CISO mit 25 Jahren

Das Vorhandensein eines Führungsteams, das bestimmte Funktionen einer Organisation leitet, geht auf die Einführung formalisierter Unternehmen zurück. In den Vereinigten Staaten ist das älteste Unternehmen Harvard, und Henry Dunste wurde bereits 1650 zum ersten CEO ernannt .

Es mag daher überraschen, dass eine der wichtigsten Führungskräfte, die heute das Managementteam zieren, im Vergleich sehr jung ist. Während wir uns heute stark auf die Position des Chief Information Security Officer (CISO) verlassen, war das vor gut 25 Jahren noch nicht der Fall.

Der erste CISO

1994 hatte die Citibank ein bedeutendes Cyber-Ereignis (sprich: sie wurde gehackt). Dieses Ereignis führte zu potenziellen Verlusten in Höhe von über 10 Millionen Dollar und zur Einführung einer neuen Führungskraft in der Führungsetage. Aus diesem Grund wird Steve Katz weithin als der erste Chief Information Security Officer anerkannt. Die Geschichte geht so:

"Zu diesem Zeitpunkt waren bereits 400.000 Dollar verloren. Ungefähr weitere 10 Millionen Dollar gingen über die Drähte, waren aber nicht verloren. Als die Leute in die Bank kamen, um das Geld abzuholen, wurden sie verhaftet. Die Angelegenheit war so bedeutsam, dass der Vorstand den Vorstandsvorsitzenden anwies, einen Sicherheitsbeauftragten zu holen, der dafür sorgen sollte, dass sich so etwas nicht wiederholen würde. Katz nahm die Stelle an und wurde der erste Chief Information Security Officer der Branche, der dem CTO unterstellt war, der wiederum dem CEO berichtete."

25 Jahre später

Die gute Nachricht ist, dass sich diese kritische Rolle schnell verbreitet hat. Laut Wikipedia:

"Ein CISO oder eine gleichwertige Funktion im Unternehmen ist in der Wirtschaft, in der Regierung und im Non-Profit-Sektor zum Standard geworden. Weltweit gibt es immer mehr Organisationen mit einem CISO. Im Jahr 2009 hatten etwa 85 % der großen Unternehmen einen Sicherheitsbeauftragten, gegenüber 56 % im Jahr 2008 und 43 % im Jahr 2006. Im Jahr 2011 hatten laut einer Umfrage von PricewaterhouseCoopers für ihre jährliche Umfrage zur Informationssicherheit 80 % der Unternehmen einen CISO oder eine gleichwertige Person.

Vielleicht noch beunruhigender ist die Tatsache, dass es weitere 22 Jahre dauerte, bis die US-Regierung nachzog und einen föderalen CISO ernannte. Am 8. September 2016 veröffentlichte das Weiße Haus eine Pressemitteilung mit dem Titel "Announcing the First Federal Chief Information Security Officer" und berichtete:

"Ein wesentliches Merkmal des CNAP ist die Schaffung des ersten CISO, der die Cybersicherheitspolitik, -planung und -umsetzung in der gesamten Bundesregierung vorantreibt. General Touhill ist derzeit stellvertretender stellvertretender Sekretär für Cybersicherheit und Kommunikation im Büro für Cybersicherheit und Kommunikation (CS&C) des Department of Homeland Security (DHS), wo er sich auf die Entwicklung und Umsetzung operativer Programme zum Schutz unserer Regierungsnetzwerke und kritischen Infrastrukturen konzentriert. In seiner neuen Rolle als Federal CISO wird Greg seine beträchtliche Erfahrung in der Verwaltung einer Reihe komplexer und vielfältiger technischer Lösungen in großem Umfang mit seinem fundierten Wissen über bewährte Praktiken und Fähigkeiten im zivilen und militärischen Bereich sowie über Strategien zur Ausbildung, Entwicklung und Bindung von Mitarbeitern kombinieren."

Heute gibt es Millionen von CISOs und Tausende von offenen Stellen, die nach dem idealen Kandidaten suchen. Es ist eindeutig keine Frage des Ob, sondern des Wann, wenn ein Unternehmen diese geschäftskritische Rolle in seiner Organisation annimmt. Sobald dies geschehen ist, ist es wichtig, dass sie mit den besten Tools ausgestattet sind, um ihre Ziele zu erreichen.

Die Werkzeugkiste eines CISO

Ein CISO wählt nicht nur ein Team aus, das die strengen Anforderungen der Bedrohungsabwehr, des Schutzes, des Datenschutzes und der Notfallwiederherstellung sowie der Berichterstattung und Einhaltung von Vorschriften erfüllen kann, sondern legt auch die Strategie für die Technologieauswahl fest. Ausgewählte Technologien müssen jede einzelne Codezeile bewerten und gut dokumentierte Umgehungstechniken unwirksam machen.

Sie sollte unabhängig vom Dateityp, der Art der Client-Anwendung oder dem im Unternehmen verwendeten Client-Betriebssystem sein. Sie sollte unabhängig von Betriebssystem, CPU-Architektur und Funktion (Client, Server) des Zielrechners Schutz bieten.

Erfahren Sie mehr hier.