![\"CISO:](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock_1429515563-e1618565685263.jpg\" "\\"Bild")
<\/p>\n<\/p>\n
Sie haben die Krise selbst bezahlt. An der Frontlinie scheint sich mit der Covid-19-Krise das Unbehagen der CISO, die zwischen dr\u00e4ngenden internen Forderungen und langfristigen Sicherheitserfordernissen hin- und hergerissen sind, noch versch\u00e4rft zu haben. So sehr, dass das Thema Burn-Out heute in der Branche kein Tabu mehr ist. Analyse.<\/strong><\/p>\n <\/p>\n Im November 2019 zeichnete die \u201eCISO Stress\u201c-Umfrage<\/em><\/a> unter mehr als 800 Sicherheitsmanagern f\u00fcr Informationssysteme (CISO) und F\u00fchrungskr\u00e4ften in den Vereinigten Staaten und im Vereinigten K\u00f6nigreich ein d\u00fcsteres Bild eines der heute am meisten gefragtesten Arbeitspl\u00e4tze. Und zwar mit alarmierenden Zahlen: 88\u00a0% der befragten CISO betrachten sich selbst als \u201em\u00e4\u00dfig oder extrem gestresst\u201c<\/em>, wobei 48\u00a0% erkl\u00e4ren, dass ihr Stresspegel Auswirkungen auf ihre psychische Gesundheit hat, 23\u00a0% geben zu, dass sie zu Medikamenten oder Alkohol gegriffen haben. Lange Arbeitszeiten, knappe Budgets, Schwierigkeiten beim Rekrutieren<\/a> und ein gewisser Mangel an Vertretung in den Verwaltungsr\u00e4ten; die Situation ist nicht sehr rosig - auch wenn Mitarbeiter und Betriebsteams immer mehr Geschwindigkeit und Beweglichkeit bei IT-Tools fordern. Dazu kommt ein st\u00e4ndiger Stress angesichts der schnelleren neuen Cyber-Bedrohungen, mit der Angst, zur Verantwortung gezogen zu werden, wenn etwas schief geht... Wie steht es also um die psychische Gesundheit der CISO?<\/strong> Was kann man tun, um die Situation zu verbessern?<\/p>\n <\/p>\n Vor allem die CISO leiden darunter, missverstanden zu werden. Yohann, der nach dem Ausscheiden aus seiner vorherigen Position eine Stelle sucht, um Burn-out<\/em> zu vermeiden, sagt: \u201eFrustrierend ist, dass man es nicht sieht, wenn man seine Arbeit gut macht.\u201c<\/em> In diesem Zusammenhang ist es schwierig, sich als Cyber-Sicherheitsexperte zu bew\u00e4hren... Die Arbeit der CISOs ist jedoch eine Arbeit f\u00fcr Menschen<\/strong>, die sich f\u00fcr neue Technologien begeistern<\/strong>, f\u00fcr die sich viele \u00fcber ihre Arbeit hinaus engagieren. \u201eDas Gebiet der IT-Sicherheit ist so gro\u00df, dass wir nie genug tun k\u00f6nnen. Wir tun es aus Berufsethik und Liebe zu unserer Arbeit, aber es kann anstrengend werden\u201c<\/em>, f\u00e4hrt er fort. Die \u201eCISO Stress\u201c<\/em>-Studie unterstreicht das Gewicht dieser Verantwortung f\u00fcr diese IT-Sicherheitsexperten: bei 44\u00a0% der Befragten ist der Hauptgrund f\u00fcr ihr Unbehagen die Tatsache, dass sie die Cybersicherheit ihres Unternehmens tragen, in einer Welt, die die Tragweite der Probleme, mit denen sie konfrontiert sind, nicht anerkennt. So ist das Stressniveau bei 35\u00a0% der Befragten so hoch, dass es sich auf ihre k\u00f6rperliche Gesundheit auswirkt... Nach ihrer Ver\u00f6ffentlichung stie\u00df die Studie auf ein starkes Echo, und Russell Haworth<\/strong>, CEO von Nominet und Sponsor der Studie, berichtet, er habe zahlreiche Nachrichten von CISO und Cybersicherheitsexperten erhalten, die sich in den Umfrageergebnissen wiederfinden.