Wie erstklassige CISOs im Jahr 2023 mehr Budget und das Vertrauen des Vorstands gewinnen

Dieser Artikel erschien zuerst im SC Magazine. Er wurde aktualisiert und hier syndiziert.


CISOs befinden sich in einer zunehmend schwierigen Lage: Sie müssen mehr Assets schützen, mehr Code bereitstellen und eine größere Angriffsfläche reduzieren – und das bei rapide schwindenden finanziellen Mitteln. Es ist eine unumstößliche Tatsache, dass Cybersicherheit als Kostenstelle betrachtet wird. Obwohl das Sicherheitsprogramm eines Unternehmens genau das ist, was einen Angreifer davon abhält, das Unternehmen morgen in die Schlagzeilen zu bringen, müssen Sicherheitsverantwortliche mehr tun, um den geschäftlichen Mehrwert ihrer Abteilung zu belegen – und zwar in einer Sprache, die für die Geschäftsführung verständlich ist.

Erstklassige CISOs wachsen an dieser Aufgabe. Sie leiten ganzheitliche Sicherheitsprogramme, die das Kundenvertrauen und den Markenruf stärken, und nutzen alle verfügbaren Werkzeuge, um einen unbestreitbaren Mehrwert zu schaffen. Dies beginnt mit einem strategischen, präventiven Ansatz für häufige Sicherheitslücken und der Abkehr von der Mentalität, dass niemals genug Zeit, Ressourcen oder Personal vorhanden seien, um exzellente Sicherheit zu gewährleisten.

Verändern Sie die Diskussion im Vorstand.

Im aktuellen wirtschaftlichen Klima müssen sich nur wenige Unternehmen und Abteilungen nicht für ihre Ausgaben, Neueinstellungen und ihren strategischen Einfluss auf die Geschäftsziele rechtfertigen. Auch wenn es offensichtlich erscheint, dass ein modernes Unternehmen ein umfassendes Cybersicherheitsprogramm benötigt, stellt dies einen erheblichen Kostenfaktor dar, der sich nicht ohne Weiteres über den Return on Investment rechtfertigen lässt.

Führungskräfte und Vorstandsmitglieder müssen die prognostizierten Ergebnisse von Cybersicherheitsinitiativen klar verstehen – und zwar in Begriffen, die über Tabellenkalkulationen hinausgehen. Sie verfügen über unterschiedliche technische Kenntnisse, daher müssen CISOs ihre Argumente in einer zugänglichen Sprache präsentieren. Erklären Sie den Umfang des Programms, was geschützt werden muss und wer befähigt werden muss, um ein erstklassiges Beispiel zu liefern. Angriffe nehmen zu, doch die Budgets halten nicht Schritt, und der Kampf für die gute Sache beginnt mit einer verbalen Kampagne zur Rechtfertigung ihres Nutzens.

Es heißt schon lange, dass jedes Unternehmen – unabhängig von der Branche – schnell zu einem Technologieunternehmen wird. Da ein „Digital-First“-Ansatz in den meisten Organisationen zur Norm geworden ist, entsteht eine enorme Angriffsfläche, die den bestmöglichen Schutz benötigt. Sicherheitsverantwortliche haben viele Aufgaben, doch eine wird oft übersehen (bis es zu spät ist): Sie sind im Grunde die Hüter des Kundenvertrauens. Dies kann als Wertversprechen nicht hoch genug eingeschätzt werden und ist ebenso wichtig wie Vertriebs- und Marketingziele.

Beweisen Sie den Wert eines präventiven Sicherheitsansatzes.

Aktuelle Statistiken zur Cybersicherheit sind erschreckend, aber Angstmacherei ist meist eine fruchtlose Taktik, wenn es darum geht, mehr Budget zu gewinnen. Kaum ein Mitglied der Unternehmensführung würde bestreiten, dass Cybersicherheit Priorität hat. Sie sind jedoch weitaus eher bereit, Budgets zu erhöhen, wenn eine unternehmerische Strategie vorgelegt wird, die vorhandene Ressourcen für bessere Ergebnisse nutzt.

Laut einer aktuellen Studie des Neustar International Security Council glauben nur 50 % der Unternehmen, über ein angemessenes Budget zur Bewältigung ihrer bekannten Cybersicherheitsprobleme zu verfügen. Da globale Cyberangriffe zwischen 2021 und 2022 um 38 % zugenommen haben, dürfte der Weg für den durchschnittlichen CISO noch schwieriger werden. Erstklassige Sicherheitsverantwortliche sind jedoch in der Lage, über diese Probleme hinauszuwachsen und trotz widriger Umstände Innovationen voranzutreiben.

In vielen Szenarien ist Prävention einfacher und direkter als eine Heilung, und bei der Cybersicherheit ist das nicht anders. Ein ganzheitliches Sicherheitsprogramm muss weit über reaktive Maßnahmen hinausgehen. Da das Schwachstellenmanagement zu den drei größten Sorgen vieler CISOs zählt, ist es nur logisch, Entwickler als integralen Bestandteil dieser Bewegung einzubinden. Sie benötigen praktische Schulungen, um häufige Sicherheitsfehler direkt anzugehen. So können sie diese Probleme an der Quelle eliminieren und sicherstellen, dass sie gar nicht erst in die Produktion gelangen. Wir sind an einem Punkt angelangt, an dem wir minderwertigen, unsicheren Code nicht mehr entschuldigen können. Die Weiterbildung der Entwickler ist bei weitem das kosteneffizienteste und wirksamste Mittel gegen Schwachstellen auf Code-Ebene.

Es ist entscheidend, dass CISOs um den Erhalt ihres Budgets kämpfen. Die Vorteile einer rollenbasierten Sicherheitsschulung – insbesondere für Entwickler – aufzuzeigen, ist ein schnellerer Erfolg, als die nächste „Wunderwaffe“ in einen ohnehin schon unübersichtlichen Sicherheits-Tech-Stack aufzunehmen.

Sicherheit sollte Teil der Markengrundlagen sein.

Die meisten CISOs haben ihre Rolle nicht angetreten, um ihre Leidenschaft für Marketing auszuleben, aber genau hier sollten Sie ansetzen, wenn Sie Ihr Anliegen vor denjenigen vertreten, die über das Budget entscheiden.

Der Einfluss eines Cybersicherheitsprogramms auf das Kundenvertrauen und die Markentreue kann nicht hoch genug eingeschätzt werden; ein großflächiger Sicherheitsvorfall kann zu einer Abwanderung biblischen Ausmaßes führen. Wenn Sie hingegen Ihre strengen Sicherheitsmaßnahmen mit den Kernwerten Ihrer Marke in Einklang bringen, senden Sie ein klares Signal: Datenschutz und Sicherheit sind nicht nur wichtig, sondern ein Versprechen, auf das sich Kunden verlassen können.

Es ist entscheidend, dass der moderne CISO die Zeit nutzt, um die Wettbewerbsvorteile einer Sicherheitsstrategie im Hinblick auf eine positive Kundenwahrnehmung und Vertrauen hervorzuheben. Reaktive Sicherheit allein hat nicht denselben Effekt. Ein ausgewogener Ansatz, der sich auf den Schutz privilegierter Assets mit allen verfügbaren Ressourcen konzentriert, kann das ultimative Unterscheidungsmerkmal sein.

Es gibt keinen Raum mehr für Ausreden, aber es gibt viele überzeugende Gründe, die CISOs auf der Suche nach einer angemessenen Finanzierung für eine wirklich transformative Sicherheitsstrategie anführen können.