Zusammenfassung
Im zweiten Teil einer zweiteiligen Serie beleuchten wir die aktuelle Realität der digitalen Vertrauenslandschaft und die Möglichkeiten, wie Unternehmensführer einen Sicherheitsverstoß in eine Chance für eine stärkere Kundenbindung verwandeln können.
Wie eine globale Umfrage unter Führungskräften und IT-Fachleuten zeigt, muss ein Cyberangriff allein das digitale Vertrauen nicht zwangsläufig beschädigen. Aber die Art und Weise, wie Führungskräfte auf ein solches Ereignis reagieren, könnte es tun. Tauchen Sie mit uns tief in das heikle Thema Ethik ein (und andere Themen, die überraschenderweise – oder vielleicht gar nicht so überraschend – mit Cybersicherheit zusammenhängen), gemeinsam mit Experten der ISACA, der Information Systems Audit and Control Association.
MODERATORIN: Melissa Bischoping, Direktorin für Endpoint-Security-Forschung, Tanium
GÄSTE: David Samuelson, [ehemaliger] CEO, ISACA; und Chris K. Dimitriadis, Chief Global Strategy Officer, ISACA
Produktionshinweis: Zum Zeitpunkt dieser Aufzeichnung war Samuelson CEO von ISACA. Er hat die Organisation seitdem verlassen. Tracey Dedrick ist derzeit die kommissarische CEO von ISACA.
Shownotes
Sehen Sie sich ISACAs Umfrage und Ressourcen zum digitalen Vertrauen sowie diese Artikel in Focal Point, Taniums neuem Online-Cyber-Nachrichtenmagazin, an.
- ISACAs Bericht zum Stand des digitalen Vertrauens 2022
- ISACA-Ressourcen zum digitalen Vertrauen
- Was der Tech-Sektor von TikTok lernen kann: Vertrauen ist alles
- Wie „Privacy by Design": Der Aufbau von digitalem Vertrauen beginnt mit der Priorisierung von Datensicherheit
- Wie man während einer Cybersicherheitskrise klar (und rechtssicher) kommuniziert
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
David Samuelson: Wir sprechen über digitales Vertrauen, aber das Schlüsselwort dabei ist Vertrauen. Vertrauen ist eine Beziehung. Und in einer Beziehung legt man die Karten auf den Tisch und versucht, ehrlich miteinander zu sein. Und ich denke, das gilt auch für Kundenbeziehungen.[/pullQuote]
Melissa Bischoping: Hallo, ich bin Melissa Bischoping, und heute sprechen wir in Let's Converge über digitales Vertrauen. Willkommen zum zweiten Teil unserer zweiteiligen Serie, in der wir einige der überraschenden Ergebnisse einer neuen globalen Umfrage zum Thema Vertrauen beleuchten.
Betrachten Sie diese Zahlen: Von den mehr als 2 700 befragten Geschäfts- und IT-Fachleuten weltweit gaben mehr als die Hälfte (54 %) an, sehr oder vollständig von der digitalen Vertrauenswürdigkeit ihrer Organisation überzeugt zu sein – und doch misst nur ein Viertel das digitale Vertrauen tatsächlich bei seinen Kunden. Weitere 36 % messen es überhaupt nicht, und 41 % waren sich nicht sicher.
Heute zu Gast sind David Samuelson, der CEO von ISACA, dem internationalen Berufsverband mit Schwerpunkt auf IT-Governance. Und Chris Dimitriadis, ihr Chief Global Strategy Officer. Wir haben über ISACAs State of Digital Trust 2022 Umfrage gesprochen.
In unserer letzten Episode haben wir darüber gesprochen, wie digitales Vertrauen nicht nur Vertrauen in eine Marke ist, sondern auch Vertrauen in die Online-Transaktionen, die wir mit dieser Marke durchführen. Wir haben die wichtigsten Erkenntnisse aus dem ISACA-Bericht behandelt, einschließlich Konsistenz. Sie müssen täglich bei jeder Transaktion Vertrauen aufbauen. Was mich jedoch wirklich beeindruckt hat, ist, wie sehr digitales Vertrauen von mehr Bereichen abhängt, als man vielleicht denken würde. Wir verbinden Vertrauen normalerweise mit Cybersicherheit – ein Unternehmen schützt seine digitalen Assets und Kundendaten, und die Kunden fühlen sich geschützt. Aber auch andere Parameter spielen beim Vertrauen eine Rolle – Dinge wie Qualität, Datenschutz und Ethik.