<\/p>\n Das Feld der IT-Sicherheit ist so gro\u00df, dass wir nie genug tun k\u00f6nnen. Wir tun es aus Berufsethik und Liebe zu unserer Arbeit, aber es kann anstrengend werden<\/em>.<\/em><\/p><\/blockquote>\n Die Studie st\u00fctzte sich auf Fachleute in den Vereinigten Staaten und im Vereinigten K\u00f6nigreich, aber die Lage scheint kaum besser, wenn man Frankreich ansieht. Die Problemstellungen unterscheiden sich jedoch je nach kulturellen Besonderheiten... Frankreich soll tats\u00e4chlich die Profile der \u201eFachleute\u201c sehr wenig w\u00fcrdigen. Alice Louis<\/strong>, IP\/IT-Rechtsanw\u00e4ltin und Expertin f\u00fcr die Verwaltung der Informationswerte, erinnert an das Beispiel Louis Pouzin<\/strong>. \u201eAls brillanter Forscher, Ingenieur und Polytechniker ist er weltweit als einer der Gr\u00fcnderv\u00e4ter des Internets anerkannt. Das Projekt \u201eCyclades\u201c, das er in den 1970er Jahren leitete, f\u00fchrte zu betr\u00e4chtlichen Fortschritten auf dem Gebiet der Netzwerkarchitektur. Die Amerikaner, damals mitten im Kalten Krieg, verstanden schnell das strategische Interesse, w\u00e4hrend die franz\u00f6sische Regierung beschloss, ins Minitel zu investieren<\/em>... Ich bin fassungslos, wie wenig wir wissen, um Lehren aus der Vergangenheit ziehen zu k\u00f6nnen! Frankreich hat viele Talente; das franz\u00f6sische Genie kommt auch in den Informations- und Kommunikationstechnologien zum Ausdruck.\u201c<\/em> Auf der anderen Seite des Atlantiks ist dies nicht der Fall.<\/em> \u201eSchaut man sich die Top 10 der b\u00f6rsennotierten Unternehmen an, so werden drei Viertel von Ingenieuren und Programmierern geleitet. Dies ist absolut nicht der Fall in Frankreich, wo die Ingenieurkultur, auf die wir stolz sind, eher ein Hirngespinst ist. Tats\u00e4chlich gibt es <\/em>keinen Polytechniker an der Spitze des Staates<\/em>, sondern nur Enarchen\u201c, <\/em>klagt Fabrice Epelboin<\/strong>, Unternehmer und Lehrer an der Sciences Po.<\/p>\n In seinen Augen wird die Informationstechnologie immer noch mit einer gewissen Verachtung betrachtet, worauf er provokativ reagiert: \u201eIn den Unternehmen kennen die Leute den Namen des CIO nicht, er interessiert sie nicht. F\u00fcr die gro\u00dfen franz\u00f6sischen Unternehmen ist der CIO eine Putzfrau, sicher sehr gut bezahlt, aber in der Position eines einfachen Ausf\u00fchrenden, den man ruft, wenn man ein Problem hat\u201c.<\/em> Und was ist dann der CISO, der dem CIO unterstellt ist? In der Ausgabe 2018<\/a> der Clusif<\/strong>-Studie \u201eIT-Bedrohungen und Sicherheitspraktiken in Frankreich\u201c<\/em> sind 77\u00a0% der CISO der gr\u00f6\u00dften Unternehmen tats\u00e4chlich dem CIO unterstellt. In Unternehmen mit weniger als 1000 Besch\u00e4ftigten unterstehen 55\u00a0% von ihnen direkt der Gesch\u00e4ftsleitung.