Cybervorfälle können das Vertrauen in CISOs stärken

Es klingt paradox, aber das Erleben eines schwerwiegenden Cybersicherheitsvorfalls führt nicht zwangsläufig zu einem Vertrauensverlust gegenüber dem CISO.  In vielen Fällen kann ein Vorfall das Vertrauen sogar stärken. Diese Aussage unterstützen aktuelle Untersuchungen von ISC2 zur Führung im Bereich Cybersicherheit. Konkret stimmen 76 Prozent der Befragten der Aussage zu, dass Cybersicherheitsverantwortliche, die bereits für die Bewältigung eines größeren Vorfalls verantwortlich waren, als glaubwürdiger wahrgenommen wurden.

Wie das Vertrauen nach einem Cybervorfall entsteht, hängt von den Umständen ab. Es entsteht dann, wenn die Organisation davon überzeugt ist, dass der CISO durch komplexe Situationen führen, die Auswirkungen auf das Geschäft reduzieren, klar kommunizieren und das Unternehmen bei der Erholung unterstützen kann. Mit anderen Worten: Die Perspektive, durch die Vertrauen sichtbar wird, ist Resilienz.

Wie die Bewältigung früherer Vorfälle Resilienz signalisiert

Vereinfacht gesagt bezeichnet Resilienz die Fähigkeit, mit Stress umzugehen und trotz dieser Belastung weiterzumachen, sich zu erholen und anschließend sogar gestärkt daraus hervorzugehen. In der Cybersicherheit bedeutet Resilienz nicht nur die Fähigkeit, einen Vorfall vorherzusehen und zu erkennen. Sie bedeutet auch, einen Vorfall zu bewältigen, den Betrieb aufrechtzuerhalten und die Unternehmensaufgabe trotz eines Vorfalls weiterhin zu erfüllen und möglicherweise nach der Verarbeitung der gewonnenen Erkenntnisse sogar besser aufgestellt zu sein.

Zweifellos kann ein schwerwiegender Vorfall Schwachstellen offenlegen. Gleichzeitig kann er aber auch die Fähigkeit des CISOs unter Beweis stellen, die Organisation dabei zu unterstützen, mit der Situation umzugehen, den Betrieb fortzuführen und sich zu erholen. Ein CISO, der extrem belastende Vorfälle bewältigt hat, genießt eher Vertrauen, weil er nachweislich über die Fähigkeiten und das Urteilsvermögen verfügt, Prioritäten zu setzen, Entscheidungen zu treffen und letztlich das zu schützen, was wichtig ist.

Resilienz gleicht jedoch nicht einfach nur der Aussage, dass man schon einmal einen Cybervorfall erlebt hat. Denn die Cybersicherheit hat sich heute von einer reinen Präventionsorientierung hin zu Resilienz über den gesamten Lebenszyklus eines Vorfalls entwickelt. Im Mittepunkt steht nicht die Frage „ob“, sondern die Vorbereitung darauf, „wann“ und „wie“ darauf reagiert wird. Im Mittelpunkt stehen die proaktive Erkennung, schnelle Eindämmung, Wiederherstellung und Aufrechterhaltung der Geschäftskontinuität.

Resilienz über den gesamten Lebenszyklus eines Vorfalls aufbauen

Resilienz beginnt lange vor einer Sicherheitsstörung. Zur Einordnung sprechen Führungskräfte im Bereich Cybersicherheit häufig von der Phase „links vom Knall“ (Prävention) oder „rechts vom Knall“ (nach dem Vorfall). Heute besteht das Ziel darin, die Auswirkungen zu minimieren, indem über den gesamten Lebenszyklus eines Vorfalls hinweg die erforderlichen Ressourcen und Fähigkeiten vorhanden sind, damit das Unternehmen den Vorfall überstehen und so schnell wie möglich einen akzeptablen Betriebszustand wiederherstellen kann. Im Grunde wird damit der „Knall“ selbst erweitert und seine Bewältigung als integraler Bestandteil von Resilienz verstanden. Dieser Ansatz geht weit über Technologie hinaus. Er setzt Backups, Ausweichsysteme, Verfahren und gute Beziehungen innerhalb des gesamten Unternehmens voraus. Diese stärken die Fähigkeit der Organisation, als Team zusammenzuarbeiten und über den gesamten Lebenszyklus eines Vorfalls hinweg bessere Ergebnisse zu erzielen:

