Warum der CISO heute ein Business Leader ist

Was ist ein CISO?

Ein CISO (Chief Information Security Officer) ist eine leitende Führungskraft in einer Organisation, die für die Informations- und Datensicherheit im gesamten Unternehmen verantwortlich ist. Dabei stellt sich das Aufgabenfeld im Vergleich zu Rollen wie dem Chief Security Officer (CSO) oder IT-Leiter:in für Sicherheit deutlich größer dar.

Dafür arbeitet der CISO eng mit anderen Abteilungsleitenden und dem IT-Team zusammen, um sicherzustellen, dass Informationen und Daten innerhalb der Organisation sicher und geschützt sind. Dabei müssen effektive CISOs eine vielschichtige Rolle spielen, was vor allem an der digitalen Transformation liegt.

Denn wenn viele Unternehmen ihre wirtschaftliche Architektur verändern, um den Schwerpunkt stärker auf die Digitalisierung zu legen, erkennen sie zunehmend, dass die Cybersicherheit ein erhebliches Risiko darstellt.

Warum ist der CISO wichtiger denn je?

Da die Cybersicherheit zunehmend zu einer fundamentalen Grundlage für gute Geschäftsbeziehungen geworden ist und sogar die wirtschaftliche Existenz eines Unternehmens bedrohen kann, stellt die Rolle des CISO heute in vielen Organisationen eine Schlüsselposition dar.

Denn die Cybersicherheit wirkt sich heute auf sämtliche Unternehmensebenen aus, weshalb ein CISO einen umfassenden Sicherheitsansatz anstreben sollte. Die Technologie und Organisation wie auch Unternehmenskultur und Lieferketten sind dabei wesentliche Aspekte, die berücksichtigt werden müssen. Auch das Management der Unternehmensreputation sowie Kommunikationsstrategien in Krisensituationen obliegen seiner Verantwortung.

Dabei berichtet ein CISO direkt an den Chief Information Officer (CIO). In manchen Fällen auch direkt an den Chief Executive Officer (CEO) oder die Geschäftsführung, denn Cyber Security stellt lediglich einen Teilbereich seiner Zuständigkeiten dar. Zudem befasst sich die Rolle mit dem Schutz und Risikomanagement aller weiteren und auch nicht-digitalen Informationsressourcen, wie z. B. den Papierdokumenten eines Unternehmens.

Herausforderungen, die ein CISO meistern muss:

Digitalisierung: Im Zuge der Digitalisierung sind immer mehr Geschäftsprozesse, Kommunikationswege und Dienstleistungen online verfügbar. Das hat die Angriffsfläche für Cyberbedrohungen deutlich erweitert.

Zunahme von Cyberbedrohungen: Die Anzahl und die Raffinesse von Cyberangriffen haben in den letzten Jahren erheblich zugenommen. Laut dem bitkom Wirtschaftsschutz 2023 waren in den letzten 12 Monaten 72 % aller Unternehmen von einem Cybervorfall betroffen, was die Notwendigkeit eines fachkundigen Leiters für Informationssicherheit unterstreicht.

Massenhafte Konnektivität: Das Marktforschungs- und Beratungsunternehmen Frost & Sullivan schätzt, dass es 2023 weltweit fast 42 Milliarden IoT-Geräte gibt. Dabei vergrößert sich mit der Zunahme vernetzter Geräte auch das Risiko von Sicherheitslücken und potenziellen Eintrittspunkten für Angreifende.

Cloud-Computing: Viele Unternehmen verfolgen eine Multi-Cloud-Strategie und laut Cloud Report 2023 wollen 56 % aller Unternehmen mehr als die Hälfte ihrer IT-Anwendungen in den kommenden fünf Jahren aus der Cloud betreiben. Das bringt auch neue Herausforderungen und Risiken in Bezug auf Datensicherheit und Compliance mit.

Wie Sie diese meistern und mit welchen Best Practices Sie eine ganzheitliche Cloud Security realisieren, lesen Sie in unserem Cloud Security Whitepaper.

Reputationsmanagement: Ein bedeutender Datensicherheitsvorfall kann nicht nur erhebliche Imageschäden verursachen, er kann die wirtschaftliche Existenz gefährden: Der Digitalverband bitkom hat herausgefunden, dass im Zusammenhang mit Datendiebstahl, Industriespionage oder Sabotage im Jahr 2022 ein Gesamtschaden von 202 Milliarden Euro entstanden ist. Der CISO spielt eine entscheidende Rolle, solche Vorfälle zu verhindern.

Sechs Fähigkeiten, die ein herausragender CISO mitbringen muss

1. Funktionale Führungskompetenz

Ein CISO muss die Voraussetzungen dafür schaffen, dass sein Team überdurchschnittliche Leistungen im Sicherheitsbereich vollbringen kann. Dazu gehört es auch, sich stets an unternehmerische Veränderungen anzupassen und die Erwartungen der Unternehmensführung zu erfüllen oder sogar zu übertreffen.

Dabei liegt der Fokus auf einer effektiven Umsetzung von Sicherheitsmaßnahmen, die sich nahtlos in vorhandene wie auch zukünftige Geschäftsprozesse integrieren. Diese müssen die allgemeinen und speziellen Unternehmensziele unterstützen, ohne dass sie den Betriebsablauf unnötig behindern.

2. Übernahme von Verantwortung

Die Rolle eines CISO erstreckt sich nicht nur auf die direkte Verwaltung von Informationssicherheitsteams und -ressourcen, sondern auch darauf, das gesamte Unternehmen für die Bedeutung der Informationssicherheit zu sensibilisieren.