<\/p>\n In den Vereinigten Staaten und in den meisten englischsprachigen L\u00e4ndern ist sein Pendant der CISO<\/strong> (Chief Information Security Officer<\/em>), der immer mehr Teil des Leitungsausschusses wird.<\/strong> In Frankreich wird er innerhalb seines Unternehmens nicht wahrgenommen.\u00a0\u201eDies hat damit zu tun, dass der CISO im Grund ein <\/em>Hacker<\/em><\/a> ist. Er kommt nicht aus den Grandes Ecoles, die wir so sehr sch\u00e4tzen, er kennt nicht die Codes, sonst w\u00e4re er Ingenieur geworden\u201c<\/em>, f\u00e4hrt der Lehrer fort. Tats\u00e4chlich werden die CISOs lediglich als unterst\u00fctzende Funktionen wahrgenommen...<\/p>\n <\/p>\n Dies umso mehr, als der CISO isoliert ist, weit davon entfernt, von einem Relaissystem im Unternehmen zu profitieren, im Gegenteil... \u201eEs hat mit dem Organigramm zu tun\u201c<\/em>, erkl\u00e4rt Yohann. \u201eWir werden als notwendiges \u00dcbel wahrgenommen. Unsere Aufgaben kollidieren nicht nur mit denen anderer Abteilungen, sondern auch mit denen des CIO, unseres N+1, dessen Ziele Verf\u00fcgbarkeit der Infrastruktur und F\u00e4higkeit, eine Last zu tragen, das Gegenteil von unseren sind.\u201c<\/em>\u00a0Wenn beide aufeinandertreffen, muss der CISO, der die Kr\u00fcmel des Budgets und ein oft kleines Team hat, manchmal im Namen gesch\u00e4ftlicher Notwendigkeiten mit Sicherheitsverletzungen zurechtkommen...<\/p>\n Die CISOs werden als notwendiges \u00dcbel wahrgenommen.<\/em><\/p><\/blockquote>\n J\u00e9r\u00e9my, ein weiterer CISO, der sich bereit erkl\u00e4rt hat, Stellung zu nehmen, stimmt dem zu.\u00a0\u201eWir sind in einer Zwickm\u00fchle zwischen dem CIO, dem Leitungsausschuss und den Anwendern, die nicht verstehen, warum wir Sicherheitsstandards festlegen. Um in die Richtung der CIO zu gehen, m\u00fcssen wir oft gef\u00e4hrliche Situationen validieren und laufen Gefahr, dass es auf uns zur\u00fcckf\u00e4llt.\u201c<\/em>\u00a0Mit einem gezwungenen Lachen f\u00fchrt er ein bekanntes Sprichwort unter CISOs an: \u201eDer CIO ist die Sicherung f\u00fcr das Management, der CISO die Sicherung f\u00fcr den CIO\u201c.<\/em>\u00a0Wenn es ein Problem gibt, wird der CISO umgehend beschuldigt, sogar geopfert.<\/p>\n Die CISOs sind in einer Zwickm\u00fchle zwischen dem CIO, dem Leitungsausschuss und den Anwendern, die nicht verstehen, warum wir Sicherheitsstandards festlegen.<\/em><\/p><\/blockquote>\n Dieser schwierige Zustand wurde durch die Covid-19-Krise versch\u00e4rft, was die Reibungen noch verst\u00e4rkte. \u201eDas einzige Ziel einiger Comex besteht jetzt darin, zu \u00fcberleben, und das geht zu Lasten der Sicherheitsstandards, f\u00fcr die wir eintreten\u201c<\/em>, sagt J\u00e9r\u00e9my. Die Einf\u00fchrung der Telearbeit f\u00fcr das gesamte Unternehmen durch die Systematisierung von BYOD hat viele L\u00fccken in der IT-Sicherheit ge\u00f6ffnet und gleichzeitig die bereits \u00fcbervolle Arbeitslast der CISO vervielfacht. \u201eVon einem Tag auf den anderen musste alles ge\u00e4ndert werden. Und kein Unternehmen war bereit\u201c<\/em>, sagt J\u00e9r\u00e9my. \u201eF\u00fcr die Mitarbeiter stand nichts auf dem Spiel, denn ihre Arbeit \u00e4nderte sich nicht, w\u00e4hrend es f\u00fcr uns eine v\u00f6llige Umgestaltung bedeutete.