Cyber Storytelling: Risikokommunikation gegenüber dem Vorstand und darüber hinaus

Vorstände bewerten Risiken aus finanzieller und operativer Perspektive. Eine geschäftsorientierte Sprache verdeutlicht die Konsequenzen und unterstützt fundierte Entscheidungen. 

Wer die Angreifer sind, was sie im Visier haben, wie wahrscheinlich solche Vorfälle sind und welche potenziellen Auswirkungen sie auf die Gewinn- und Verlustrechnung, die Marke und den Geschäftsbetrieb haben. 

Durch die Heranziehung konkreter Ransomware-Beispiele, die Quantifizierung der Ausfallkosten und die Zuordnung der Risiken zu bestimmten Geschäftsbereichen. 

Cybervorfälle wirken sich auf Lieferketten, Kunden, die Einhaltung gesetzlicher Vorschriften und den Umsatz aus   Daher ist eine gemeinsame Verantwortung unerlässlich. 

Aktuelle Kontrollmaßnahmen, Recovery-Pläne, Lücken und Readiness– in einer für Unternehmen verständlichen Sprache erklärt, um Vertrauen zu schaffen. 

Sehen Sie sichhierdas Video mit dem zeitgestempelten Transkript an

Hallo, willkommen beim „Shift“-Podcast.

Ich bin Melissa Hathaway und heute sind meine Freunde John Zangardi und Shawn Henry bei mir zu Gast.

Wir sind heute hier, um darüber zu sprechen, wie man Risiken gegenüber der Geschäftsleitung kommuniziert.

Außerdem werden wir über einige sehr interessante, heikle Cyber-Geschichten sprechen.

Vielen Dank, dass ihr hier seid, und ich freue mich auf dieses Gespräch.

Was möchte der Vorstand im Sitzungssaal hören?

Was erwarten sie vom CISO und welche Informationen wünschen sie sich zu den digitalen Risiken?

Wissen Sie, immer wenn ich darüber nachdenke, mit dem Vorstand zu sprechen,

dann geht es immer zuerst um Risiken auf hoher Ebene.

Ich glaube, der Vorstand hört oft, dass es viele Probleme gibt.

Sie sprechen beim Abendessen mit Freunden darüber.

Sie hören von anderen Vorständen, in denen sie sitzen, dass dies ein Problem ist, aber sie haben nicht
brauchen unbedingt ein detailliertes Verständnis davon und benötigen auch kein technisches

Kenntnisse.

Ich denke, man muss lediglich verstehen, wer die Akteure sind und was genau ausgenutzt wird
Und vor allem: Welche Auswirkungen hat das?

Und wenn sie das begreifen können,

dann können sie nach und nach nachvollziehen, wie sich das Unternehmen besser wappnen kann und wie der CISO
das Unternehmen tatsächlich schützt, um Risiken zu mindern.

Vorstandsmitglieder wissen, was ein Risk ist – ganz gleich, ob sie aus dem Finanzdienstleistungssektor kommen oder
Sie beschäftigen sich schon ihr ganzes Leben lang mit Risiken; sie sind Experten.

Und wenn man es ihnen in diesen Begriffen vermittelt, ist das eine hervorragende Möglichkeit, eine gemeinsame Basis zu schaffen und
einen Rahmen zu bieten, auf dessen Grundlage viel tiefgreifendere Gespräche darüber geführt werden können, wie sich das

Unternehmen, die die Sicherheit des Unternehmens verbessern.

Ich bin also in einigen Vorständen tätig und finde, dass alles, worüber Shawn gerade gesprochen hat, absolut Sinn ergibt
.

Was mir also besonders gut gefällt, ist, dass im Rahmen des Prüfungs- und Risk-Ausschusses
der CISO während der Sitzung das Wort ergreift und die Sachlage so darlegt, wie

wie Shawn es beschrieben hat, damit der Vorstand dies im Rahmen dieser Sitzung des
des Prüfungs- und Risikoausschusses anhören kann.

Es ist wirklich wichtig, dass er auf die Risiken eingeht.

Er geht darauf ein: „Hey, wie hoch ist die Wahrscheinlichkeit dafür?“

dass etwas Schlimmes passiert und was die Folgen wären, oder?

In der üblichen Geschäftssprache: Hat das Auswirkungen auf unsere Marke, unseren Ruf? Und er
erläutert dem gesamten Vorstand, wie er mit solchen Situationen umgehen würde.

Es geht also darum, dem Vorstand ein Bewusstsein für die Risiken zu vermitteln, mit denen er sich befasst – und zwar in einer Sprache, die
Sie verstehen das, denn man kann nicht erwarten, dass jedes Vorstandsmitglied ein IT-Experte ist.

Stimmt’s?

Es gibt also einige blinde Flecken, und ich denke, es ist die Aufgabe des CISO, diese blinden Flecken aufzudecken
.

Ich bin Mitglied in einigen Vorständen und halte viele Vorstände auf dem Laufenden.

Ich gehe immer davon aus, dass es sich hierbei nicht um ein IT-Problem handelt.

Es handelt sich um ein unternehmensweites Risk-Problem.

Und wir müssen uns darüber im Klaren sein, dass alle Unternehmen digitale Unternehmen sind.

Und wie sieht es bei uns aus, wie ist der aktuelle Zustand des Unternehmens?

Und wir müssen uns mit diesen zentralen betriebswirtschaftlichen Begriffen auseinandersetzen:

Wie vermittelt man eigentlich, was aus NLP-Sicht riskant ist?

Und ich glaube, dass viele unserer Experten auf diesem Gebiet dies lediglich als technologisches Problem betrachten
betrachten und nicht wirklich in betriebswirtschaftliche Begriffe übersetzen, was es bedeutet, wenn dieses bestimmte geschäftskritische

Das System fällt aus, und da es sich um diesen bestimmten PNL handelt, erhalten wir täglich diesen Geldbetrag
kosten wird – und diese Aussagen in betriebswirtschaftliche Begriffe zu übersetzen.

Hast du in dieser Hinsicht schon Erfolge erzielen können, Shawn?

Ich glaube, dass es in den letzten Jahren viel einfacher geworden ist.

Ransomware hat das

für jeden zugänglich gemacht.

