führen.
Bischoping: Ja, ich denke, deshalb ist es zumindest in meiner Erfahrung oft wirkungsvoller gewesen, hinzugehen und zu sagen: „Hey, ich brauche diese neue Sicherheitskontrolle. Wir werden durch Vorschriften oder durch jemanden auf höherer Ebene dazu gezwungen. Wir müssen diese neue Sicherheitskontrolle implementieren. Lassen Sie mich mit Ihnen bei der Implementierung zusammenarbeiten, um Reibungsverluste zu reduzieren. Wir sitzen alle im selben Boot." Aber auch das stößt noch auf großen Widerstand.
Zalewski: Absolut. Wenn ich mit anderen CISOs spreche, frage ich scherzhaft, was die wichtigste Sicherheitskennzahl ist, auf die ich garantieren kann, dass jeder Mitarbeiter achten wird? Und die Leute werden sagen, die Anzahl der Angriffe oder die Anzahl der Phishing-Übungen. Nein! Die wichtigste Kennzahl ist, ob Sie die Sicherheitsmaßnahme implementieren und diese die Wahrscheinlichkeit, dass Sie hundert Prozent Ihres Bonus erhalten, um 20% erhöht? Ich habe Ihre Aufmerksamkeit. Das ist die Realität.
Sprechen wir also über die Kosten der Sicherheit im Vergleich zu den Kosten, die entstehen, wenn wir sie nicht umsetzen, und wie sich das auf Sie auswirkt. Verstanden? Veränderung. Das ist Geschäft. Das ist jetzt ein geschäftliches Gespräch, kein Sicherheitsgespräch. Und genau dahin müssen wir kommen. Und das habe ich gesagt, als ich bei Levi's war; ich sagte, meine Aufgabe sei es, mehr Jeans zu verkaufen. Ich würde einen Anbieter fragen: „OK, Endgeräteschutz: Wie hilft das, was Sie tun, dabei, mehr Jeans zu verkaufen?" „Oh, das weiß ich nicht, Steve. Wir sind hier, um Sicherheit zu gewährleisten, damit diese Angriffe nicht stattfinden." Das hilft mir nicht weiter. Das Unternehmen interessiert das nicht. Wo ist die Geschäftsrisikoanalyse, oder? Ich pflegte zu sagen: „Meine Aufgabe war es, Levi's zu ermöglichen, seinen Umsatz in den nächsten sechs Monaten zu verdreifachen, ohne mein Sicherheitsprogramm zur Unterstützung ebenfalls verdreifachen zu müssen."
Bischoping: Ich denke, das ist eine großartige Perspektive.
Zalewski: Wo ist die Risikoanalyse? Und deshalb sage ich den Leuten: Als wir vor den Vorstand traten, sprachen wir früher über Sicherheitskontrollen, wir sprachen über Angriffe. Und uns wurde klar, dass wir beim Vorstand nur an drei Dingen gemessen werden wollten: Ich bin hier, um die Marke zu schützen; ich bin hier, um die Mitarbeiter zu schützen; und ich bin hier, um die Lieferkette zu schützen. Das ist alles.
Aus einer Geschäftsauswirkungsanalyse heraus muss ich sicherstellen, dass meine Marke – also meine Kundendaten – nicht kompromittiert wird, denn Jeans kann man auch woanders kaufen. Meine Mitarbeiter sind mein schwächstes Glied und werden es immer sein – was tue ich also, um die Angriffsfläche für meine Mitarbeiter zu minimieren? Und meine Lieferkette ist absolut unverzichtbar, denn wenn ich keine Jeans in den Läden habe, bin ich aus dem Geschäft. Was tue ich also für meine physische Lieferkette und meine Cloud-Lieferkette, um sicherzustellen, dass diese nicht kompromittiert wird, damit wir im Geschäft bleiben? Alles, was ich tue, muss sich an diesen drei Dingen orientieren, denn das ist es, was für das Unternehmen wichtig ist.
Das ist für viele Menschen ein Aha-Erlebnis, wenn sie erkennen, was es bedeutet, ein Gespräch über Geschäftsrisiken zu führen und ihr Sicherheitsprogramm als diesen Bestandteil zu positionieren.
