Cyber Storytelling: Risikokommunikation gegenüber dem Vorstand und darüber hinaus

Vorstände bewerten Risiken aus finanzieller und betrieblicher Perspektive. Eine geschäftsorientierte Sprache verdeutlicht die Konsequenzen und unterstützt fundierte Entscheidungen. 

Wer die Angreifer sind, was sie ins Visier nehmen, wie wahrscheinlich Vorfälle sind und welche potenziellen Auswirkungen sie auf Gewinn- und Verlustrechnung, Marke und Betriebsabläufe haben. 

Indem sie konkrete Beispiele für Ransomware anführen, die Kosten von Ausfallzeiten beziffern und Risiken bestimmten Geschäftsbereichen zuordnen. 

Cybervorfälle wirken sich auf Lieferketten, Kunden, die Einhaltung von Vorschriften und den Umsatz aus – daher ist eine gemeinsame Verantwortung unerlässlich. 

Aktuelle Kontrollmaßnahmen, Recovery-Pläne, Schwachstellen und Readiness – erklärt in einer für das Geschäftsleben verständlichen Sprache, um Vertrauen aufzubauen. 

Sehen Sie sich hier das Video mit dem Transkript und den Zeitangaben an

Hallo, willkommen beim „Shift“-Podcast.

Ich bin Melissa Hathaway und bei mir sind heute meine Freunde John Zangardi und Shawn Henry.

Wir sind heute hier, um darüber zu sprechen, wie man Risiken gegenüber der Geschäftsleitung kommuniziert.

Außerdem werden wir über einige sehr interessante, heikle Cyber-Geschichten sprechen.

Vielen Dank, dass ihr hier seid, und ich freue mich auf dieses Gespräch.

Was möchte der Vorstand im Sitzungssaal hören?

Was erwarten sie vom CISO und welche Informationen über digitale Risiken möchten sie erhalten?

Wissen Sie, wann immer ich darüber nachdenke, mit dem Vorstand zu sprechen,

dann geht es immer zuerst um Risiken auf hoher Ebene.

Ich glaube, der Vorstand hört oft, dass es viele Probleme gibt.

Sie sprechen beim Abendessen mit Freunden darüber.

Sie hören von anderen Vorständen, in denen sie sitzen, dass dies ein Problem ist, aber sie haben nicht
unbedingt ein detailliertes Verständnis dafür und benötigen auch kein technisches

Kenntnisse.

Ich denke, sie müssen lediglich verstehen, wer die Akteure sind, was genau ausgenutzt wird
und vor allem: Welche Auswirkungen hat das?

Und wenn sie das begreifen,

dann können sie nach und nach nachvollziehen, wie sich das Unternehmen besser wappnen kann und wie der CISO
das Unternehmen tatsächlich schützt, um Risiken zu mindern.

Vorstandsmitglieder wissen, was ein Risk ist – ganz gleich, ob sie aus dem Finanzdienstleistungssektor kommen oder
sich schon ihr ganzes Leben lang mit Risiken beschäftigen; sie sind Fachleute.

Und wenn man es ihnen in diesen Begriffen vermittelt, ist das eine hervorragende Möglichkeit, eine gemeinsame Basis zu schaffen und
einen Rahmen zu bieten, auf dessen Grundlage viel tiefgreifendere Gespräche darüber geführt werden können, wie das

Unternehmen die Sicherheit des Unternehmens verbessert.

Ich sitze also in einigen Vorständen und finde, dass alles, worüber Shawn gerade gesprochen hat, absolut Sinn ergibt
.

Was mir also besonders gut gefällt, ist, dass im Rahmen des Prüfungs- und Risk-Ausschusses
der CISO während dieser Sitzung das Wort ergreift und die Sachlage so darlegt, wie

Shawn es beschrieben hat, damit der Vorstand dies im Rahmen dieser Sitzung des
Prüfungs- und Risikoausschusses hören kann.

Es ist wirklich wichtig, dass er auf die Risiken eingeht.

Er geht darauf ein: „Hey, wie hoch ist die Wahrscheinlichkeit dafür?

dass etwas Schlimmes passiert, und was die Folgen wären, oder?

In normaler Geschäftssprache: Hat das Auswirkungen auf unsere Marke, unseren Ruf? Er sollte dem gesamten Vorstand aber auch
erläutern, wie er mit solchen Situationen umgehen würde.

Es geht also darum, dem Vorstand ein Bewusstsein für die Risiken zu vermitteln, mit denen er es zu tun hat – und zwar in einer Sprache, die
sie verstehen, denn man kann nicht erwarten, dass jedes Vorstandsmitglied ein IT-Experte ist.

Richtig?

Es gibt also einige blinde Flecken, und ich denke, es ist die Aufgabe des CISO, diese blinden Flecken zu beleuchten
.

Ich bin in einigen Vorständen tätig und informiere viele Vorstandsmitglieder.

Ich betrachte das immer so, dass es sich hierbei nicht um ein IT-Problem handelt.

Es ist ein unternehmensweites Risk-Problem.

Und wir müssen uns darüber im Klaren sein, dass alle Unternehmen digitale Unternehmen sind.

Und wie sieht es bei uns aus, wie ist der aktuelle Zustand des Unternehmens?

Und wir müssen über diese zentralen betriebswirtschaftlichen Begriffe nachdenken:

Wie vermittelt man eigentlich, was aus PNL-Sicht risikobehaftet ist?

Und ich glaube, dass viele unserer Fachleute in diesem Bereich dies lediglich als technologisches Problem
betrachten und nicht wirklich in betriebswirtschaftliche Begriffe übersetzen, was es bedeutet, wenn dieses bestimmte geschäftskritische

System ausfällt und es sich um diese bestimmte Gewinn- und Verlustrechnung handelt, uns das täglich diesen Geldbetrag
kosten wird – und diese Aussagen in betriebswirtschaftliche Begriffe zu übersetzen.

Hast du in dieser Hinsicht bereits Erfolge erzielt, Shawn?

Ich glaube, dass es in den letzten Jahren viel einfacher geworden ist.

Ransomware hat das

für jeden zugänglich gemacht.

