Nach Darstellung von Edna Conway, Chief Operating and Risk Officer bei der TPO group und frühere Chief Security and Risk Officer bei Microsoft, ist die Vorstellung eines desinteressierten Vorstands fehlgeleitet. „In Wirklichkeit kümmern sich starke Direktoren sehr“, sagt sie gegenüber Dark Reading — nicht nur um Cyberrisiken, sondern auch um die Menschen im Unternehmen, dessen Auftrag und das gesamte Umfeld, in dem sich die Organisation bewegt.
Ein zentraler Streitpunkt ist Transparenz. Der jüngste Bericht von Checkmarx ergab, dass 95 Prozent der CISOs sich von Management und Vorständen unter Druck gesetzt fühlen, Sicherheitsprobleme in ihren Organisationen zu unterdrücken. Dahinter stehen laut dem Beitrag oft unterschiedliche Aufgaben: CISOs verfolgen Bedrohungen in Echtzeit und reagieren darauf, während Vorstände Gewinne und Wachstum im Blick haben. Die Offenlegung einer Schwachstelle oder eines Angriffs — selbst eines versuchten — kann aus Sicht des Geschäfts negative Folgen für das Wachstum haben.
Conway berichtet allerdings von gegenteiligen Erfahrungen aus ihrer Arbeit in Vorständen von Sicherheits- und Hochtechnologieunternehmen sowie mit Private-Equity-Firmen. Transparenz sei dort eine Grundlage für Investitionsentscheidungen und dafür, Führungsteams so zu unterstützen, dass sie wachsen können. Für sie ist Offenheit kein Widerspruch zu unternehmerischem Erfolg.
Chris Novak, Partner und Mitgründer von Quadrum Advisors, sieht dennoch ein anhaltendes Muster: Viele Direktoren betrachteten Sicherheit weiterhin als Problem der IT-Abteilung. Gleichzeitig gebe es aber einen starken Wunsch, Cybersicherheit stärker als Unternehmensrisiko und Frage der Widerstandsfähigkeit zu verstehen. Denn sie betreffe Betriebsabläufe, Kunden, Umsatz, regulatorische Verpflichtungen, Reputation und die langfristige Strategie.
Vorstände müssten dabei keine Cybersicherheitspraktiker werden, sagt Novak. Ihre Aufgabe bestehe darin zu verstehen, ob das Management die folgenreichsten Risiken erkannt, bewusste Entscheidungen dazu getroffen und belegt habe, dass das Unternehmen reagieren und sich erholen könne, wenn vorbeugende Kontrollen versagen.
Das eigentliche Problem ist aus seiner Sicht daher weniger fehlende Sorge als fehlende Unterstützung und Verständigung. Gerade im Zeitalter der Künstlichen Intelligenz werde es schwieriger zu erkennen, wie sich der Sicherheitsstatus einer Organisation sinnvoll hinterfragen lasse. Sicherheitsverantwortliche sprächen häufig über Bedrohungen und Kontrollen, Vorstände hingegen über Exponierung, Widerstandsfähigkeit, Zielkonflikte und Verantwortung.
Hinzu kommt, dass CISO-Präsentationen oft Dutzende Kennzahlen enthalten. Führungsgremien fühlten sich laut Novak jedoch nicht ausreichend darüber informiert, welche davon entscheidend sind und welche Entscheidungen das Management auf dieser Basis erwartet. Relevanter seien für sie Fragen danach, welche geschäftskritischen Dienste ausfallen könnten, welche Risiken zunehmen und welche finanziellen oder rufbezogenen Folgen Bedrohungen haben.
Novak beschreibt das als wechselseitiges Missverständnis: Beide Seiten deuteten Schweigen oft als Zustimmung oder als mangelnde Beteiligung. Diese Lücke setze alle Beteiligten unnötigen Risiken und Rechtsstreitigkeiten aus.
Als Ausweg nennt Novak regelmäßige Aufklärung des Vorstands über die Bedrohungslage, Zugang zu unabhängigen Einschätzungen sowie realistische Übungen, in denen Entscheidungsprozesse während eines schwerwiegenden Cybervorfalls getestet werden. Sicherheitsteams wiederum sollten die Kommunikation mit dem Vorstand bei den geschäftlichen Folgen beginnen statt bei technischen Aktivitäten. Dazu gehörten Angaben dazu, welche kritischen Dienste beeinträchtigt werden könnten, welche finanziellen und rufbezogenen Auswirkungen drohen und wie schnell sich die Organisation erholen kann.
Zudem sollten sich Vorstände und Sicherheitsverantwortliche auf wenige, konsistente und entscheidungstaugliche Messgrößen einigen. Novak nennt dabei Berichte über kritische Exponierungen, Wiederherstellungsbereitschaft, Risiken durch Dritte, Vorbereitung auf Vorfälle und Veränderungen im Risikoprofil der Organisation. Conway fasst den Perspektivwechsel grundsätzlicher: Technologie solle den Menschen dienen — nicht umgekehrt.