Man kann erkennen, wenn ein bestimmtes Unternehmen von Ransomware betroffen ist und zwei Tage, zwei Wochen oder zwei Monate lang
nicht arbeiten kann – und welche Kosten dadurch entstehen –, und darüber wird oft

in den Medien berichtet.

Wir haben kürzlich einige Beispiele gesehen, etwa bei Jaguar in Großbritannien oder hier in den USA – es gab schon sehr, sehr
Es gab viele Fälle, in denen verschiedene Unternehmen auf diese Weise betroffen waren.

Ich denke, die Aufgabe des CISO besteht darin, das Unternehmen zu unterstützen.

Dies geschieht in erster Linie durch die Sicherung des Unternehmens,

, aber man muss auch sicherstellen, dass man die Geschäftsabläufe nicht einschränkt oder behindert.

Ich denke, wenn das Risk, das wir hier beschreiben, effektiv kommuniziert wird, dann
haben der Vorstand und andere Führungskräfte im Rahmen des operativen Geschäfts ein viel besseres

Verständnis und eine bessere Einschätzung und bereit sind, Anpassungen vorzunehmen, wenn sie erkennen
, welche langfristigen Auswirkungen dies haben wird.

Die Quantifizierung wird also immer einfacher, da Daten heutzutage viel leichter verfügbar sind.

Außerdem, Shawn, lass mich das noch ein wenig ergänzen.

Vertrauen – das ist etwas, das schwer zu gewinnen und leicht zu verlieren ist, nicht wahr?

Und wenn zum ersten Mal etwas Schlimmes passiert und erst dann jemand auftaucht und über das Problem und das Risk spricht
, dann ist es bereits zu spät.

Es gibt kein Vertrauen.

Vertrauen entsteht durch Interaktion, oder?

Wenn er zum Einsatz kommt, ist der Vorstand mit ihm vertraut, sie kennen seine Vorgehensweise, sie sind
Sie sind es gewohnt, mit dieser Person umzugehen, und haben das daraus resultierende Verhalten bereits erlebt.

Wenn also dieses unerwünschte Ereignis eintritt – was jedem passieren wird, denn IT
ist allgegenwärtig, man findet sie heutzutage in jedem Unternehmen überall – möchte man sicherstellen, dass

ein gewisses Maß an Vertrauen zwischen der Person, die den Vorstand über Risiken informiert, und dem
Es gibt einen Vorstand.

Und bei all dem trägt letztendlich der CEO die Verantwortung.

Auch wenn ich hier davon spreche, dass dies eine Aufgabe des CISO ist, trägt
Letztendlich trägt der CEO die Verantwortung dafür.

Aber es geht nicht nur um den CEO, den CISO, den CIO oder den Chief Data Officer.

Es handelt sich um eine umfassende Verantwortung.

Wie erreicht man also diese Selbstverständlichkeit, dass es hier um das gesamte Unternehmen geht und man
den Datenschutzbeauftragten einbezieht, die IT-Abteilung einbindet und

das Team für die digitale Transformation einbezieht.

Der CEO kann die Sachverhalte dann dem Vorstand vermitteln, und es entsteht tatsächlich eher eine Teamverantwortung
als individuelle Verantwortung.

Ich denke also, dass

Wenn man von Verantwortung spricht, muss es eine Person geben, die diese Verantwortung trägt.

In diesem Fall ist es vielleicht der CISO, der die Verantwortung trägt.

Aber jemand muss dafür einstehen.

Und jeder in der Organisation muss erkennen und verstehen, dass es sich um eine Teamleistung handelt
und jeder seinen Teil dazu beiträgt.

Jeder ist rechenschaftspflichtig, und ein schwerwiegender Sicherheitsverstoß oder ein schwerwiegender Vorfall wird sich auf
sich auf jeden in dieser Organisation auswirken.

Es gibt also zweifellos eine geteilte Verantwortung und Haftung.

Aber der CISO – ich denke, man braucht eine Person, die die Gesamtverantwortung trägt,

die die strategische Ausrichtung mitgestaltet, die dafür verantwortlich ist, dass Maßnahmen
Maßnahmen ergriffen werden und die Strategie erfolgreich umgesetzt wird.

Aber zweifellos handelt es sich um eine unternehmensweite Reaktion, an der nicht nur die Führungskräfte, sondern jede
jede einzelne Person in der Organisation beteiligt ist, denn sie alle sind Nutzer.

Sie alle tippen auf der Tastatur, sie alle arbeiten mit Daten, sie alle sind auf die eine oder andere Weise daran beteiligt
zuständig für die Eingabe von Daten in Datenbanken.

Jeder muss erkennen und verstehen:

In meiner Organisation hat Sicherheit oberste Priorität.

Wir beschäftigen uns intensiv damit, und jeder ist sich bewusst, dass ein Sicherheitsvorfall katastrophale
Auswirkungen auf uns alle als Gruppe haben wird.

Das ist also gut ausgedrückt.

Es muss einen einzigen Verantwortlichen geben.

Die zuständige Person, an die man sich wendet und die die Übung koordiniert.

Viele Vorstände halten jedoch eine geschlossene Sitzung ab, bei der weder die Mitarbeiter des Unternehmens noch der Vorstandsvorsitzende anwesend sind
.

Und dort wird darüber diskutiert.

Und manchmal fehlt es

fehlt es den Vorstandsmitgliedern an Fachwissen, insbesondere im Bereich Cybersicherheit und in der IT.

Und ich halte es für wichtig, dass die Vorstandsmitglieder auch über dieses Fachwissen im Gremium verfügen.

Und das meine ich sarkastisch  – verstehen Sie es bitte nicht falsch: Die Teilnahme an einem NACD-Kurs zum Thema Cybersicherheit
Das macht ein Vorstandsmitglied noch lange nicht zu einem Experten auf diesem speziellen Gebiet.

Ich halte es für sehr hilfreich, wenn im Vorstand jemand sitzt, der – falls etwas passiert –

und sie sich in einer geschlossenen Sitzung befinden – im Vorstand jemand aus dem Unternehmen
ist – wo es möglicherweise zu einem kleinen Vertrauensbruch gekommen ist –, der als Vermittler fungieren und die Angelegenheit

den Vorstand auf eine verständlichere Weise informieren oder ihm dabei helfen kann, die gestellten
Fragen richtig zu formulieren.

