Was CISOs in diesem Herbst beschäftigt

Das Echo von RSA Conference, Black Hat und DEFCON hallt noch immer in unseren Ohren nach. Diese Konferenzen, vollgepackt mit bahnbrechenden Einsichten, Erkenntnissen und Vorhersagen, haben CISOs mit neuen Ideen und einem erneuerten Sinn für Ziele beflügelt. In diesen letzten Wochen des Sommers ist es an der Zeit, vom Wirbelwind der Konferenzen Abstand zu nehmen und einen Blick auf das große Ganze zu werfen. 

In a panel discussion facilitated by Keyfactor and Devo at RSA, CISOs gathered to share their most pressing concerns, the evolving role of the CISO, and the strategic shifts they’re making to navigate today’s complex security landscape. Four key themes emerged as top-of-mind for CISOs—read on to see what’s keeping leaders up at night, and what they plan to do about it. 

Das Thema Cybersicherheit ist aktueller denn je

Das öffentliche Bewusstsein für Sicherheitsfragen hat in den letzten Jahren zugenommen - es ist sogar so hoch wie nie zuvor.

Wir haben große Unterbrechungen durch Cybervorfälle erlebt: 

• • When a faulty Crowdstrike update in July 2024 affected Microsoft devices across the world, airline outages and customer suffering dominated headlines.
  • In 2022, a major Rogers disruption in Canada involving malfunctioning routers affected millions of internet, mobile, and banking customers, including some emergency 911 systems.
  • After a February 2024 outage, AT&T discovered that “nearly all” customer data from most of 2022 had been exfiltrated, risking personally identifiable information (PII) in the wrong hands.
  • An “expired ground station certificate” at Starlink in 2023 took satellites down for several hours, highlighting the risks of poor certificate management to overall operations.
  • Cisco experienced a similar issue in 2023, when expired certificates on inherited SD-WAN hardware brought down cloud, data storage, and e-commerce services.

Diese Vorfälle haben die Cybersicherheit in das Bewusstsein der Öffentlichkeit gerückt. Diese erhöhte Sichtbarkeit geht über das Bewusstsein der Verbraucher hinaus; auch Vorstände und Führungskräfte müssen den Sicherheitsrisiken und ihren potenziellen Folgen mehr Aufmerksamkeit schenken. 

Diese erhöhte Aufmerksamkeit verschafft den CISOs zwar einen prominenteren Platz am Tisch, aber nicht alle Sichtbarkeit ist positiv. CISOs werden bei ihren Entscheidungen sehr genau beobachtet, und der Druck, Ergebnisse zu liefern, ist hoch. 

Persönliche Haftung steht auf dem Spiel

The role of the CISO has evolved dramatically in response to this increased scrutiny, and so has the level of personal liability. The SolarWinds supply chain attack, for example, resulted in fraud charges filed against CISO Timothy Brown; at Uber, a data breach led to a criminal conviction and three years’ probation for former CISO Joseph Sullivan.

Compounding these challenges are emerging regulations geared towards protecting the public, such as the SEC’s four-day disclosure rule, or the forthcoming NIST updates to cryptographic algorithms. These regulations are important and helpful for improving cybersecurity practices, but they also increase the workload and complexity of a CISO’s role.

Ein Ansatz, um den heißen Stuhl zu vermeiden? "Wenn es nicht aufgeschrieben ist, ist es nicht passiert". CISOs mit umfassender Dokumentation und Prüfung haben Informationen, auf die sie sich verlassen können, wenn sie mit regulatorischen Herausforderungen oder externen Untersuchungen konfrontiert werden.

Sicherheit und Risiko gehen Hand in Hand

Sie geben zwar fachkundigen Rat und Empfehlungen, aber das letzte Wort haben oft andere Führungskräfte, Vorstandsmitglieder oder Abteilungsleiter. 

Ein CISO könnte beispielsweise die Implementierung einer Multi-Faktor-Authentifizierung (MFA) für Salesforce empfehlen, aber wenn Salesforce dem Vertriebsteam gehört und unter dessen Budget liegt, ist dieses letztlich dafür verantwortlich und hat das letzte Wort darüber, ob diese Maßnahme eingeführt wird. Eine effektive Kommunikation und Zusammenarbeit zwischen CISOs und anderen Interessengruppen ist unerlässlich, um einen effizienten, progressiven Wandel herbeizuführen. 

