Thought Leadership
Der Chief Information Security Officer (CISO) ist heute in Unternehmen nicht mehr wegzudenken und übernimmt die Rolle des Verantwortlichen für die Informationssicherheit. Er hat eine Vielzahl an Aufgaben zu erfüllen, doch diese 10-Punkte machen einen guten CISO wirklich aus.
- Effektiver und inspirierender Führungsstil
- Kommunikationsstark mit unterschiedlichsten Zielgruppen
- Ruhig, auch unter Druck
- Fähig, teamübergreifend und ergebnisorientiert zusammen zu arbeiten
- Extrem starkes Dringlichkeitsbewusstsein
- Multitasking-fähig
- Intensive Neugier auf Technologien und die sich ständig wandelnde Cyber-Bedrohungslandschaft
- Sehr gute Technologie- und Sicherheitskenntnisse
- Besonders gut entwickelter Geschäftssinn
- Sehr gutes Gespür für erfolgreiches Risikomanagement
Warum diese Eigenschaften den Erfolg eines guten CISO ausmachen
1. Effektiver und inspirierender Führungsstil
Die Anwerbung und Bindung von Cyber-Spitzenkräften, das Leiten eines Sicherheitsteams auch unter stressigen Bedingungen und das wirksame Eintreten für effektive Sicherheit erfordern eine außergewöhnlich starke Führungskompetenz. Ein CISO, der diese Fähigkeit nicht besitzt, wird schnell feststellen, dass er oder sie keine Spitzenkräfte gewinnen oder gar an das Unternehmen binden kann. Denn geeignete Bewerberinnen und Bewerber sind durchweg Kandidaten, die nach sinnvollen Herausforderungen in einem spannenden und innovativen Umfeld suchen.
2. Kommunikationsstark mit unterschiedlichen Zielgruppen
Ein CISO muss glaubwürdig und in der Lage sein, dem Vorstand, dem CEO, anderen leitenden Angestellten, Sicherheits- und Technologieteams sowie Mitarbeitern, Kunden und zuweilen den Medien wichtige Botschaften zu vermitteln. Unabhängig davon, ob neu auftretende Risiken, Investitionen und Budgets oder größere Zwischenfälle diskutiert werden, die Fähigkeit des CISO zur effektiven Kommunikation ist von entscheidender Bedeutung. Denn diese Fähigkeit stellt letzten Endes sicher, dass sämtliche Zielgruppen das Cyber-Sicherheitsprogramm verstehen und unterstützen.
3. Bleibt ruhig, auch unter Druck
Viele der täglichen Aufgaben eines CISO sind stressig, aber die Bewältigung größerer Sicherheitsvorfälle oder einer öffentlich bekannt gewordenen Datenschutzverletzung heißt Stress am Limit. Der CISO muss in der Lage sein, das Unternehmen effektiv zu managen und durch diese angespannten Situationen zu manövrieren. Gleichzeitig muss er seine Ausgeglichenheit und Übersicht bewahren
4. Fähig, teamübergreifend und ergebnisorientiert zusammenzuarbeiten
Ein Großteil der Arbeit, die erforderlich ist, um Cybersicherheit praktisch umzusetzen, muss außerhalb der direkten Managementkette eines CISO geleistet werden. Die Bereiche Technik, Personalwesen, Recht, Vorstand, industrielle Geschäftseinheiten und so weiter – sie alle spielen eine wichtige Rolle für effektive Cybersicherheit. Der erfolgreiche CISO sollte hochqualifiziert sein, um die Führungsetage und die einzelnen Abteilungen in einem Unternehmen beim Erreichen der Sicherheitsziele unterstützen. Das kann schwierig und ressourcenintensiv sein, und nicht selten macht man sich dabei unbeliebt.
5. Extrem starkes Dringlichkeitsbewusstsein
Cyber-Bedrohungen erfordern dynamische Maßnahmen und das unter immensem Zeitdruck. Jeder Tag, an dem ein Unternehmen Cyberrisiken nicht im Griff hat, erhöht die Wahrscheinlichkeit, dass Risiken und Schwachstellen auch tatsächlich ausgenutzt werden. Eine schnelle Entscheidungsfindung und die rasche Umsetzung von Maßnahmen, sind Schlüsselelemente eines effektiven Risikomanagements.
6. Multitasking-fähig
Zu den Stakeholdern des CISO gehören alle Funktionsbereiche und Abteilungen eines Unternehmens sowie Vorstand, Geschäftsleitung, Mitarbeiter, Kunden und Investoren. Der CISO muss in der Lage sein, Maßnahmen und Probleme, die diese Bereiche betreffen, zu managen und Fortschritte zu erzielen, und dabei stets die wichtigsten Sicherheitsfunktionen und -projekte voranzutreiben.
7. Intensive Neugier auf Technologie und die sich ständig wandelnde Cyber-Bedrohungslandschaft
Im Bereich Cybersicherheit ist Wandel die einzige Konstante. Sicherheitslücken, Bedrohungen, Bedrohungsakteure, Exploit-Strategien ändern sich ständig. Gleichzeitig bringt die Fülle neuartiger Technologien nicht nur neue Lösungen in die Unternehmen, sondern auch ständig neue Sicherheitsaspekte. Um diesen ohnehin komplexen und sich schnell verändernden Strom noch zu verstärken, gibt es Hunderte von Start-ups, die an Innovationen im Bereich Cybersicherheit arbeiten. Innovationen, die verstanden, geprüft, bewertet und gegebenenfalls erworben werden müssen, so sie denn eine überzeugende Risikorendite bieten.
8. Sehr gute Technologie- und Sicherheitskenntnisse
Ich selbst vertrete nicht die Ansicht, dass qualifizierte Manager jeden Bereich effektiv managen können. Ein CISO muss die zugrunde liegenden Telekommunikations- und Informationstechnologien im gesamten Unternehmen verstehen und wie sie eingesetzt werden. Erst das versetzt ihn in die Lage, die mit diesen Technologien verbundenen Sicherheitsrisiken zu identifizieren und managen. Darüber hinaus muss ein CISO Cyberbedrohungen, Informationssicherheitskonzepte sowie technische Sicherheitskontrollen genau kennen. Wissenslücken in diesen Bereichen führen dazu, dass Risiken übersehen werden und man sich zu sehr auf die Wirksamkeit einzelner Sicherheitskontrollen verlässt.
9. Besonders gut entwickelter Geschäftssinn
Das CISO muss ein umfassendes Verständnis für das Kerngeschäft des Unternehmens entwickeln, um Cyber-Risiken zu den Unternehmensinteressen in Beziehung zu setzen und ihnen Priorität einzuräumen.
10. Sehr gutes Gespür für erfolgreiches Risikomanagement
Risikomanagement ist das Herzstück der Cybersicherheit. Der CISO muss ein qualifizierter Risikomanager sein, um die Grundlage für eine unternehmensorientierte Vision und Strategie für Cybersicherheit zu schaffen. Das Abwägen der potenziellen Auswirkungen eines Cybervorfalls mit der Wahrscheinlichkeit seines Eintretens und die Bewertung der Risikorendite von Investitionen sind entscheidend Prioritäten um die Höhe der Ausgaben festzulegen.