David, kommen wir nun zurück zu dem, was Sie über Ethik gesagt haben und was das für Ihr Unternehmen bedeuten kann. Der Bericht zeigt, dass etwas mehr als die Hälfte der Amerikaner darauf vertraut, dass Technologieunternehmen das Richtige tun – ein Rückgang von etwa 19% gegenüber 2019—
Samuelson: Das ist erstaunlich. Ich meine, das ist wirklich erstaunlich.
Bischoping: Ja, das ist eine enorme Veränderung! Das ist in jeder Umfrage bedeutsam, eine Veränderung von 20% zu sehen. Was glauben Sie also, was die Ursache für diesen Vertrauensverlust ist? Geht es dabei um die Bedrohungslandschaft? Hängt das mit den Veränderungen durch Homeoffice und COVID zusammen, oder wie?
Samuelson: Nun, ja, und noch um vieles mehr. Das Tempo des technologischen Wandels ist, war und wird weiterhin sehr hoch sein. Um die Ecke wartet die KI, die dabei ist, Aufgaben zu übernehmen, über die wir sehr sorgfältig nachdenken müssen – über die Ethik und die Kontrolle in ihrem Management. Und dann Quantentechnologie, gleich um die Ecke, sowie der Einsatz neuer Technologien wie Blockchain.
All diese Dinge kommen mit hoher Geschwindigkeit auf uns zu, auf jeden von uns. Sogar ein kleiner Tante-Emma-Laden in New York ist im Internet, in der Cloud und auf irgendeine Weise mit den Risiken und dem positiven Potenzial verbunden, das die Technologie mit sich bringen kann.
Ich glaube also, dass der Vertrauensverlust spürbar ist, weil so viel mehr passiert … [Er macht eine kurze Pause.]
Wissen Sie, ich habe eine Uhr, die mit der Cloud verbunden ist, mein Telefon ist verbunden, es gibt so vieles, worüber ich nicht nachdenke, aber worüber ich angefangen habe nachzudenken, und ich glaube, es ist stärker in unserem Bewusstsein verankert. Je mehr man also die Schwachstellen versteht und dann sieht, dass diese großen Datenpannen passieren und dass die Privatsphäre – die personenbezogenen Daten [PII, Personal Identifiable Information] der Menschen – kompromittiert wurde und dergleichen mehr. Es gibt also ein breiteres öffentliches Bewusstsein und gleichzeitig eine breitere Technologielandschaft, und diese Dinge beschleunigen all das. Chris, haben Sie noch etwas hinzuzufügen?
Chris Dimitriadis: Auch die Komplexität. Ich denke, wir sehen, dass immer größere und komplexere digitale Ökosysteme aufgebaut werden. Und mit zunehmender Komplexität und Größe entstehen auch die Bedrohungen und werden noch kritischer, denn der Wert, den digitale Technologien schaffen, sowie der Wert aus Daten und Informationen ist nicht nur für die Stakeholder des digitalen Ökosystems wertvoll oder wichtig, sondern auch für die Angreifer.
Samuelson: Und die Technologie hat die Geschwindigkeit, mit der Kommunikation über soziale Medien verbreitet wird, enorm beschleunigt. So kann eine Kleinigkeit ziemlich schnell die ganze Welt erreichen, und es ist schwer, darauf zu reagieren. Und ich denke, das ist ein Faktor, der diesen Vertrauensbarometer stark beeinflusst. Wie vertrauenswürdig sind wir in der Welt heute, angesichts der Art und Weise, wie wir Geschäfte machen?
Ich erinnere mich noch an meine Anfänge im Online-Banking: Konnte ich darauf vertrauen, dass die Informationen, die ich in einen Webbrowser eingab, durch dieses kleine Schloss in der URL wirklich sicher geschützt waren? Kann ich ihm vertrauen?
