Der Einstieg in eine neue Organisation

Chief Information Security Officers (CISOs) tragen eine große Verantwortung dafür, die Sicherheit einer Organisation zu gewährleisten. Für jemanden, der neu in dieser Position ist, ist die Herausforderung noch größer.

Die Funktion des CISO hat sich in den vergangenen Jahren aufgrund der zunehmenden Bedrohungen in der Branche stark weiterentwickelt. CISOs übernehmen eine Führungsrolle im Unternehmen und tragen dazu bei, Vertrauen in Menschen, Technologie und Prozesse aufzubauen. In vielen Unternehmen erhalten CISOs inzwischen auch einen Sitz im Vorstand.

Wir zeigen, wie neue CISOs in einer Organisation ein sicherheitsorientiertes Ökosystem aufbauen und etablieren können.

5 Schritte für CISOs beim Einstieg in eine neue Organisation

1. Verstehen Sie Ihr Unternehmen

Der erste Schritt besteht darin, Ihr Unternehmen und seine Branche gründlich kennenzulernen. Dazu gehört auch, sich mit der Zukunft Ihres Unternehmens und seinen Plänen für die weitere Entwicklung vertraut zu machen. Mit diesem Wissen erkennen Sie, wie sich Sicherheit so umsetzen lässt, dass sie das Geschäft ermöglicht.

Im zweiten Schritt lernen Sie die Teams und einzelnen Mitarbeitenden in Ihrem Unternehmen kennen. Dazu gehört, zu verstehen, was sie tun, wie sie arbeiten und auf welche Projekte sie sich derzeit konzentrieren. Wenn Sie Ihre Teams und die leistungsstarken Mitarbeitenden darin kennenlernen, können Sie künftige Sicherheitshürden aus dem Weg räumen.

2. Bauen Sie Vertrauen bei der Unternehmensführung auf

Für einen CISO ist es entscheidend, eine Beziehung zum Vorstand aufzubauen, um über die Vorgänge in der Organisation auf dem Laufenden zu bleiben. Wer neu zu einer Organisation kommt, muss zunächst die bestehenden Strategien verstehen und sich mit ihnen abstimmen, bevor Änderungen vorgenommen werden. Ein CISO kann nicht erfolgreich sein, wenn er isoliert arbeitet. Deshalb muss er sich mit der Organisation identifizieren und die Ziele des Vorstands verstehen. Wenn der Vorstand Ihnen vertraut, können Sie im Unternehmen viel bewirken.

Ein guter Anfang, um Vertrauen beim Vorstand aufzubauen, ist, dass ein CISO seine Zusagen einhält. Deshalb ist es wichtig, die Ziele des Unternehmens zu verstehen: Projekte, die gut auf diese Ziele abgestimmt sind, haben bessere Erfolgsaussichten. Wenn Sie wie versprochen liefern, stärkt das Ihre Glaubwürdigkeit. Mit diesem Rückhalt hört der Vorstand Ihnen eher zu und unterstützt Ihre Ideen.

3. Erkennen Sie die Kultur der Organisation

Ein CISO muss die Unternehmenskultur verstehen, um tiefere Einblicke in die Menschen, das Geschäft und die verschiedenen Abteilungen zu gewinnen. Eine gute Abstimmung auf die Unternehmenskultur hilft einem CISO, die eigene Rolle besser zu verstehen, den eigenen Platz im Unternehmen zu erkennen und sicherzustellen, dass die Anforderungen des Unternehmens erfüllt werden.

Damit Sicherheitspraktiken angenommen werden, müssen sie zur Unternehmenskultur passen. Je nach Branche übernehmen CISOs bestehende Sicherheitsherausforderungen. Wenn Entwicklung und Sicherheit traditionell voneinander getrennt sind, muss der CISO beispielsweise dazu beitragen, die bestehende Kultur offener und kooperativer zu gestalten. Dafür sind eine Gap-Analyse und eine Bewertung der drei Dimensionen Technologie, Prozesse und Organisationstyp entscheidend, damit der Wandel möglichst reibungslos verläuft.

4. Machen Sie Sicherheit zur Teamaufgabe

Bei Sicherheit geht es nicht nur um Technologie und Verfahren, sondern auch um Teams und Menschen. Damit bestimmte Praktiken im gesamten Unternehmen erfolgreich umgesetzt werden, muss Sicherheit als Teamaufgabe verstanden werden. Das bedeutet, dass alle Mitarbeitenden ihre Rolle für die Sicherheit kennen und wissen, wie sie mit anderen Teams zusammenarbeiten, um sicher zu bleiben. Ob jemand im Marketing einen Phishing-Versuch an InfoSec meldet oder ein Entwickler ein von der Security bereitgestelltes Tool für statische Anwendungssicherheitstests (SAST) richtig einsetzt – alle tragen ihren Teil bei.

Wenn es als CISO ein Problem gibt, müssen Sie es verstehen, schnell reagieren und sicherstellen, dass die Teams die Notwendigkeit einer raschen Zusammenarbeit und Reaktion auf den Vorfall erkennen. Dazu kann gehören, allen Mitarbeitenden im Unternehmen unabhängig von ihrer Funktion ein umfassendes Sicherheitstraining anzubieten.

5. Denken und handeln Sie strategisch

Ein CISO muss sowohl mit Blick auf übergeordnete Ziele als auch auf die spezifischen Anforderungen einzelner Teams strategisch denken. Es ist wichtig, Lücken in den Verfahren zu erkennen und zu schließen sowie die „Risikoreife“ weiterzuentwickeln, damit alle die Risikobereitschaft und -toleranz des Unternehmens verstehen. Sicherheit sollte als Beitrag zum Geschäftsergebnis und nicht als Betriebsausgabe betrachtet werden. Es liegt in der Verantwortung des CISO, diese Sichtweise zu vertreten und sich die Unterstützung der Führungsebene zu sichern.

Von oben nach unten kann das bedeuten, vor dem Vorstand für die Finanzierung neuer Ideen, Projekte oder anderer Maßnahmen einzutreten, die für ein sicheres Ökosystem in der Organisation erforderlich sind. Von unten nach oben ist es wichtig, dass alle Mitarbeitenden ihre Rolle für die Sicherheit verstehen und sich als wertvollen Beitrag dazu sehen. CISOs müssen in der Lage sein, klar mit allen Mitarbeitenden zu kommunizieren – unabhängig von ihrer Ebene oder Position.