Man kann erkennen, wenn ein bestimmtes Unternehmen von Ransomware betroffen ist und zwei Tage, zwei Wochen oder zwei Monate lang
nicht arbeiten kann – und welche Kosten dadurch entstehen –, und darüber wird oft

in den Medien berichtet.

Wir haben kürzlich einige Beispiele gesehen, etwa bei Jaguar in Großbritannien oder hier in den USA – es gab bereits unzählige
Fälle, in denen verschiedene Unternehmen auf diese Weise betroffen waren.

Ich denke, die Rolle des CISO besteht darin, das Unternehmen zu unterstützen.

Das geschieht in erster Linie durch die Sicherung des Unternehmens,

, aber man muss auch sicherstellen, dass man die Geschäftsabläufe nicht einschränkt oder behindert.

Ich denke, wenn das Risk, das wir hier beschreiben, effektiv kommuniziert wird, dann
haben der Vorstand und andere Führungskräfte als Teil des operativen Geschäfts ein viel besseres

Verständnis und eine bessere Einschätzung und bereit sind, Anpassungen vorzunehmen, wenn sie erkennen
, welche langfristigen Auswirkungen dies haben wird.

Die Quantifizierung wird also immer einfacher, da Daten heutzutage viel leichter verfügbar sind.

Also, Shawn, lass mich das noch ein wenig ergänzen.

Vertrauen – das ist etwas, das schwer zu gewinnen und leicht zu verlieren ist, nicht wahr?

Und wenn zum ersten Mal etwas Schlimmes passiert und erst dann jemand auftaucht und über das Problem und das Risk spricht
, ist es bereits zu spät.

Es gibt kein Vertrauen.

Vertrauen entsteht durch Interaktion, nicht wahr?

Wenn er ins Spiel kommt, ist der Vorstand mit ihm vertraut, sie kennen seine Herangehensweise, sie sind
es gewohnt, mit dieser Person umzugehen, und sie haben das daraus resultierende Verhalten bereits erlebt.

Wenn also etwas Schlimmes passiert – was jedem passieren wird, denn IT
ist allgegenwärtig, sie ist heutzutage in jedem Unternehmen überall vorhanden –, möchte man sicherstellen, dass

ein gewisses Maß an Vertrauen zwischen der Person, die dem Vorstand über Risiken berichtet, und dem
Vorstand selbst besteht.

Und bei all dem trägt letztendlich der CEO die Verantwortung.

Auch wenn ich hier davon spreche, dass dies eine Aufgabe des CISO ist, trägt
letztendlich der CEO die Verantwortung dafür.

Aber es geht nicht nur um den CEO oder den CISO oder den CIO oder den Chief Data Officer.

Es handelt sich um eine umfassende Verantwortung.

Wie erreicht man also diese Selbstverständlichkeit, dass es hier um das gesamte Unternehmen geht und man
den Datenschutzbeauftragten einbezieht, die IT-Abteilung einbezieht und

das Team für die digitale Transformation einbezieht?

Der CEO kann die Zusammenhänge dann dem Vorstand vermitteln, und es geht wirklich um diese Teamverantwortung
im Gegensatz zur individuellen Verantwortung.

Ich denke also, dass

wenn man von Verantwortung spricht, muss es eine Person geben, die diese Verantwortung trägt.

In diesem Fall ist es vielleicht der CISO, der die Verantwortung trägt.

Aber jemand muss dafür einstehen.

Und jeder in der Organisation muss erkennen und verstehen, dass es sich um eine Teamleistung
handelt und jeder einen Teil dazu beiträgt.

Jeder ist rechenschaftspflichtig, und ein schwerwiegender Sicherheitsverstoß oder ein schwerwiegender Vorfall wird sich auf
jeden in dieser Organisation auswirken.

Es gibt also zweifellos eine geteilte Verantwortung und Haftung.

Aber der CISO – ich denke, man braucht eine Person, die die Gesamtverantwortung trägt,

die die strategische Ausrichtung mitgestaltet, die dafür verantwortlich ist, dass Maßnahmen
ergriffen werden und die Strategie erfolgreich umgesetzt wird.

Aber zweifellos handelt es sich um eine unternehmensweite Reaktion, an der nicht nur die Führungskräfte, sondern jede
einzelne Person in der Organisation beteiligt ist, denn sie alle sind Nutzer.

Sie alle tippen auf der Tastatur, sie alle gehen mit Daten um, sie alle sind auf die eine oder andere Weise dafür
verantwortlich, Datenbanken zu füllen.

Jeder muss erkennen und verstehen:

In meiner Organisation steht Sicherheit an erster Stelle.

Wir setzen uns intensiv damit auseinander, und jeder ist sich bewusst, dass ein Sicherheitsvorfall katastrophale
Auswirkungen auf uns alle als Gruppe haben wird.

Das ist also gut gesagt.

Es muss eine einzige verantwortliche Instanz geben.

Die verantwortliche Person, an die man sich wendet und die die Übung koordiniert.

Viele Vorstände halten jedoch eine geschlossene Sitzung ab, bei der die Mitarbeiter des Unternehmens und der CEO nicht anwesend sind
.

Und dort wird darüber diskutiert.

Und manchmal

fehlt es den Vorstandsmitgliedern an Fachwissen, etwa im Bereich Cybersicherheit oder in der IT.

Und ich halte es für wichtig, dass die Vorstandsmitglieder auch über dieses Fachwissen im Gremium verfügen.

Und ich sage das sarkastisch – verstehen Sie es bitte nicht falsch: Die Teilnahme an einem NACD-Kurs zum Thema Cybersicherheit
macht ein Vorstandsmitglied noch lange nicht zu einem Experten auf diesem speziellen Gebiet.

Ich halte es für sehr hilfreich, wenn im Vorstand jemand sitzt, der – falls etwas passiert

und sie sich in einer geschlossenen Sitzung befinden – im Vorstand jemand aus dem Unternehmen
ist – wo es möglicherweise zu einem kleinen Vertrauensbruch gekommen ist –, der als Vermittler fungieren und die Angelegenheit

dem Vorstand auf eine Weise näherbringt, die verständlicher ist, oder ihm hilft, die gestellten
Fragen richtig zu formulieren.