\u201c<\/em> Im Zuge dieser Praktiken entstehen neue Bedrohungen wie z.\u00a0B. IT-Shadowing<\/a>, die durch die Nutzung von Anwendungen und Diensten parallel zu denen der IT-Abteilung verursacht werden. \u201eDurch Anziehen gelang es den CISO jedoch, viele Initiativen schnell auf den Weg zu bringen.<\/em> Dieser zweischneidige Erfolg hat die Komplexit\u00e4t und die Schwierigkeiten unserer Aufgabe unsichtbar gemacht...\u201c<\/em>, sagt Jeremy.<\/p>\n Und der Preis, der f\u00fcr den Erfolg in diesem schwierigen Balanceakt zu zahlen ist, kann die Implosion des eigenen Lebens sein. \u201eIch komme sp\u00e4t aus dem B\u00fcro nach Hause, esse schnell zu Abend und arbeite bis ein Uhr nachts weiter.<\/em> Wochenenden kenne ich nicht mehr\u201c<\/em>, sagt Yohann. In den englischsprachigen L\u00e4ndern zeigt die \u201eCISO Stress\u201c<\/em>-Studie das gleiche Unbehagen: 95\u00a0% der Befragten geben an, mehr zu arbeiten, als ihr Vertrag verlangt, und 39\u00a0% von ihnen haben bereits wegen ihrer Arbeit die Hochzeit eines Familienmitglieds oder den Urlaub verpasst.<\/p>\n <\/p>\n Sowohl intern als auch extern wird die CISO von allen Seiten angegriffen. Die CISO ist jedoch nicht zu ihrem Schicksal verdammt, und es sind verschiedene L\u00f6sungen zu erw\u00e4gen.<\/p>\n Yohann und J\u00e9r\u00e9my sind sich einig. Die CISO darf nicht mehr dem CIO unterstellt sein. \u201eDieser Bericht hindert den CISO daran, seine Rolle als Cybersicherheitsexperte und Gegenkraft, die er nur unabh\u00e4ngig aus\u00fcben kann, voll wahrzunehmen\u201c<\/em>, erkl\u00e4rt J\u00e9r\u00e9my. F\u00fcr ihn w\u00e4re es notwendig, von der amerikanischen Art zu lernen, die eher dazu neigt, Verantwortung zu delegieren. \u201eDer CISO muss auch so nah wie m\u00f6glich am Top-Management sein und in den Comex integriert werden. Sobald er mit dem CIO auf Augenh\u00f6he ist, kann er seine Positionen transparent verteidigen\u201c<\/em>, f\u00fcgt Yohann hinzu. Auf diese Weise w\u00fcrden die Schlichtungen in voller Kenntnis der Tatsachen erfolgen.<\/p>\n Eine L\u00f6sung f\u00fcr die Mitarbeiter k\u00f6nnte die Organisation von Bildungsworkshops sein. \u201eIn den K\u00f6pfen der Mitarbeiter ist es einfach, Menschen in Telearbeit zu schicken. Sie verstehen nicht, dass damit ein anderes Netzwerk mit neuen Konzentrationsstr\u00f6men gesch\u00fctzt werden muss. Wenn sie w\u00fcssten...\u201c<\/em>, seufzt Yohann. Mit der Einf\u00fchrung von Workshops zur Sensibilisierung f\u00fcr digitale Hygiene<\/a> w\u00fcrde man auch verstehen lernen, warum bestimmte gute Praktiken (nicht mehr nur ein achtstelliges Passwort, nur die empfohlenen Werkzeuge verwenden usw.) notwendig sind. In einer Zeit, in der die Grenzen zwischen Mitarbeitern und Fachkr\u00e4ften verschwimmen <\/strong>und digitale Angriffe immer h\u00e4ufiger und raffinierter werden, haben die Mitarbeiter die damit verbundenen Risiken noch nicht vollst\u00e4ndig begriffen. Nach der \u201eCISO Stress\u201c<\/em>-Studie glauben nur 15 Prozent der Befragten, dass das Thema Cybersicherheit systematisch in den Unternehmen bei Treffen von F\u00fchrungskr\u00e4ften behandelt wird... Der CISO, ein IT-Sicherheitsexperte, muss auch zum P\u00e4dagogen werden.