Ein exzellenter CISO ist mit Leib und Seele dabei
Expertenfrage: Was macht einen erstklassigen CISO aus?
Ein großartiger CISO ist Meister des Social Engineerings
Ein Chief Information & Security Officer oder CISO ist ziemlich begehrt. Vermutlich weil diese Position technisches Wissen und Können mit exzellenten Management-Fähigkeiten und einer entsprechend ausgebildeten Persönlichkeit verbindet. So jemanden zu finden, der dann auch noch in die Unternehmenskultur passt, hat etwas von der Suche nach der Stecknadel im Heuhaufen. Unternehmen, die den Tätigkeitsbereich auf einen Chief Information Officer (CIO) und einen Chief Security Officer (CSO) aufgeteilt haben, haben es noch schwerer. Sie brauchen gleich zwei Personen, auf die dieses Anforderungsprofil zutrifft.
Nach der schwerwiegenden Datenschutzverletzung bei Equifax hat deren CISO einiges an Kritik über sich ergehen lassen müssen, weil er eben keinen Abschluss in Cybersicherheit aufweisen konnte. Aber aus den Reaktionen in der infosec-Community geht eindeutig hervor, dass es bei einem wirklich guten CISO weniger auf den Abschluss ankommt, als darauf, dass er die Materie beherrscht. Wenn das der Fall ist, gepaart mit den nötigen Führungsqualitäten, ist ein CISO in der Lage die drohende Gefahr von Datenschutzverletzungen um den Faktor zehn zu reduzieren.
Was also macht einen exzellenten CISO aus? Wir haben einige Experten direkt gefragt und sieben Qualitäten gefunden, die aus ihrer Sicht einen sehr guten CISO ausmachen.
Er sollte gut zuhören können und für jeden zugänglich sein
Ein CISO muss genau zuhören können und bereit sein, mit jedem auf eine freundliche, zugängliche Weise zu sprechen. Die Fähigkeit, risikobasierte geschäftsorientierte Entscheidungen zu treffen und umzusetzen sollte dann dazu kommen.
Christos Syngelakis, Motor Oil Hellas - Griechenland
Der Job eines CISO ist stressig. Ohne Feedback oder Ankopplung an die Sichtweise von Kolleginnen und Kollegen wird er aber um ein Vielfaches stressiger. Für die Fragen anderer offen und zugänglich zu sein schließt sicherlich ein, auch scheinbar dumme Fragen auszuhalten. Im Umkehrschluss kann genau das allerdings im Ernstfall den Unterschied machen. Denn in dieser Unternehmens- und Sicherheitskultur haben Mitarbeiter keine Befürchtungen sich so schnell wie möglich an den CISO zu wenden.
Ein Teil des Jobs eines CISOs besteht darin, beiden, Kollegen und Vorgesetzten genau zuzuhören, ihre Bedürfnisse und Projekte zu verstehen und Entscheidungen zu treffen, die Risiken und Auswirkungen für das Unternehmen minimieren.
Er sollte die Sprache der Vorstandsetage sprechen
Ein exzellenter CISO ist mit Leib und Seele dabei. Jeden Tag. sie/er stellt die Besten und Klügsten ein und gibt ihnen die Werkzeuge an die Hand, die sie brauchen um ihren Job zu machen. Sie/er kommuniziert regelmäßig mit dem Vorstand und liefert verwertbare Kennzahlen. Und beschönigt nichts.
Richard Stiennon, Blancco Technology Group - USA
Ein weiterer Teil des Jobs eines CISOs besteht darin direkt mit der Vorstandsetage zu kommunizieren. Dazu gehört es, den Vorstand über die bereits erzielten Fortschritte zu informieren und Budgets auszuhandeln, dafür zu sorgen, dass die Datenschutzziele eingehalten werden, aber auch erklären zu könne, sollte das ein Mal nicht der Fall gewesen sein. Unglücklicherweise sprechen die meisten Vorstände kein "Infosec". Es gilt also Bedarfe, Ziele und Berichte in die Sprache der Vorstandsetage zu übersetzen, um wirklich verstanden zu werden.
Hier hilft die eingangs beschriebene Qualität ein guter Kommunikator zu sein, um eine tragfähige Beziehung zum Vorstand aufzubauen. Mit der Zeit wird auch ein Vorstand lernen, den Strategien, Anregungen und Forderungen des CISO mehr Vertrauen zu schenken. Aber das geschieht nicht über Nacht. Ein CISO muss die geeignete Persönlichkeit haben, um das nötige Vertrauen im Laufe der Zeit aufzubauen.