Ja, wenn ich das also noch einmal zusammenfassen soll: Man muss ein Vorstandsmitglied gewinnen, das einem
hilft – vielleicht gemeinsam mit dem CEO –, um als Vermittler im Raum zu fungieren und zu bekräftigen,

dass sie alle eine treuhänderische Verantwortung für den Schutz des Unternehmens tragen.

Und das ist das Schlüsselwort: treuhänderische Verantwortung.

Also, warum sollten Sie nicht einen ehemaligen CISO oder einen ehemaligen CIO oder jemanden dieser Art
in Ihrem Vorstand haben, der Ihnen hilft, diese Dinge in der geschlossenen Sitzung zu durchdenken?

Da stimme ich zu.

Okay.

Wenn man also darüber nachdenkt – ich versuche immer, die
Situation so einzugrenzen: Es geht darum, was gerade vor sich geht.

Wissen Sie, wir wurden

wurden wir erpresst.

Die Folge davon ist, dass wir komplett offline sind und uns jede Stunde und jeder Tag
, an dem wir offline sind, viel Geld kostet.

Und wie du gesagt hast, Shawn, gibt es eine Reihe von Beispielen, bei denen wir Unternehmen beobachten, die
nun schon seit fast drei Monaten offline sind und keinen Support leisten können; sie bezahlen ihre

Lieferanten nicht, sie verkaufen ihre Produkte nicht und so weiter.

Und dann stellt sich die Frage: Was nun? Was müssen wir tun, um aus dieser
Situation herauszukommen?

Könntest du also zunächst einmal auf einige der Kennzahlen eingehen,

, die du als nützlich empfindest, um das zu verdeutlichen?

Für mich sind das vor allem veraltete Hardware und Software, die
nicht mehr unterstützt wird und zu 100 % der Zeit zu 100 % anfällig ist.

Aber welche Kennzahlen findest du nützlich, Shawn?

Also, ich denke, wenn man Kennzahlen bereitstellt, besteht der Zweck für den CISO meiner Meinung nach einfach darin
, dem Vorstand zu zeigen, dass Fortschritte bei der

allgemeinen Sicherheit des Unternehmens erzielt werden.

Wenn also im letzten

Monat eine bestimmte Anzahl von Schwachstellen unbehoben geblieben ist,

dann haben wir diese Lücke in diesem Monat verringert und zeigen auf, warum dies geschieht.

Und wenn das nicht der Fall ist, müssen Fragen gestellt werden.

Kennzahlen müssen also messbar sein und einen Mehrwert bieten, indem sie zeigen
, dass das Programm Fortschritte macht.

Ich denke, Dinge wie die Fähigkeit des Unternehmens, Angriffe zu erkennen.

Richtig.

Man muss einen Überblick darüber haben, was gerade passiert.

Das können wir also erkennen.

Die Reaktionsgeschwindigkeit.

Wie lange dauert es nach der Erkennung, bis wir reagieren und Abhilfe schaffen oder die Auswirkungen mindern können?

Verringern wir diese Lücke?

Anhand von KI und einer Reihe anderer Angriffsvektoren haben wir gelernt, dass die Unfähigkeit, Probleme schnell
zu identifizieren, zu erkennen und die Lücke zu schließen, zu einer Sicherheitsverletzung führt.

Das passiert regelmäßig.

Wir haben Angreifer beobachtet, die sich monatelang oder sogar jahrelang unentdeckt in Netzwerken aufgehalten haben.

Das sind einige der Kennzahlen.

Dieser Aspekt der Sicherheitslücken ist entscheidend.

Ich finde es wirklich gut, wie Sie gesagt haben: Etwas, das veraltet ist, nicht mehr unterstützt wird,
für das es keine Patches gibt – das ist zu 100 % anfällig, zu 100 % die ganze Zeit über.

Sind wir damit einverstanden?

Denn wenn ja,

ist das im Falle eines Sicherheitsvorfalls grobe Fahrlässigkeit.

Man wusste, dass es anfällig war, und hat beschlossen, nichts dagegen zu unternehmen – dann wurde die Schwachstelle ausgenutzt
, und das führte zu diesen Folgen.

Das ist nicht gut.

Deshalb möchte ich, dass der Vorstand davon überzeugt ist, dass Fortschritte erzielt werden.

Um auf Johns Punkt zurückzukommen: Wenn man Leute hat, die reine Geschäftsleute sind und keinerlei
Erfahrung im Bereich Sicherheit haben, verlassen sie sich wirklich auf das Vertrauen in den CISO.

Das allein halte ich für nicht angemessen.

Man sollte jemanden mit Fachkenntnissen haben, der auf produktive und
professionelle Weise Gegenargumente vorbringen kann.

Aber man muss zeigen, dass wir wachsen und sicherer werden.

Deshalb möchte ich hinzufügen, dass alles, was wir tun, fantastisch ist.

Ich möchte noch etwas hinzufügen.

Und ich denke, das hängt irgendwie mit der Ausbildung zusammen.

Und ihr habt mich schon viel zu oft über die Luftfahrt sprechen hören.

Aber in der Luftfahrt führt man, wenn man unterwegs ist und einen schlechten Flug oder einen Zwischenfall hat, einen „Hot Wash“ durch.

Man

geht zurück und untersucht die Ursache – also: Was genau ist passiert?

Das kann ein technischer Grund sein oder auch andere Ursachen haben.

Aber ich halte es für wichtig, dass, wenn so etwas Schlimmes passiert, der Vorstand hinzugezogen
wird und ihm erklärt wird: Das ist passiert.

Deshalb ist es passiert.

So haben wir die Situation wieder in den Griff bekommen.

Das sind die Dinge, die uns widerfahren sind, sei es in Form von Umsatzverlusten, Reputationsschäden
oder was auch immer.

Und der Grund dafür ist:

wir alle wissen ja: Man lernt mehr aus seinen Fehlern als aus seinen Erfolgen.

