Die Reihe Vectra Masked CISO bietet Sicherheitsverantwortlichen einen Ort, an dem sie die größten Sicherheitsprobleme offenlegen und Kollegen beraten können, wie sie diese lösen können.
Im Vergleich zu Branchen wie dem Risikomanagement ist die Cybersicherheit ein Neuling - Lloyd's Insurance wurde 1688 gegründet! Die Bezeichnung CISO ist sogar noch jünger, sie taucht erst seit 2005 auf. Aber die Rolle ist noch immer nicht klar definiert, und jeder CISO arbeitet anders.
Es ist nicht einfach, die Rolle zu definieren, wenn die Person, die den CISO einstellt, sehr unterschiedlich sein kann. CISOs berichten an CEOs, CIOs, CTOs und andere, und die erforderlichen Fähigkeiten hängen von der Art des Unternehmens und der Person ab, an die sie berichten. CIOs und CTOs wollen einen technischen Berater, während CROs Probleme eher aus der Perspektive des Risikomanagements angehen. CEOs wollen einfach die Welt von gestern.
Es ist keine Überraschung, dass CISOs in der Regel unter großem Druck stehen, was zu regelmäßiger Rollenrotation und Fluktuation innerhalb der Sicherheitsabteilungen führt. Dies könnte jedoch gestoppt werden, wenn den CISOs mehr Autonomie und Verantwortung übertragen würde.
Die Berichtslinien bestimmen nicht die Macht oder den Wert einer Rolle, aber wenn die meisten CISOs immer noch an einen technischen Leiter berichten, schränkt dies die Fähigkeit ein, strategisch zu handeln und verwässert den Wert. Damit die Rolle des CISO auf Augenhöhe mit anderen technischen Führungskräften ist, müssen wir in der Lage sein, CIOs und CTOs herauszufordern, um sicherzustellen, dass die Sicherheit nicht dazu gedrängt wird, Risiken zu akzeptieren, um die Anforderungen agiler IT-Projekte zu erfüllen. So wie die CISO-Rollen heute typischerweise verteilt sind, können wir uns glücklich schätzen, wenn wir in einer Situation sind, in der eine Zusammenarbeit besteht. Und wenn dies nicht der Fall ist, sind wir gezwungen, ein wachsendes Risiko zu akzeptieren, ohne über die entsprechenden Werkzeuge zu verfügen.
CISOs erweitern ihre Fähigkeiten und gewinnen an Einfluss
Wenn ein CISO das Glück hat, seinen eigenen Nachfolger einzustellen, erstellen wir die Stellenbeschreibung, und natürlich würde der ideale Nachfolger dazu neigen, ein ähnliches Kompetenzprofil zu haben... mit Schwerpunkt auf der technischen Seite. Es ist zwar wichtig zu verstehen, was die Sicherheitsteams tun, aber um den Einfluss des CISO zu vergrößern, ist die Entwicklung von Soft Skills wie Kommunikation mit den Stakeholdern, Geschäftssinn und strategische Planung unerlässlich. Andernfalls werden wir im SOC feststecken und für weitere 20 Jahre von der Vorstandsetage ferngehalten.
CISOs, die in ihrem Unternehmen den größten Einfluss haben wollen, sollten auf Folgendes achten:
- Eine Rolle, die die Aufsicht über technische Aufgaben erfordert, ohne sie auszuführen - ich habe erlebt, dass CISOs aufgrund falscher Erwartungen in das Incident Management eingebunden waren. Dies ist keine gesunde Position für eine Führungskraft.
- Verstehen Sie, welchen Platz die Sicherheit in der Geschäftsstrategie einnimmt - ist sie ein wesentlicher Bestandteil des Geschäftsmodells, oder wird die Rolle hauptsächlich technisch sein? Werden Sie zu sehr damit beschäftigt sein, Brände zu löschen, um Veränderungen voranzutreiben?
- Schauen Sie sich die aktuelle Prozesskette für die Sicherheit an und fragen Sie nach der Reife: Befolgt das Unternehmen definierte Prozesse und Richtlinien, verfügt es über einen ausgereiften Plan zur Reaktion auf Vorfälle? So erhalten Sie ein gutes Bild davon, wo Sie Ihre Zeit verbringen werden.
- Stellen Sie sicher, dass Sie die Kontrolle über den Einkauf haben - Sie können das Qualifikationsdefizit nicht beheben, indem Sie einem überforderten Team mehrere Produkte in die Hand drücken.
Erfolgreiche CISOs müssen in der Lage sein, Sicherheitskontrollen zu aktualisieren und alte Tools gegen Lösungen auszutauschen, die den manuellen Aufwand reduzieren und Aktionen priorisieren, wie z. B. KI-Erkennung und Reaktion.
Dieser Blog wurde zuerst in The Register veröffentlicht .