Herausforderung für CISOs – The Challenge for CISOs

Die Rolle der CISOs sei heute wichtiger und entscheidender denn je. Sie müssten globalen Risiken begegnen, die Einhaltung lokaler Compliance-Vorschriften sicherstellen und gleichzeitig die Maßnahmen ihrer Unternehmen für einen technologiegestützten Aufschwung und entsprechendes Wachstum unterstützen. Um Werte zu erhalten, müssten CISOs ein Gleichgewicht zwischen der Einhaltung nationaler Vorschriften und der Bekämpfung internationaler Cyber-Bedrohungen finden.

Angesichts der zunehmenden Bedrohungen müssen CISOs die Risikoanfälligkeit und -resistenz ihrer Ökosysteme bewerten, Compliance-Strukturen zur Risikominderung aufbauen und Maßnahmen zur Risikobeherrschung implementieren. Daher sollten die folgenden Themen ganz oben auf ihrer Agenda stehen:

1. Regulierung: Strenge Cyber-Gesetze läuten das Zeitalter des verpflichtenden Informationsaustauschs ein. So hat die Europäische Kommission mit dem “Cyber Resilience Act” ein Gesetz auf den Weg gebracht, das Anforderungen an Produkte mit digitalen Komponenten verbindlich festlegt und für mehr Transparenz über die Sicherheit von Hard- und Softwareprodukten sorgen soll. Die NIS2-Richtlinie, die 2023 in Kraft treten wird, verschärft diese Anforderungen und betrifft bis zu 40.000 Unternehmen in Deutschland.

Auch die US-amerikanische Börsenaufsichtsbehörde Securities and Exchange Commission (SEC) hat vor einigen Monaten die Regeln für die Offenlegung von Cyber-Daten verschärft, nach denen Cyber-Vorfälle gemeldet werden müssen. Diese Entwicklung hin zu einer Meldepflicht macht mehr Transparenz noch notwendiger und stärkt das Vertrauen in die Cyber-Sicherheitsmaßnahmen von Unternehmen und Behörden.

2. Digitale Transformation: Es ist spannend zu sehen, wie die digitale Transformation in vielen Unternehmen und Behörden voranschreitet. Einerseits. Andererseits wird dadurch ein effektives Sicherheitsmanagement noch wichtiger, es ist zu einem zentralen Thema geworden. Für CISOs bedeutet das: Sie müssen die Kontrolle über die digitalen Ressourcen behalten – und gleichzeitig ihre Sicherheitsstrategien an die sich rasant verändernden Geschäftsanforderungen anpassen. Kontinuierliches Lernen und Anpassen ist dabei entscheidend.
3. Cloud- und API-Sicherheit: Da immer mehr Fälle von Datenschutzverletzungen in Cloud-Umgebungen bekannt werden, rückt die Entwicklung fortschrittlicher Cloud-Sicherheitsstrategien zunehmend in den Fokus: Dieser Trend unterstreicht, wie wichtig ein umfassendes Identitäts- und Zugriffsmanagement, eine effiziente Datenverschlüsselung und eine kontinuierliche Überwachung sind, um Cloud-basierte Ressourcen zu schützen.

Parallel dazu richten CISOs ihre Aufmerksamkeit zunehmend auf die Sicherheit von Programmierschnittstellen (APIs). Dies umfasst zwei Aspekte: Zum einen ein detaillierter Prozess, um alle APIs im Unternehmen zu identifizieren. Zum anderen die Bewertung, ob die vorhandenen Tools in Bezug auf Transparenz, Kontrolle und Compliance ausreichend sind.

4. Cyber-Resilienz: Angesichts der Vielzahl neuer Bedrohungen versuchen Unternehmen, eine starke Sicherheitskultur aufzubauen, die ihre Fähigkeiten zur Erkennung, Prävention und Reaktion verbessert. Dazu gehören die Aktualisierung von Geschäftskontinuitätsplänen, die Entwicklung von Notfallwiederherstellungsstrategien und die Erstellung von Protokollen für die Reaktion auf Cyber-Angriffe. All dies mit dem Ziel, einen umfassenden Ansatz für Cyber-Resilienz zu etablieren.

5. KI-gesteuerte Sicherheit: Industrieroboter in der Automobilproduktion, Suchmaschinen, virtuelle Assistenten wie Alexa, Chatbots wie ChatGPT: Die ständigen Fortschritte im Bereich der künstlichen Intelligenz sind beeindruckend. Und sie führen zur Weiterentwicklung von KI-gesteuerten Sicherheitstools. Diese Werkzeuge erweitern nicht nur die Möglichkeiten der Verteidiger – sie bieten auch strategische Vorteile, wenn es darum geht, den Einsatz vorhandener Fachkräfte und Ressourcen zu optimieren.

Teil einer Entwicklung

CISOs müssen anpassungsfähig, proaktiv und strategisch sein. Ihre Rolle entwickelt sich ständig weiter und erfordert eine Mischung aus technischem Fachwissen, strategischen Planungsfähigkeiten und Führungsqualitäten, um den neuen Herausforderungen im Bereich der Cybersicherheit wirksam begegnen zu können.