Ja, wenn ich das also noch einmal zusammenfassen soll: Man muss ein Vorstandsmitglied damit beauftragen, einem
zu helfen – vielleicht gemeinsam mit dem CEO –, um als Vermittler im Raum zu fungieren und zu bekräftigen,

, dass sie alle eine treuhänderische Verantwortung für den Schutz des Unternehmens tragen.

Und das ist das Schlüsselwort: treuhänderische Verantwortung.

Außerdem: Warum sollten Sie nicht einen ehemaligen CISO oder einen ehemaligen CIO oder jemanden dieser Art
in Ihrem Vorstand jemanden haben, der Ihnen hilft, diese Dinge in der nichtöffentlichen Sitzung zu durchdenken?

Da stimme ich zu.

Okay.

Wenn man also darüber nachdenkt – ich versuche immer, die
Die Situation so einzugrenzen: Es geht darum, was gerade vor sich geht.

Wissen Sie, wir wurden

Wir wurden erpresst.

Die Folge davon ist, dass wir komplett offline sind und uns jede Stunde und jeden Tag
, bei dem wir offline sind, viel Geld kostet.

Und wie du gesagt hast, Shawn, gibt es eine Reihe von Beispielen, bei denen wir beobachten, dass Unternehmen, die
die nun schon seit fast drei Monaten offline sind und keinen Support leisten können; sie bezahlen ihre

Es gibt keine Lieferanten, sie verkaufen ihre Produkte nicht und so weiter.

Und dann stellt sich die Frage: Was nun? Was müssen wir tun, um aus dieser
Wie kommt man aus dieser Situation heraus?

Könntest du also zunächst einmal auf einige der Kennzahlen eingehen,

, die du als nützlich empfindest, um das zu verdeutlichen?

Für mich sind das vor allem veraltete Systeme, veraltete Hardware und Software, die
nicht mehr unterstützt werden und zu 100 % der Zeit zu 100 % angreifbar sind.

Aber welche Kennzahlen findest du nützlich, Shawn?

Außerdem denke ich, wenn man Kennzahlen bereitstellt, besteht der Zweck für den CISO meiner Meinung nach einfach darin,
, dem Vorstand zu zeigen, dass Fortschritte bei der

allgemeinen Sicherheit des Unternehmens erzielt werden.

Wenn also im letzten

Im Monat sind eine bestimmte Anzahl von Schwachstellen unbehoben geblieben.

Dann haben wir diese Lücke in diesem Monat verringert und zeigen auf, warum das so ist.

Und wenn das nicht der Fall ist, müssen Fragen gestellt werden.

Kennzahlen müssen also messbar sein und einen Mehrwert bieten, indem sie aufzeigen,
, dass das Programm Fortschritte macht.

Ich denke, Dinge wie die Fähigkeit des Unternehmens, Angriffe zu erkennen.

Richtig.

Man muss den Überblick darüber behalten, was gerade passiert.

Das können wir also erkennen.

Die Reaktionsgeschwindigkeit.

Wie lange dauert es nach der Erkennung, bis wir reagieren und Abhilfe schaffen oder die Auswirkungen mindern können?

Schaffen wir es, diese Lücke zu schließen?

Anhand von KI und einer Reihe anderer Angriffsvektoren haben wir gelernt, dass die Unfähigkeit, Probleme schnell
zu identifizieren, zu erkennen und die Lücke zu schließen, die zu einer Sicherheitsverletzung führt.

Das kommt regelmäßig vor.

Wir haben Angreifer beobachtet, die sich monatelang oder sogar jahrelang unentdeckt in Netzwerken aufgehalten haben.

Das sind einige der Kennzahlen.

Dieser Aspekt der Sicherheitslücken ist entscheidend.

Ich finde es wirklich gut, wie Sie es formuliert haben: Etwas, das veraltet ist, nicht mehr unterstützt wird,
für das es keine Patches gibt – das ist zu 100 % anfällig, und zwar immer.

Sind wir damit einverstanden?

Denn wenn ja,

Das gilt im Falle eines Sicherheitsvorfalls als grobe Fahrlässigkeit.

Man wusste, dass es anfällig war, und hat beschlossen, nichts dagegen zu unternehmen, und es wurde ausgenutzt
, was zu diesen Folgen geführt hat.

Das ist nicht gut.

Deshalb möchte ich, dass der Vorstand davon überzeugt ist, dass Fortschritte erzielt werden.

Um auf Johns Argument zurückzukommen: Wenn man Leute hat, die reine Geschäftsleute sind und keine
Wenn Sie über Erfahrung im Bereich Sicherheit verfügen, verlassen Sie sich wirklich auf das Vertrauen in den CISO.

Das allein halte ich für nicht angemessen.

Man sollte jemanden mit Fachkenntnissen haben, der auf produktive und
auf professionelle Weise Gegenargumente vorbringen kann.

Aber wir müssen zeigen, dass wir wachsen und sicherer werden.

Deshalb möchte ich noch hinzufügen, dass alles, was wir tun, fantastisch ist.

Ich möchte noch etwas hinzufügen.

Und ich glaube, das hängt irgendwie mit der Ausbildung zusammen.

Und ihr habt mich schon viel zu oft über die Luftfahrt sprechen hören.

Aber in der Luftfahrt führt man, wenn man unterwegs ist und einen schlechten Flug oder einen Zwischenfall hat, einen „Hot Wash“ durch.

Man

geht zurück und untersucht die eigentliche Ursache – also: Was genau ist passiert?

Das kann an einem technischen Problem liegen oder auch andere Ursachen haben.

Aber ich halte es für wichtig, dass, wenn so etwas Schlimmes passiert, der Vorstand hinzugezogen wird
wird und ihm erklärt wird: Das ist passiert.

Deshalb ist es passiert.

So haben wir die Situation wieder unter Kontrolle gebracht.

Das sind die Dinge, die uns widerfahren sind – sei es Umsatzausfall, Reputationsschaden
oder was auch immer.

Und der Grund dafür ist:

Das wissen wir doch alle: Aus Fehlern lernt man mehr als aus Erfolgen.