Ich möchte das also nicht auf die leichte Schulter nehmen, aber ich halte dies für einen wichtigen Aspekt bei
der Schulung und Weiterbildung Ihres Vorstands.

Ich greife daher gerne auf Beispiele und echte Fallstudien zurück, und die Geschichte, die mir in
den letzten Wochen besonders im Gedächtnis geblieben ist, war der Raubüberfall im Louvre.

Da sind also, wie Sie wissen, Schmuck im Wert von 10 Millionen Dollar verloren gegangen – oder vielleicht war es sogar noch mehr, nicht wahr?

Und so betrieb der Louvre

im gesamten Museum nicht mehr unterstützte Hardware und Software im Einsatz und wusste das auch.

Und die Passwörter lauteten „Louvre“ und „Thales“ – das war das Unternehmen, das eigentlich für die Sicherheit zuständig sein sollte
.

Also zu 100 % angreifbar, zu 100 % der Zeit, mit einem leicht zu erratenden Passwort – und zack, war
der Schmuck weg.

Hast du auch solche einprägsamen Geschichten, die du als Beispiele anführen kannst
?

Du kannst

es anonymisieren, etwa so: „Das war ein schrecklicher Tag, und es war schwerwiegend und peinlich.“

Das Passwort lautete „Louvre“?

Das war es – ich schreibe diese Woche darüber.

Das wusste ich gar nicht.

Das wird diese Woche in meinem Newsletter stehen.

Ich glaube nicht, dass ich etwas habe, das ganz so peinlich ist.

Das tut mir leid.

Aber, weißt du, ich komme noch einmal auf das zurück, worüber ich vorhin gesprochen habe.

Weißt du, was man aus solchen Dingen lernt?

Und ich hatte das Privileg, im Laufe meiner Karriere in
der Regierung viele Cybervorfälle mitzuerleben.

Und, weißt du,

wenn man beim Verteidigungsministerium tätig ist und etwas Schlimmes passiert, während man dort arbeitet, wird
sich das Cyber Command sehr intensiv in dein Leben einmischen.

Man sollte damit so umgehen – denn es ist wichtig, sich damit auseinanderzusetzen –, dass man
offen sagt: „Das sind die Fehler, die ich gemacht habe.“

Ich würde es hassen, dem Cyber Command sagen zu müssen: „Na ja, unser Passwort war ‚Louvre‘, aber ihr müsst
euch da reinbegeben können.“

Die Konsequenzen sind sehr schwerwiegend, wenn man an die Regierung verkauft und

das Cyber Command einen Befehl erteilt.

Das bedeutet im Grunde genommen einen kompletten Austausch, und alle Komponenten sowie die Dienste werden damit beginnen
, diese zu entfernen.

Es ist also sehr wichtig, mit offenen Karten zu spielen, wenn man es mit solchen Leuten zu tun hat.

Und ich denke, das gilt auch für Kunden.

Wenn man zurückblickt und sich SolarWinds ansieht – ein Begriff, der, wie jeder weiß, mittlerweile fest in unseren
Sprachgebrauch eingegangen ist – und betrachtet, wie damit umgegangen wurde und wie man vorgegangen ist,

gibt es da eine Menge

Dinge, die schiefgelaufen sind – darauf werde ich jetzt nicht näher eingehen –, aber wenn man sich den Umsatz des Unternehmens von dem Tag, an dem das passierte, bis heute ansieht
: Das Unternehmen existiert noch, es ist

ein funktionierendes Unternehmen – sind die Umsätze gestiegen, weil sie die notwendigen Schritte unternommen haben – so schwer
es auch war und wie viele Fehltritte sie dabei gemacht haben –, um sich zu verbessern, und das Produkt verkauft sich, obwohl „SolarWinds“

im Allgemeinen als nicht besonders positiver Begriff gilt.

Lassen Sie uns diesen Faden zum Thema Produktsicherheit noch einen Moment weiterverfolgen, denn viele dieser Unternehmen

sich nicht unbedingt als Sicherheitsunternehmen verstehen.

Daher haben sie möglicherweise nicht in die Sicherheit des betreffenden Produkts investiert.

Und so sehen wir immer wieder dieses Muster: Man greift ein Produkt an, gefährdet dessen Integrität
und gelangt so an viele andere Kunden, die eigentlich

darauf angewiesen waren, dass sie das Richtige tun: in Sicherheit investieren, sicherstellen, dass ein
qualitativ hochwertiges Produkt auf den Markt kommt, dafür sorgen, dass es Updates erhält und so weiter.

Wie erzählt man also die Geschichte von

, wenn ein Produkt seine Integrität verloren hat, und was man von dem Unternehmen erwartet –
wie vermittelt man diese Geschichte dem Vorstand, wenn man nicht über die entsprechenden finanziellen Entscheidungsbefugnisse verfügt?

Ich glaube, Sie haben SolarWinds erwähnt, und NotPetya ist ein weiteres Beispiel.

In jüngerer Zeit gab es weitere Fälle, in denen das Produkt kompromittiert wurde.

Ich denke, das ist eines der Risiken, und der CISO muss dem Vorstand diese Risiken klar darlegen.

Ich denke, das wirft auch

einen interessanten Aspekt hinsichtlich der Geschäftskontinuität auf.

Und es geht nicht nur darum, wo wir angreifbar sind.

Denn wir sind alle irgendwo anfällig.

Wo sind wir verwundbar?

Wer hat es auf uns abgesehen?

Warum haben sie es auf uns abgesehen?

Was sind die Folgen?

Wenn eines dieser Dinge oder alle diese Dinge passieren, wie kommen wir dann wieder auf die Beine?

Wie sieht unsere Widerstandsfähigkeit aus?

Und wie sieht unser Plan aus, um sicherzustellen, dass wir das Unternehmen wieder aufbauen und das Vertrauen zurückgewinnen können?

Wie sieht das aus?

Und das muss ein wichtiger Bestandteil der Kommunikation des CISO gegenüber dem Vorstand sein.

Jedes Unternehmen wird irgendwann mit einem Vorfall konfrontiert.

Das kann etwas so Einfaches sein wie ein verlorener Laptop.

