CISOs und Vorstände stehen angesichts zunehmender Sicherheitsrisiken vor einer Kommunikationslücke

Da Cyberbedrohungen zu einem zunehmend sichtbaren Geschäftsrisiko werden, wird von Unternehmensvorständen immer häufiger eine stärkere Rolle bei der Sicherheitsaufsicht gefordert. Mehr Aufmerksamkeit bedeutet jedoch nicht zwangsläufig eine bessere Abstimmung mit Chief Information Security Officers (CISOs) und ihren Teams.

Die Beziehung wird häufig als Konflikt zwischen Sicherheitsverantwortlichen, die Investitionen anstreben, und Vorstandsmitgliedern, die auf die finanzielle Leistungsfähigkeit fokussiert sind, beschrieben. In der Praxis könnte die Kluft weniger auf gegensätzlichen Prioritäten als auf Kommunikation beruhen. Sicherheitsteams haben möglicherweise Schwierigkeiten, technische Risiken im Hinblick auf ihre geschäftlichen Auswirkungen zu erläutern, während Vorständen der Kontext fehlt, den sie benötigen, um zu beurteilen, ob bestehende Kontrollen und Ressourcen ausreichen.

Gemeinsame Anliegen, unterschiedliche Perspektiven

Vorstände und Sicherheitsverantwortliche erkennen gleichermaßen den Bedarf an mehr Unterstützung, um diese Lücke zu schließen. CISOs benötigen ausreichend Personal, Budget und Unterstützung durch die Führungsebene, um zunehmend komplexe Bedrohungen zu bewältigen. Vorstandsmitglieder brauchen hingegen klare und konsistente Informationen, die ihnen helfen, das Risikoprofil des Unternehmens zu verstehen und fundierte Entscheidungen zu treffen.

Diese Informationen sind besonders nützlich, wenn sie über Listen von Schwachstellen oder Details zu Sicherheitstools hinausgehen. Berichte, die Cyberrisiken mit kritischen Abläufen, regulatorischen Verpflichtungen, dem Kundenvertrauen und finanziellen Folgen verknüpfen, können Vorstandsmitgliedern eine praktischere Grundlage für ihre Aufsicht geben.

Einen stärkeren Dialog aufbauen

Eine Verbesserung der Beziehung könnte regelmäßige Kommunikation erfordern, statt Briefings auf größere Vorfälle oder jährliche Planungszyklen zu beschränken. Sicherheitsverantwortliche können dazu beitragen, indem sie Prioritäten in geschäftlichen Begriffen darstellen und die Folgen der Akzeptanz bestimmter Risiken erläutern. Vorstände können ihren Beitrag leisten, indem sie fragen, wie Sicherheitsziele die übergeordnete Strategie des Unternehmens unterstützen, und sicherstellen, dass Verantwortlichkeiten eindeutig zugewiesen sind.

Der zunehmende Fokus auf Cybersicherheit beseitigt die Herausforderungen zwischen Vorständen und CISOs nicht. Er könnte jedoch die Gelegenheit schaffen, Annahmen über konkurrierende Interessen durch eine produktivere Diskussion über gemeinsame Verantwortung zu ersetzen. Eine wirksame Aufsicht setzt voraus, dass beide Seiten über die Informationen, Befugnisse und Ressourcen verfügen, die sie zur Bewältigung von Risiken benötigen.