Zusammenfassung
Digitales Vertrauen ist ein Schlüsselelement im Wettbewerb um die digitale Transformation. Dennoch scheinen viele Unternehmen diese Botschaft noch nicht erhalten zu haben, wie eine aktuelle globale Umfrage unter Führungskräften und IT-Fachleuten zeigt. Wir behandeln die Statistiken (98% sagen, digitales Vertrauen ist wichtig, aber nur 57% bieten Schulungen zum Thema Vertrauen an) und die Lösungen (von der Absicherung der Lieferkette bis zum Schutz der Datenprivatsphäre) mit Experten von ISACA, der Information Systems Audit and Control Association.
MODERATORIN: Melissa Bischoping, Direktorin für Endpoint-Security-Forschung, Tanium
GÄSTE: David Samuelson, [ehemaliger] CEO, und Chris K. Dimitriadis, Chief Global Strategy Officer, ISACA
Produktionshinweis: Zum Zeitpunkt dieser Aufzeichnung war Samuelson CEO von ISACA. Er hat die Organisation seitdem verlassen. Tracey Dedrick ist derzeit die kommissarische CEO von ISACA.
Shownotes
Sehen Sie sich ISACAs Umfrage und Ressourcen zum digitalen Vertrauen sowie diese Artikel in Focal Point, Taniums neuem Online-Cyber-Nachrichtenmagazin, an.
- ISACAs Bericht zum Stand des digitalen Vertrauens 2022
- ISACA-Ressourcen zum digitalen Vertrauen
- Was der Tech-Sektor von TikTok lernen kann: Vertrauen ist alles
- Digitale Transformation erfordert Sicherheitstransformation
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
David Samuelson: Digitales Vertrauen ist ein fortlaufender Prozess, und dieses Vertrauen muss täglich bei jeder digitalen Interaktion gesichert und verdient werden. Das ist gewissermaßen altmodisch. Ich meine, jeden Tag muss man das Vertrauen seiner Kunden neu verdienen. Das ist also kein Ziel, das man einmal erreicht und dann abhaken kann.
Melissa Bischoping Unternehmen weltweit konkurrieren im Wettlauf um die digitale Transformation, doch es bestehen erhebliche Sicherheitslücken zwischen dem, was Unternehmen tun, und dem, was sie tun sollten, um eine Führungsposition einzunehmen und das Vertrauen ihrer Kunden im zukünftigen digitalen Ökosystem zu gewinnen. Eine neue globale Umfrage unter 2 755 Fach- und IT-Experten hat ergeben, dass zwar 98 % angeben, digitales Vertrauen sei wichtig, jedoch nur 12 % eine dedizierte Rolle zur Sicherstellung des Erfolgs eingerichtet haben.
Hallo, ich bin Melissa Bischoping, Direktorin für Endpoint-Security-Forschung bei Tanium. Heute zu Gast, um zu erläutern, was digitales Vertrauen ist und warum es wichtig ist, sind David Samuelson, der CEO von ISACA, dem internationalen Berufsverband mit Fokus auf IT-Governance, sowie Chris Dimitriadis, der Chief Global Strategy Officer des Verbands. Sie sind heute bei uns, um die ISACA-Umfrage „State of Digital Trust" 2022 zu besprechen. David und Chris, willkommen.
Samuelson: Danke, dass Sie uns eingeladen haben.
Chris Dimitriadis: Danke, Melissa.
Bischoping: Fangen wir mit dem Begriff digitales Vertrauen an. Einige unserer Zuhörer sind damit möglicherweise nicht unbedingt vertraut, daher wollen wir zunächst klären, was digitales Vertrauen genau ist und warum es wichtig ist.
Samuelson: Das ist eine sehr gute Frage. Ich denke, jeder auf der Welt versteht das Konzept des digitalen Vertrauens, denn wir sind alle auf so viele Arten miteinander verbunden – auf viel mehr Arten als je zuvor. Aber wir haben tatsächlich eine Definition von digitalem Vertrauen, die wir gemeinsam mit all unseren Fachleuten für digitales Vertrauen erarbeitet haben. Wir haben 170 000 Mitglieder in 180 Ländern auf der ganzen Welt, und wir definieren es als das Vertrauen in die Beziehungen und Transaktionen zwischen Anbietern und Verbrauchern innerhalb eines zugehörigen digitalen Ökosystems.
Chris, vielleicht können Sie über einige der wichtigsten Vorteile sprechen, die Organisationen erfahren, wenn ein höheres Maß an Vertrauen vorhanden ist.