Es könnte sich um einen Vorfall handeln, wie wir ihn bei Jaguar gesehen haben, bei dem das gesamte Unternehmen monatelang
lahmgelegt war und Verluste in Höhe von Hunderten von Millionen oder Milliarden Dollar entstanden sind.

Wie sieht die Reaktion des Unternehmens aus?

Wer ist verantwortlich?

Wie kommuniziert man das?

Wie bindet man aus technischer Sicht

externe Organisationen und Partner ein, die dabei helfen?

Das ist ein weiterer wichtiger Aspekt, um dem Vorstand ein gewisses Maß an Sicherheit zu geben, dass wir als Unternehmen
den besten Plan parat haben.

Zunächst wollen wir sicherstellen, dass wir alle Eventualitäten abdecken.

Wenn ein Problem auftritt, müssen wir sicherstellen, dass wir einen Plan haben, um es zu beheben.

Das ist sozusagen die 360-Grad-Sicherheit, denn ohne Sicherheit gibt es keine Ausfallsicherheit, und ohne Ausfallsicherheit gibt es
keine Sicherheit.

Gut gesagt.

Und ich denke, Ausfallsicherheit ist ein wichtiger

Aspekt, über den wir hier ein wenig sprechen sollten.

Ich habe viele Artikel über Software-Monokulturen und die Entstehung einer Abhängigkeit von einem
einzigen Softwareanbieter geschrieben.

Namen werden nicht genannt.

Wenn man umsichtig ist, möchte man sicherstellen, dass man eine gewisse Redundanz geschaffen hat, um
Resilienz zu erreichen.

Diese Themen sind also, was ihre Struktur angeht, ziemlich kompliziert.

Ich würde nicht erwarten, dass viele Vorstandsmitglieder in der Lage sind, diese Themen zu durchschauen, aber ich halte es
für wichtig, dass ein CISO transparent genug ist,

und der CIO transparent genug ist, um die getroffenen Vorsichtsmaßnahmen zu erläutern und darzulegen, wie die Infrastruktur so ausgelegt
wurde, dass verschiedene Notfallszenarien berücksichtigt wurden, die

eintreten könnten.

Und dass sie bei ihrer Software nicht zu sehr von einer einzigen Quelle abhängig sind.

Ja, die Geschäftskontinuität, die Disaster Recovery – ich bezeichne sie gerne als digitale Katastrophen.

Und die Herausforderung besteht darin, dass ich zwar für die Sicherheit verantwortlich war, aber jemand
anderes für die Wiederherstellung zuständig ist und dafür sorgt, dass alles wieder läuft.

Das unterstreicht also, wie ich mich vorbereite oder wie ich diese Szenarien durchspiele und Tabletop-Übungen unter Einbeziehung der Geschäftsleitung durchführe
?

Ich weiß, Shawn, du hast bereits mehrere Übungen durchgeführt.

Ja, ich glaube, wir haben Übungen mit den Mitarbeitern an der Basis, dem CISO und dessen Team,
im weiteren Sinne mit der gesamten Führungsriege und auch nur mit dem Vorstand durchgeführt.

Ich denke, bei diesen Dingen ist es am wichtigsten, das Bewusstsein zu schärfen und dafür zu sorgen, dass sie es verstehen.

Und dann geht es auf praktischer Ebene darum, zu klären, wer für was verantwortlich ist.

Ich kann dir sagen, dass ich an solchen Übungen teilgenommen habe.

Einige davon habe ich geleitet.

Eine der für mich wichtigsten und prägendsten Übungen – das war schon früher,
wahrscheinlich vor acht oder zehn Jahren – fand statt, als ich mich mit einem großen Finanzunternehmen zusammensetzte und der

COO dieses Unternehmens im Raum war und sich

20 oder 30 Personen im Raum, darunter der CISO sowie zahlreiche technische Fachleute, der CIO und der CTO.

Als wir den fiktiven Angriff darlegten und was passiert war – was tatsächlich Auswirkungen auf die
Handelsplattform dieses Finanzinstituts hatte –, erinnere ich mich, wie der COO am Ende des

den Tisch hinunter zum CISO blickte: „Könnte das wirklich passieren?“

Er zeigte auf die PowerPoint-Präsentation und fragte: „Könnte das wirklich passieren?“

Und der CISO nickte zustimmend.

Er war schockiert.

Und dann gingen wir

Okay, na gut, wie sieht die Reaktion aus?

„Nun, oh, dafür ist Mary zuständig.

Mary ist diese Woche eigentlich im Urlaub.

Wer springt für sie ein?

Das ist Dave.

Dave arbeitet nicht mehr in der Firma.

Für mich war das erstaunlich, aber genau das sind die Dinge, die man erkennt, wenn man solche
Übungen durchführt – und insbesondere, wenn ein Vorstand eine Übung durchführt, bei der er tatsächlich

alle sich daraus ergebenden Auswirkungen erkennt und sieht, wie viele bewegliche Teile es gibt.

Und es hilft ihnen wirklich, die Situation zu verstehen, Unterstützung zu leisten

und Ressourcen bereitzustellen sowie – wie ich meine – Wertschätzung zu entwickeln, und genau das bewirkt diese Übung.

Wir haben vorhin darüber gesprochen, dass es ein echter Mannschaftssport ist.

Nun, der Vorstand ist Teil des Teams, denn letztendlich hat er dasselbe
Ziel wie alle anderen im Unternehmen: Er möchte, dass das Unternehmen erfolgreich ist und seine

Kunden.

Ich halte diese Übungen daher für wichtig, und sie stellen einen großen Mehrwert für den gesamten Prozess
dar, über den wir hier sprechen.

Ich stimme also zu, und wir alle kennen den Begriff der Lernkurve.

Das erste Mal, wenn etwas passiert, sollte also nicht das eigentliche

, oder?

Angesichts all dessen, was du sagst: Wo ist Dave?

Er hat aufgehört.

Wo ist Mary?

Sie hat heute frei.

Wenn man eine Tabletop-Übung durchführt und diese Dinge durchgeht, werden die Leute besser
mit den einzelnen Abläufen vertraut und lernen, wie sie damit umgehen sollen.

