In the inaugural episode of Commvault’s „Continuous Compliance“-Podcasts von Commvault begrüßte Chief Trust Officer Danielle Sheer Howard Holton, COO von GigaOm, zu einem Gespräch über die sich wandelnde Compliance-Landschaft, die Schwachstellen in kritischen Infrastrukturen sowie die Auswirkungen von Datenverlusten und Cybersicherheit.
Die Diskussion war sowohl aufschlussreich als auch zum Nachdenken anregend und bot wertvolle Einblicke dazu, wie Unternehmen sich und ihre Daten in einer zunehmend digitalen Welt besser schützen können. Sehen Sie sichhier.
Der Wandel in der Wahrnehmung von Compliance
Compliance wurde lange Zeit als Backoffice-Aufgabe betrachtet, als bloßer Punkt auf einer Liste zu erledigender Aufgaben. Diese Denkweise hat jedoch dazu geführt, dass kritische Infrastrukturen aufgrund unzureichender Beachtung angemessener Architekturstandards äußerst anfällig geworden sind. Danielle betonte, wie wichtig es ist, Compliance als einen entscheidenden Aspekt der Sicherheit und Integrität einer Organisation zu betrachten.
Er stellte einen deutlichen Vergleich zwischen physischer und digitaler Compliance an und wies darauf hin, dass ein physischer Fehler wie verdorbenes Rindfleisch zwar unmittelbare und schwerwiegende Folgen haben kann, ein digitaler Fehler wie eine Datenpanne, von der 300 Millionen Menschen betroffen sind, jedoch möglicherweise nicht das gleiche Ausmaß an Auswirkungen hat.
Diese Diskrepanz und die mangelnde Dringlichkeit bei der Bewältigung von Problemen im Bereich der digitalen Sicherheit unterstreichen die Notwendigkeit strengerer Strafen und regulatorischer Rahmenbedingungen, damit Unternehmen die Einhaltung der Vorschriften ernst nehmen.
“The CEO should face the worst penalties, the chairman of the board second. That would change things overnight,” Howard suggested.
The EU’s General Data Protection Regulation (GDPR) was cited as a model for the United States to follow. GDPR has had a significant impact on compliance, with more fines in its first year than in the entire history of HIPAA in the U.S. The success of GDPR underscores the importance of federal involvement in creating a unified regulatory framework for cybersecurity in the U.S.
Die sich wandelnde Rolle des CISO
Die Rolle des CISO gewinnt zunehmend an Bedeutung, wenn es darum geht, die Kluft zwischen technischem Fachwissen und der Entscheidungsfindung auf Führungsebene zu überbrücken. Danielle und Howard betonten, dass der CISO eine Position auf Vorstandsebene einnehmen sollte, die durch regelmäßige und transparente Kommunikation mit dem Vorstand gekennzeichnet ist.
“If your CISO is not in front of your board on a minimum of a quarterly basis, you don’t have a CISO,” Danielle said. “And if you are not letting your CISO talk to the board on a minimum quarterly basis and really deliver useful information and be as open and transparent as possible, you don’t have a security program.”
Howard schlug außerdem eine ausgewogene Zusammensetzung des Vorstands vor, bestehend aus 60 % MBA-Absolventen und 40 % Technologen. Diese Ausgewogenheit würde den Vorstandsmitgliedern helfen, Herausforderungen im Bereich der Cybersicherheit besser zu verstehen und anzugehen.
The CISO’s role in incident response and strategic planning is also critical. “The greatest way to make change is to have a smart CISO at your organization when you go through a ransomware attack. Everybody just goes, ‘Oh crap, we should have listened,’ and this is what we’ll do,” he observed.
Die Komplexität der Vorschriften in den einzelnen Bundesstaaten
Das Flickwerk aus unterschiedlichen Vorschriften in den einzelnen US-Bundesstaaten stellt eine erhebliche Herausforderung für die wirksame Einhaltung von Cybersicherheitsvorschriften dar. Danielle erklärte, dass die USA in Bezug auf die Einhaltung von Vorschriften praktisch aus 51 Ländern bestehen, da jeder Bundesstaat die Möglichkeit hat, eigene Gesetze zu erlassen.
Diese Komplexität kann zu Verwirrung und einer uneinheitlichen Umsetzung von Sicherheitsmaßnahmen führen. Die Referenten sprachen sich für eine Beteiligung des Bundes aus, um die Vorschriften zu vereinheitlichen, was es den Organisationen erleichtern würde, diese einzuhalten, und einen einheitlicheren und effektiveren Ansatz für die Cybersicherheit ermöglichen würde.
Das Potenzial der KI im Informationsmanagement
AI has the potential to significantly disrupt industries, but this potential is contingent upon the quality and maturity of an organization’s data management practices.
“AI accelerates everything so insanely much that there’s nothing that accelerates potential the way AI can accelerate potential,” Howard said.
Companies with mature data management and high-quality data have a first-mover advantage in the AI-driven landscape. “If your data quality isn’t up to snuff and your organizational maturity around your data just is not there, it’s going to cost you potentially everything,” he warned.
Die wichtigsten Erkenntnisse
- Compliance as a critical function: Compliance should be treated as a critical aspect of organizational security and integrity, not just a back-office task. The lack of proper standards in software has led to significant security risks.
- Stricter penalties needed: The disparity in penalties between physical and digital compliance failures highlights the need for more stringent and consistent enforcement of digital security standards. Severe penalties for CEOs and board members could drive significant change.
- Elevating the CISO: The CISO’s role should be elevated to a board-level position, with regular and transparent communication. A balanced board composition, including technologists, can help address cybersecurity challenges more effectively.
- Federal standardization: The complexity of state-by-state regulations hinders effective cybersecurity compliance. Federal involvement is necessary to create a unified and standardized regulatory framework.
- AI and data quality: AI has the potential to accelerate organizational capabilities, but this potential is contingent upon the quality and maturity of an organization’s data management practices. Companies with high-quality data have a significant advantage.