Es zeigt sich auch, wie wichtig es ist, sich nicht nur mit den traditionellen Aspekten zu befassen. Sondern zum Beispiel auch, wie physische Infrastrukturen und Betriebstechnologien (OT), Geräte im Internet der Dinge (IoT) und SCADA-Systeme gesichert werden können und wie die Sicherheit von Mitarbeitern an entfernten Standorten gewährleistet werden kann. Ganz zu schweigen von Cloud-Sicherheit, KI und strengeren Vorschriften und Compliance-Anforderungen.

All diese Aspekte sind Teil einer Entwicklung. Eine Entwicklung, die die zunehmende Komplexität der Cyber-Sicherheit widerspiegelt, bei der sich digitale und physische Welten überschneiden – und die einen ganzheitlichen Ansatz zur Sicherung unterschiedlicher Assets erfordert. Der Verantwortungsbereich des CISO geht dabei über die Sicherung von Daten und das Management digitaler Assets hinaus und umfasst nun das ganzheitliche Risiko einer Organisation: Es geht darum, Risiken in allen Bereichen zu identifizieren, zu bewerten und zu minimieren – um die Widerstandsfähigkeit und Geschäftskontinuität in einer sich ständig verändernden Bedrohungslandschaft sicherzustellen. Mit anderen Worten: Es geht darum, das gesamte Ökosystem einer Organisation zu schützen. Die Technologien, die sie dafür einsetzen, decken dieses erweiterte Aufgabenspektrum gezielt ab und sind gleichzeitig immer enger mit den Geschäftsprozessen verzahnt.

The role of the CISO is now more important and critical than ever. They must manage global risks, ensure local compliance, and support their organizations‘ efforts to drive technology-driven growth. In order to preserve value, CISOs must strike a balance between complying with national regulations and combating international cyber threats.

In the face of increasing threats, CISOs must assess the risk vulnerability and resilience of their ecosystems, build compliance structures to mitigate risk, and implement risk governance measures. As a result, the following issues should be at the top of their agenda:

1. Regulation: Stringent cyber laws are ushering in the age of mandatory information sharing. For example, the European Commission has introduced the Cyber Resilience Act, which sets binding requirements for products with digital components and aims to ensure greater transparency regarding the security of hardware and software products. The NIS2 Directive, which will come into force in 2023, strengthens these requirements and will affect up to 40,000 companies in Germany.

A few months ago, the U.S. Securities and Exchange Commission (SEC) also tightened cyber data disclosure rules requiring the reporting of cyber incidents. This move towards mandatory reporting makes greater transparency even more necessary and strengthens confidence in the cybersecurity measures of companies and authorities.

2. Digital transformation: It is exciting to see how digital transformation is progressing in many companies and government agencies. On the one hand. On the other hand, this makes effective security management even more important; it has become a central issue. For CISOs, this means maintaining control over digital assets while adapting security strategies to rapidly changing business needs. Continuous learning and adaptation is key.

3. Cloud and API security: As more cases of data breaches in cloud environments become public, there is a growing focus on developing advanced cloud security strategies: this trend underscores the importance of comprehensive identity and access management, efficient data encryption, and continuous monitoring to protect cloud-based resources.

At the same time, CISOs are turning their attention to the security of application programming interfaces (APIs). This involves two aspects: First, a detailed process to identify all APIs in the organization and second, an assessment of whether existing tools are sufficient in terms of visibility, control and compliance.

4. Cyber resilience: With the proliferation of new threats, organizations are seeking to build a strong security culture that improves their detection, prevention and response capabilities. This includes updating business continuity plans, developing disaster recovery strategies and creating protocols for responding to cyber attacks. The goal is to establish a comprehensive approach to cyber resilience.

5. AI-driven security: Industrial robots in automotive manufacturing, search engines, virtual assistants like Alexa, chatbots like ChatGPT: the steady advances in artificial intelligence are impressive. And they are leading to the development of AI-powered security tools. These tools not only extend the capabilities of defenders, but also offer strategic advantages in optimizing the use of existing specialists and resources.

Part of an evolution

CISOs must be adaptable, proactive, and strategic. Their role is constantly evolving, requiring a mix of technical expertise, strategic planning skills and leadership to effectively address new cybersecurity challenges.

It also shows the importance of looking beyond the traditional aspects. You have to secure physical infrastructure and operational technologies (OT), Internet of Things (IoT) devices and SCADA systems, and ensure the safety of remote workers. Not to mention cloud security, AI, and more stringent regulatory and compliance requirements.

All of this is part of an evolution. An evolution that reflects the increasing complexity of cybersecurity, where the digital and physical worlds intersect – requiring a holistic approach to securing multiple assets. The CISO’s responsibilities now extend beyond securing data and managing digital assets to encompass an organization’s holistic risk: it’s about identifying, assessing and mitigating risk across all areas to ensure resilience and business continuity in an ever-changing threat landscape. In other words, it’s about protecting an organization’s entire ecosystem. The technologies they use to do this are designed to address this expanded set of responsibilities while becoming more tightly integrated with business processes.