Die Entwicklung der Compliance und die Zukunft der Cybersicherheit

In der ersten Folge des „Continuous Compliance“-Podcasts von Commvault begrüßte Chief Trust Officer Danielle Sheer Howard Holton, COO von GigaOm, zu einem Gespräch über die sich wandelnde Compliance-Landschaft, die Schwachstellen in kritischen Infrastrukturen sowie die Auswirkungen von Datenverlusten und Cybersicherheit.

Die Diskussion war sowohl aufschlussreich als auch zum Nachdenken anregend und bot wertvolle Einblicke dazu, wie Unternehmen sich und ihre Daten in einer zunehmend digitalen Welt besser schützen können. Sehen Sie sich hier die gesamte Folge an.

Der Wandel in der Wahrnehmung von Compliance

Compliance wurde lange Zeit als Backoffice-Aufgabe betrachtet, als bloßer Punkt auf einer Liste zu erledigender Aufgaben. Diese Denkweise hat jedoch dazu geführt, dass kritische Infrastrukturen aufgrund unzureichender Beachtung angemessener Architekturstandards äußerst anfällig geworden sind. Danielle betonte, wie wichtig es ist, Compliance als einen entscheidenden Aspekt der Sicherheit und Integrität einer Organisation zu betrachten.

Er stellte einen deutlichen Vergleich zwischen physischer und digitaler Compliance an und wies darauf hin, dass ein physischer Fehler wie verdorbenes Rindfleisch zwar unmittelbare und schwerwiegende Folgen haben kann, ein digitaler Fehler wie eine Datenpanne, von der 300 Millionen Menschen betroffen sind, jedoch möglicherweise nicht das gleiche Ausmaß an Auswirkungen hat.

Diese Diskrepanz und die mangelnde Dringlichkeit bei der Bewältigung von Problemen im Bereich der digitalen Sicherheit unterstreichen die Notwendigkeit strengerer Strafen und regulatorischer Rahmenbedingungen, damit Unternehmen die Einhaltung der Vorschriften ernst nehmen.

„Der Vorstandsvorsitzende sollte die härtesten Strafen erhalten, der Aufsichtsratsvorsitzende an zweiter Stelle. Das würde die Lage über Nacht ändern“, schlug Howard vor.

Die Datenschutz-Grundverordnung (DSGVO) der EU wurde als Vorbild für die Vereinigten Staaten angeführt. Die DSGVO hat erhebliche Auswirkungen auf die Einhaltung der Vorschriften gehabt: Bereits im ersten Jahr wurden mehr Bußgelder verhängt als in der gesamten Geschichte des HIPAA in den USA. Der Erfolg der DSGVO unterstreicht, wie wichtig es ist, dass die Bundesregierung an der Schaffung eines einheitlichen Rechtsrahmens für Cybersicherheit in den USA mitwirkt.

Die sich wandelnde Rolle des CISO

Die Rolle des CISO gewinnt zunehmend an Bedeutung, wenn es darum geht, die Kluft zwischen technischem Fachwissen und der Entscheidungsfindung auf Führungsebene zu überbrücken. Danielle und Howard betonten, dass der CISO eine Position auf Vorstandsebene einnehmen sollte, die durch regelmäßige und transparente Kommunikation mit dem Vorstand gekennzeichnet ist.

„Wenn Ihr CISO nicht mindestens einmal pro Quartal vor Ihrem Vorstand erscheint, haben Sie keinen CISO“, sagte Danielle. „Und wenn Sie Ihrem CISO nicht ermöglichen, mindestens einmal pro Quartal vor dem Vorstand zu sprechen, wirklich nützliche Informationen zu liefern und so offen und transparent wie möglich zu sein, haben Sie kein Sicherheitsprogramm.“

Howard schlug außerdem eine ausgewogene Zusammensetzung des Vorstands vor, bestehend aus 60 % MBA-Absolventen und 40 % Technologen. Diese Ausgewogenheit würde den Vorstandsmitgliedern helfen, Herausforderungen im Bereich der Cybersicherheit besser zu verstehen und anzugehen.

