Wie CISOs von Weltrang im Jahr 2023 mehr Budget und Vertrauen des Vorstands gewinnen können

Dieser Artikel erschien zuerst in SC-Magazin. Er wurde hier aktualisiert und zusammengefasst.


CISOs befinden sich in einer zunehmend angespannten Lage: Sie müssen mehr Anlagen schützen, mehr Code ausliefern, eine größere Angriffsfläche reduzieren und das alles mit immer knapper werdenden finanziellen Mitteln. Es ist eine unausweichliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird, und obwohl das Sicherheitsprogramm einer Organisation das ist, was einen Bedrohungsakteur daran hindert, sie zur katastrophalen Schlagzeile von morgen zu machen, müssen Sicherheitsverantwortliche mehr tun, um den Gesamtwert der Abteilung für das Unternehmen zu verkaufen und zu beweisen, und zwar in einer Sprache, die für das Führungsgremium Sinn macht.

CISOs von Weltrang stellen sich der Herausforderung und leiten ganzheitliche Sicherheitsprogramme, die das Vertrauen der Kunden und den Ruf der Marke stärken und alle ihnen zur Verfügung stehenden Tools nutzen, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz, um häufige Sicherheitsfallen zu vermeiden und die Mentalität hinter sich zu lassen, dass es nie genug Zeit, Ressourcen oder Personal gibt, um die Sicherheit auf höchstem Niveau zu halten.

Ändern Sie die Diskussion im Sitzungssaal.

In der aktuellen Wirtschaftslage entgehen nur wenige Unternehmen und Abteilungen der Überprüfung ihrer Ausgaben, ihrer Einstellungen und ihrer strategischen Auswirkungen auf die Geschäftsziele. Obwohl es offensichtlich ist, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt es für die Organisation erhebliche Kosten dar, die sich nicht ohne Weiteres in Bezug auf die Investitionsrendite rechtfertigen lassen.

Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse der Cybersecurity-Initiativen klar verstehen, und zwar in Begriffen, die über die Zahlen in einer Tabelle hinausgehen. Sie verfügen über ein unterschiedliches Maß an technischem Wissen und Verständnis, und CISOs müssen sich bemühen, ihre Argumente mit verständlichen Botschaften zu präsentieren. Erläutern Sie den Umfang des Programms, was geschützt werden muss und wer dazu befähigt werden muss, um ein Best-in-Class-Beispiel zu liefern. Die Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für das Gute beginnt mit einer verbalen Kampagne, um seine Vorteile zu rechtfertigen.

Es wird seit langem gesagt, dass jedes Unternehmen, unabhängig von der Branche, schnell zu einem Technologieunternehmen wird. Da ein digitaler Ansatz in den meisten Unternehmen die Norm ist, stellt dies eine enorme Angriffsfläche dar, die den besten Schutz erfordert, den man sich zu diesem Zeitpunkt leisten kann. Sicherheitsverantwortliche tragen viele Hüte, aber einer, der oft übersehen wird (bis es zu spät ist), ist, dass sie im Wesentlichen die Hüter des Kundenvertrauens sind. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie die Vertriebs- und Marketingziele. 

Beweisen Sie den Wert eines präventiven Ansatzes für die Sicherheit.

Die aktuellen Cybersicherheitsstatistiken sind haarsträubend, aber auf FUD und Panikmache zu setzen, ist in der Regel eine vergebliche Taktik, wenn es darum geht, mehr Budget zu erhalten. Nur wenige Mitglieder des Führungsteams eines Unternehmens würden behaupten, dass die Cybersicherheit keine Priorität hat, aber sie sind weitaus wahrscheinlicher für Budgeterhöhungen empfänglich, wenn eine unternehmungslustige Strategie vorgeschlagen wird, die die vorhandenen Ressourcen für bessere Ergebnisse nutzt. 

Laut einer aktuellen Studie des Neustar International Security Council haben nur 50 % der Unternehmen das Gefühl, dass sie über ein angemessenes Budget verfügen, um ihre bekannten Cybersicherheitsprobleme zu bewältigen. Und da die weltweiten Cyberangriffe zwischen 2021 und 2022 um 38 % zun ehmen werden, dürfte dies für den durchschnittlichen CISO ein noch schwierigerer Weg sein. Wirklich erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, sich über diese Probleme hinwegzusetzen und trotz aller Widrigkeiten innovativ zu sein.

In vielen Szenarien ist Vorbeugung einfacher und unkomplizierter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen, und da das Schwachstellenmanagement für viele CISOs zu den drei wichtigsten Anliegen gehört, ist es sinnvoll, dass Entwickler ein wesentlicher Bestandteil dieser Bewegung sind. Sie brauchen eine praktische Ausbildung, um häufige Sicherheitslücken direkt anzugehen, damit sie diese Probleme an der Quelle beseitigen und sicherstellen können, dass sie gar nicht erst in die Produktion gelangen. Wir sind jetzt an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können, und die Weiterbildung der Entwickler ist bei weitem das kosteneffektivste und wirksamste Mittel gegen Sicherheitslücken auf Code-Ebene. 

Es ist von entscheidender Bedeutung, dass CISOs um die Beibehaltung des bestehenden Budgets kämpfen, und die Vorteile einer rollenbasierten Sicherheitsschulung, insbesondere für Entwickler, zu erläutern, ist ein schnellerer Erfolg als das Hinzufügen der nächsten "Silberkugel" zu einem unhandlichen Sicherheitstechnologiepaket.

Sicherheit sollte zu den Grundlagen der Marke gehören.

Die meisten CISOs sind nicht in ihre Rolle hineingewachsen, um eine Leidenschaft für Marketing auszuüben, aber dies ist ein Bereich, an dem Sie arbeiten könnten, zumindest wenn Sie Ihre Argumente denjenigen präsentieren, die die finanziellen Fäden in der Hand halten. 

Die Auswirkungen eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue können gar nicht hoch genug eingeschätzt werden, und eine groß angelegte Sicherheitsverletzung kann eine Abwanderung biblischen Ausmaßes verursachen. Wenn Sie dagegen Ihre strengen Sicherheitspraktiken mit den zentralen Markenwerten in Einklang bringen, senden Sie die klare Botschaft, dass Datenschutz und -sicherheit nicht nur im Vordergrund stehen, sondern etwas sind, worauf sich die Kunden verlassen können. 

Es ist von entscheidender Bedeutung, dass der moderne CISO sich die Zeit nimmt, die Wettbewerbsvorteile der Sicherheitsstrategie und -politik hervorzuheben, da sie sich auf die anhaltende positive Stimmung und das Vertrauen der Kunden beziehen. Reaktive Sicherheit allein wird nicht die gleiche Wirkung haben, und ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Werte mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein. 

Es gibt keinen Platz mehr für Ausreden, aber es gibt viele zwingende Gründe, die CISOs bei ihrer Suche nach angemessenen Mitteln für eine wirklich transformative Sicherheitsstrategie hervorheben können.