Dimitriadis: Absolut, und das geht aus unserer Umfrage hervor, die wir in diesem Jahr durchgeführt haben. Von den befragten Personen gaben 66 Prozent – eine Mehrheit – an, dass ein positiver Ruf einer der, oder vielleicht der wichtigste Vorteil der Implementierung von digitalem Vertrauen ist. Weniger Datenschutzverletzungen, weniger Cybersicherheitsvorfälle und zuverlässigere Daten für Entscheidungen, stärkere Kundenbindung – was für den Erfolg eines Unternehmens oder einer Organisation sehr, sehr wichtig ist. Und schnellere Innovation. Dies sind einige weitere der wichtigsten Vorteile, die Organisationen und Unternehmen durch digitales Vertrauen genießen können.
Bischoping: Das sind sehr gute Punkte. In jedem Unternehmen möchte man das Vertrauen der Verbraucher in die eigene Marke, in das eigene Produkt und in dessen Qualität aufbauen, aber auch das digitale Vertrauen, dass ihre Daten sicher verwaltet werden und dass man gute Praktiken befolgt, führt definitiv dazu, dass ein Kunde eher daran interessiert ist, weiterhin Geschäfte mit einem zu machen.
Samuelson: Das stimmt. Und wissen Sie, wir sind ein Verband, der traditionell aus Fachleuten für digitales Vertrauen besteht, die in ihren Organisationen in sehr wichtigen Bereichen wie Prüfung, IT-Governance, Risikomanagement, Cybersicherheit sowie Datenschutz und Qualität in den von uns betreuten Bereichen tätig sind. Digitales Vertrauen liegt uns also gewissermaßen in den Genen.
Bischoping: Absolut. Und ich schätze es sehr, dass Sie auch die Qualität erwähnt haben, denn ich denke, wenn wir über Cybersicherheit als Beruf und als Fachgebiet sprechen und wenn wir über Governance sprechen, gerät die Qualität manchmal in Vergessenheit, wenn wir Schwachstellen zu beheben und Kontrollen zu implementieren haben. Aber Qualität ist auch wichtig, weil es um die Qualität der Erfahrung für den Benutzer und den Kunden geht, aber auch um die Qualität Ihrer Daten und darum, wie Sie Ihre Umgebung absichern. Daher freue ich mich, dass Sie das erwähnt haben.
Lassen Sie uns also über den Bericht selbst sprechen. Was sind einige der wichtigsten Erkenntnisse? Was sind die wichtigsten Schlussfolgerungen, die Sie aus dem Bericht ziehen können?
Samuelson: Es gibt mehrere, aber fünf stechen besonders hervor – ich denke, Chris und ich können das abwechselnd erläutern. Erstens ist es entscheidend, dass Unternehmen das Vertrauen ihrer Stakeholder täglich und bei jeder Interaktion gewinnen. Und obwohl jeder Mitarbeiter eine Rolle spielt, trägt das leitende Führungsteam einer Organisation die Hauptverantwortung dafür, digitales Vertrauen zu unterstützen und zu priorisieren, damit es digitale Innovation und Transformation vorantreibt.
Und oft gehen diese IT-Kontrollen sowie die Governance- und Risikoattribute, mit denen unsere Fachleute arbeiten, verloren, wenn man über die menschliche Seite spricht. Das gesamte Unternehmen muss wirklich verstehen, dass Vertrauen in einem digitalen Ökosystem von entscheidender Bedeutung ist. Ich denke, das ist eine wichtige Erkenntnis.
Was sind Ihre wichtigsten Erkenntnisse, Chris?
Dimitriadis: Ich denke, eine weitere wichtige Erkenntnis aus der Umfrage ist die Tatsache, dass digitales Vertrauen von vielen verschiedenen Parametern abhängt: Qualität, Verfügbarkeit, Cybersicherheit, Datenschutz und auch Ethik – ich meine, die allgemeine Integrität. Wir müssen uns also bewusst machen, dass digitales Vertrauen nur durch die Zusammenarbeit all dieser angrenzenden Bereiche entstehen und aufgebaut werden kann.
Und deshalb ist es äußerst wichtig sicherzustellen, dass wir die richtigen Schulungsmaßnahmen eingerichtet haben, damit die Menschen besser zusammenarbeiten und einer Organisation bzw. einem digitalen Ökosystem helfen können, einen höheren Reifegrad im Bereich des digitalen Vertrauens zu erreichen.
