How to become a CISO: Ein Leitfaden für den obersten Security Officer

In der heutigen Bedrohungslandschaft tragen Chief Information Security Officers (CISOs) eine erhebliche Verantwortung. Sie haben großen Einfluss auf das Unternehmen und müssen ihren Wert und ihre Kompetenz regelmäßig unter Beweis stellen. In die Rolle des CISO lediglich hineinzustolpern ist nicht die beste Option, denn wer eine Karriere im Bereich der Cybersicherheit vorantreiben möchte, sollte sich gut vorbereiten.

Marco Eggerling, CISO EMEA bei Check Point, liefert in seinem Leitfaden Informationen, die dabei helfen, den eigenen Weg zum gefragten CISO klar zu definieren, den richtigen Nutzen für ihr Unternehmen zu erzielen und ihr Potenzial voll auszuschöpfen.

Der CISO: Definition und Aufgaben
Der Chief Information Security Officer ist eine hochrangige Führungskraft und häufig Mitglied der Geschäftsleitung. Er ist für die Entwicklung und Umsetzung eines Informationssicherheitsprogramms verantwortlich, das die Mitarbeiter, Prozesse und Technologien eines Unternehmens schützt. Seine Hauptaufgabe besteht darin, die Cyber-Sicherheitsagenda eines Unternehmens voranzutreiben.

In seiner Funktion als oberster Cybersicherheitsbeauftragter muss der CISO die bestehenden Sicherheitsherausforderungen einer Organisation verstehen, neue Probleme erkennen, wissen, was angegangen werden muss, Initiativen priorisieren und einen strategischen Fahrplan erstellen.

Er muss Cybersicherheitsrichtlinien entwickeln, die sowohl den Branchenvorschriften als auch den lokalen Gesetzen entsprechen, die Cybersicherheitskommunikation managen, mit Cybersicherheitsmitarbeitern zusammenarbeiten und an hochrangigen Besprechungen zu Sicherheitsfragen teilnehmen.

Im Falle eines Cybersicherheitsvorfalles muss ein CISO mit seinem Team zusammenarbeiten, um Risiken zu identifizieren, zu analysieren und zu bewerten. Darüber hinaus sollten CISOs in der Lage sein, die Kosten eines Vorfalls zu analysieren und die Gesamtauswirkungen eines Vorfalls zu bewerten.

Er muss präventiv angemessene Pläne zur Reaktion auf einen Vorfall entwickeln, eine detaillierte Berichterstattung über einen Vorfall erstellen und Sicherheitsempfehlungen zu diesem geben. Ein proaktiver Ansatz beim Bedrohungsmanagement kann CISOs leicht zu einem guten Ruf verhelfen, der zur Anerkennung als Führungskraft und zu einem insgesamt sichereren Unternehmen führt.

Wie wird man CISO?
CISOs müssen eine nachweisbare Erfolgsbilanz vorweisen können. Um sich einen guten Ruf zu erarbeiten und ihre Erfahrung unter Beweis zu stellen, sollten angehende CISOs Folgendes tun:

• Bildung ist alles. Unabhängig davon, ob es sich um eine formelle oder informelle Ausbildung handelt, erwarten die meisten Unternehmen spezifische Qualifikationen, die zeigen, dass eine Person in der Lage ist, die Aufgaben eines CISO zu erfüllen. Einige Unternehmen erwarten, dass die Bewerber neben einem Bachelor-Abschluss auch einen postgradualen Abschluss im Bereich der Cybersicherheit vorweisen können, z. B. einen Master of Science in Cyber Security (MSCS).
  
  

• Relevante technische Erfahrung. Bevor man sich für eine CISO-Stelle bewirbt, muss man nachweisen, dass man über die nötige praktische Erfahrung verfügt, um ein Unternehmen im Bereich Cybersicherheit sicher und erfolgreich zu führen. Die technischen Kenntnisse müssen auf dem neuesten Stand sein und sich auf die spezifischen Bedrohungen in einer bestimmten Branche beziehen. Letzteres ist vor allem für neue CISOs wichtig. Die meisten CISO-Positionen erfordern mindestens fünf Jahre Berufserfahrung im Bereich der Cybersicherheit.
  
  

• Führungserfahrung sammeln. Wie jede Führungsposition ist auch die des CISO eine Führungsaufgabe. Daher müssen angehende CISOs wissen, wie man ein starkes Cybersicherheitsteam aufbaut und wie man die Teammitglieder effektiv führt, damit sie die notwendigen Skillsets liefern, die zu einer Gesamtstrategie beitragen. Für CISO-Positionen ist in der Regel Managementerfahrung erforderlich. Einige verlangen mindestens 7-10 Jahre Managementerfahrung.
  
  

• Führungsqualitäten entwickeln. Neben Management-Erfahrung und -Fähigkeiten müssen CISOs auch ein gewisses Maß an Führungspräsenz, gerne auch als „Gravitas“ bezeichnet (Persönlichkeit und Selbstvertrauen, das sie durch ihr Auftreten ausstrahlen), mitbringen. Das schließt eine Reihe von Kommunikationsfähigkeiten, ein persönliches Auftreten und die Fähigkeit, in stressigen Situationen ruhig zu bleiben, ein. Es gibt keine genaue Definition von Führungspräsenz, aber sie ist ein Indikator für das eigene Führungspotenzial.
  
  

• Qualifikationen erweitern. Angehende CISOs können ihren Horizont und ihre Führungsqualitäten erweitern, indem sie an hochwertigen, weltweit anerkannten Trainingsprogrammen wie der Check Point Mind CISO Academy teilnehmen.
  