Ich möchte das also nicht auf die leichte Schulter nehmen, aber ich halte es für einen wichtigen Aspekt bei
die Aus- und Weiterbildung Ihres Vorstands.

Ich greife daher gerne auf Beispiele und echte Fallstudien zurück, und die Geschichte, die mir in
Was mir in den letzten Wochen besonders in Erinnerung geblieben ist, war der Raubüberfall im Louvre.

Da sind also, wie Sie wissen, Schmuck im Wert von 10 Millionen Dollar verloren gegangen – oder vielleicht war es sogar noch mehr, oder?

Und so betrieb der Louvre

Im gesamten Museum wurde Hardware und Software verwendet, die nicht mehr unterstützt wurde, und das war ihm auch bewusst.

Und die Passwörter lauteten „Louvre“ und „Thales“ – das war das Unternehmen, das eigentlich für die Sicherheit zuständig sein sollte
.

Zu 100 % angreifbar, zu 100 % der Zeit, mit einem leicht zu erratenden Passwort – und zack, war
Der Schmuck ist weg.

Hast du auch solche einprägsamen Geschichten, die du als Beispiele anführen kannst?
?

Du kannst

Anonymisieren Sie es etwa so: „Das war ein schrecklicher Tag, und es war schwerwiegend und peinlich.“

Das Passwort lautete „Louvre“?

Das war’s – das schreibe ich diese Woche auf.

Das wusste ich gar nicht.

Das wird diese Woche in meinem Newsletter stehen.

Ich glaube nicht, dass ich etwas habe, das ganz so peinlich ist.

Das tut mir leid.

Aber, weißt du, ich komme noch einmal auf das zurück, worüber ich vorhin gesprochen habe.

Weißt du, was man aus solchen Dingen lernt?

Und ich hatte das Privileg, im Laufe meiner Karriere in
dass die Regierung viele Cybervorfälle miterleben musste.

Und, weißt du,

wenn man beim Verteidigungsministerium tätig ist und etwas Schlimmes passiert, während man dort arbeitet, wird
sich das Cyber Command sehr intensiv in dein Leben einmischen.

Man sollte damit so umgehen – denn es ist wichtig, dass man sich damit auseinandersetzt –, dass man offen
sagt: Das sind die Fehler, die ich gemacht habe.

Ich würde es hassen, dem Cyber Command sagen zu müssen: „Nun, unser Passwort war ‚Louvre‘“, aber man muss
in der Lage sein, sich dem zu stellen.

Die Folgen sind sehr schwerwiegend, wenn man an die Regierung verkauft, denn

das Cyber Command einen Befehl erteilt.

Das bedeutet im Grunde genommen einen vollständigen Austausch, und alle Komponenten sowie die Dienste werden damit beginnen,
, diese zu entfernen.

Es ist also sehr wichtig, mit offenen Karten zu spielen, wenn man es mit solchen Leuten zu tun hat.

Und ich glaube, das gilt auch für Kunden.

Wenn man zurückblickt und sich SolarWinds ansieht – ein Begriff, der, wie jeder weiß, mittlerweile fest in unserem
Welcher Wortschatz eingegangen ist – und untersucht, wie damit umgegangen wurde und wie man vorgegangen ist,

Da gibt es eine Menge

Dinge, die schiefgelaufen sind – darauf werde ich jetzt nicht näher eingehen –, aber wenn man sich den Umsatz des Unternehmens vom Tag des Vorfalls bis heute ansieht
, dann gibt es das Unternehmen immer noch, es ist

ein funktionierendes Unternehmen – sind die Umsätze gestiegen, weil sie die notwendigen Schritte unternommen haben – so schwer
wie es auch war und wie viele Fehler sie dabei gemacht haben  –, um sich zu verbessern, und das Produkt verkauft sich, obwohl  „SolarWinds ‛

der im Allgemeinen als nicht besonders positiver Begriff gilt.

Lassen Sie uns diesen Faden zum Thema Produktsicherheit noch kurz weiterverfolgen, denn viele dieser Unternehmen

Unternehmen sehen sich nicht unbedingt als Sicherheitsunternehmen.

Daher haben sie möglicherweise nicht in die Sicherheit des betreffenden Produkts investiert.

Und so sehen wir immer wieder dieses Muster: Man greift ein Produkt an, gefährdet dessen Integrität
und gelangt so zu vielen anderen Kunden, die eigentlich

darauf angewiesen waren, dass sie das Richtige tun: in Sicherheit investieren, dafür sorgen, dass ein
dafür sorgen, dass ein qualitativ hochwertiges Produkt auf den Markt kommt, dass es Updates erhält und so weiter.

Wie erzählt man also die Geschichte von

, wenn ein Produkt seine Unversehrtheit verloren hat, und was man dann
vom Unternehmen erwartet wird – wie vermittelt man diese Geschichte dem Vorstand, wenn man keine finanzielle Entscheidungsbefugnis hat?

Ich glaube, Sie haben SolarWinds erwähnt, und NotPetya ist ein weiteres Beispiel.

In jüngerer Zeit gab es weitere Fälle, in denen das Produkt kompromittiert wurde.

Ich denke, das ist eines der Risiken, und der CISO muss diese Risiken dem Vorstand klar darlegen.

Ich denke, das wirft auch

wirft einen interessanten Aspekt hinsichtlich der Geschäftskontinuität auf.

Und es geht nicht nur darum, wo wir angreifbar sind.

Denn wir sind alle irgendwo anfällig.

Wo sind wir verwundbar?

Wer hat es auf uns abgesehen?

Warum haben sie es auf uns abgesehen?

Was sind die Folgen?

Wenn eines dieser Dinge passiert oder alle diese Dinge passieren, wie erholen wir uns dann davon?

Wie sieht unsere Widerstandsfähigkeit aus?

Und wie sieht unser Plan aus, um sicherzustellen, dass wir das Unternehmen wieder aufbauen und das Vertrauen zurückgewinnen können?

Wie sieht das aus?

Und das muss ein wichtiger Bestandteil der Kommunikation des CISO gegenüber dem Vorstand sein.

Jedes Unternehmen wird irgendwann einmal mit einem Vorfall konfrontiert sein.

Das kann etwas so Einfaches wie ein verlorener Laptop sein.