Bischoping: Ich finde es toll, dass Sie es aus dieser Perspektive betrachten. Ich habe vorhin erwähnt, dass ich in der Öl- und Gasindustrie gearbeitet habe, und eines meiner Sicherheitsmottos im Umgang mit meiner Führungsebene lautete: Wenn man in einem Fertigungs- oder Öl-und-Gas-Umfeld arbeitet, hat Sicherheit immer oberste Priorität. Wie kann ich meine Sicherheitsbemühungen damit verknüpfen, Menschen sicher zu halten, damit Anlagen nicht explodieren oder Unfälle in einer Fertigungslinie vermieden werden? Und das hat wirklich Anklang gefunden. Ich denke also, dass in jeder Branche, egal um welches Unternehmen es sich handelt, alle ein übergeordnetes Geschäftsziel verfolgen. Und die eigene Arbeit auf dieses Geschäftsziel auszurichten, scheint eine bessere Methode zu sein, um diese Zustimmung zu erhalten.
Zalewski: Ich möchte noch einen weiteren Aspekt hinzufügen, und dieser führt uns zurück zum Thema Stress. Die meisten Führungskräfte sind Geschäftsführer, auch wenn Sie im IT-Bereich gelistet sind. Ihre Aufgabe ist es, eine Geschäftsfunktion auszuführen, um Einnahmen zu generieren. Das ist alles. Ob ich also eine Geschäftsanwendung betreibe – nehmen wir an, es handelt sich um Öl und Gas und ich versuche sicherzustellen, dass die Pipeline korrekt funktioniert und Öl gefunden wird –, das ist meine Aufgabe. Darüber habe ich die Kontrolle. Ich habe die Kontrolle über die Probleme, die dabei auftreten können. Ich muss die Geologie durchführen. Ich muss wissen, wie schnell ich meine Vorräte hereinbekomme.
Das Problem mit der Sicherheit ist, dass ich mein Schicksal nicht kontrolliere; das tun die Angreifer. Sie greifen mich ständig an und versuchen, Schwachstellen zu finden. Alle meine sorgfältig ausgearbeiteten Pläne werden täglich durchkreuzt, weil ich darauf reagieren muss, wo sie erfolgreich sind. Und das Besondere daran ist, wie ich den Leuten in der Sicherheitsbranche sage: Das Unmögliche passiert jeden Tag.
Ich richte alle meine Kontrollen ein, alles sieht gut aus, und irgendwie finden sie einen Weg hindurch, weil jemand einen Fehler gemacht hat oder eine Schwachstelle ausgenutzt wurde – und jetzt bin ich in der Defensive, muss den Perimeter wiederherstellen und gleichzeitig versuchen, das umzusetzen, was ich ursprünglich geplant hatte, während ich ständig reagiere. Das ist eine vergleichsweise einzigartige Position, die die Sicherheitsbranche im Vergleich zu allen anderen Geschäftsbereichen einnimmt. Daher werden wir wirklich sehr gut im Krisenmanagement. Aber wenn man ein Chirurg in einer MASH-Einheit ist, sich im Krieg befindet, die Soldaten Tag für Tag hereinkommen und man versucht, sie am Leben zu erhalten, zu entscheiden, wer überlebt und wer stirbt, und das Unternehmen voranzubringen – das ist erschöpfend.
Bischoping: Genau. Sie sprechen also von vielen verschiedenen Fähigkeiten, die alle wirklich schwer zu erlernen sind. Wenn man sie jedoch alle in einer einzigen Rolle vereint, entsteht ein regelrechter perfekter Sturm aus Stress, der direkt zum Burnout beiträgt, weil man ständig an hundert verschiedene Variablen denken muss. Man plant für unvorhersehbares Chaos, das vielleicht eintreten wird oder auch nicht, auf das man aber vorbereitet sein muss. Sie planen für den Zero-Day des Jahrhunderts, der Ihre Feiertage oder Wochenenden stören soll, aber vielleicht passiert es gar nicht. Und auf diesem Niveau der Wachsamkeit und Vorbereitung zu sein, ist körperlich und geistig erschöpfend.
Wie also können wir – nicht nur CISOs, sondern die Branche als Ganzes – was ist Ihr Rat zu Taktiken und Strategien, um abschalten zu können, um die eigene geistige und körperliche Gesundheit bewahren zu können? Denn es ist nicht gesund. Es gibt wissenschaftliche Studien, eine kürzlich aus dem Vereinigten Königreich, die zeigen, dass die Auswirkungen von Ransomware und Datenschutzverletzungen mit kardiovaskulären Gesundheitsproblemen und psychischen Erkrankungen in Verbindung gebracht werden können. Wie beraten wir unsere Kollegen, unsere Mitarbeiter und unsere Freunde in der Branche, sich selbst zu schützen?
