Sridhars zentrales Argument: Eine Kontrolle sei kein Denkmal, sondern etwas Lebendiges, das abdriftet. Ein Firewall-Port, der für eine zweiwöchige Integration geöffnet wurde, könne acht Monate später noch offen stehen. Ein Dienstleister, der im Vorjahr die Prüfung bestand, ändere in diesem Jahr eine Konfiguration. Ein neues System gehe zwischen zwei Prüfzyklen in Betrieb. Etwas könne am Tag nach Abschluss eines Audits aus dem Tritt geraten und monatelang so bleiben — und das Einzige, was ein CISO dann ehrlich sagen könne, sei, dass die letzte Prüfung in Ordnung aussah.
Stichprobenbasierte Bewertungen hält der Autor deshalb für untauglich. Unternehmen veränderten sich durch Digitalisierung fortlaufend, neue KI-Risiken kämen zu bestehenden IT-Risiken hinzu, und die Landschaft wachse jährlich im zweistelligen Bereich. Wer nur einen kleinen Ausschnitt davon inspiziere, gewinne kaum belastbares Vertrauen — obwohl CISOs mit ihrer Unterschrift für die Sicherheits- und Compliance-Lage einstehen müssen, in Kundenbestätigungen, regulatorischen Einreichungen und vertraglichen Zusagen. Wenn die eigene Unterschrift die Zusicherung sei, könne der Test eines Bruchteils der Umgebung diese nicht tragen.
Den Ausweg sieht Sridhar in kontinuierlicher Kontrollüberwachung: Kontrollen werden laufend gegen Echtzeitdaten geprüft, statt Nachweise nach Kalender zu rekonstruieren. Die Leitfrage lautet dann, ob sich heute etwas in der Umgebung verändert hat, statt in den Rückspiegel zu schauen. Praktisch heiße das, genau die Bereiche zu beobachten, die typischerweise abdriften und im Fehlerfall wehtun: Identitäten und Zugriffe, Cloud-Konfigurationen, die sich stündlich ändern, die Frist zur Behebung kritischer Schwachstellen sowie die Sicherheitslage jener Dienstleister, die den eigenen Daten am nächsten sind.
Bestehende GRC-Systeme müssten dafür nicht ersetzt werden. Unternehmen hätten viel Geld und Aufwand in ihre führenden Systeme gesteckt; das nötige Upgrade betreffe die Eingangsdaten — automatisierte, kontinuierliche und vollständige Fakten statt manueller, zeitpunktbezogener Stichproben.
Den häufigsten Einwand von CISOs — die Teams ertrinken bereits in Warnmeldungen, „kontinuierlich überwachen" klinge nach einem Albtraum — weist der Autor zurück. Gut umgesetzt erzeuge kontinuierliche Überwachung weniger Nachlauf, nicht mehr, weil jedes Signal mit dem verknüpft sei, was es gefährdet: ein Vertrag, eine Kundenzusage, eine regulatorische Pflicht. Eine Fehlkonfiguration ohne kritischen Bezug könne warten, ein Kontrollversagen mit Auswirkung auf geschäftskritische Abläufe nicht.
Rückendeckung sieht Sridhar bei den Normungsgremien: Mit der Aktualisierung des Cybersecurity Framework im Jahr 2024 habe NIST die neue Funktion „Govern" ergänzt — auf der Prämisse, dass Cybersicherheit ein Unternehmensrisiko ist, das die Führungsebene neben Finanzen und Reputation abwägen und an kontinuierlichen, messbaren Ergebnissen statt an einer Checkliste steuern muss.
Als Gewinn nennt er Audits, die keine Feuerwehrübung mehr sind, Kundenprüfungen, die Geschäftsabschlüsse nicht mehr aufhalten, und Sicherheitsverantwortliche, die Vorstandssitzungen nicht länger fürchten. Die tiefere Veränderung liege woanders: Wer nur die Vergangenheit beschreiben könne, sei letztlich ein Historiker — wertvoll, aber stets Berichterstatter über bereits getroffene Entscheidungen. Mit einem Live-Bild des Geschäfts werde der Sicherheitschef zu einem der wenigen im Unternehmen, die ein entstehendes Risiko erkennen, solange noch Zeit zum Handeln bleibt.