Dabei tauchen interessante Fragen zu Notfallszenarien auf.

Deshalb üben die Leute solche Dinge, um daraus zu lernen und sicherer zu werden.

Man möchte schon einigermaßen versiert sein, bevor

etwas Schlimmes passiert.

Deshalb würde ich wirklich nicht nur eine einzige Übung empfehlen, sondern regelmäßige Übungen, die sozusagen
alle auf das gleiche Niveau bringen.

Es ist wirklich wichtig, dieses Muskelgedächtnis aufzubauen und so weiter.

Ich halte das für unerlässlich, aber man muss auch begreifen, dass an einem schlechten
Tag nicht nur die Leute, die die Systeme wiederherstellen, sondern auch diejenigen, die

die Systeme sichern müssen.

Es muss eine umfassende Kommunikationsstrategie geben.

Und es muss gut durchdacht sein, wer als Sprecher auftritt, wie mein Presse- oder Medienteam
arbeitet, wo meine Rechtsabteilung sowie meine internen und externen Rechtsberater stehen und wie ich,

über dieses Notfallmanagement nachdenke, wenn man so will, Shawn.

Ja, genau, und dafür eignet sich eine Tabletop-Übung hervorragend.

Man muss schon lange im Voraus wissen, wer die Verantwortlichen sind.

Man will ja nicht erst anfangen, Telefonnummern durchzublättern und Leute ausfindig zu machen, während man
hektisch versucht, zu reagieren.

Man sollte schon lange im Voraus vorbereitet sein.

Das ist auch ein Bereich, in dem es um Governance, Compliance und
Vorschriften geht, oder?

Als Teil des Kommunikationsprozesses möchtest du natürlich vor allem mit
deinen Kunden sprechen.

Sie wollen mit all Ihren Partnern sprechen.

Sie wollen mit Ihren Mitarbeitern sprechen.

Und in vielen Fällen werden Sie mit den Aufsichtsbehörden sprechen müssen, und dann müssen
Sie Ihren Leiter der Rechtsabteilung hinzuziehen, damit er daran teilnimmt, da es dort einige erhebliche

potenzielle Haftungsprobleme bestehen.

All das lässt sich im Voraus durchspielen.

Es wird nicht zu 100 % klappen.

Es wird nicht perfekt sein.

Aber es wird dir genügend Vertrautheit und ein gewisses Maß an Sicherheit verschaffen.

Es wird die Beziehungen zu diesen externen Akteuren festigen, sodass du, wenn etwas
Schlimmes passiert – und das wird passieren, je nachdem, in welchem Ausmaß –, in der Lage sein wirst,

zu reagieren.

Ich kann Ihnen versichern: Diejenigen, die am besten vorbereitet sind, meistern solche Situationen erfolgreich.

Und diejenigen, die schlecht vorbereitet sind, werden kläglich scheitern.

Nun, und es fällt auf, wenn man das nicht geübt hat und man als Geschäftsführer – was ich in vielen Fällen erwarten würde –
mit seinen wichtigsten Kunden verhandelt und ihnen die Situation darlegt.

Das muss durchdacht und professionell geschehen.

Einfach nur zu reagieren, ohne vorbereitet zu sein, bringt einen in eine schwierige Lage.

Und ich denke, das wird durch die Art und Weise, wie das dargestellt wird, sehr deutlich.

Es wird auch dem Ruf und der Marke des Unternehmens schaden.

Wenn man also vorbereitet wirkt,

ein gewisses Maß an Professionalität und die Fähigkeit, die Kontrolle zu behalten – das ist meiner Meinung nach genau das, was du hier vermitteln musst
.

Und das schafft man nicht ohne all das, worüber Shawn gerade gesprochen hat.

Ja, ich habe eine Übung für eine Gesundheitseinrichtung durchgeführt, die nur zwei Stunden dauerte und in 30-Minuten-Blöcke unterteilt war
.

Und am Ende

sagte der Geschäftsführer: „Mein Adrenalinspiegel war hoch, meine Herzfrequenz lag bei 140, und Gott sei Dank ist das nur
eine Übung.“

Einfach weil man, wenn man es richtig durchführt, genauso viel Stress hat, als wäre
es wirklich der echte Tag und ein schlechter Tag gewesen.

Nun, wir drei waren alle bereits in der Regierung tätig, und wir drei mussten schon zu unserem
Chef gehen – der wahrscheinlich ein ziemlich hochrangiger politischer Amtsträger war – und schlechte Nachrichten überbringen.

Das ist nicht einfach.

Das ist es einfach nicht.

Aber man muss das Pflaster abreißen.

Man muss es tun.

Ja, in der Regierung würden wir sagen: „Das Wichtigste zuerst“.

Das Wesentliche zuerst – beginnen Sie alle Mitteilungen an den Vorstand mit dem Wesentlichen.

Ich bin hier, um euch über A, B und C zu berichten.

Und heute werde ich euch erzählen, wie schlecht es um unsere Organisation steht, weil wir so viele
Altsysteme haben, die unser Kerngeschäft steuern.

Und das müssen wir dagegen tun.

Und dabei brauche ich Ihre Unterstützung.

Und gehen Sie niemals – insbesondere wenn Sie den Bundestag informieren – niemals, ohne Ihre Forderung zu formulieren.

Ihr müsst gleich zu Beginn das Wesentliche auf den Punkt bringen und dann darlegen, was ihr von ihnen erwartet.

Ich möchte Ihre Unterstützung.

Ich brauche Geld.

Wir brauchen mehr Leute.

Da hast du zu 100 Prozent recht.

Aber genau hier kommt das Vertrauen ins Spiel.

Wenn der Vorstand der CSO ihr vertraut, weil sie zuvor offen und ehrlich mit ihm umgegangen ist und sie bereits gemeinsam eine Situation gemeistert haben
.

Sie hat, wie man so sagt, die Situation im Griff; es entsteht dieses Gefühl der
Reaktionsfähigkeit, und sie werden viel eher bereit sein, der Bitte nachzukommen,

ohne viele Fragen zu stellen – nicht, dass sie keine Fragen stellen sollten, aber wenn ein
gewisses Maß an Vertrauen vorhanden ist, ist das Programm so aufgebaut, dass der Informationsfluss

deutlich, deutlich besser ist.