Je mehr es uns gelingt, Menschen zu vermitteln, wie ein typischer Tag eines CISOs wirklich aussieht, und sie das verstehen, desto leichter fällt es, darüber zu sprechen, wie wir mit diesem Stress umgehen. Dies ist eine sehr, sehr stressige Situation. Lassen Sie uns das anerkennen. Ich glaube nicht, dass viele Menschen verstehen, womit ein echter leitender CISO konfrontiert ist und welche Anforderungen die Branche an uns stellt, während wir versuchen, einige dieser neuen Entwicklungen zu verstehen. Aber das fällt dann auf uns zurück, okay? Und wann merken Sie, dass Sie einen Schritt zurücktreten müssen?
Als ich bei Levi's war, hatten wir eine doppelte Führungsbesetzung. Wir waren zu zweit, damit wir uns gegenseitig vertreten konnten, wenn es zu Vorfällen kam, oder damit man Urlaub nehmen konnte, weil der andere einspringen konnte. Es gibt nicht viele doppelte Führungsbesetzungen, oder?
Bischoping: Also, das ist eine erhebliche finanzielle Investition.
Zalewski: Und genau das meinen wir. Sehen Sie all diese Teile? …So ist es, ein CISO zu sein. Das ist ein Tag im Leben eines CISO als Führungskraft – einer, der all diese Teile überblickt und versucht, sie zu managen. Es gibt keine einfache Antwort. Aber die Reflexion von Leuten wie mir, um Menschen eine unabhängige Sicht auf all die beweglichen Teile geben zu können und darauf, wie wir versuchen, die verschiedenen Teile zusammenzubringen, und dieses Gespräch zu führen, um zu wissen, was möglich ist im Vergleich zu dem, was wahrscheinlich ist? Ich habe keine einfachen Antworten. Ich war ein Teil davon.
Ich hatte mehrmals einen Burnout. Es war nicht gut. Ich pflegte zu scherzen, dass mir Leute um 2 Uhr morgens eine Nachricht schickten und ich zurückschrieb, und sie fragten: Was machst du denn noch wach? Ich sagte dann: Na ja, Sicherheit schläft nie. Es ist ein 7.12.-Job. Denn selbst wenn ich schlafen möchte, passiert ein Vorfall. Sie müssen loslegen.
Ich habe mein Schicksal nicht in der Hand. Das sind also die Arten von Auswirkungen, bei denen wir die Erwartungen besser steuern können, wenn alle ein besseres Gefühl dafür bekommen, wie sich das anfühlt.
Bischoping: Es ist für keine einzelne Person tragbar, 7.12., 365, darauf zu warten, dass das Telefon klingelt. Es muss eine gewisse Delegation von Befugnissen und eine Rotation der Aufgaben geben. Und wenn Sie über etwas auf der Ebene der Geschäftsführung sprechen, haben Sie recht – die meisten Organisationen werden bei dieser Art von Befugnissen nicht zwei Ebenen tief gehen. Vielleicht haben Sie einen Stellvertreter, vielleicht aber auch nicht, besonders wenn Sie eine kleinere Organisation sind. Wir haben vorhin über Dinge wie Arztpraxen und kleine Gemeinschaftskrankenhäuser gesprochen. Haben sie mehrere CISOs zur Verfügung? Wahrscheinlich nicht.
Bischoping: Ein Freund von mir, der im Bereich psychische Gesundheit arbeitet, hat mir einmal erzählt, dass der erste Schritt im Umgang mit Stress, Depressionen und Angstzuständen oft darin besteht, anzuerkennen, dass diese Gefühle berechtigt sind – anzuerkennen, dass man diesen Stress erlebt und dass er einen beeinträchtigt. Es reicht schon, sich dessen bewusst zu sein. Man kann nicht einfach einen Zauberstab schwingen und es damit verschwinden lassen.
Zalewski: Genau. Absolut, und wir führen das Gespräch. Sehen Sie, was wir hier tun? Wir bauen eine Gemeinschaft auf.
Bischoping: Genau.