Geschäftliche Ziele und Sicherheitsanforderungen in Einklang bringen
Ein großartiger CISO versteht, dass seine Rolle nicht darin besteht, das Unternehmen zu kontrollieren, sondern es ihm zu ermöglichen, das, was es tun muss, hinreichend sicher zu tun. Solche CISOs stimmen ihre Programme mit der Mission und den Unternehmenszielen ab. Sie verstehen es auf dieser Basis so mit Geschäftsführern zu kommunizieren, dass Führungskräfte effektive Entscheidungen treffen können. Großartige CISOs stellen großartige Leute ein und vertrauen darauf, dass sie ihre Arbeit tun, während der CISO seine tut.
Martin Fisher, Northside Hospital - USA
Ein CISO sollte sich ab und zu daran erinnern, dass er innerhalb eines Unternehmens einen Super-Datenschutztresor schaffen kann, wenn er es wirklich will. Praktisch nicht zu hacken. Die Sache hat nur einen kleinen Schönheitsfehler: Die Geschäftstätigkeit eines Unternehmens basiert darauf, dass Daten fließen.
Ein guter CISO stellt permanent eine taugliche Balance her zwischen dem, was für die Geschäftstätigkeit eines Unternehmens unabdingbar ist, und dem, was für den Datenschutz unverzichtbar ist.
Ein Unternehmen will in erster Linie eine Wertschöpfung durch seine Produkte und Dienste schaffen. Ist ein CISO nicht in der Lage, das Gesamtbild zu sehen, und seine Ziele an den allgemeinen Geschäftszielen auszurichten, ist er zum Scheitern verurteilt. Die herrschende Unternehmenskultur spielt eine große Rolle, wenn Prozesse verändert werden müssen. Zu wem geht der CISO? Wer ist betroffen? Menschen müssen Teil dieses Entscheidungsprozesses werden. Eine Kultur der Veränderung zu schaffen, ist nicht leicht und erfordert viel kommunikatives Geschick.
Geduld
Ein großartiger CISO ist Meister des Social Engineerings. Alles in einem Unternehmen zu verändern, von der Risikotoleranz und Sicherheitskultur bis hin zu Prozessen und Codes, erfordert jahrelange Geduld und ein wenig List. Und ist kein Job für schwache Nerven.
Wendy Nather, Duo Security - USA
Kommunikativ und zugänglich zu sein, hat scheinbar Auswirkungen auf alle Qualitäten eines CISO. Das nennt Wendy Nather von Duo Security ein "Meister des Social Engineerings" zu sein. Ein guter CISO muss wissen, wie alle Teile des Puzzles zusammenpassen, und er muss neue Wege finden, sie dazu zu bringen, zusammenzupassen. Mit möglichst geringen Auswirkungen auf die Jobs aller Mitarbeiter. Aber vor allem muss er verstehen, dass Veränderungen nicht über Nacht geschehen. Es dauert Jahre, eine Unternehmenskultur sichtbar und nachhaltig zu verändern. Er muss also am Ball bleiben und die Veränderung vorleben. Nur so kann man alle Beschäftigten wirklich dauerhaft ansprechen.
Rekrutierung und Talent-Management
Ein großartiger CISO hat ein umfassendes Verständnis davon, wie sein Umfeld funktioniert. Er hat die geeigneten IT-Mitarbeiter ausgewählt, um ein Höchstmaß an Sicherheit zu gewährleisten und Projekte nach dem Motto "Safety first" abzuarbeiten. Sicherheit sollte seine oberste Priorität sein.
Dylan Kavanagh, Bank of Ireland - UK
Die Verantwortlichkeiten eines CISO decken einen großen Bereich ab. Ein CISO hat schätzungsweise eine Millionen Dinge gleichzeitig zu bedenken. Hier sind Vertrauen in und Delegation an ein Team wichtig. Ein großartiger CISO hat keine Hemmungen Mitarbeiter und Mitarbeiterinnen einzustellen, die technisch vielleicht versierter sind als er selbst. Er braucht ergebnisorientierte Denker und mit einem geeigneten Management-Stil fügen sich die Puzzleteile zusammen.
Kommunikativ und ansprechbar zu sein, ist auch hier unabdingbar. Ein CISO ist Chef. Seine Mitarbeiter müssen sich auf ihn verlassen können, ihn im besten Falle mögen und für ihn arbeiten wollen. Er muss seine Team- und Arbeitsplatzstruktur so gestalten, dass sich das Unternehmen in seinem Umfeld behaupten kann. Schließlich sind Talente für Cybersicherheit schwer zu finden. Die wirklich Talentierten haben ausreichende Optionen. Ein großartiger CISO muss ihnen einen Arbeitsplatz geben, den sie nicht mehr verlassen wollen, in einem Unternehmen, das sie auch Freunden und Kollegen empfehlen würden.