Die Rolle des CISO bei der Reaktion auf Vorfälle und der strategischen Planung ist ebenfalls von entscheidender Bedeutung. „Der beste Weg, Veränderungen herbeizuführen, ist, einen klugen CISO in Ihrem Unternehmen zu haben, wenn Sie von einem Ransomware-Angriff betroffen sind. Alle sagen dann nur: ‚Oh Mist, wir hätten auf ihn hören sollen‘, und genau das werden wir tun“, stellte er fest.

Die Komplexität der Vorschriften in den einzelnen Bundesstaaten

Das Flickwerk aus unterschiedlichen Vorschriften in den einzelnen US-Bundesstaaten stellt eine erhebliche Herausforderung für die wirksame Einhaltung von Cybersicherheitsvorschriften dar. Danielle erklärte, dass die USA in Bezug auf die Einhaltung von Vorschriften praktisch aus 51 Ländern bestehen, da jeder Bundesstaat die Möglichkeit hat, eigene Gesetze zu erlassen.

Diese Komplexität kann zu Verwirrung und einer uneinheitlichen Umsetzung von Sicherheitsmaßnahmen führen. Die Referenten sprachen sich für eine Beteiligung der Bundesregierung aus, um die Vorschriften zu vereinheitlichen, was es den Organisationen erleichtern würde, diese einzuhalten, und einen einheitlicheren und effektiveren Ansatz für die Cybersicherheit ermöglichen würde.

Das Potenzial der KI im Informationsmanagement

KI hat das Potenzial, ganze Branchen grundlegend zu verändern, doch dieses Potenzial hängt von der Qualität und dem Reifegrad der Datenmanagementpraktiken eines Unternehmens ab.

„KI beschleunigt alles so wahnsinnig stark, dass es nichts gibt, was das Potenzial so sehr steigert wie KI“, sagte Howard.

Unternehmen mit ausgereiftem Datenmanagement und hochwertigen Daten haben in der KI-gesteuerten Landschaft einen First-Mover-Vorteil. „Wenn Ihre Datenqualität nicht den Anforderungen entspricht und Ihre organisatorische Reife im Bereich Daten einfach nicht gegeben ist, könnte Sie das unter Umständen alles kosten“, warnte er.

Die wichtigsten Erkenntnisse

• Compliance als entscheidende Funktion: Compliance sollte als entscheidender Aspekt der Sicherheit und Integrität einer Organisation betrachtet werden und nicht nur als Aufgabe im Backoffice. Das Fehlen geeigneter Standards in der Software hat zu erheblichen Sicherheitsrisiken geführt.
• Strengere Strafen sind erforderlich: Die Diskrepanz bei den Strafen für Verstöße gegen physische und digitale Sicherheitsvorschriften macht deutlich, dass eine strengere und einheitlichere Durchsetzung digitaler Sicherheitsstandards erforderlich ist. Harte Strafen für Geschäftsführer und Vorstandsmitglieder könnten erhebliche Veränderungen bewirken.
• Aufwertung der Rolle des CISO: Die Rolle des CISO sollte auf Vorstandsebene angehoben werden, verbunden mit einer regelmäßigen und transparenten Kommunikation. Eine ausgewogene Zusammensetzung des Vorstands, zu der auch Technikexperten gehören, kann dazu beitragen, Herausforderungen im Bereich der Cybersicherheit effektiver zu bewältigen.
• Standardisierung auf Bundesebene: Die Komplexität der Vorschriften in den einzelnen Bundesstaaten behindert die wirksame Einhaltung der Cybersicherheitsvorschriften. Ein Engagement auf Bundesebene ist erforderlich, um einen einheitlichen und standardisierten Rechtsrahmen zu schaffen.
• KI und Datenqualität: KI hat das Potenzial, die Leistungsfähigkeit von Unternehmen zu steigern, doch dieses Potenzial hängt von der Qualität und dem Reifegrad der Datenmanagementpraktiken eines Unternehmens ab. Unternehmen mit hochwertigen Daten verfügen über einen erheblichen Vorteil.