Zalewski: Wir vertrauen einander, um über die harten Wahrheiten zu sprechen – nicht um Schuld zuzuweisen, sondern um das Problem zu betrachten und gemeinsam herauszufinden, was wir dagegen tun wollen. Und das ist der entscheidende Aha-Moment, in dem die Menschen wirklich verstehen, wie es ist, in der Sicherheitsbranche tätig zu sein.
Bischoping: Bevor wir hier zum Abschluss kommen, möchte ich noch fragen, ob ich etwas ausgelassen habe oder ob Sie abschließende Worte der Weisheit für CISOs haben, die das Gefühl haben, heute unter Burnout zu leiden, oder für diejenigen, die befürchten, kurz davor zu stehen. Was würden Sie ihnen als letztes Wort mitgeben, wie sie besser und effektiver in ihrem Job sein und dabei nachhaltig bleiben können?
Zalewski: Was ich sagen würde, ist, dass für viele von ihnen, als COVID ausbrach und wir uns in diesen drei Jahren nicht treffen und eine Gemeinschaft aufbauen konnten, eine Kluft entstanden ist. Nicht wahr? Also… geht raus und redet miteinander. Trefft euch wieder. Lasst uns dieses Unterstützungsnetzwerk aufbauen und wieder zusammenfügen. Denn je mehr wir solche Gespräche führen, ist das wahrscheinlich das Wirksamste, was wir tun können, um diese Gemeinschaft aufzubauen, all das zu verstehen und zusammenzuarbeiten. Denn dafür bin ich doch hier, oder? Das ist es, was ich sage, nämlich: Lasst mich meine Erfahrungen teilen. Lasst mich euch durch die Probleme führen, auf eine Art und Weise, bei der wir verstehen, wo neue Erwartungen entstehen.
Wie können wir einige der Gespräche verändern, damit wir nicht in eine Situation gebracht werden, in der es keine Antwort gibt, wir aber immer wieder dasselbe tun, bis wir erkennen, dass es nichts bringt, mit dem Kopf gegen die Wand zu rennen. Hören wir also auf, mit dem Kopf gegen diese Wand zu rennen, stellen wir eine andere Frage und versuchen wir, voranzukommen. Vielleicht stoßen wir gegen eine andere Wand, aber zumindest wird es eine andere Wand sein.
Bischoping: Vielleicht sogar ein ganzer Raum voller Wände. [Sie lacht.] Ich finde es wirklich schön, dass wir am Ende – wissen Sie, wir haben das Gespräch damit begonnen, wie die Rolle des CISO früher eher technisch geprägt war, aber es hat sich wirklich zu einer Rolle entwickelt, bei der es um den Aufbau von Gemeinschaft, Beziehungen, Strategie und Kommunikation geht, und um die Bedeutung menschlicher Verbindungen, um daraus eine nachhaltige Karriereoption für sich selbst zu machen. Vielen Dank nochmals für all Ihre Einblicke. Ich schätze es sehr, was Sie heute beigetragen haben.
Zalewski: Danke, Melissa. Es hat mir Freude gemacht. Und an alle, die das hören werden: Melden Sie sich. Wir sind hier und wir sind eine Gemeinschaft, und… wenn Sie das hören, denken Sie nicht: „Wow, warum sollte ich jemals CISO sein wollen?? Es ist der beste Job, den ich nie haben wollte", sondern vielmehr: „Das kann unglaublich befriedigend sein, persönlich und beruflich, und wir werden das herausfinden." Und wir brauchen die Besten da draußen, die uns unterstützen können. Also kommen Sie und begleiten Sie uns auf dieser Reise.
Bischoping: Danke, Steve.
Ich habe mit Steve Zalewski gesprochen, einem ehemaligen CISO und Gründer von S3 Consulting. Wenn Sie mehr Expertenratschläge von und für CISOs erhalten möchten, schauen Sie sich Focal Point, Taniums Online-Cyber-Nachrichtenmagazin, an. Wir haben Links zu mehreren relevanten Artikeln hier in den Shownotes, oder Sie können uns unter Tanium.com besuchen.
Um weitere Gespräche mit den führenden Unternehmensführern und Sicherheitsexperten von heute zu hören, abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App. Und wenn Ihnen diese Episode gefallen hat, geben Sie uns eine Fünf-Sterne-Bewertung.
Vielen Dank fürs Zuhören, und wir freuen uns darauf, in der nächsten Folge von Let's Converge weitere Einblicke zu teilen.