Aber ziemlich schnell veränderte sich die gesamte Bankenbranche, weil die Menschen bereit waren, sich darauf einzulassen. Und dann begannen einige dieser Datenpannen aufzutauchen, und die Menschen zogen sich vielleicht wieder zurück. Ich denke also, es sind all die Dinge, über die wir gesprochen haben.
Bischoping: Das leitet eigentlich perfekt zu meiner nächsten Frage über. Wir sehen immer mehr Bedrohungsakteure, viele Ransomware-as-a-Service-Gruppen – all diese Dinge, die man als Unternehmen nicht kontrollieren kann. Alles, was man tun kann, ist sich zu verteidigen und dann zu versuchen, einen Angriff zu erkennen und darauf zu reagieren, wenn es zu einem Sicherheitsvorfall kommt.
Wenn also eine Organisation Opfer eines Angriffs wird, macht das die Arbeit, die sie im Bereich des digitalen Vertrauens geleistet hat, sofort zunichte? Wie können sie die Phase des Sicherheitsvorfalls und der Reaktion darauf überstehen und weiterhin das Vertrauen ihrer Kunden aufbauen?
Samuelson: Nun, Transparenz ist dabei ein Schlüsselwort: Wenn Sie auf ehrliche und ethische Weise reagieren und einräumen, dass Sie daran arbeiten und das Richtige tun, schützt das zumindest Ihren Ruf, auch wenn Sie nicht immer verhindern können, was bereits geschehen ist.
Ich glaube jedoch, dass die Konsequenzen für Unternehmen, die kein digitales Vertrauen genießen, dazu führen werden, dass viele dieser Dinge tatsächlich eintreten. Sie sind weniger auf Daten für ihre Entscheidungsfindung angewiesen. Sie verlieren Kunden. Es gibt mehr Vorfälle. Und ich denke, dass Transparenz und Ehrlichkeit der Weg sind, Vertrauen aufzubauen – wenn man offen darüber spricht, was vor sich geht, und mitteilt, dass man einen vertrauenswürdigen Rahmen etabliert hat und die notwendige Arbeit geleistet hat, selbst wenn es zu einem Datenschutzverstoß gekommen ist.
Es gibt viel darüber zu lernen. Und ich glaube nicht, dass irgendjemand von uns die richtige Antwort kennt, aber ich denke, das ist ein Teil davon. Chris, was meinen Sie?
Dimitriadis: Ich denke, Sie haben mit der Transparenz absolut recht, denn letztendlich sollte man einen Datenschutzverstoß oder einen Vorfall einkalkulieren.
Wenn wir über digitales Vertrauen sprechen, bedeutet das nicht, dass Prävention zu 100% wirksam sein oder den Erwartungen der Stakeholder entsprechen wird. Das liegt an der Komplexität, aber auch an der Raffinesse der Angriffe.
Ich denke, dass [Unternehmen] davon ausgehen sollten, dass es [irgendwann in der Zukunft] zu einem Sicherheitsverstoß kommen wird, und dann versuchen sollten, [damit] umzugehen, um digitales Vertrauen durch Transparenz aufzubauen, wie David sagte, aber auch durch geeignete Erkennungs-, Reaktions- und Wiederherstellungsprozesse und -mechanismen, um in der Praxis zu beweisen, dass digitales Vertrauen eine Verpflichtung für das Unternehmen ist.
Bischoping: Chris, Sie haben mir die Worte aus dem Mund genommen. Ich glaube, wir verfolgen eine sehr ähnliche Philosophie in dieser Hinsicht.
Ich sage den Menschen oft, dass ich nicht unbedingt das Vertrauen in ein Unternehmen verliere, weil es einen Sicherheitsverstoß gab oder weil es einen Angriff gab – besonders angesichts der Tatsache, wie vernetzt wir sind und wie jedes Unternehmen in irgendeiner Form digital ist. Ich verliere das Vertrauen in ein Unternehmen, wenn es versucht, den Vorfall zu vertuschen, wenn es nicht offen darüber informiert, was es zur Behebung der Situation unternimmt, oder wenn es nicht auf seine Kunden reagiert oder nicht das Einfühlungsvermögen zeigt, dass dies tatsächlich Auswirkungen auf seinen Kundenstamm hat. Dies kann die Existenzgrundlage von Menschen beeinträchtigen. Ich denke, das ist wichtig.
