Im Interview der Dark-Reading-Reihe „Heard It From a CISO“ mit Redakteurin Kristina Beek skizziert Cezary Piekarski seinen Weg vom technisch geprägten Einstieg bis an die Spitze der Sicherheitsorganisation von Standard Chartered. Als prägende frühe Einflüsse nennt er das Experimentieren mit früher Technologie, darunter die Anfänge von Slackware Linux, sowie das Buch „The Cuckoo’s Egg“ von Clifford Stoll. Beides habe in seiner Jugend das Interesse an Hacking und Verteidigung geweckt.
Beruflich begann Piekarski nach eigenen Angaben als IT-Sicherheitstrainer und arbeitete später bei Deloitte. Besonders die Zeit in einer großen Beratung habe ihm geholfen, das kommerzielle Innenleben von Unternehmen zu verstehen. Wer in einer Beratung arbeite, führe letztlich ein eigenes kleines Geschäft mit Gewinn- und Verlustverantwortung. Dieses Verständnis für wirtschaftliche Zusammenhänge sei später zu einem wichtigen Bestandteil der Rolle als Führungskraft geworden – auch und gerade in der Sicherheitsfunktion.
Beim Aufbau leistungsfähiger Sicherheitsteams stellt Piekarski nicht die Technik in den Mittelpunkt, sondern den gemeinsamen Auftrag. Der Schutz von Kunden, Kollegen und den Gemeinschaften in den Märkten, in denen die Bank tätig ist, sei das verbindende Element. Ebenso wichtig sei eine Kultur des Wissenstransfers. Piekarski nennt dabei den offenen fachlichen Austausch, gegenseitige Herausforderung, Capture-the-Flag-Wettbewerbe, informelle Lernsitzungen und das Teilen interessanter technischer Erkenntnisse als Merkmale erfolgreicher Teams.
Die Rolle des CISO beschreibt er als besonders anspruchsvoll, weil sie mehrere schwer vereinbare Kompetenzfelder zusammenbringe. Ein CISO müsse die Geschäftslogik des Unternehmens verstehen und mit anderen Führungskräften fundiert über Geschäftsmodell, Chancen, Risiken und Zielkonflikte sprechen können. Gleichzeitig brauche es ein solides technologisches Fundament, um die strategische Richtung der Technik mitzugestalten. Hinzu komme die Aufgabe, als kultureller Multiplikator die Risikokultur einer Organisation im Umgang mit Cyberrisiken zu prägen.
Gespräche mit dem Geschäft versteht Piekarski ausdrücklich nicht als Reibung, sondern als Kern der Funktion. Aus seiner Sicht darf ein CISO nicht zum bloßen Betreiber einzelner Sicherheitsleistungen werden, etwa nur für Schwachstellen- oder Identitätsmanagement. Wer lediglich Fähigkeiten bereitstelle, statt die gesamte Sicherheitslage der Organisation im Blick zu behalten, gerate in eine Falle. Deshalb müsse ein CISO die Richtung des Geschäfts, dessen Entscheidungen und Dilemmata verstehen und Auswirkungen so erklären, dass andere Führungskräfte sie in ihrem Kontext einordnen können.
Für die Finanzbranche beschreibt Piekarski eine doppelte Realität. Einerseits sei die Verantwortung groß, und die Rolle bringe zwangsläufig schlaflose Nächte mit sich. Andererseits profitiere der Sektor davon, dass Regulierer als Partner wirkten, die Branche sehr reif sei und das Sicherheitsbewusstsein hoch ausgeprägt sei. Das erleichtere es, intern Unterstützung zu finden. Im Vergleich dazu verweist er auf das Gesundheitswesen, wo die Kritikalität ähnlich hoch sein könne, die Diskussionen über Investitionen und Prioritäten aber mitunter schwieriger ausfielen.
Mit Blick auf Künstliche Intelligenz spricht Piekarski von einem grundlegenden technologischen Wendepunkt. Standard Chartered betrachte KI laut ihm aus mehreren Perspektiven: als Baustein für Geschäfts- und Verteidigungsfähigkeiten, als Auslöser veränderter Kompetenzprofile und als Faktor in gegnerischen Aktivitäten. Dabei gehe es nicht nur um die Sicherheit eigener KI-Lösungen, sondern auch um Risiken im erweiterten Ökosystem mit Dritt- und Viertparteien.
Einen massiven Stellenabbau in der Cybersicherheit erwartet Piekarski durch KI nicht. Im Gegenteil: Er sagt, die Zahl der offenen Stellen für Sicherheitsfachleute steige, auch wenn sich deren Zuschnitt grundlegend verändere. Die Zukunft der Cybersicherheit beschreibt er als stärker integriert, nachrichtengestützt und automatisiert. In einigen Jahren werde ein größerer Teil der Arbeit darin bestehen, hochentwickelte Schutzsysteme zu steuern und zu kuratieren – mit abstrakteren Problemstellungen, stärkerem Engineering-Fokus, höherem Tempo und größerem Anspruch, schon im ersten Anlauf richtig zu liegen.