Walmart richtet Security Operations auf Vertrauen und geringe Reibung aus

O’Dell sagt, Security Operations müssten Innovation und positive Veränderungen ermöglichen. Er habe die Sicherheitsabläufe bei Walmart über sieben Jahre hinweg mit dem Ziel weiterentwickelt, messbaren Geschäftswert zu liefern und Vertrauen zu schützen. Dafür will er den früher verbreiteten Ansatz aus Angst, Unsicherheit und Zweifel hinter sich lassen und auf Geschäftsanforderungen nicht reflexhaft mit Nein reagieren, sondern mit einem „Ja, und …“ samt sicherem Weg zur Umsetzung.

Sein zentrales Feindbild fasst O’Dell mit einem augenzwinkernden Schlagwort zusammen: Reibung. Gemeint ist alles, was Sicherheit dem Unternehmen an Verlangsamung auferlegt, auch wenn es notwendig ist, etwa durch zusätzliche Kontrollen. Er bestreitet nicht, dass solche Maßnahmen den Betrieb belasten können. Entscheidend sei aber, diese Belastung bewusst gegen den Sicherheitsgewinn abzuwägen.

Dafür nutzt O’Dell ein einfaches Raster mit zwei Achsen: Sicherheitswert und operative Belastung. Das Ziel sei hoher Sicherheitswert bei geringer Reibung. Hohe Reibung könne akzeptabel sein, wenn ihr ein hoher Sicherheitswert gegenübersteht. Ebenso könne es Situationen mit geringer Reibung und geringem Sicherheitswert geben, die vertretbar seien. Problematisch werde es dort, wo hohe operative Belastung auf geringen Sicherheitswert trifft. Genau in diesem Bereich, so O’Dell, beschädigten Sicherheitsteams ihren Ruf — und erhöhten das Risiko, dass Beschäftigte Kontrollen im Arbeitsalltag zu umgehen versuchen.

„Wir balancieren jeden Tag auf einem Drahtseil zwischen Tempo und Sicherheit“, sagt O’Dell sinngemäß. Wer sich zu stark in Richtung Bequemlichkeit neige, schaffe Angriffsfläche. Wer Kontrollen überbetone, provoziere kreative Umgehungen der Schutzmaßnahmen und damit mitunter noch mehr Risiko.

Rik Turner, Chefanalyst bei Omdia, setzt einen anderen Akzent. Er zeigt sich „äußerst skeptisch“ gegenüber der Einordnung von Cybersicherheit als Geschäftsermöglicher. Den Abschied von pauschalen Negativantworten unterstützt er zwar, hält aber zugleich dagegen, dass Sicherheit Abläufe oft verlangsamen werde und wahrscheinlich auch solle. Gerade in Organisationen, die jede Verlangsamung scheuen, entstehe daraus ein heikler Balanceakt zwischen Sicherheitsnotwendigkeiten und dem Wunsch des Geschäfts nach mehr Tempo.

Steve Durbin vom Information Security Forum verortet die Aufgabe auf Vorstandsebene. Sicherheitsverantwortliche müssten sich als strategische Risikopartner positionieren. Weltweit beobachte er eine Verschiebung hin zu „pragmatischer Resilienz“. Erfolgreiche Sicherheitschefs verstünden die Risikobereitschaft des Unternehmens und halfen ihm, innerhalb dieses Rahmens seine Ziele zu erreichen.

O’Dell versucht, dieses Vertrauen systematisch aufzubauen. Als prägendes Leitmotiv nennt er Stephen R. Coveys Satz aus „Die 7 Wege zur Effektivität“: Innovation geschehe mit der Geschwindigkeit des Vertrauens. Statt Menschen mit FUD zu erschrecken, setze er auf echte Gespräche über Risiko. Bei Walmart gebe es dafür einen „Know Your Business Day“, an dem Führungskräfte aus dem Unternehmen zusammenkämen, um über ihre Herausforderungen zu sprechen. Das verschaffe ein besseres Verständnis und mehr Empathie, sagt O’Dell.

Wenn Führungskräfte nach einer neuen Sicherheitsmeldung in den Nachrichten wissen wollen, ob das Unternehmen in Ordnung sei, setzt O’Dell auf knappe, verständliche Unterlagen. Häufig gehe es um Themen, die sein Team bereits geprüft habe. Dann erstellt er ein einseitiges Papier für die Geschäftsleitung, das zeigt, was bereits umgesetzt wurde und was noch geplant ist. Das Dokument arbeitet mit Farbcodes: Es macht sichtbar, welche Kontrolle einen Angreifer gestoppt hätte, welche Abwehrmaßnahme bereits auf der Roadmap oder zur Einführung vorgesehen ist und wo noch Kontrolllücken bestehen.

Für O’Dell ist diese Transparenz zentral. In Security Operations wolle man nie in die Lage geraten, sagen zu müssen, dass an einer Stelle gar nichts vorhanden sei. Offenheit schaffe Vertrauen, sagt er — und ohne vollständige Ehrlichkeit entstünden später Probleme. Zugleich betont er im Austausch mit Branchenkollegen, dass es in den Security Operations keinen Einheitsansatz gebe: Ziele, Fähigkeiten und Unternehmenskulturen unterschieden sich deutlich.