Es könnte sich um einen Vorfall handeln, wie wir ihn bei Jaguar erlebt haben, bei dem das gesamte Unternehmen monatelang
lahmgelegt war und Verluste in Höhe von Hunderten von Millionen oder Milliarden Dollar entstanden sind.

Wie reagiert das Unternehmen darauf?

Wer ist verantwortlich?

Wie vermittelt man das?

Wie bindet man – aus technischer Sicht –

Gibt es externe Organisationen und Partner, die dabei helfen können?

Das ist ein weiterer wichtiger Aspekt, um dem Vorstand ein gewisses Maß an Sicherheit zu geben, dass wir als Unternehmen
den besten Plan umgesetzt haben.

Zunächst wollen wir sicherstellen, dass wir alle Eventualitäten abdecken.

Wenn ein Problem auftritt, müssen wir sicherstellen, dass wir einen Plan haben, um es zu beheben.

Das ist sozusagen ein 360-Grad-Sicherheitsansatz, denn ohne Sicherheit gibt es keine Ausfallsicherheit, und ohne Ausfallsicherheit gibt es
keine Sicherheit.

Gut gesagt.

Und ich denke, Ausfallsicherheit ist ein wichtiger

Ein Aspekt, über den wir hier ein wenig sprechen sollten.

Ich habe viele Artikel über Software-Monokulturen und die Entstehung einer Abhängigkeit von einem
von einem einzigen Softwareanbieter geschrieben.

Namen werden nicht genannt.

Wenn man umsichtig ist, sollte man sicherstellen, dass man eine gewisse Redundanz geschaffen hat, um
Resilienz zu erlangen.

Diese Themen sind also, was ihre Struktur angeht, ziemlich kompliziert.

Ich würde nicht erwarten, dass viele Vorstandsmitglieder in der Lage sind, diese Themen zu durchschauen, aber ich halte es
hält es für wichtig, dass ein CISO transparent genug ist,

und der CIO transparent genug ist, um die getroffenen Vorsichtsmaßnahmen zu erläutern und darzulegen, wie die Infrastruktur so ausgelegt ist,
wurde, dass verschiedene Notfälle berücksichtigt wurden, die

eintreten könnten.

Und dass sie bei ihrer Software nicht zu stark von einer einzigen Quelle abhängig sind.

Ja, Geschäftskontinuität, Notfall-Recovery – ich bezeichne sie gerne als „digitale Katastrophen“.

Und die Herausforderung besteht darin, dass ich zwar für die Sicherheit verantwortlich war, aber jemand
ein anderer für die Wiederherstellung zuständig ist und dafür sorgt, dass alles wieder läuft.

Das unterstreicht also, wie ich mich vorbereite oder wie ich diese Szenarien durchspiele und Tabletop-Übungen unter Einbeziehung der Geschäftsleitung durchführe
?

Ich weiß, Shawn, du hast bereits mehrere Übungen gemacht.

Ja, ich glaube, wir führen Übungen mit den Mitarbeitern an der Basis, dem CISO und dessen Team durch,
im weiteren Sinne mit der gesamten Führungsriege und auch nur mit dem Vorstand durchgeführt.

Ich glaube, bei diesen Dingen kommt es vor allem auf das Bewusstsein an und darauf, dass sie es verstehen.

Und dann geht es auf praktischer Ebene darum, zu klären, wer für was verantwortlich ist.

Ich kann dir sagen, dass ich an diesen Übungen teilgenommen habe.

Einige davon habe ich geleitet.

Eine der für mich wichtigsten und prägendsten Übungen – das war schon früher,
Das war wahrscheinlich vor acht oder zehn Jahren –, als ich mich mit einem großen Finanzunternehmen zusammensetzte und der

COO dieses Unternehmens im Raum war und sich

20 oder 30 Personen im Raum waren, darunter der CISO sowie zahlreiche technische Fachleute, der CIO und der CTO.

Als wir den fiktiven Angriff darlegten und schilderten, was tatsächlich passiert war, und die
die Handelsplattform dieses Finanzinstituts beeinträchtigt hatte, erinnere ich mich daran, wie der COO am Ende des

über den Tisch hinweg zum CISO blickte: „Könnte das wirklich passieren?“

Er zeigte auf die PowerPoint-Präsentation und fragte: „Könnte das wirklich passieren?“

Und der CISO nickte zustimmend.

Er war schockiert.

Und dann gingen wir

Okay, na gut, wie sieht die Reaktion aus?

„Na ja, dafür ist Mary zuständig.

Mary ist diese Woche eigentlich im Urlaub.

Wer springt für sie ein?

Das ist Dave.

Dave arbeitet nicht mehr in der Firma.

Für mich war das erstaunlich, aber genau das sind die Dinge, die man erkennt, wenn man solche
Übungen durchführt – und insbesondere, wenn ein Vorstandsmitglied eine Übung durchführt, bei der es tatsächlich

alle sich daraus ergebenden Auswirkungen erkennt und sieht, wie viele bewegliche Teile es gibt.

Und es hilft ihnen wirklich, die Situation zu verstehen und Unterstützung zu leisten

und Ressourcen bereitzustellen sowie – wie ich finde – Wertschätzung zu entwickeln – und genau das bewirkt diese Übung.

Wir haben vorhin darüber gesprochen, dass es ein echter Mannschaftssport ist.

Nun, der Vorstand ist Teil des Teams, denn letztendlich hat er dasselbe
Ziel wie alle anderen im Unternehmen: Er möchte, dass das Unternehmen erfolgreich ist und seine

Kunden.

Ich halte diese Übungen daher für wichtig, und sie stellen einen großen Mehrwert für den gesamten Prozess dar
dar, von dem wir hier sprechen.

Ich stimme also zu, und wir alle kennen den Begriff der Lernkurve.

Das erste Mal, wenn etwas passiert, sollte also nicht das eigentliche

, oder?

Angesichts all dessen, was du sagst: Wo ist Dave?

Er hat gekündigt.

Wo ist Mary?

Sie hat heute frei.

Wenn man eine Tabletop-Übung durchführt und diese Punkte durchgeht, werden die Teilnehmer besser
sich mit den einzelnen Abläufen vertraut machen und lernen, wie sie damit umgehen sollen.

