Schleudersitz CISO Diese Fehltritte kosten CISOs häufig den Kopf

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Ein großer, aber vermeidbarer Sicherheitsvorfall kann schnell den gefürchteten Schleudersitz eines CISOs auslösen. Ein paar weniger offen­sichtliche Fehler könnten für ihn nicht minder gefährlich sein. Welche Aktivitäten oder Unterlassungen müssen CISOs am meisten fürchten?

CISOs sind dafür verantwortlich, die wertvollsten Assets und Bereiche ihrer Organisationen zuverlässig zu schützen. Daher steht viel auf dem Spiel. Ein CISO, der sich nur unzureichend auf eines dieser Risiken vorbereitet oder diese nicht umfassend verwaltet, muss mit seiner Entlassung rechnen. In der Folge werden Aktionen, Unaufmerksamkeiten, Fehlannahmen und Unterlassungen skizziert, die eindeutig auf schwerwiegende Fehler hinweisen.

Hohe Belastung im Job durch wachsende Datenverantwortung

Wer will heute noch CISO werden?

Unklares Bild über die Risiken

Mit den massiv und schnell wachsenden Angriffsflächen haben ein CISO und sein IT-Security-Team alle Hände voll zu tun, um die Sicherheitslage umfänglich zu verstehen und anzupassen. Zu den wesentlichen Voraussetzungen für eine Übersicht der Risiken gehören: ein vollständiges und aktuelles Inventar der Assets, die geschützt werden müssen, das Verständnis des Geschäftswerts dieser Assets sowie eine kontinuierliche Analyse auf Risiken im Hinblick auf alle relevanten Angriffsvektoren.

Sicherheitslage wurde nicht quantifiziert

Wenn die Bedeutung und Funktionsweise des IT-Security-Risk-Programms dem Management nicht verständlich erklärt wird, werden viele Sicherheitsentscheidungen mit unzureichenden Daten oder „intuitiv“ getroffen. CISOs können dieses Hindernis überwinden, indem sie Risiken in Geldeinheiten darstellen. Das Management versteht vielleicht nicht, was ein hoher Risikowert von „X” oder eine Ziel-Patch-Kadenz von „X Tagen” bedeutet, aber sie verstehen sicherlich die Auswirkungen von „zwei Millionen Euro Risiko aufgrund von nicht gepatchter Software“.

CISOs sollten deshalb immer daran denken, dass es auf Vorstandsebene viel um Benchmarks geht, sodass sie in der Lage sein müssen, ihr IT-Security-Programm mit ähnlichen Organisationen zu vergleichen. Ferner könnte das Management den CISO bitten, das angemessene akzeptable Risiko zu empfehlen, dass das Unternehmen anstreben sollte. Bevor dies geschieht, sollten CISOs dem Board immer ein paar Schritte voraus sein.

Im Gespräch mit Sergej Epp

„Der CISO steht oft im Kreuzfeuer“

Zu viel Verantwortung für Risiken übernehmen

Nicht wenige CISOs glauben, sie müssten die gesamte Verantwortung für die Organisation in Bezug auf Risikoentscheidungen übernehmen. In diesem Fall definiert der CISO, was das Unternehmen unter Sicherheits-, Risiko- und Compliance-Gesichtspunkten tolerieren wird und was nicht, und nicht das Management. Dagegen sollten sich CISOs als ein kompetenter Kommunikationsvermittler präsentieren. Das heißt, ein CISO müsste in der Lage sein, Risiko- und Sicherheitslösungen für das Management zu formulieren, die mit den Themen der IT-Security eher weniger vertraut sind, damit sie fundierte Entscheidungen zur Risikotoleranz treffen können.

Maßnahmen ohne Strategien

Management-Präsentationen müssen durch eine solide strategische Planung untermauert werden, in der festgelegt wird, wie die Initiativen und Programme des CISOs die IT-Security eines Unternehmens verändern und ein angemessenes Restrisiko tolerieren können.