Samuelson: Dies haben wir erkannt, indem wir unseren Mitgliedern aus diesen verschiedenen Bereichen zugehört haben, wie sie miteinander kommunizieren. Sie erkennen, dass Cybersicherheit in einem Silo zwar von entscheidender Bedeutung ist – ebenso wie Risiko oder Assurance –, dass es jedoch tatsächlich die Zusammenarbeit ist, die etwas wie digitales Vertrauen hervorbringen wird. Und digitales Vertrauen ist ein Geschäftsbegriff in dem Sinne, dass wir alle ein vertrauenswürdiges Ökosystem anstreben, mit dem wir interagieren können. Das war also Punkt zwei.
Punkt drei ist, dass leitende Führungskräfte digitales Vertrauen im gesamten Unternehmen klar definieren, priorisieren und verankern müssen. Das bedeutet, dass Schulungen erforderlich sind, eine Abstimmung mit den Unternehmenszielen stattfinden muss und Budget sowie Personal für diese Bereiche bereitgestellt werden müssen. Die Unterstützung durch die Führungsebene ist daher entscheidend.
Bischoping: Und David, Sie haben erwähnt, dass leitende Führungskräfte die Verantwortung tragen, zu definieren und zu priorisieren – dem stimme ich vollkommen zu. Was glauben Sie, ist die größte Herausforderung dabei? Wo liegt die Diskrepanz zwischen diesen Führungskräften und dem Rest des Unternehmens, um diese Übersetzung und Definition im gesamten Unternehmen zu vermitteln?
Samuelson: Das ist eine ausgezeichnete Frage, denn als leitende Führungskraft in einer Organisation mit etwa 350 Mitarbeitern betrachte ich diese Art von Vertrauensattributen als Aufgabe des Senior Managements. Und wenn wir an Einzelpersonen delegieren, wie den IT-Governance-Verantwortlichen, die Risikofachkraft oder die Leiterin der Cybersicherheit, kann man manchmal vergessen, dass man dies auch mit den übrigen Mitarbeitern kommunizieren muss.
Marketingfachleute müssen den Wert des digitalen Vertrauens verstehen. Und wenn man darüber als digitales Vertrauen spricht, ist es wahrscheinlicher, dass sie es verstehen. Die Personalabteilung muss es verstehen, damit beim Onboarding neuer Mitarbeiter klar ist, dass der transparente und ethische Umgang mit unseren Kunden für unseren geschäftlichen Erfolg entscheidend sein wird. Deshalb denke ich, dass es die Aufgabe aller ist.
Bischoping: Ausgezeichnet. Das war also der dritte Punkt. Was ist mit Punkt vier und fünf?
Dimitriadis: Ich kann Punkt vier übernehmen: vielleicht die naheliegende Schlussfolgerung, dass man sich nicht wirklich verbessern kann, wenn man nicht misst, wo man steht. Es ist daher entscheidend, ein System und eine Methodik zu haben, um digitales Vertrauen ganzheitlich zu messen.
Samuelson: Jede Organisation hat gewissermaßen eine andere Größe und Struktur, sodass die Fähigkeit, einen Teil dieser Arbeit zu leisten, auf unterschiedlichen Reifegraden liegt. Aber es gibt viele kleine und mittelständische Unternehmen auf der Welt, die unsere Wirtschaft antreiben. Und einige dieser Aspekte in den verschiedenen Bereichen liegen auf den Schultern einer einzigen IT-Fachkraft. Daher ermöglicht es ein Verständnis des eigenen Reifegrads, sich darauf zu konzentrieren, wo man seine Energie einsetzen muss.
Große Unternehmen sind im Bereich Cybersicherheit möglicherweise gut aufgestellt, verfügen aber vielleicht nicht über ausreichende Kollaborationsaktivitäten. Ich denke also, dass diese Reifegradmessung ebenfalls einen Mehrwert bietet.
Das fünfte Element ist ein einfaches: Digitales Vertrauen ist eine Reise, und dieses Vertrauen muss täglich und bei jeder digitalen Interaktion gesichert und verdient werden. Das ist gewissermaßen altmodisch. Ich meine, jeden Tag muss man das Vertrauen seiner Kunden neu verdienen. Und in einer digitalen Welt müssen Sie das digitale Vertrauen Ihrer Kunden gewinnen. Das ist also kein Ziel, das man einmal erreicht und dann abhaken kann.
Bischoping: Das gefällt mir sehr gut. Ich habe in solchen Umgebungen gearbeitet, in denen ich Teil kleiner Teams war, und man muss wirklich Beziehungen im gesamten Unternehmen aufbauen, um die Grundlage für mehr Sicherheit zu schaffen. Ich schätze diese wichtigen Erkenntnisse, die Sie hervorheben, sehr.
Wir haben nun ein wenig darüber gesprochen, wie Vertrauen aufgebaut wird – aber können wir auch darüber sprechen, wie ein Unternehmen digitales Vertrauen messen würde?