<\/p>\n Ein weiterer von Alice Louis, die Interdisziplinarit\u00e4t bef\u00fcrwortet, favorisierter Weg ist \u201edas Steuern von Intelligenz-Netzwerken, insbesondere das von <\/em>Ethik-Hackern<\/em><\/a>\u201c<\/em>, die aus kultureller Sicht dem CISO n\u00e4her stehen als dem CIO. F\u00fcr die ersteren \u201ek\u00f6nnten sie wichtige Verb\u00fcndete f\u00fcr Organisationen sein\u201c<\/em>, was dazu beitragen w\u00fcrde, das Kr\u00e4fteverh\u00e4ltnis zugunsten der Cybersicherheit zu verschieben<\/strong>. Diese vertrauensw\u00fcrdigen Hacker, auf die man manchmal eher h\u00f6rt, k\u00f6nnten heute in Unternehmen eine wichtige Rolle spielen und zu echten Erweiterungen der Sicherheitsteams werden. Frans Ros\u00e9n<\/strong>, Hacker der HackerOne-Community, sagte \u00fcbrigens Ende Mai in einer Pressemitteilung<\/a>: \u201eWas mir am besten gef\u00e4llt, sind die Reaktionen auf einige Bugs, die ich identifiziert habe. Wenn der CIO eines Unternehmens mich mitten in der Nacht anruft, um den Ernst der Lage zu verstehen, und in Panik ger\u00e4t, wenn er die potenziellen Auswirkungen erkennt.\u201c<\/em><\/p>\n <\/p>\n Yohann und J\u00e9r\u00e9my sehen zwar eine Verbesserung der Lage, aber sie f\u00fcrchten die Rolle, die Covid-19 spielen k\u00f6nnte. Die Epidemie k\u00f6nnte die mageren Fortschritte bei der Art und Weise, wie die Rolle der CISO verstanden wird, r\u00fcckg\u00e4ngig machen. Ist die Krise also ein Beschleuniger des Fortschritts oder ein Vektor, um die Uhr zur\u00fcckzudrehen? Dazu ist es noch zu fr\u00fch...<\/p>\n","protected":false},"excerpt":{"rendered":" Sie haben die Krise selbst bezahlt. An der Frontlinie scheint sich mit der Covid-19-Krise das Unbehagen der CISO, die zwischen dr\u00e4ngenden internen Forderungen und langfristigen Sicherheitserfordernissen hin- und hergerissen sind, noch versch\u00e4rft zu haben. So sehr, dass das Thema Burn-Out heute in der Branche kein…<\/p>\n","protected":false},"author":31,"featured_media":187495,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1615],"tags":[13331],"business_size":[687,685,686],"industry":[],"help_mefind":[],"features":[],"type_security":[],"maintenance":[],"offer":[],"administration_tools":[],"cloud_offers":[],"listing_product":[],"class_list":["post-189800","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-meinungen","tag-cybersecurity-von-stormshield","business_size-grossunternehmen","business_size-kleinunternehmen","business_size-mittelstandsunternehmen"],"acf":[],"yoast_head":"\nDie Kultur an der Wurzel des Problems<\/h2>\n
CISOs in der Krise vor der Krise<\/h2>\n
Wie k\u00fcmmern Sie sich um Ihre CISO?<\/h2>\n