Dabei tauchen interessante Fragen zu Notfallszenarien auf.

Deshalb üben die Menschen solche Dinge, um daraus zu lernen und sich zu verbessern.

Man sollte schon einigermaßen versiert sein, bevor

etwas Schlimmes passiert.

Deshalb würde ich wirklich dazu raten, nicht nur eine einzige Übung durchzuführen, sondern regelmäßige Übungen, die sozusagen
alle auf das gleiche Niveau bringen.

Es ist wirklich wichtig, dieses Muskelgedächtnis aufzubauen und so weiter.

Ich halte das für unerlässlich, aber man muss auch verstehen, dass an einem schlechten
Markiere nicht nur die Leute, die die Systeme wiederherstellen, sondern auch diejenigen, die

die Systeme sichern müssen.

Es muss eine umfassende Kommunikationsstrategie geben.

Und es muss gut durchdacht sein, wer als Sprecher auftritt, wie mein Presse- oder Medienteam
arbeitet, wo meine Rechtsabteilung sowie meine internen und externen Rechtsberater stehen und wie ich,

Über dieses Notfallmanagement nachdenken, wenn man so will, Shawn.

Ja, genau, und dafür eignet sich eine Tabletop-Übung hervorragend.

Man muss schon lange im Voraus wissen, wer die Verantwortlichen sind.

Man will ja nicht erst anfangen, Telefonnummern durchzublättern und Leute ausfindig zu machen, während man
versucht hektisch zu reagieren.

Man sollte sich schon lange im Voraus darauf vorbereiten.

Das ist auch ein Bereich, in dem es um Governance, Compliance und
Vorschriften geht, oder?

Als Teil des Kommunikationsprozesses möchten Sie natürlich zunächst einmal mit
mit Ihren Kunden sprechen.

Sie möchten mit all Ihren Partnern sprechen.

Sie möchten mit Ihren Mitarbeitern sprechen.

Und in vielen Fällen werden Sie mit den Aufsichtsbehörden sprechen müssen, und dann müssen
Sie Ihren Leiter der Rechtsabteilung hinzuziehen, damit er daran teilnimmt, da dort einige erhebliche

Es bestehen potenzielle Haftungsprobleme.

All das lässt sich im Voraus durchspielen.

Es wird nicht zu 100 % klappen.

Es wird nicht perfekt sein.

Aber es wird dir genügend Vertrautheit und ein gewisses Maß an Sicherheit vermitteln.

Es wird die Beziehungen zu diesen externen Akteuren festigen, sodass Sie, falls etwas
Es passieren schlimme Dinge – und das wird auch weiterhin passieren, je nachdem, in welchem Ausmaß –, in der Lage sein werden,

zu reagieren.

Ich kann Ihnen versichern: Diejenigen, die am besten vorbereitet sind, meistern solche Situationen erfolgreich.

Und diejenigen, die schlecht vorbereitet sind, werden kläglich scheitern.

Nun, und es fällt auf, wenn man das nicht geübt hat und man als Geschäftsführer – was ich in vielen Fällen erwarten würde –
– mit seinen Großkunden verhandelt und die Situation darlegt.

Das muss gut durchdacht und professionell erfolgen.

Einfach nur zu reagieren, ohne vorbereitet zu sein, bringt einen in eine missliche Lage.

Und ich glaube, das wird durch die Art und Weise, wie das dargestellt wird, sehr deutlich.

Es wird auch dem Ruf und der Marke des Unternehmens schaden.

sich ebenfalls gut vorbereitet zu präsentieren,

Ein gewisses Maß an Professionalität zu zeigen und die Kontrolle zu behalten, ist meiner Meinung nach etwas, das man hier vermitteln muss
.

Und das schafft man nicht ohne all das, worüber Shawn gerade gesprochen hat.

Ja, ich habe eine Übung für eine Gesundheitseinrichtung durchgeführt; sie dauerte nur zwei Stunden und war
in 30-Minuten-Blöcke unterteilt.

Und am Ende

sagte der Geschäftsführer: „Mein Adrenalinspiegel war hoch, meine Herzfrequenz lag bei 140, und Gott sei Dank ist das nur
eine Übung.“

Einfach deshalb, weil man – wenn man es richtig macht – genauso viel Stress hat, als ob
Es war wirklich der eigentliche Tag und ein schlechter Tag.

Nun, wir drei waren alle bereits in der Regierung tätig, und wir drei mussten schon zu unserem
Zum Chef gehen – der wahrscheinlich ein ziemlich hochrangiger politischer Amtsträger war – und schlechte Nachrichten überbringen.

Das ist nicht einfach.

Das ist es einfach nicht.

Aber man muss das Pflaster abreißen.

Man muss es tun.

Ja, in der Regierung würden wir sagen: „Das Wichtigste zuerst“.

Das Wesentliche zuerst – beginnen Sie alle Mitteilungen an den Vorstand mit dem Wesentlichen.

Ich bin hier, um euch über A, B und C zu berichten.

Und heute werde ich euch erzählen, wie schlecht es um unsere Organisation steht, denn wir haben so viele
Altsysteme, die unser Kerngeschäft steuern.

Und dagegen müssen wir etwas unternehmen.

Und dabei brauche ich Ihre Unterstützung.

Und gehen Sie niemals – insbesondere wenn Sie den Bundestag informieren – niemals, ohne Ihre Forderung zu stellen.

Ihr müsst gleich zu Beginn das Wesentliche auf den Punkt bringen und dann darlegen, was ihr von ihnen erwartet.

Ich möchte Ihre Unterstützung.

Ich brauche Geld.

Wir brauchen mehr Leute.

Da hast du zu 100 Prozent recht.

Aber genau hier kommt das Vertrauen ins Spiel.

Wenn der Vorstand der CSO ihr vertraut, weil sie zuvor offen und ehrlich mit ihm umgegangen ist und sie bereits gemeinsam eine Situation gemeistert haben
.

Sie hat, wie man so sagt, die Situation im Griff; es entsteht dieses Gefühl der
ihnen Reaktionsfähigkeit verleihen, und sie werden viel eher bereit sein, der Bitte nachzukommen

ohne viele Fragen zu stellen ➡ nicht, dass sie keine Fragen stellen sollten, aber wenn ein
Sofern ein gewisses Maß an Vertrauen besteht, ist das Programm so aufgebaut, dass der Informationsfluss dadurch

deutlich, deutlich besser ist.