Die Rolle des CISO umfasst letztendlich sowohl die Sicherheit als auch das Risikomanagement. In Anbetracht der begrenzten Ressourcen und des Zeitmangels ist es wichtig, die Prioritäten auf der Grundlage der Risikobereitschaft des Unternehmens zu setzen. Das Verständnis der Risikotoleranz des Unternehmens ist der Schlüssel zur Entscheidung, welche Sicherheitsmaßnahmen wann implementiert werden. 

CISOs passen sich schnell an das neue Paradigma an

Die Arbeit als CISO kann sich anfühlen, als säßen Sie auf dem heißen Stuhl. Während die technologischen Innovationen explodieren, gibt es ein paar gängige Ansätze, um die Dinge abzukühlen: 

Alles dokumentieren

Wir haben es schon einmal gesagt, und wir meinen es auch so: Schreiben Sie es auf, und eskalieren Sie das Problem mit Ihrem Führungsteam. Bei diesem akribischen Dokumentationsansatz geht es nicht nur darum, Aufzeichnungen zu führen, sondern sicherzustellen, dass jede Risikobewertung, Empfehlung und Entscheidung auf Papier festgehalten wird. 

Wenn ein CISO eine potenzielle Bedrohung oder Sicherheitslücke feststellt, macht er die Geschäftsleitung darauf aufmerksam, skizziert die möglichen Folgen und bewertet die Risikobereitschaft des Unternehmens, um alle Beteiligten auf eine Linie zu bringen, bevor er fortfährt. Im Falle eines Vorfalls oder einer Prüfung kann eine umfassende Dokumentation lebensrettend sein.

Einbindung von Rechts- und Compliance-Teams

Vorschriften können beim Risikomanagement mächtige Verbündete sein. In einem Hornissennest aus strengen Vorschriften und verschärfter Kontrolle können Ihre Rechts- und Compliance-Teams Ihnen dabei helfen, das richtige Maß an Risiko zu finden - weder zu vorsichtig noch zu sehr exponiert. Rechtsexperten spielen eine besondere Rolle, wenn es darum geht, die Kosten eines Fehlverhaltens zu ermitteln, was Ihnen helfen kann, eine fundierte Entscheidung zu treffen, die mit den Geschäfts- und Sicherheitszielen in Einklang steht. 

Holen Sie sich einen Platz am Tisch und behalten Sie ihn

Es reicht nicht mehr aus, dass CISOs die Sprache der Technik beherrschen, sie müssen auch die Sprache der Wirtschaft sprechen können. Führungskräfte wollen nicht nur wissen, welche Risiken gemindert werden, sondern auch, welchen Wert jede einzelne Budgetlinie hat. CISOs, die klar darlegen können, wie ihre Strategien Risiken verringern und zu den Gesamtzielen des Unternehmens beitragen, werden mit größerer Wahrscheinlichkeit die erforderlichen Ressourcen und Unterstützung erhalten. 

Nutzen Sie das Fachwissen strategischer, vertrauenswürdiger Partner

Managed service providers and other strategic partners bring specialized expertise to your business, helping CISOs prioritize the trade-offs between integrating new technology and addressing the organization’s specific needs. At Keyfactor, our managed PKI services come with access to PKI experts who can help organizations understand the full scope of certificate management. Partner with experts in the coverage your organization lacks to make informed decisions that balance innovation with security. 

Zusammenarbeit, Kommunikation und Dokumentation können dafür sorgen, dass sich der CISO-Sitz etwas weniger warm anfühlt - oder zumindest die Wärme so verteilt, dass sie erträglich ist. 

Kommunikation und Partnerschaften sind die Zukunft einer erfolgreichen Cybersicherheit

Da sich die Rolle des CISO immer weiter entwickelt, bleibt die Fähigkeit, die Sprache des Unternehmens zu sprechen, eine Notwendigkeit. Eine klare Kommunikation hilft dabei, die Zustimmung der wichtigsten Interessengruppen zu erhalten und die wahren Risiken und Kompromisse, die mit jeder Sicherheitsentscheidung verbunden sind, zu vermitteln. Diese Kommunikation ist unerlässlich, um Sicherheitsstrategien mit Ihren Geschäftszielen in Einklang zu bringen und Ihre Organisation in die Lage zu versetzen, Sicherheitsmaßnahmen zu verstehen und zu unterstützen. 

The rapid pace of technological advancement, from AI to quantum computing, presents challenges and opportunities for cybersecurity. Working with trusted partners can help CISOs navigate emerging tech and prepare them to integrate new innovations without compromising security. 

Check out the full panel discussion to hear directly from industry leaders about what’s on their mind: the strategies and insights shaping the future of cybersecurity.