• Vor dem Vorfall: Antizipation, Planung, Vorbereitung und Bereitstellung von Ressourcen.
• Während eines Vorfalls: Erkennung, Entscheidungsfindung, Eindämmung und Reduzierung der Auswirkungen.
• Nach einem Vorfall: Wiederherstellung, Lernen und Anpassung.

Der geschäftsorientierte Aspekt von Resilienz ist ein wesentlicher Grund dafür, dass die Rolle des CISOs heute zu einer der zentralen Funktionen für Geschäftskontinuität, Risikomanagement und für Entscheidungen auf Führungsebene geworden ist. Nach einem Cybersicherheitsvorfall sollte der Verantwortliche für Cybersicherheit nicht lediglich als Instanz wahrgenommen werden, die im Fall eines Scheiterns die Verantwortung trägt. Entscheidend ist seine Rolle als strategischer Partner, der Beziehungen zwischen verschiedenen Unternehmensbereichen aufbaut und fördert und dadurch seine vertrauensvolle Zusammenarbeit stärkt. Als Folge wird im Falle einer Krise nicht nur über Technologie diskutiert, sondern auch über Geschäftskontinuität, die Reputation des Unternehmens und letztlich über die Resilienz des Unternehmens.

Die Grundlage der Resilienz: Komplexität kommunizieren

Ausgeprägte Kommunikationsfähigkeiten sind ein zentraler Bestandteil des Vertrauensaufbaus. Führungskräfte im Bereich Cybersicherheit müssen heute in der Lage sein, komplexe Sachverhalte im Unternehmen verständlich zu vermitteln. Diese Fähigkeit basiert auf dem Selbstvertrauen der Führungskräfte als auch auf dem Vertrauen, das das Team in sie setzt.

Doch wie groß ist das Vertrauen von Cybersicherheitsteams in ihre Führungskräfte auf der Managementebene (CISO, CSO, CIO, CTO usw.)? Laut einer ISC2-Untersuchung sind 34 Prozent der Befragten sehr zuversichtlich und 15 Prozent äußerst zuversichtlich. Zusammengenommen ergibt dies einen positiven Zuversichtswert von 49 Prozent. Weitere 31 Prozent äußern ein moderates Maß an Zuversicht; 15 Prozent geben an, nur geringfügig zuversichtlich zu sein, und 6 Prozent haben überhaupt kein Vertrauen in ihre Führungskräfte im Bereich Cybersicherheit. Die Tatsache, dass mehr als die Hälfte lediglich moderates bis gar kein Vertrauen hat, sollte bei Führungskräften im Sicherheitsbereich die Alarmglocken läuten lassen.

Doch Führungskräfte im Sicherheitsbereich können das Vertrauen ihres Teams in sie durch mehrere Eigenschaften festigen. An erster Stelle steht die Fähigkeit, Risiken gegenüber der Unternehmensleitung zu kommunizieren. 95 Prozent der Befragten bezeichnen diese Fähigkeit als „sehr wichtig“. Weitere wichtige Eigenschaften sind eine strategische und langfristige Vision für die Cybersicherheit (91 Prozent), die Fähigkeit, effektiv mit der Unternehmensleitung und Aufsichtsgremien zusammenzuarbeiten, um Budgets zu sichern (88 Prozent), Transparenz bei Entscheidungen und Maßnahmen (86 Prozent) sowie Entscheidungsfähigkeit unter Druck (85 Prozent).