Unsere Aufsichtsbehörden haben uns also im Grunde gesagt, dass wir Strategien, Richtlinien,
Rechenschaftspflicht und eine angemessene Finanzierung für Cybersicherheit sowie die digitale Widerstandsfähigkeit unseres Unternehmens erfordern.

Und der Vorstand soll in regelmäßigen Abständen tagen und zeigen, dass er seiner treuhänderischen Verantwortung tatsächlich nachkommt
erfüllt.

17 % der Organisationen geben an, dass sie nicht auf einen „schlechten Tag“ vorbereitet sind.

Und viele Vorstände beschäftigen sich nach wie vor nur einmal im Jahr damit oder haben diese Aufgabe an einen
an einen Ausschuss delegiert, anstatt den gesamten Vorstand einzubeziehen.

Wie sehen Sie das?

Ich stimme zu, dass dies eines der größten Risiken, wenn nicht sogar das größte ist
Ein Risiko für jede Organisation besteht darin, dass ihr gesamtes Unternehmen auf

digitale Landschaft.

Daher muss dies im Rahmen des ERM ein Thema sein, dem

dem besonders viel Aufmerksamkeit gewidmet werden muss.

Jeder Vorstand ist ein wenig anders, jedes Unternehmen ist ein wenig anders, der Grad der
Vertrautheit und Fachwissen sind zwei verschiedene Dinge.

Es gibt also keine Einheitslösung, aber angesichts der Bedeutung dieses Themas würde ich eher der Ansicht sein, dass „mehr besser ist“.
als „weniger“ positionieren.

Ich habe kein Problem damit, dass ein bestimmter Ausschuss – zum Beispiel
der Prüfungsausschuss – die zuständige Instanz ist und dass der Vorsitzende des Prüfungsausschusses

in einer quasi-matrixartigen Beziehung zum CISO steht, wobei der CISO die Möglichkeit hat, sich bei Problemen direkt an den Vorsitzenden des Prüfungsausschusses zu wenden und
mit ihm zu sprechen.

Ich bin jedoch der Meinung, dass der gesamte Vorstand ein Gespür und Verständnis
dafür entwickeln muss, und das erfordert eine häufigere Kommunikation.

Ich sehe das also genauso wie Sie: Ich bin nicht auf den Prüfungsausschuss fixiert, aber ich halte ihn für eine logische
Ort, an dem diese Aufgabe angesiedelt werden soll.

Und es hängt wirklich davon ab, wie das Unternehmen damit umgehen möchte.

Es gibt also an sich keine feste Formel, aber…

Ich denke, es gibt insofern eine Regel, als es in irgendeiner Form mit dem Vorstand verbunden sein sollte.

Aber wir müssen wirklich verstehen, dass die Welt in Bezug auf die Cybersicherheit nicht weniger riskant wird.

Sie wird tatsächlich immer riskanter.

Wir könnten nun alle Gründe dafür aufzählen, aber sie sollten eigentlich offensichtlich sein, da sie fast täglich in den
Nachrichten zu finden sind.

Man darf also nicht den Kopf in den Sand stecken.

Man darf den Kopf nicht wie ein Strauß in den Sand stecken.

Man muss sich wirklich damit auseinandersetzen: Okay, es passiert eben.

Ich sehe, wie es passiert.

Wahrscheinlich ist das schon einem deiner Freunde aus der Geschäftswelt passiert.

Wie bin ich darauf vorbereitet?

Es beginnt also damit, dass man dem Vorstand einfache Fragen stellt.

Was tun wir also, wenn das passiert?

Und bringen Sie den Ball ins Rollen.

Das ist das Erste, was man tun muss, um sich vorzubereiten.

Ich möchte noch etwas hinzufügen.

Im Zusammenhang mit dieser ganzen Vertrauenssache bin ich der Meinung, dass der CISO nicht immer nur auf Fragen des Vorstands reagieren sollte
sollte.

Ich denke, der CISO sollte proaktiv handeln.

Ein Beispiel:

Wir haben über KI als erhebliches Risiko gesprochen.

Das ist ein neuer Pfeil im Köcher der Angreifer.

Es wäre großartig, wenn der CISO proaktiv handeln und vor den Vorstand treten und sagen würde: „Hey, ihr habt …“
Sie haben wahrscheinlich schon davon gehört.

„Ich möchte euch erklären, was wir hier unternehmen.“

Das trägt dazu bei, Vertrauen aufzubauen, dass die CISOs aufmerksam sind.

Wissen Sie, ich weiß, dass wir gerade eine neue Fabrik in Indien bauen.

Hier sind einige Überlegungen und Bedenken dazu aus

aus meiner Sicht als CISO.

Das sind die Dinge, über die wir nachdenken sollten.

Ich denke, proaktiv zu sein, zeugt von Bewusstsein, zeugt von Kompetenz und
schafft Vertrauen.

Und ich glaube, dass dies dem CISO tatsächlich ermöglicht, das Unternehmen zu unterstützen.

Außerdem, Shawn, habe ich noch nie darüber nachgedacht, was du gerade gesagt hast, und ich finde es großartig.

Und der Finanzvorstand ist in ähnlicher Weise an den Vorsitzenden des Prüfungsausschusses gebunden.

Wenn sich ein Problem abzeichnet, bei dem

es Probleme bei der Auszahlung der Gehälter oder andere finanzielle Schwierigkeiten gibt,
wird Kontakt zum Wirtschaftsprüfer aufgenommen.

Zwischen diesen beiden Personen besteht ein Vertrauensverhältnis.

Es gibt keinen Grund.

Es gibt keinen triftigen Grund, warum ein Sizzle nicht etwas Ähnliches tun sollte.

Seid proaktiv in eurer Kommunikation.

Wissen Sie, ich sehe das auch so: Welche Fragen sollte der Vorstand stellen?

Das ist nicht … das ist nur ganz allgemein gemeint.

Kennen wir tatsächlich alle unsere geschäftskritischen Systeme?