Unsere Aufsichtsbehörden haben uns also im Grunde gesagt, dass wir Strategien, Richtlinien,
Rechenschaftspflicht und eine angemessene Finanzierung für Cybersicherheit sowie die digitale Widerstandsfähigkeit unseres Unternehmens benötigen.

Und der Vorstand soll in regelmäßigen Abständen tagen und zeigen, dass er seiner treuhänderischen Verantwortung tatsächlich
nachkommt.

17 % der Organisationen geben an, dass sie nicht auf einen „schlechten Tag“ vorbereitet sind.

Und viele Vorstände befassen sich immer noch nur einmal im Jahr damit oder haben diese Aufgabe an einen
Ausschuss delegiert, anstatt den gesamten Vorstand einzubeziehen.

Wie sehen Sie das?

Ich stimme zu, dass dies eines der größten Risiken, wenn nicht sogar das größte
Risiko für jede Organisation ist, da ihr gesamtes Unternehmen auf

digitale Landschaft.

Daher muss dies im Rahmen des ERM ein Thema sein, dem

besonders viel Aufmerksamkeit gewidmet werden muss.

Jeder Vorstand ist ein wenig anders, jedes Unternehmen ist ein wenig anders, und auch der Grad der
Vertrautheit sowie des Fachwissens ist unterschiedlich.

Es gibt also keine Einheitslösung, aber angesichts der Bedeutung dieses Themas würde ich mich eher für „mehr ist besser
als weniger“ entscheiden.

Ich habe kein Problem damit, dass ein bestimmter Ausschuss – zum Beispiel
der Prüfungsausschuss – als verantwortliche Instanz fungiert und der Vorsitzende des Prüfungsausschusses

in einer quasi-matrixartigen Beziehung zum CISO steht, wobei der CISO einen direkten Draht hat, um bei Problemen zum Vorsitzenden des Prüfungsausschusses zu gehen und
mit ihm zu sprechen.

Ich bin jedoch der Meinung, dass der gesamte Vorstand ein Gespür und Verständnis
dafür entwickeln muss, und das erfordert eine häufigere Kommunikation.

Ich sehe das also genauso wie Sie: Ich bin nicht auf den Prüfungsausschuss fixiert, aber ich halte ihn für einen logischen
Ort, um diese Aufgabe anzusiedeln.

Und es hängt wirklich davon ab, wie das Unternehmen damit umgehen möchte.

Es gibt also keine feste Formel an sich, aber…

Ich denke, es gibt insofern eine Regel, als es in irgendeiner Form mit dem Vorstand verbunden sein sollte.

Aber wir müssen uns wirklich bewusst machen, dass die Welt in Bezug auf Cyberrisiken nicht sicherer wird.

Sie wird tatsächlich immer risikoreicher.

Wir könnten nun auf alle Gründe dafür eingehen, aber sie sollten offensichtlich sein, da sie fast täglich in den
Nachrichten zu finden sind.

Man darf also nicht den Kopf in den Sand stecken.

Man darf den Kopf nicht wie ein Strauß in den Sand stecken.

Man muss sich wirklich damit auseinandersetzen: Okay, es passiert tatsächlich.

Ich sehe, wie es passiert.

Wahrscheinlich ist es schon einem deiner Freunde in der Geschäftswelt passiert.

Wie bin ich darauf vorbereitet?

Es beginnt also damit, dass man dem Vorstand einfache Fragen stellt.

Was tun wir also, wenn das passiert?

Und den Stein ins Rollen bringen.

Das ist das Erste, was man tun muss, um sich vorzubereiten.

Ich möchte noch etwas hinzufügen.

Im Zusammenhang mit dieser ganzen Vertrauenssache bin ich der Meinung, dass der CISO nicht immer nur auf Fragen des Vorstands reagieren
sollte.

Ich denke, der CISO sollte proaktiv handeln.

Ein Beispiel:

Wir haben über KI als erhebliches Risiko gesprochen.

Das ist ein neuer Pfeil im Köcher der Angreifer.

Es wäre großartig, wenn der CISO proaktiv handeln und vor den Vorstand treten würde, um zu sagen: „Hey, ihr habt
wahrscheinlich schon davon gehört.

Ich möchte euch erzählen, was wir hier unternehmen.“

Das trägt dazu bei, Vertrauen aufzubauen, dass die CISOs aufmerksam sind.

Wissen Sie, ich weiß, dass wir gerade eine neue Fabrik in Indien bauen.

Hier sind einige Überlegungen und Bedenken dazu aus

meiner Sicht als CISO.

Das sind die Dinge, über die wir nachdenken sollten.

Ich denke, proaktiv zu sein, zeugt von Bewusstsein, zeugt von Kompetenz und
schafft Vertrauen.

Und ich glaube, dass es dem CISO dadurch wirklich ermöglicht, das Unternehmen zu unterstützen.

Also, Shawn, ich habe noch nie darüber nachgedacht, was du gerade gesagt hast, und ich finde es großartig.

Und der CFO ist in ähnlicher Weise mit dem Vorsitzenden des Prüfungsausschusses verbunden.

Wenn sich ein Problem abzeichnet, bei dem

es zu Schwierigkeiten bei der Auszahlung der Gehälter oder anderen finanziellen Problemen kommt,
wird Kontakt zum Wirtschaftsprüfer aufgenommen.

Zwischen diesen beiden Personen besteht ein Vertrauensverhältnis.

Es gibt keinen Grund.

Es gibt keinen triftigen Grund, warum ein Sizzle nicht etwas Ähnliches tun sollte.

Seid proaktiv in eurer Kommunikation.

Wissen Sie, ich sehe das auch so: Welche Fragen sollte der Vorstand stellen?

Das ist nicht … das ist nur ganz allgemein gemeint.

Kennen wir tatsächlich alle unsere geschäftskritischen Systeme?

Haben wir einen Überblick über alle menschlichen und nicht-menschlichen Identitäten?