Samuelson: Das ist eine sehr gute Frage. Wir entwickeln als Verband von Fachleuten für digitales Vertrauen einen Rahmen, um ein gemeinsames Verständnis von Best Practices zu fördern und zu verdeutlichen, wie diese in den verschiedenen Bereichen aussehen könnten. Und ich denke, das ist ein wichtiger Grund für die Existenz von Verbänden wie unserem: um aus der Praxis heraus herauszuarbeiten, was in diesem Bereich wichtig ist, und eine Wissensbasis aufzubauen, die Organisationen und den Menschen, die diese Verantwortung tragen, hilft zu verstehen, was Exzellenz bedeutet und wo sie auf dieser Reifeskala stehen.
Bischoping: Ich ziehe definitiv viele Parallelen zu anderen Funktionsbereichen im IT-Betrieb und in der Sicherheit, die mit diesem gesamten Aufbau von Vertrauen zusammenhängen. Man hat also seine Rahmenwerke und soliden Grundlagen, die man aufbauen muss, und kann dann kontinuierliche Verbesserungen darauf aufbauen, bis man seine reifen Ziele erreicht.
Lassen Sie uns dann über die Grundlagen sprechen. Wenn ich eine Organisation bin, die beginnen möchte, mein digitales Vertrauen zu bewerten, was kann ich sofort oder kurzfristig tun, um es zu verbessern?
Dimitriadis: Ich denke, alles beginnt mit der Implementierung des richtigen Rahmenwerks. Und das knüpft an das an, was David über diesen brandneuen Ansatz zum digitalen Vertrauen gesagt hat, den ISACA einführt. Aber ich denke, als ersten Schritt wäre es wichtig sicherzustellen, dass es in den genannten Bereichen, Abteilungen und Fachbereichen Menschen gibt, die in der Lage sind, die eher technischen, damit verbundenen Ergebnisse in Bezug auf digitales Vertrauen in geschäftliche Ergebnisse zu übersetzen. Denn am Ende des Tages hat Vertrauen aus geschäftlicher Sicht mit den Stakeholdern eines Unternehmens zu tun – den Kunden, dem Vorstand, den Aktionären, den Mitarbeitern und den Partnern.
Ich denke daher, dass dieser Wandel von einer eher technischen hin zu einer stärker geschäftsorientierten Messung von digitalem Vertrauen von enormer Bedeutung ist, um Schlussfolgerungen ziehen zu können. Denn beim Messen geht es darum, Schlussfolgerungen zu ziehen und sich zu verbessern, nicht wahr?
Samuelson: Und Melissa, Sie haben kleine Organisationen erwähnt – ich denke, das Entscheidende für sie ist zu wissen, wo sie anfangen sollen.
Derzeit liegt ein großer Fokus auf der Cybersicherheit, was auch richtig so ist. Wir haben viele Schwachstellen, und wenn Sie ein kleines Unternehmen sind, könnte das Ihren Betrieb gefährden – vielleicht ist das das Erste, worauf Sie sich konzentrieren müssen, aber auf lange Sicht reicht das möglicherweise nicht aus. Daher ist es wichtig, die Dinge zu priorisieren, auf die man sich konzentrieren sollte – sagen wir im Rahmen eines Aktivitätsrahmens, um zur ersten Priorität zu gelangen – ich denke dabei an die agile Methodik des Backlog-Groomings. Man möchte wissen, welche Dinge im ersten Sprint erledigt werden können, was man im nächsten Sprint tun wird, und so kontinuierlich besser werden.
Ich denke daher, dass Priorisierung und Methodik nützliche Werkzeuge sind, um Menschen dabei zu helfen, herauszufinden, was zuerst zu tun ist.
Dimitriadis: Ich möchte noch hinzufügen, dass es meiner Meinung nach sehr wichtig ist, mit der Messung des digitalen Vertrauens in der Lieferkette zu beginnen, da viele kleine und mittlere Unternehmen auf ihre Lieferkette angewiesen sind, um ihre Produkte und Dienstleistungen anbieten zu können.
Da wir bei ISACA fest davon überzeugt sind, dass digitales Vertrauen das gesamte digitale Ökosystem umfasst, ist es sehr wichtig, den Fokus auf die Partner und die gesamte Lieferkette zu legen, um Ergebnisse schneller erzielen zu können – als erster Schritt zur Implementierung von digitalem Vertrauen.
Samuelson: Das ist ein sehr guter Punkt, und SolarWinds ist dafür ein hervorragendes Beispiel.
