Abstimmung der Cybersecurity mit den geschäftlichen Bedürfnissen und Anforderungen

„Security ist unsere oberste Priorität“ ist wie der wahre Name eines Dämons in Warhammer – wenn jeder in der Organisation wüsste und verstünde, was es bedeutet, könnte man tatsächlich effektive Cybersecurity erreichen.

Abgesehen von den umständlichen Verweisen möchte ich damit sagen, dass die Abstimmung der Cybersecurity mit den geschäftlichen Anforderungen wahrscheinlich die wichtigste Voraussetzung für eine effektive Cybersecurity ist, die wir oft nicht erfüllen. Dies ist etwas, womit die meisten Praktiker bestens vertraut sind – und über das sie online viel schimpfen. Gängige Beispiele:

• Führungskräfte, die nicht möchten, dass MFA für sie und manchmal auch für ihre Teams aktiviert wird
• „Ich werde keine Authentifizierungs-App auf meinem persönlichen Telefon verwenden“
  • In Ordnung, hier ist ein YubiKey
    • Ich möchte dieses USB-Laufwerk nicht verwenden, ich wurde nicht im Umgang mit MFA geschult, schalten Sie es aus!

Ich könnte so weitermachen. Natürlich sind wir Sicherheitsexperten auch dafür verantwortlich, die Dinge zu komplex zu gestalten, sodass jeder sie verstehen kann. Security-Teams (oder derjenige Administrator, der heute Morgen die Sicherheitsaufgaben übernommen hat!) konzentrieren sich oft zu eng auf „vollständigen Schutz“, wie sie ihn definieren, was zu Spannungen mit dem Geschäft und anderen IT-Teams führt.

Unternehmen sind da, um Geschäfte zu machen. Security, die das Geldverdienen behindert, wird allmählich auf der Strecke bleiben. Das könnte auf verschiedene diskrete, aber effektive Arten geschehen:

• Das Budget wird gekürzt, wodurch einige Sicherheitsmaßnahmen unmöglich umsetzbar werden
• Der Umfang der Sicherheitsteams wird reduziert, indem einige Verantwortlichkeiten in andere Geschäftsbereiche verschoben werden
• Der Fokus auf Compliance wird erhöht, was zu einer Sicherheitskultur führt, die nur als Abhaken von Sicherheitsmaßnahmen wahrgenommen wird

All diese geschäftlichen Veränderungen führen zu einer Sicherheitslage, die das Unternehmen nicht immer schützt.

Wie man häufige Fehler vermeidet und gemeinsam auf Kurs bleibt

Die Ausrichtung der Cybersicherheit an den Unternehmenszielen ist entscheidend. Security hat das volle Recht, ein Unternehmen zu schützen – aber sie darf nicht zu einem Torwächter oder einem Stolperstein werden, der das Wachstum des Unternehmens bremst. In großen Organisationen hängt der Erfolg von Security-Implementierungen häufig davon ab, einen Konsens zu erzielen und klare Richtlinien aufzustellen, bevor Tests eingeführt werden und Feedback eingeholt wird. Das ist eine Lektion, die wir im vergangenen Jahrzehnt immer wieder gehört haben, und sie gilt nach wie vor: Sicherheit sollte niemals ein Hemmnis für die Geschäftsgeschwindigkeit sein. Das bedeutet, dass man gemeinsam mit zögerlichen Entwicklungsteams und anderen Beteiligten an den Zielen arbeiten sollte, bevor man die Kontrolle über potenziell risikobehaftete Praktiken durchsetzt.

Sobald die Sicherheit implementiert ist, ist die Fähigkeit, deren Einfluss in geschäftlichen Begriffen zu quantifizieren, von entscheidender Bedeutung. Ganz gleich, ob der CFO nach dem ROI fragt oder ein Geschäftsbereichsleiter versucht, Ihr Lizenzbudget auf das von ihm bevorzugte Tool umzuleiten – wenn Sie den Wert der von Ihnen eingesetzten Lösung in Dollar beziffern können, ist es schwierig, diese in Frage zu stellen.

Die Veröffentlichung eines regelmäßigen Wertberichts – monatlich oder vierteljährlich – basierend auf Protokollen und Ticketdaten kann helfen, technische Erfolge in geschäftliche Auswirkungen zu übersetzen. Zum Beispiel kann das Blockieren von Phishing-E-Mails als „eingesparte Stunden an Mitarbeiterproduktivität“ dargestellt werden.

Ja, es erfordert Mühe, und es mag sich nicht wie direkte Security-Arbeit anfühlen – aber es ist entscheidend, um Ihren Wert für das Unternehmen zu demonstrieren. Kennzahlen wie verringerte Ausfallzeiten, verhinderte Sicherheitsverletzungen und der Schutz des Markenvertrauens lassen die Unternehmensführung bei den vierteljährlichen Geschäftsberichten (QBRs) gut aussehen – und sie werten Ihre Rolle langfristig auf.

Cybersecurity ist für das Überleben eines Unternehmens von entscheidender Bedeutung. Es ist nicht nur ein einmal im Jahr abzuhakender Compliance-Punkt. Wenn Security-Teams ihren Return on Investment (ROI) nachweisen können, gewinnen sie an Einfluss und sichern sich weitere Investitionen.