Haben wir Einblick in alle menschlichen und nicht-menschlichen Identitäten?

Und sind wir auf die nächste Welle von Identitäten mit Agentic vorbereitet?

Verstehen wir tatsächlich alle privilegierten Konten und durchsuchen wir tatsächlich das Dark
Im Internet nach, na ja, unseren Zugangsdaten und ähnlichen Dingen?

Wenn Sie, wir, diese Fragen dem Vorstand nicht beantworten können, ist das für mich ein Alarmsignal,
dass wir nicht über die Fähigkeiten verfügen, die wir benötigen.

Wir sind darauf nicht wirklich vorbereitet – darauf, ein widerstandsfähiges Unternehmen zu sein.

Zu Beginn des Gesprächs habe ich bereits erwähnt, dass es für einen Vorstand sinnvoll sein könnte, jemanden mit IT- und Cyber-Erfahrung in seinen Reihen zu haben
.

Ein praktisches Beispiel: Ich bin Vorstandsmitglied eines Unternehmens, das gerade sein HR-System
umgestellt hat – und wie jeder weiß, birgt eine solche Umstellung immer Risiken.

Aber wir wurden darüber informiert.

Das eigentliche Verständnis für das Risk kam jedoch von mir als Vorstandsmitglied, da ich aufgrund meiner Erfahrung mit der Umstellung solcher Systeme Fragen
stellte

, was für den Vorstand sehr hilfreich war, um zu verstehen, wie die Lage stand.

Übrigens war es auch für den CEO sehr hilfreich, da er kein IT-Experte war.

So rückte das Risk wirklich in den Vordergrund, und eine intensive Diskussion darüber – „Ich verstehe
„… dass das ein Risk ist, und so gehe ich damit um…“ – das ist eine wichtige Diskussion, die Vorstände führen sollten

die sie durchführen müssen, wenn sie Änderungen an ihrem System vornehmen oder sich überhaupt erst einen Überblick über ihre kritischen Systeme verschaffen wollen.

Der CISO muss also verstehen, dass er

die Personen informiert, die die Aufsichtspflicht über das Unternehmen haben.

Er muss ihnen darlegen, worin die tatsächlichen Risiken für das Geschäft und das Unternehmen bestehen – und
zwar in geschäftlicher Hinsicht.

Und er muss den Plan konkret erörtern und sich dafür einsetzen, was er von
die Vorstandsmitglieder benötigt.

Das ist absolut richtig.

Ich habe bereits mit vielen Vorstandsmitgliedern und vielen CISOs zusammengearbeitet.

Und ich weiß, dass CISOs dies manchmal nur ungern tun, weil

ihr Chef möglicherweise mit am Tisch sitzt und sie kein Interesse daran haben, Informationen weiterzugeben
, die sie eigentlich bereitstellen sollten  – denn der Vorstand trägt diese treuhänderische Verantwortung und

sollte umfassend darüber informiert werden, welche Risiken bestehen.

Aber sie zögern, dies zu tun, und ich würde den CISOs empfehlen, dies – wiederum professionell und in angemessener Weise – zu tun
; allerdings erfordert es manchmal Mut, diese Informationen zur Verfügung zu stellen, und man muss vielleicht

ein kleines Glas zerbrechen, aber ich glaube, dass man das tun muss; und wenn man sich in einer Situation
in der man das Gefühl hat, keine legitimen, autorisierten Informationen bereitstellen zu können, die der Vorstand

benötigt oder erfahren sollte – und wenn das Umfeld dafür nicht förderlich ist
Wenn das der Fall ist, müssen Sie sich nach einer anderen Stelle umsehen.

Das ist schwer.

Eine persönliche Geschichte, ohne ins Detail zu gehen: Als CIO einer Abteilung

Ich habe viele CIOs in den einzelnen Bereichen, und in einem dieser Bereiche gab es ein Problem, bei dem der
Der damalige CIO hatte Angst, mit seiner Führungsetage zu sprechen.

Ich habe es getan.

So sollte es nicht sein.

Man muss es tun.

Und als ich dann mit der Führungsetage sprach, konnte man die Überraschung in ihren Gesichtern sehen, aber
Ihnen wurde auch klar: Nun, wir müssen etwas tun.

Du hast also recht: Es ist schwer, das Eis zu brechen, aber man muss es tun.

Ich habe es respektvoll getan.

Ich habe es ganz einfach gehalten.

Und wir haben uns daran gemacht, das Problem zu beheben.

Ich glaube, ich habe das schon vielen Vorstandsmitgliedern gesagt: Wenn man am Tisch sitzt, muss
ein Umfeld schaffen, das einer offenen Diskussion förderlich ist.

Wenn du als Vorstandsmitglied dasitzt und versuchst, jemanden dabei zu erwischen, wie er etwas Falsches tut, und
Wenn du dabei eine Atmosphäre schaffst, die den freien Dialog einschränkt, bist du selbst das Problem.

Sie bereiten diesem Vorstand Probleme.

Die Atmosphäre muss förderlich sein.

Sie muss von Zusammenarbeit geprägt sein.

Und noch einmal: Wir alle verfolgen doch dasselbe Ziel, oder?

Wir wollen, dass das Unternehmen erfolgreich ist.

Wir wollen Risiken minimieren und unsere Kunden begeistern.

Genau das sollten wir als Unternehmen tun.

Der Vorstand hat eine Aufsichtspflicht.

Der CISO trägt die Verantwortung für die Umsetzung.

Aber gemeinsam müssen Sie ein Umfeld schaffen, das dies ermöglicht.

Und wenn Sie als Vorstandsmitglied dieses Umfeld nicht schaffen, sollten Sie sich eine
eine andere Aufgabe suchen.

Aber wir müssen Risiken kommunizieren und sie mindern.

Richtig.

Und gemeinsam bilden wir das Team.

Und wir müssen das auf eine „bezaubernde“ Art und Weise tun, denn ich mag dieses Wort.

Begeisternd.

Nun, es hat mir sehr viel Spaß gemacht, mit euch beiden zu sprechen, John, Shawn, vielen Dank.

Und damit sind wir am Ende unseres SHIFT-Podcasts angelangt.

Ich bin Melissa Hathaway, und das war „Kommunikation von Cyberrisiken im Vorstand“.