Eine solche Planung muss dem obersten Management als leicht verdauliche Auflistung von Projekten, die sich an den größten Risiken orientieren, mit jeweils entsprechenden Zeitrahmen, erforderlichen Ressourcen und Kosten dargestellt werden. Für das nächste Meeting mit dem Management zur Überprüfung der IT-Security sollten quantifizierbare Verbesserungen unterstrichen werden, die die Ergebnisse der Risikominderung aufzeigen, die das Unternehmen im Laufe der Zeit erzielt hat.

688.000 Dollar für deutsche CISOs

CISO-Einkommen explodieren weltweit!

Unsachgemäße Bereitstellung von Verfügbarkeit

Wenn die Ausfallzeit eines Systems über einen längeren Zeitraum anhält, kann dies für ein Unternehmen sehr kostspielig werden. Zuverlässigkeit und Verfügbarkeit gehen Hand in Hand mit einer umfassenden, detaillierten Sicherung und einem Notfallwiederherstellungsplan. Dazu gehört ebenfalls eine interne Vereinbarung auf operativer Ebene, in der eine Befehlskette für den Fall einer Dienststörung festgelegt ist.

Aus diesem Grunde sollte jedes Unternehmen über einen Disaster-Recovery-Plan verfügen, der neben detaillierten Vorgaben auch Anweisungen enthält, an wen sich das IT-Team im Falle eines Sicherheitsvorfalls bei Anbieter-Organisationen bzw. Cloud- und Drittanbietern wenden kann. Der CISO sollte auch wissen, was die Verträge des Unternehmens als Reaktionszeit von Anbietern, Cloud- und Drittanbietern vorschreiben, um adäquat auf Sicherheitsvorfälle zu reagieren.

Faktor Mitarbeiter ignorieren

Nicht selten treten CISOs in die Falle, ihren Fokus nur auf technische Prozesse und Lösungen zu richten. Der Mitarbeiter ist immer noch die größte aller Schwachstellen. CISOs, die dies unterschätzen oder ignorieren, werden kläglich daran scheitern. Insbesondere wenn Mitarbeiter notwendige Kontrollmaßnahmen oder geltende Richtlinien missachten, könnte daraus unter anderem eine ganze Reihe von Insider-Bedrohungen entstehen.

Metriken für CISOs zur Risiko-Evaluierung

Wichtige Kennzahlen und KPIs für CISOs

Extrem restriktive Maßnahmen

In den meisten Unternehmen verfügen User eher über zu viele Berechtigungen. Ferner werden neue Patches nicht gründlich genug getestet bzw. nicht schnell genug angewendet oder Administratoren nehmen tendenziell Verknüpfungen vor, die die Umgebung gefährden könnten. Trotzdem müssen CISOs darauf achten, nicht in das entgegengesetzte Extrem zu verfallen und die Mitarbeiter in ihrer Handlungsfähigkeit zu straff einzuengen. Maßnahmen dieser Art führen dazu, die Mitarbeiter bei der Bewältigung ihrer Aufgaben über Gebühr zu behindern. Die IT-Security sollte immer ein Partner des Geschäfts sein, nie ein Hindernis!

Ausweitung der Komplexität

Es besteht die Gefahr, dass sich CISOs von kurzfristigen Technologiehypes blenden lassen, anstatt sich auf die wesentlichen Ziele und Aufgaben zu konzentrieren. Dies kann nicht nur zu einer Ineffektivität, sondern auch zu einer unnötigen Komplexität führen. Nicht zuletzt verursacht Komplexität wiederum Mehrkosten und vor allem auch neue Sicherheitslücken. Hinzu kommt, dass Komplexität eine falsche Auffassung von Sicherheit vermitteln kann. Letztlich ginge das Management davon aus, mit innovativen Instrumentarien besonders gut geschützt zu werden.

Sicherheit und Autonomie im Gleichgewicht

Strategien für CISOs in der Cloud-Ära

CISOs stehen unter Druck

Compliance fordert ihren Tribut von IT-Sicherheitsverantwortlichen

(ID:50432655)