Der moderne CISO: Eine Führungskraft für Cyberrisiken, die mit dem Unternehmen und dem Vorstand zusammenarbeitet

Die Rolle eines CISO hat sich im Laufe der Jahre erheblich verändert, da Cyberrisiken in vielen Unternehmen auf höchster Ebene sichtbar geworden sind. Was bedeutet es also, heute ein CISO zu sein? Daria Meyer, CISO bei Panalpina, meint dazu: "Man wird als CISO bekannt, wenn man dem Unternehmen einen geschäftlichen Nutzen bringt, aber man wird auch geschätzt, wenn man das Unternehmen erfolgreich durch einen Cybervorfall führt".

Die Beziehung zwischen Cyberspace und Audit

"Meine Reise in die Cybersicherheit begann mit einem praktischen Sicherheitstraining. Nachdem ich meinen Abschluss in Telekommunikation und Netzwerktechnik gemacht hatte, nahm ich eine Stelle in einem Support-Team für Fernzugriff an. Ich hatte die Möglichkeit, praktische Erfahrungen in der Sicherheitstechnik zu sammeln. Ich habe diese Zeit in meiner Karriere sehr genossen und nach ein paar Jahren bin ich dazu übergegangen, mein Know-how im Projektmanagement zu erweitern, wo ich für die Cybersicherheit bei grossen globalen Fusions- und Übernahmeprojekten zuständig war. Das war der Zeitpunkt, an dem meine Karriere richtig Fahrt aufnahm.

Ich begann, mich auf Cybersicherheitsoperationen, die Reaktion auf Vorfälle und das Risikomanagement von Anbietern zu konzentrieren und übernahm zunehmend Führungsaufgaben in den Bereichen Sicherheit und Risk Governance. Ich wurde für die Leitung, Kontrolle und Stärkung des Schutzes der Informationssicherheit verantwortlich und verwaltete Budgets für die globale Funktion sowie für globale Projekte. Außerdem sammelte ich wertvolle Erfahrungen bei der Arbeit in einem stark regulierten Umfeld und bei der Leitung eines globalen und vielfältigen Teams.

Meine harte Arbeit zahlte sich aus und ich wurde für den grössten Geschäftsbereich von Novartis verantwortlich: Pharma. Ich war für die Festlegung und Umsetzung der gesamten Cyber-Strategie verantwortlich, leitete eine weltweite Organisation und sorgte dafür, dass das globale Pharmageschäft und die gesamten kommerziellen IT-Produkte, -Projekte und -Dienstleistungen auf sichere und konforme Weise entwickelt und bereitgestellt wurden. Diese Rolle brachte auch eine grössere Verantwortung für die Verwaltung und das Budget mit sich. Vor meiner Ernennung gab es diese Rolle und diese Organisation noch nicht. Also habe ich sie von Grund auf neu konzipiert und aufgebaut und dabei die Mitarbeiter eingestellt, die ich brauchte.

Als ich gefragt wurde, ob ich CISO bei Panalpina werden möchte, musste ich einfach ja sagen. Ich wusste, dass dies die Gelegenheit für mich war, die Cybersicherheitsvision des Unternehmens wirklich zu gestalten und einen echten Einfluss auf die Gesellschaft zu haben. Bei Panalpina berichte ich direkt an den CIO und den Verwaltungsrat. Ich gestalte die Sicherheitsvision und -strategie des Unternehmens und konzentriere mich darauf, Mehrwert für Panalpina und seine Kunden zu schaffen. Ich sitze auch in Beiräten führender IT-Technologieunternehmen, innovativer Start-ups und globaler Sicherheitsforen."

Für Daria bedeutete die Übernahme einer Position als CISO mehr als nur die tägliche Sicherheit ihres Unternehmens zu gewährleisten. Daria betrachtete das grosse Ganze:

"Sie müssen darüber nachdenken, was Sie erreichen wollen, worauf Sie sich konzentrieren wollen, um einen Mehrwert für Ihr Unternehmen und Ihre Kunden zu schaffen.

Darias Motivation ist heute noch genauso klar wie damals, als sie zum ersten Mal CISO wurde:

"Ich möchte einen positiven Einfluss auf das Unternehmen, für das ich arbeite, und auf die Gesellschaft im Allgemeinen ausüben".

Bei Novartis war ihr Ziel ganz klar: Sie wollte den Kranken etwas zurückgeben. Als sie dann CISO wurde, stellte sie sicher, dass sie sich einem Unternehmen anschloss, dessen Kultur und Prioritäten mit ihren Bestrebungen übereinstimmten. Als Cyber-Führungskraft sieht sie sich nicht als Leiterin der Abteilung "Nein", sondern als Beraterin und Managerin eines grossartigen Teams und als Verwalterin von Daten, Informationssystemen und Ressourcen. Sie weiss, dass sie als CISO wichtige Entscheidungen beeinflussen wird, die echte Menschen betreffen. Gleichzeitig ist die Welt des Transports und der Logistik relativ neu in der digitalen Welt, so dass Darias Rolle als CISO ein grünes Feld ist. Indem sie ihre Erfahrung und ihr Fachwissen einbringt, hilft sie nicht nur ihrem Unternehmen, sondern auch ihrer Branche.

Darias Bestreben, anderen zu helfen, speist sich aus ihrem Verständnis dessen, was Cybersicherheit ist:

"Vor ein paar Jahren setzten viele CISOs mit der IT gleich. Man sah ihre Rolle darin, die Systeme eines Unternehmens zu sichern, mehr nicht. Es wurde nicht über Sicherheit als Wettbewerbsvorteil und Geschäftsfaktor gesprochen, geschweige denn über Ethik".

Oh - wie sich die Dinge verändert haben! Im Jahr 2017 haben bereits 87 % der FTSE 100-Unternehmen Cyberrisiken als Hauptrisiko eingestuft. Angesichts dieser gestiegenen Aufmerksamkeit widmen die Vorstände dem Thema nun grosse Aufmerksamkeit und beziehen zunehmend Experten für Cybersicherheit ein. Diese Verschiebung geht Hand in Hand mit einem grösseren Umfang an Aufgaben im Bereich der Cybersicherheit:

"Cybersicherheit hat sich von einer reinen IT-Abdeckung zu einer umfassenderen Risikobehandlung entwickelt. Es geht auch um Widerstandsfähigkeit: Vorfälle verhindern und gleichzeitig sicherstellen, dass das Unternehmen im Falle eines Vorfalls durchkommt".

Darüber hinaus schützen Datenschutzgesetze und -verordnungen wie die EU-Datenschutz-Grundverordnung die Privatsphäre des Einzelnen als grundlegendes Menschenrecht. Dies unterstreicht, dass dieser Bereich direkte Auswirkungen auf das Leben der Menschen hat, sowohl zu Hause als auch am Arbeitsplatz und für alle Altersgruppen.

Die Zeit, in der die Grenze zwischen der physischen und der digitalen Welt klar definiert war, ist längst vorbei. Daher ist die Cybersicherheit zu wichtig geworden, um von Moral und Werten ausgenommen zu werden. Was wir von Daria lernen können, ist, dass es für die Verantwortlichen im Cyberspace heute unerlässlich ist, die Auswirkungen ihres Handelns auf das Leben der Menschen zu verstehen und in der Lage zu sein, hinter ihren Entscheidungen zu stehen, was auch immer geschieht.