Und sind wir auf die nächste Welle von Identitäten mit „Agentic“ vorbereitet?

Verstehen wir tatsächlich alle privilegierten Konten und durchsuchen wir tatsächlich das Dark
Web nach, nun ja, unseren Zugangsdaten und ähnlichen Dingen?

Wenn Sie, wir, diese Fragen dem Vorstand nicht beantworten können, ist das für mich ein Warnsignal dafür
, dass uns die erforderlichen Fähigkeiten fehlen.

Wir sind darauf nicht wirklich vorbereitet – darauf, ein widerstandsfähiges Unternehmen zu sein.

Zu Beginn des Gesprächs habe ich bereits erwähnt, dass es für einen Vorstand sinnvoll sein könnte, jemanden mit IT- und Cybersicherheitsexpertise in seinen Reihen zu haben
.

Ein praktisches Beispiel: Ich sitze im Vorstand eines Unternehmens, das gerade sein Personalverwaltungssystem
umgestellt hat – und wie jeder weiß, birgt eine solche Umstellung immer Risiken.

Aber wir wurden darüber informiert.

Das wirkliche Verständnis für das Risk kam jedoch von mir als Vorstandsmitglied, da ich aufgrund meiner Erfahrung mit der Umstellung solcher Systeme Fragen
stellte

, was für den Vorstand sehr hilfreich war, um zu verstehen, wie der Stand der Dinge war.

Übrigens war es auch für den CEO sehr hilfreich, da er kein IT-Experte war.

So rückte das Risk wirklich in den Vordergrund, und eine intensive Diskussion darüber – „Ich verstehe
, dass das ein Risk ist, und so gehe ich damit um“ – ist eine wichtige Diskussion, die Vorstände führen sollten

führen müssen, wenn sie Änderungen an ihrem System vornehmen oder auch nur ihre kritischen Systeme verstehen wollen.

Der CISO muss also verstehen, dass er

die Personen, die die Aufsichtspflicht über das Unternehmen haben.

Er muss ihnen darlegen, worin die tatsächlichen Risiken für das Geschäft und das Unternehmen bestehen, und
zwar in geschäftlichen Begriffen.

Und er muss den Plan konkret erörtern und sich dafür einsetzen, was er von
den Vorstandsmitgliedern benötigt.

Das ist absolut richtig.

Ich habe bereits mit vielen Vorstandsmitgliedern und vielen CISOs zu tun gehabt.

Und ich weiß, dass CISOs dies manchmal nur ungern tun, weil

ihr Vorgesetzter möglicherweise mit am Tisch sitzt und sie kein Interesse daran haben, Informationen weiterzugeben
, die sie eigentlich bereitstellen sollten – denn der Vorstand hat diese treuhänderische Verantwortung und

sollte umfassend darüber informiert werden, welche Risiken bestehen.

Aber sie zögern, dies zu tun, und ich würde den CISOs empfehlen, dies – wiederum professionell und in angemessener Weise – zu tun
; doch es erfordert Mut, solche Informationen manchmal weiterzugeben, und man muss vielleicht

ein kleines Glas zerbrechen, aber ich denke, man muss das tun, und wenn man sich in einer Situation
befindet, in der man das Gefühl hat, keine legitimen, autorisierten Informationen bereitstellen zu können, die der Vorstand

benötigt oder erfahren sollte – und wenn das Umfeld dafür nicht förderlich
ist, müssen Sie sich nach einer anderen Stelle umsehen.

Das ist schwer.

Eine persönliche Geschichte, ohne ins Detail zu gehen: Als CIO einer Abteilung

Ich habe viele CIOs in den einzelnen Bereichen, und in einem dieser Bereiche gab es ein Problem, bei dem der
CIO Angst hatte, mit seiner Führungsebene zu sprechen.

Ich habe es getan.

So sollte es nicht sein.

Man muss es tun.

Und als ich dann mit der Führungsebene sprach, konnte man die Überraschung in ihren Gesichtern sehen, aber
ihnen wurde auch klar: Nun, wir müssen etwas tun.

Du hast also recht: Es ist schwer, die Scheibe zu zerbrechen, aber man muss es tun.

Ich habe es respektvoll gemacht.

Ich habe es ganz einfach gemacht.

Und wir haben uns daran gemacht, das Problem zu beheben.

Ich glaube, ich habe schon vielen Vorstandsmitgliedern gesagt: Wenn man am Tisch sitzt, muss
man ein Umfeld schaffen, das einer offenen Diskussion förderlich ist.

Wenn du als Vorstandsmitglied dasitzt und versuchst, jemanden dabei zu erwischen, wie er etwas Falsches tut, und
dabei eine Atmosphäre schaffst, die den freien Dialog einschränkt, bist du das Problem.

Sie verursachen Probleme für diesen Vorstand.

Die Atmosphäre muss förderlich sein.

Sie muss von Zusammenarbeit geprägt sein.

Und noch einmal: Wir alle verfolgen doch dasselbe Ziel, oder?

Wir wollen, dass das Unternehmen erfolgreich ist.

Wir wollen Risiken minimieren, wir wollen unsere Kunden begeistern.

Das ist es, was wir als Unternehmen tun sollten.

Der Vorstand hat eine Aufsichtspflicht.

Der CISO trägt die Verantwortung für die Umsetzung.

Aber gemeinsam müsst ihr ein Umfeld schaffen, in dem dies möglich ist.

Und wenn Sie als Vorstandsmitglied dieses Umfeld nicht schaffen, müssen Sie sich eine
andere Aufgabe suchen.

Aber wir müssen Risiken kommunizieren und sie mindern.

Richtig.

Und gemeinsam sind wir das Team.

Und wir müssen das auf eine „entzückende“ Art und Weise tun, denn ich mag dieses Wort.

Begeisternd.

Nun, es hat mir großen Spaß gemacht, mit euch beiden zu sprechen, John und Shawn, vielen Dank.

Und damit sind wir am Ende unseres SHIFT-Podcasts angelangt.

Ich bin Melissa Hathaway, und das war „Kommunikation von Cyberrisiken im Vorstand“.