Samuelson: Ja, das ist sehr wichtig. Wir sprechen über digitales Vertrauen, aber das Wort Vertrauen ist der entscheidende Teil davon. Vertrauen ist eine Beziehung. Und in einer Beziehung legt man die Karten auf den Tisch und versucht, ehrlich miteinander zu sein. Und ich denke, das gilt auch für Kundenbeziehungen.
Bischoping: Lassen Sie uns kurz zur Umfrage zurückkehren. Gab es in der Umfrage etwas, das Sie wirklich überrascht oder unerwartet gefunden haben? Wir haben bereits über den enormen Wandel gesprochen, wie Menschen Vertrauen in Amerika wahrnehmen, aber gab es noch etwas anderes?
Dimitriadis: Ein überraschendes Ergebnis der Umfrage ist, dass es an Reife im Verständnis des Ziels oder des Endziels des digitalen Vertrauens mangelt. Dies ist ein sehr, sehr wichtiger erster Schritt für die weltweite Gemeinschaft des digitalen Vertrauens. Was die Menschen sehr gerne erfahren möchten, ist, wie digitales Vertrauen umgesetzt werden kann, da digitales Vertrauen noch nicht etabliert ist.
Das ist also ein sehr positives Ergebnis: Die Menschen erkennen die Bedeutung von digitalem Vertrauen und sind bestrebt, diese Botschaft auf der ganzen Welt zu verbreiten, um Fortschritte zu erzielen.
Bischoping: Es klingt also so, als ob es nicht an Bewusstsein mangelt; es ist nicht einmal eine Zurückhaltung. Es fehlt wirklich nur an Rahmenbedingungen sowie an den entsprechenden Werkzeugen und dem Verständnis, da das Konzept des digitalen Vertrauens immer weiter verbreitet wird.
Samuelson: Ich möchte hinzufügen, dass es weniger eine Überraschung als vielmehr eine Bestätigung ist, dass wir zusammenarbeiten müssen, dass wir dies gemeinsam angehen müssen und dass es sich um ein geschäftliches Thema handelt. Es liegt nicht im Zuständigkeitsbereich des Cybersicherheitsexperten in Ihrem Unternehmen, selbst wenn Sie einen haben. Viele haben keinen. Es geht darum, gemeinsam zu verstehen, dass wir uns in einer neuen Ära des Handels, einer neuen Ära des Geschäftslebens befinden, dass diese digital ist und dass sie für viele Menschen weiterhin komplex und neu sein wird.
Wir müssen also immer lernen, uns immer verbessern, und ich denke, dass Dinge wie Rahmenbedingungen und Bewertungen Organisationen dabei helfen werden herauszufinden, was sie heute tun können.
Es erscheint überwältigend, nicht zu wissen, wo man anfangen soll. Und ich denke, solche Fragen beschäftigen viele Organisationen, wenn sie die Zeitung aufschlagen und sich fragen, ob uns das morgen auch passieren könnte. Und die Fachleute, denen wir dienen, teilen uns mit, dass die Art von Unterstützung, die ISACA leisten muss, darin besteht, ein gewisses Maß an Best Practices in diesen Bereichen zu schaffen, um die Lösung tatsächlich in eine Digital-Trust-Lösung zu integrieren. Das ist also der Schwerpunkt unserer Arbeit.
Bischoping: Ich möchte noch einmal auf das zurückkommen, was Sie über den Aufbau von Beziehungen im Unternehmen gesagt haben. Wann immer ich die Gelegenheit habe, eine Präsentation oder Ähnliches zu halten, spreche ich über den Abbau von Silos. Denn als Sicherheitsexperte oder als jemand im Bereich Compliance oder Revision haben Sie Einblick in so viele verschiedene Aspekte des Unternehmens.