Es überrascht nicht, dass die Fähigkeit zur Kommunikation von Risiken besonders hervorsticht. Sie ist eine grundlegende Eigenschaft für den Aufbau von Resilienz und zeigt, dass die wichtigste Führungsfähigkeit eines CISOs nicht allein in technischer Expertise besteht. Vielmehr geht es um die Fähigkeit, kritisch zu denken, mögliche Fehlerzustände und Auslöser vorherzusehen, Handlungsoptionen zu entwickeln und das Wesentliche in einfachen, umsetzbaren Begriffen zu vermitteln. Anders ausgedrückt: Eine Führungskraft im Sicherheitsbereich sollte in der Lage sein, die kritischen Bestandteile einer komplexen Situation zu verstehen und sie in einen für das Unternehmen relevanten Zusammenhang zu übersetzen.

In der Praxis bedeutet dies, ein komplexes Szenario beispielsweise im Hinblick auf Risiken, Technologien oder betriebliche Abläufe zu betrachten und drei bis fünf entscheidenden Aspekte innerhalb dieser Komplexität zu identifizieren. Diese gilt es in den geschäftlichen Kontext einzuordnen, die damit verbundene Risiken zu steuern und sicherzustellen, dass auch andere Mitglieder des Führungsteams sie nachvollziehen können. Die Vorgehensweise lässt sich am Beispiel eines Ransomware-Angriffs, der an einem Montagmorgen das Netzwerk eines Krankenhauses lahmlegt, verdeutlichen. Die technischen Details sind komplex: Mehrere Server sind verschlüsselt und nicht funktionsfähig, die Angreifer könnten auf Patientendaten zugegriffen haben, und die klinischen Teams sind besorgt darüber, ob sie die Patientenversorgung weiterhin gewährleisten können. Ein vertrauenswürdiger und souveräner CISO erläutert zu Beginn nicht die Malware-Varianten, Verschlüsselungsverfahren oder forensischen Unsicherheiten. Stattdessen reduziert er die Situation auf die wichtigsten Fragen, bei denen das Unternehmen sofort handeln muss:

• Patientenversorgung: Welche Systeme sind ausgefallen, und welche manuellen Prozesse stehen zur Verfügung, um kritische Leistungen aufrechtzuerhalten?
  Geschäftskontinuität: Wie lange kann die Organisation im eingeschränkten Betriebsmodus sicher arbeiten, und welche entscheidenden Maßnahmen müssen innerhalb dieses Zeitraums ergriffen werden?

• Datenexposition: Was wissen wir – und/oder was wissen wir noch nicht – darüber, ob auf sensible Informationen zugegriffen wurde?
  Entscheidungspunkte: Worauf konzentrieren wir uns: die Wiederherstellung aus Backups, die Isolation weiterer Systeme, die Benachrichtigung von Aufsichtsbehörden oder die Hinzuziehung externer Unterstützung bei der Vorfallbewältigung?
  Compliance, rechtliche und regulatorische Fragen: Welche potenzielle Haftung bzw. welche Compliance-Probleme bestehen? Ist eine Einbindung der Strafverfolgungsbehörden erforderlich?

Vereinfacht gesagt übersetzt der CISO einen hochgradig technischen Vorfall in betriebliche Aspekte für Führungskräfte und dies vor dem Hintergrund, Schaden zu verhindern bzw. zu minimieren. Das ist der Unterschied zwischen dem Beschreiben von Komplexität und dem Führen durch Komplexität.

Vertrauen durch Resilienz gewinnen

Vertrauen entsteht aus dem Vertrauen in Menschen und in Ergebnisse. CISOs, die dieses Vertrauen gewinnen, können von sich sagen, dass sie schon einmal in einer ähnlichen Situation waren und diese bereits bewältigt haben. Sie haben die notwendigen Beziehungen aufgebaut, um schwierige Situationen zu meistern. Denn wer Resilienz aufbauen will, muss in der Lage sein, vertrauensvolle Beziehungen innerhalb der eigenen Gruppe von Führungskollegen aufzubauen und zu entwickeln.

Letztlich bedeutet Resilienz die Fähigkeit, mit Stress umzugehen, trotz Belastungen weiterzumachen, sich zu erholen und gestärkt daraus hervorzugehen.