Gartner Sicherheitstrend 2022 – Nr. 4: Entscheidungen verteilen

Willkommen zum vierten Teil unserer fortlaufenden Artikelreihe über die sieben Haupttrends, die im Gartner-Bericht „Top Trends in Cybersecurity 2022“ identifiziert wurden, der seinen Kunden im März vorgelegt wurde. Heute diskutieren wir den vierten Trend: Entscheidungen verteilen.

Dieser Trend passt genau zu dem übergreifenden Thema des Gartner-Berichts: Die Art und Weise, wie sich die Rolle und Funktion des CISO grundlegend verändert – und die Notwendigkeit für Unternehmen, diesen Wandel anzunehmen, wenn sie Cyberrisiken in Zukunft effektiv managen wollen.

Die traditionelle Rolle des CISO

Es mag seltsam klingen, über die „traditionelle“ Rolle einer Führungsposition zu sprechen, die es erst seit 1994 oder 1995 gibt (als Citicorp Steve Katz in diese Position berief – für die Wirtschaftshistoriker unter Ihnen). Doch in dieser relativ kurzen Zeit hat sich die Rolle des CISO aufgrund der veränderten geschäftlichen und technologischen Bedingungen bereits mehrfach gewandelt.

Nichtsdestotrotz wird der CISO seit seinem Bestehen fast durchgängig als Fachexperte für einen speziellen Teilbereich der IT angesehen. In dieser Hinsicht ist der CISO fast immer dem CIO unterstellt.

Neben umfassenden Kenntnissen über die Cyberbedrohungslandschaft zur Festlegung unternehmensweiter Cybersicherheitsrichtlinien und -praktiken gehörten zu den Aufgaben traditionell die Förderung der Cybersecurity als ein Interesse im Wettbewerb mit anderen. Auch Verhandlungen mit Führungskräften in den Bereichen Entwicklung, Betrieb, Produktmanagement usw. fallen in dessen Zuständigkeit, um ein ausgewogenes Verhältnis zwischen Cybersecurity und anderen, konkurrierenden Interessen innerhalb des Unternehmens herzustellen.

Neue Wege gehen

Laut der Analyse von Gartner „wird eine einzelne, zentralisierte Cybersecurity-Funktion bis 2025 nicht agil genug sein, um die Anforderungen eines digitalen Unternehmens zu erfüllen.“

Dies ist zum Teil auf die Exposition gegenüber neuen Angriffsvektoren wie digitale Lieferketten, zunehmende Bedrohungen, neue und aktualisierte gesetzliche Anforderungen und sich entwickelnde, funktionsübergreifende Geschäftsprozesse zurückzuführen. Darüber hinaus bedeutet die Ausweitung des digitalen Arbeitsbereichs, dass die Beteiligten im gesamten Unternehmen immer häufiger Sicherheitsentscheidungen und -richtlinien benötigen, die die zentralisierte CISO-Funktion nach und nach nicht mehr erfüllen kann.

Um Sicherheitsentscheidungen mit der erforderlichen Schnelligkeit und Agilität treffen zu können, muss die Entscheidungsfindung in digitalen Unternehmen mit zunehmender Größe und Komplexität auf die einzelnen Geschäftsbereiche verlagert werden.

Von der IT zum Risikomanagement

Gartner geht davon aus, dass sich die Rolle des CISO von einem spezialisierten IT-Experten zu einem spezialisierten Risikomanager wandeln wird, der dem CEO und nicht dem CIO unterstellt ist und eine breit verteilte Entscheidungsfunktion mit Informationen, Tools und Richtlinien unterstützt.

Um diesem Trend Rechnung zu tragen, sollten CISOs danach streben, mit anderen Stakeholdern zusammenzuarbeiten, um:

• weniger Risikoentscheidungen zu treffen und gleichzeitig anderen im Unternehmen die Möglichkeit zu geben, ihre eigenen Entscheidungen zu treffen;
• in Selbstbedienungs- und Schulungstools zu investieren, die Entscheidungsträgern im gesamten Unternehmen ein besseres Urteilsvermögen in Bezug auf die Cybersecurity vermitteln;
• die Zuständigkeiten des „Büros des CISO“ im Gegensatz zu denen des CISO selbst klar zu definieren;
• den Vorstand, den CEO und andere Führungskräfte zu schulen, damit diese bewusst Entscheidungen über Cyberrisiken treffen können;
• eine unternehmensweite Kultur im Hinblick auf Cyberrisiken aufzubauen und Entscheidungen darüber als Teil aller Geschäftsvorgänge und -prozesse zu treffen.

Journey Notes abonnieren