Führen Sie tatsächlich Gespräche mit den Verantwortlichen dieser Geschäftsprozesse, um zu verstehen, wie sie Technologie einsetzen und wie ihre Arbeit tatsächlich aussieht? Würde das zum Aufbau von Vertrauen beitragen, so wie Sie es sich vorstellen?
Samuelson: Absolut. Und das spiegelt sich in dieser Umfrage wider. Ich denke, man kann erkennen, dass die Menschen sich darüber Sorgen machen, aber sie sehen keine ausreichende Führung oder Zusammenarbeit. Wenn Sie Fortschritte erzielen wollen, müssen Sie auf Ihre Kollegen zugehen und gemeinsam etwas bewirken.
Jede Organisation – und ich war in mehreren tätig, aber ich bin seit dreieinhalb Jahren bei ISACA – jede Organisation hat Schwachstellen innerhalb der Organisation, die darauf basieren, wie die Menschen das Konzept des Vertrauens verstehen. Und deshalb habe ich HR, Marketing oder sogar die Entwickler erwähnt: Wenn Sie Vertrauen aufbauen wollen, sollten Sie es von Anfang an einplanen. Sie sollten Privacy by Design und Security by Design anwenden. Und diese Konzepte setzen sich langsam durch – DevSecOps wird immer mehr zur richtigen Vorgehensweise, weil es diese Aspekte von Anfang an integriert.
Ich denke, wenn die Organisation versteht, wie eine digitale Organisation funktioniert, beginnt sie, diese Techniken anzuwenden und zusammenzuarbeiten.
Bischoping: Ausgezeichnet. Da wir uns dem Ende unserer gemeinsamen Zeit nähern: Gibt es etwas, das ich bisher nicht angesprochen habe und das unsere Zuhörer über digitales Vertrauen wissen sollten, oder worüber sie nachdenken sollten, um in ihrer Organisation einen Schritt voraus zu sein?
Samuelson: Chris, ich lasse Sie anfangen.
Dimitriadis: Ein Punkt, den ich ansprechen möchte, ist, dass wir zwar sehr ausgereifte Cybersicherheitsansätze, -technologien und -systeme entwickelt haben, die meisten Vorfälle jedoch durch sehr einfache und grundlegende Versäumnisse in der Cybersicherheit verursacht werden. Und dieser Gedanke der Zusammenarbeit, wie Sie ihn sehr treffend beschrieben haben, Melissa, und wie David ihn ebenfalls erläutert hat, ist entscheidend, um im Bereich der Cybersicherheit etwas anders anzugehen.
Wir können nicht wirklich dieselben Mittel einsetzen, um ein Problem zu lösen, das wir in der Vergangenheit nicht lösen konnten. Deshalb sind wir der Meinung, dass digitales Vertrauen so innovativ ist, wenn es darum geht, einen alternativen Ansatz für ein bestehendes Problem anzubieten. Ein bisschen anders zu denken.
Und das ist auch aus geschäftlicher Sicht sehr wichtig. Und es wird auch von verschiedenen Vorschriften anerkannt, die weltweit entwickelt werden, wo wir den Bedarf an alternativen Ansätzen in der Cybersicherheit erkennen. Denn egal wie sehr wir unser Fachwissen und unsere Fähigkeiten in der Cybersicherheit vertikal ausbauen – wenn wir nicht horizontal vorgehen, werden wir das Problem nicht lösen.
Samuelson: Ich wollte einen Punkt, den Sie über Vorschriften gemacht haben, noch verstärken. Wie ich bereits sagte, ist jedes Unternehmen ein digitales Unternehmen. Und jedes Land denkt gerade darüber nach. Und wenn man die Diskussion auf eine Ebene des digitalen Vertrauens heben kann und nicht nur auf eine Kontrolldiskussion beschränkt, dann glaube ich, dass uns die Vorschriften bei dieser Zusammenarbeit helfen werden.
Das ist leichter gesagt als getan, aber wir verbringen viel Zeit – Chris und ich im Besonderen – mit Regierungsbehörden und arbeiten mit Regulierungsbehörden zusammen, um zu verstehen, was notwendig ist, um die Diskussion tatsächlich auf dieses Niveau des digitalen Vertrauens zu heben. Und ich denke, das kann sehr wirkungsvoll oder erfolgreich sein.