Risikobewusstsein
Ein großartiger CISO ist risikobewusst, sieht die Ausrichtung der Branche und hat die Fähigkeit, dies einfach und sicher in Unternehmensauswirkungen und -anforderungen zu übersetzen.
Andy Martin, Standard Life Aberdeen - UK
Wenn der Chief Marketing Officer ein neues Tool implementieren will, das Tausende einsparen und die Effizienz verbessern wird, sollte ein großartiger CISO eine Analyse des Tools vornehmen. Wie passt es in die aktuelle Infrastruktur? Ist der Datenfluss sinnvoll? Ist das Tool sicher? Ist der Drittanbieter verlässlich? Sind die Datenpraktiken konform zu denen des Unternehmens? Ein guter CISO ist ständig auf der Suche nach Lücken und arbeitet an Möglichkeiten, sie zu schließen. Dabei hat er die geschäftlichen Risiken immer im Blick und weiß wie er sie zu priorisieren hat. Wo liegen die größten Risiken für Datenschutzverletzungen, Datenverlust oder Datendiebstahl? Wie kann das Unternehmen die Auswirkungen minimieren, wenn es in einem der Bereiche doch zu einem Vorfall kommt?
Organisation
Ein großartiger CISO kann Vermögenswerte einschätzen und so priorisieren, wie sie geschützt werden müssen. Dazu muss man die Risiken verstehen. Ein guter CISO priorisiert so, dass der Vorstand die erforderlichen Budgets zuweisen kann. Der CISO identifiziert und implementiert geeignete Kontrollen zum Schutz dieser Vermögenswerte. Und er bereitet sich angemessen auf potenzielle Vorfälle vor und kann darauf reagieren. Der Grad der Angemessenheit variiert in allen Fällen von Unternehmen zu Unternehmen.
Sarb Sembhi, Virtually Informed - UK
In der Welt eines CISO gibt es viel zu tun. So viel, dass es schwierig sein kann, einen logischen Weg zu finden, um alles rechtzeitig, effizient und produktiv zu erledigen. Das macht Organisationstalent zu einer zentralen Eigenschaft eines guten CISO. Für die meisten CISOs sind das Jonglieren mehrerer Meetings, das Managen eines Teams, das Priorisieren von Gefahren, das Abstimmen von Unternehmenszielen, das Auditing und das Verhindern eines Datenverlusts nur einige der Elemente, die er mehr oder weniger gleichzeitig im Blick behalten muss.
Es gibt eine Reihe von logischen Schritten, die einem CISO helfen, wenn er seine Position antritt:
>> Beurteilen und priorisieren Sie die zu schützenden Vermögenswerte - beginnen Sie mit einer Dateninventur. Verstehen Sie, wie jede Abteilung arbeitet. Nutzen Sie die notwendigen Tools und kommunizieren Sie sowohl intern als auch extern. Was sind die größten Gefahren? Wo müssen die größten Veränderungen vorgenommen werden?
>> Übermitteln Sie den Risikobefund dem Vorstand - Sie haben eine gründliche Analyse durchgeführt und verfügen über alle notwendigen Daten, um zu zeigen, wo das Unternehmen am stärksten gefährdet ist. Aber wie übersetzt ein CISO das in die Sprache der Vorstandsetage? Finden Sie einen Weg, um zu zeigen, wie die vorgeschlagenen Änderungen die dabei anfallenden Kosten rechtfertigen und noch besser, mehr Effizienz, Produktivität und damit mehr Einnahmen für das Unternehmen schaffen.
>> Implementieren Sie geeignete Kontrollen - arbeiten Sie mit einem talentierten Team zusammen, um die identifizierten Vermögenswerte zu schützen, und ergreifen Sie geeignete Maßnahmen, um sicherzustellen, dass sie die Sicherheitsstrategie stets überwachen, berichten und verbessern.
Bereiten Sie sich auf Vorfälle vor und reagieren Sie darauf - seien Sie jederzeit auf alles vorbereitet. Haben Sie eine gut durchdachte und gut dokumentierte Handlungsanweisung für den Fall der Fälle, die jeder relevanten Partei nicht nur bewusst ist, sondern die sie am besten in- und auswendig kennt.
>> Sicherheitsstrategie fit fürs Unternehmen - jedes Unternehmen ist anders. Ein großartiger CISO implementiert nichts, weil er es kann oder weil es in seiner letzten Firma funktioniert hat. Er implementiert es, weil er weiß, dass es die richtige Wahl für dieses Unternehmen ist. Erstellen Sie eine Strategie, die sich an die Bedürfnisse genau dieses Unternehmens anpasst. So ist sie stabiler und wirkungsvoller.
(GlobalSign: ra)
eingetragen: 07.01.18
Home & Newsletterlauf: 07.02.18
GlobalSign: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.