Aber schon vor einem Jahrzehnt, als Target einen Datenschutzverstoß erlitten hatte, war es ein Problem eines Lieferanten, doch Target wurde dafür verantwortlich gemacht.
Als Apple den Marktplatz für App-Entwickler einführte, war dieser zunächst weniger vertrauenswürdig, bis Apple eingriff und Kontrollen einführte, um sicherzustellen, dass wir alle wieder Vertrauen in Apple haben konnten. Ich denke also, dass dies ein wirklich wichtiger Punkt in Bezug auf das gesamte Ökosystem ist.
Bischoping: Während ich dieses Gespräch verfolge, kam mir ein Gedanke: Wir sprechen viel darüber, dass Sicherheit nicht gleich Compliance ist und Compliance nicht gleich Sicherheit – nur weil man die Compliance-Anforderungen abhakt, bedeutet das nicht, dass man sicher ist, und nur weil man Dinge absichert, bedeutet das nicht, dass man eine Prüfung bestehen wird.
Wäre es zutreffend zu sagen, dass digitales Vertrauen gewissermaßen ein Zustand ist, den man erreichen kann, wenn Sicherheit und Compliance ganzheitlich und im Einklang miteinander arbeiten, anstatt in diesen Silos zu verharren? Ist digitales Vertrauen das, was entsteht, wenn Compliance und Sicherheit wirklich vereint sind und gemeinsam auf positive Veränderungen hinwirken?
Samuelson: Ich denke, das ist sehr treffend formuliert, Melissa. Und es ist ein wesentlicher Bestandteil unserer Arbeit, denn uns interessiert die Haltung hinter dieser Tätigkeit genauso wie die Tätigkeit selbst.
In der IT sprechen wir viel über Menschen, Prozesse und Technologie, wobei dem menschlichen Aspekt oft nicht genügend Aufmerksamkeit geschenkt wird – IT-Fachleute sind beispielsweise nicht unbedingt darin geschult, ihren Standpunkt in der Führungsebene zu vertreten oder einen kooperativen Weg zu finden, um gemeinsam mit ihren Kollegen etwas zu erreichen. Unsere Community diskutiert darüber schon seit einiger Zeit, und in diesem Rahmen für digitales Vertrauen konzentrieren wir uns sehr darauf, was das bedeutet und was ihnen helfen würde, dieses Argument zu vertreten.
Das ist zum Teil der Grund, warum wir es in geschäftlichen Begriffen formuliert haben, aber Sie haben das richtige Wort verwendet. Es ist gewissermaßen dieser ganzheitliche Ansatz zur Erreichung von digitalem Vertrauen, der entscheidend ist. Chris, ich weiß, dass Ihnen das sehr am Herzen liegt…
Dimitriadis: Ja, ich möchte darauf aufbauen und andere Bereiche ansprechen – zum Beispiel die Prüfung, denn man kann im Bereich Cybersicherheit nicht wirklich erfolgreich sein, wenn man kein starkes Prüfungsteam hat. Dasselbe gilt für das Risikomanagement: Wenn man das Risikomanagement nicht aus geschäftlicher Sicht beherrscht, kann man auch im Bereich Cybersicherheit nicht erfolgreich sein. Dasselbe gilt für den Datenschutz. Man kann im Bereich Cybersicherheit hervorragend aufgestellt sein, aber das bedeutet nicht, dass man keiner Datenschutzverletzung ausgesetzt sein wird. Und was die Ethik betrifft: Selbst wenn man in diesen anderen Bereichen die perfekte Organisation hat, kann diese Organisation ihrem Ruf ernsthaft schaden, wenn sie nicht den ethischen Erwartungen der Kunden entspricht.
Der ganzheitliche Ansatz ist wichtig, denn wenn wir nicht alles zusammenführen, werden wir nicht in der Lage sein, die wirklichen Vorteile des digitalen Vertrauens zu genießen.
Bischoping: Ich habe mit David Samuelson, dem CEO von ISACA, und Chris Dimitriadis, dem Chief Global Strategy Officer, gesprochen.
Wenn Sie mehr über ihre 2022 globale Umfrage zum digitalen Vertrauen lesen möchten, schauen Sie sich den Link in den Show-Notizen an, oder Sie können mehr zu diesem Thema im Online-Cyber-Nachrichtenmagazin von Tanium unter Tanium.com erfahren. Um weitere Gespräche mit führenden Sicherheitsexperten zu hören, abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App, wie Apple Podcasts und Spotify. Wenn Ihnen diese Episode gefallen hat, geben Sie uns bitte eine Fünf-Sterne-Bewertung.
Vielen Dank fürs Zuhören, und wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke zu teilen.