Bischoping: Ich stimme vollkommen zu. Wissen Sie, es gibt Dinge, die mir sehr am Herzen liegen, aber bis vor Kurzem habe ich den Begriff „digitales Vertrauen" nicht verwendet, um diese Denkweise des Beziehungsaufbaus und der Schaffung einer Sicherheitskultur von Grund auf zu beschreiben. Und das beginnt bereits bei der Entwicklung, also beim Onboarding neuer Mitarbeiter – die Kultur der Sicherheit und des Vertrauens muss etwas sein, das sich durch jeden Bereich Ihres Umfelds zieht und als wichtig erachtet wird.
Ich komme aus dem Fertigungs- sowie dem Öl- und Gassektor, wo Sicherheit an erster Stelle steht und Sicherheitsverstöße absolut inakzeptabel sind – man darf die Sicherheit und das Leben von Menschen schlichtweg nicht gefährden. Und wenn man anfängt, über Vertrauen und Sicherheit als etwas zu sprechen, das für die Langlebigkeit eines Unternehmens genauso unverzichtbar ist wie die Arbeitssicherheit, dann glaube ich, dass die Menschen das wirklich verstehen. Genau wie Sicherheit für uns in jeder Handlung präsent war, die wir vorgenommen haben, muss meiner Meinung nach auch Vertrauen in jeder Handlung vorhanden sein, die man unternimmt.
Samuelson: Ja. Ich denke, das funktioniert wirklich gut. Und es bringt das Gespräch auf die richtige Ebene und beginnt, einige dieser schwer greifbaren, nicht klar definierten Aspekte anzusprechen, die für Menschen wie Sie so wichtig sind, die diese Arbeit tatsächlich leisten mussten und dabei auf Schwierigkeiten gestoßen sind. Hoffentlich können wir dabei hilfreich sein.
Auf unserer Website finden Sie zahlreiche Ressourcen zum Thema digitales Vertrauen, die Sie lesen können. Und wenn wir den Rahmen später in diesem Jahr einführen und beginnen, die Reife zu messen, möchten wir eine Ressource für diejenigen unter Ihnen sein, die als Fachleute für digitales Vertrauen versuchen, diese Welt zu einem sichereren Ort für digitale Vertrauensgeschäfte zu machen.
Bischoping: Perfekt. Ich werde die Adresse und alles andere besorgen, was wir mit den Shownotes veröffentlichen können. Das war eigentlich meine nächste Frage, nämlich wo sie weitere Ressourcen und Informationen finden können, und Sie haben das sofort beantwortet, also vielen Dank. Chris und David, ich denke, wir werden jetzt zum Abschluss kommen, aber ich schätze Ihre beider Zeit heute sehr und ich schätze das Gespräch über digitales Vertrauen wirklich sehr.
Samuelson: Das haben wir auch. Es war uns ein Vergnügen. Vielen herzlichen Dank.
Dimitriadis: Ein echtes Vergnügen. Danke schön. Danke für die Gelegenheit.
Bischoping: Ich habe mit David Samuelson, dem CEO von ISACA, und Chris Dimitriadis, dem Chief Global Strategy Officer, gesprochen.
Wenn Sie mehr über ihre 2022 globale Umfrage zum digitalen Vertrauen lesen möchten, schauen Sie sich den Link in den Shownotes an. Oder Sie können sich auf Taniums neuem Online-Cyber-Nachrichtenmagazin unter Tanium.com mehr zu diesem Thema informieren. Wenn Sie weitere Gespräche mit führenden Sicherheitsexperten hören möchten, abonnieren Sie den Podcast bitte in Let's Converge Ihrer bevorzugten Podcast-App, beispielsweise bei Apple Podcasts oder Spotify. Wenn Ihnen diese Episode gefällt, geben Sie uns bitte eine Fünf-Sterne-Bewertung.
Vielen Dank für Ihre Aufmerksamkeit. Wir freuen uns darauf, Ihnen in der nächsten Folge von … weitere Einblicke in die Welt der Cybersicherheit zu vermitteln Let's Converge.