  

• Eine strategische Vision entwickeln. Unternehmen, die einen CISO einstellen möchten, suchen Kandidaten, die das Unternehmen in die Zukunft führen können. Angehende CISOs müssen Interesse an persönlicher Entwicklung zeigen und beweisen, dass sie das Wachstum und die Entwicklung eines talentierten, wissbegierigen und engagierten Teams unterstützen können.
  
  

Viele Wege führen zum CISO
Es gibt keinen eindeutigen Weg, den angehende CISOs einschlagen müssen. Vielmehr können eine Reihe von Cybersicherheitszertifizierungen, ein neugieriger Geist und ein starkes Netzwerk von Kollegen dabei helfen, sich auf die Rolle vorzubereiten. Die folgenden Kompetenzen sind wichtige Meilensteine auf dem Weg zum CISO:

• Technische Fähigkeiten sind ein Muss. Ein CISO muss alles über Netzwerksicherheit, Cloud-Sicherheit, Identitätszugangsmanagement, Infrastrukturübernahme und -anpassung sowie über Tools und Technologien wissen, die den Schutz, die Integrität und die Verfügbarkeit von Daten im Unternehmen gewährleisten.
  
  

• Sicherheitsingenieure, die CISOs werden wollen, konzentrieren sich oft auf die Suche nach Problemen. CISOs müssen nicht nur in der Lage sein, Probleme zu finden, sondern auch Probleme und Schwachstellen zu erkennen, die für ihre Umgebung nicht offensichtlich sind. Es braucht Zeit und Übung, um zu lernen, die richtigen Fragen zu stellen und Probleme auf unkonventionelle Weise zu betrachten.
  
  

• CISOs müssen ihren Wissensstand ständig aktualisieren, wenn sie über Cybersicherheit nachdenken. Was für die Implementierung von Cybersicherheit vor Ort erforderlich ist, unterscheidet sich von dem, was für die Cloud erforderlich ist. Mit dem Aufkommen von immer mehr Automatisierungs- und KI-basierten Tools muss auch das Wissen stetig neu angepasst werden.
  
  

• Viele angehende CISOs verkaufen ihre technischen Fähigkeiten an potenzielle Arbeitgeber. Auch das sind wichtige Eigenschaften für diese Berufsgruppe: eine lösungsorientierte Einstellung, das Erkennen von Gewinnen und Verlusten und die Betonung des Einsatzes von Cybersicherheit als Business Enabler (und nicht als Kostenstelle). Wer Wege findet und aufzeigen kann, wie man den Umsatz des Arbeitgebers oder potenziellen Arbeitgebers steigern kann, wird einen deutlichen Mehrwert bieten, der auch erkannt wird.
  
  

Den Weg zum Erfolg ebnen
Allzu oft bereiten Unternehmensleiter ihre CISOs auf Misserfolge vor, indem sie Cybersicherheit als Nullsummenspiel betrachten. Oft ist die Mentalität: „Es darf niemals auch nur einen einzigen Cyber-Angriff auf mein Unternehmen geben“. Mit dieser Mentalität wird ein CISO im Falle eines Sicherheitsvorfalls als erfolglos betrachtet. Ihm oder ihr droht dann die Entlassung.

Strategisch denkende CISOs wissen, dass sie sich auf den Erfolg vorbereiten können, indem sie mit Stakeholdern auf Führungsebene zusammenarbeiten, um vorgeschlagene Erfolgskriterien (z. B. 98 Prozent der Angriffe verhindern) und realistische KPIs zu entwickeln.

CISO vs. CIO – Ein wesentlicher Unterschied
Lange Zeit sahen Unternehmen keine Notwendigkeit, einen CISO einzustellen, wenn es bereits einen CIO gab. Die Unternehmen fragten sich, warum ein Generalist wie der Chief Information Officer sich nicht um die Cybersicherheit kümmern könne. Als jedoch die Cyber-Bedrohungen zunahmen und Sicherheitsverletzungen aufgedeckt wurden, wurde eine größere Verantwortlichkeit und Sicherheitsaufsicht unumgänglich.

Ein CIO kann den übergreifenden IT-Plan für ein Unternehmen erstellen, aber der CISO ist für die Prävention und die Reaktion auf Cyber-Bedrohungen verantwortlich. Wenn CIOs und CISOs zusammenarbeiten, können Unternehmen mit maximaler Effizienz und digitaler Sicherheit arbeiten.

Fazit
Für IT-Sicherheitsexperten mag die Rolle des CISO wie die ultimative berufliche Rolle erscheinen. Es gibt jedoch ähnliche Rollen, die einen ähnlichen Status, ein ähnliches Gehalt und ein ähnliches Maß an Verantwortung bieten. Zum Beispiel könnte die Rolle des Chief Data Officer (CDO) für einige interessant sein, während die Rolle des Business Information Security Officer (BISO) für andere interessant sein könnte.

Wer sich jedoch für die Rolle des CISO entscheidet, stellt die Weichen bestenfalls möglichst früh während des beruflichen Werdegangs. Sicherlich ist eine Rolle, die mit derart viel Verantwortung betraut ist, nicht auf der Überholspur zu erreichen.

Wer jedoch die genannten Tipps beherzigt, sich in Sachen Cyberbedrohungen stets up to date hält, Probleme und Schwachstellen erkennen, beheben und IT-Teams anleiten und koordinieren kann, bringt das richtige Rüstzeug mit, um sich für die Position des CISO selbstbewusst empfehlen zu können.