So sollte ein effektiver CISO umfassende Verantwortung übernehmen, indem er das Unternehmensbewusstsein für Informationssicherheit schärft. Das beinhaltet unter anderem ein Security Awareness Training für alle Mitarbeitenden, die Begrenzung von Richtlinienabweichungen und die Befähigung der Mitarbeitenden, eigenständige und informierte Risikoentscheidungen zu treffen. Durch diese Maßnahmen sorgt der CISO nicht nur für die direkte Cybersicherheit, sondern er fördert auch eine unternehmensweite Kultur des Sicherheitsbewusstseins und der Risikokompetenz.

3. Neugier auf eine sich wandelnde Cyber-Bedrohungslandschaft

• Eine nie nachlassende Neugier auf Technologie und die sich kontinuierlich verändernde Cyber-Bedrohungslandschaft sind unabdingbar, da der Wandel hier eine Beständigkeit darstellt. Ständig entstehen neue Sicherheitslücken, ändern sich Gefahren, Bedrohungsakteure und Exploit-Strategien. Parallel dazu führt die Einführung innovativer Technologien nicht nur neue Lösungsansätze in Unternehmen ein, sondern sie eröffnet auch fortlaufend neue Sicherheitsdimensionen.
• Zusätzlich intensiviert ein Heer von Start-ups, die Innovationen im Sektor der Cybersicherheit entwickeln, die ohnehin schon komplexen Anforderungen. All diese Neuerungen müssen verstanden, überprüft, bewertet und unter Umständen erworben werden, sofern sie eine überzeugende Risiko-Rendite versprechen.

Damit gewährleistet ein versierter CISO die effektive Bereitstellung und den Einsatz von Cybersecurity-Lösungen, um das Unternehmen zu schützen und Geschäftsziele zu unterstützen. Zu diesem Zweck kann er sich mit seinem Team um die eigenständige Implementierung von Sicherheitslösungen kümmern oder er beauftragt einen Managed Security Services Provider (MSSP), wobei er für die reibungslose Zusammenarbeit verantwortlich ist.

4. Governance skalieren

Eine skalierbare Governance gewährleistet, dass die Informationssicherheit nicht nur als isolierte Funktion betrachtet wird, sondern als integraler Bestandteil der gesamten Unternehmensstruktur und -strategie existiert.

So muss ein effizienter CISO stets sicherstellen, dass Informationsrisiken bei Unternehmensentscheidungen berücksichtigt werden und seine Sicherheitsexperten und -Expertinnen aktiv in den Entscheidungsprozess mit einbinden, um fundierte Strategien zu entwickeln. Darüber hinaus bietet er eine ausgewogene Sicherheitsberatung an, die sowohl den maximalen Schutz als auch die Erreichung der Geschäftsziele fördert, um einen unterstützenden und nicht hinderlichen Einfluss auf den Geschäftsbetrieb zu gewährleisten.

Ein guter CISO zeichnet sich zudem durch sein Risikobewusstsein aus, hat einen klaren Blick für die Orientierung der Branche und vermag es, dies auf eine einfache und sichere Weise in einen Unternehmensimpact zu transformieren.

5. Kommunikationsstark mit unterschiedlichen Stakeholdern

Ein CISO sollte Glaubwürdigkeit ausstrahlen und die Fähigkeit besitzen, essenzielle Botschaften an den Vorstand, CEO, weitere Führungskräfte, Sicherheits- und Technologieteams sowie Mitarbeitende, Kunden und wenn gelegentlich auch die Medien zu kommunizieren.

Ob es dabei um aufkommende Risiken, Investitionen und Budgets oder um größere Vorfälle geht – eine gute Kommunikationsstärke des CISO ist ausschlaggebend, um die gesetzten Ziele hinsichtlich der Informations- und Datensicherheit zu erreichen. Denn letztendlich stellt diese Fähigkeit auch sicher, dass alle relevanten Gruppen das Cyber-Sicherheitsprogramm verstehen, befürworten und unterstützen können.

6. Hohe Stressresistenz und Belastbarkeit

Viele alltägliche Aufgaben eines CISO bergen Stress. Dabei wird dieser bei bedeutenden Sicherheitsereignissen oder öffentlich bekannten Datenschutzverletzungen in extremen Ausmaßen erlebt.

Hier gilt es für den CISO, stets souverän zu agieren: Er muss das Unternehmen effizient führen und durch diese hochdruckbeladenen Situationen navigieren können, während er gleichzeitig seine Ruhe und Übersicht wahrt.

Effektiver CISO gleich mehr Unternehmenserfolg?

Die Evolution der Rolle des CISO zu einem Business Leader ist eine direkte Reaktion auf die sich rasch verändernde digitale Landschaft, in der wir heute operieren.

Dabei ist klar, dass die Aufgaben, die ein CISO zu erfüllen hat, heute weit über die technische Expertise hinausgehen und einen immer stärkeren Einfluss auf strategische Geschäftsentscheidungen von Unternehmen haben. Aber genau diesen Einfluss braucht es mehr denn je, um in einer Ära der Digitalisierung und konstanten Cyberbedrohungen zu florieren.

Apropos Cyberbedrohungen: Halten Sie sich mit unserem Experten-Know-how, mit dem wir den im Oktober stattfindenden ECSM (European Cyber Security Month) begleiten, auf dem Laufenden. Am 26. Oktober erscheint unser nächster Beitrag zum Thema API Security, den Sie hier lesen können.