CISO: Chief Information Security Officer

Was ist ein CISO?

Der Chief Information Security Officer (CISO) ist eine Führungsperson in einem Unternehmen, die für die Gewährleistung der Informationssicherheitverantwortlich ist. Der CISO spielt eine entscheidende Rolle bei der Entwicklung, Implementierung und Aufrechterhaltung eines robusten Sicherheitsprogramms, das darauf abzielt, die Informationen und IT-Systeme eines Unternehmens vor Bedrohungen zu schützen.

Der CISO ist in der Regel dem Chief Information Officer (CIO) unterstellt, in einigen Fällen direkt dem Chief Executive Officer (CEO) oder der Geschäftsführung, da die IT-Sicherheit nur einen Teil seiner Aufgaben darstellt. Die Rolle umfasst auch die Sicherung und das Risikomanagement aller anderen (nicht digitalen) Informationswerte eines Unternehmens, wie beispielsweise Papierakten.

Ein erfahrener CISO arbeitet auch eng mit anderen Führungskräften wie dem Chief Information Officer (CIO) und dem Chief Technology Officer (CTO) zusammen, um die Sicherheitsstrategie des Unternehmens im Einklang mit den geschäftlichen Zielen zu gestalten.

Welche Aufgaben hat ein CISO?

In der täglichen Arbeit ist ein CISO unter anderem verantwortlich für die Bereiche: Security Operations, Cyber-Risiken und -Intelligence, Schutz vor Datenverlust und Betrug, Sicherheits-Architektur, Identitäts- und Zugangsmanagement (IAM), Programm-Management, Forensik und Governance. Im Rahmen eines Information Security Management Systems (ISMS) auditiert ein CISO zudem die Sicherheit der IT und berichtet die Ergebnisse der Geschäftsführung.

Der CISO überwacht und koordiniert die Sicherheitsstrategie und -richtlinien eines Unternehmens, um sicherzustellen, dass die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen gewährleistet sind. Die Hauptaufgaben eines CISO umfassen:

Risikobewertung und -management: Der CISO identifiziert potenzielle Sicherheitsrisiken, bewertet ihre Auswirkungen auf das Unternehmen und entwickelt entsprechende Sicherheitsmaßnahmen, um diese Risiken zu minimieren oder zu vermeiden. Dazu gehören die Durchführung von Sicherheitsaudits, das Aufdecken von Schwachstellen und das Erstellen von Risikobewertungen.

Entwicklung von Sicherheitsrichtlinien: Der CISO erstellt Sicherheitsrichtlinien und -verfahren, die die Sicherheitsanforderungen des Unternehmens widerspiegeln. Diese Richtlinien dienen als Leitfaden für Mitarbeiter:innen und helfen, Best Practices im Umgang mit Informationen und IT-Systemen zu etablieren.

Überwachung der Sicherheitsinfrastruktur: Der CISO überwacht kontinuierlich die Sicherheitsinfrastruktur des Unternehmens, einschließlich Netzwerke, Systeme und Anwendungen, um sicherzustellen, dass sie gegen Bedrohungen geschützt sind. Dies beinhaltet die Implementierung von Sicherheitslösungen wie Firewalls, Intrusion Detection Systems und Verschlüsselungstechnologien.

Sicherheitsbewusstsein und Schulung: Der CISO ist für die Förderung des Sicherheitsbewusstseins und die Schulung der Mitarbeiter:innen in Bezug auf sicherheitsrelevante Themen verantwortlich. Dies beinhaltet die Durchführung von Schulungen, die Sensibilisierung für Phishing-Angriffe und die Förderung von Best Practices im Umgang mit Passwörtern und sensiblen Informationen.

Reaktion auf Sicherheitsvorfälle: Im Falle von Sicherheitsvorfällen wie Datenlecks oder Cyberangriffen ist der CISO für die koordinierte Reaktion verantwortlich. Dies umfasst die Untersuchung des Vorfalls, die Durchführung forensischer Analysen, die Schadensbegrenzung und die Implementierung von Maßnahmen zur Verhinderung ähnlicher Vorfälle in der Zukunft.

Was muss ein CISO können?

Angesichts der wachsenden Bedrohung und der zunehmenden Abhängigkeit von Technologie hat die Rolle des CISO in Unternehmen aller Größen und Branchen eine hohe Bedeutung erlangt. Ein qualifizierter CISO trägt dazu bei, das Vertrauen von Kund:innen und Partner:innen zu stärken, den Schutz sensibler Informationen zu gewährleisten und die Geschäftskontinuität sicherzustellen.

Daher sollte ein Chief Information Security Officer (CISO) über umfangreiche Managementfähigkeiten sowie technische Kenntnisse verfügen. Es ist erforderlich, grundlegende Programmier- und Systemadministrationskenntnisse zu besitzen. Darüber hinaus ist ein fundiertes Wissen über Sicherheitstechnologien wie DNS, Routing, Authentifizierung, VPN, Proxy-Dienste, DDoS-Abwehr, Programmierverfahren, ethisches Hacking, Bedrohungsmodellierung, -analyse, Firewalls sowie Intrusion-Detection- und -Prevention-Protokolle von großer Bedeutung.

Neben den technischen Aspekten gewinnt der menschliche Faktor im Bereich der Informationssicherheit zunehmend an Bedeutung. Angreifer umgehen oft die technischen Schutzmaßnahmen von Unternehmen durch ausgefeilte Phishing- oder Social-Engineering-Angriffe. Aus diesem Grund ist es für Sicherheitsverantwortliche von zentraler Bedeutung, das Sicherheitsbewusstsein der Mitarbeiter zu fördern und Schulungen durch Security-Awareness-Maßnahmen anzubieten.

Ein CISO muss auch über umfassendes Know-how im Bereich Compliance verfügen, um die Einhaltung regulatorischer Vorgaben zu unterstützen. Abhängig von der Branche und dem Geschäftsbereich können dies beispielsweise die DSGVO, der IT-Grundschutz, KRITIS- oder PCI-Vorgaben sein. Bei international tätigen Unternehmen gelten zusätzliche Standards wie HIPAA, CCPA, NIST, GLBA oder SOX.

Da CISOs auch Managementaufgaben wahrnehmen und idealerweise engen Kontakt zu Vorstandsmitgliedern haben, reicht allein technisches Wissen nicht aus, um für diese Position qualifiziert zu sein. Erfolgreiche CISOs verfügen über solide technische Grundlagen und gleichzeitig über ein Verständnis für das Geschäftsumfeld. Ein MBA-Abschluss oder ähnliche Qualifikationen können dazu beitragen, auf Augenhöhe mit anderen Führungskräften oder dem Vorstand zu kommunizieren.

Unterschied CISO zum DSB und ISO

Im Gegensatz zur Rolle des Datenschutzbeauftragten (DSB), die vom Gesetzgeber definiert wurde und bestimmte Mindestaufgaben gesetzlich festgelegt sind, gibt es keine gesetzliche Verpflichtung zur Bestellung eines Information Security Officers (ISO) oder eines Chief Information Security Officers (CISO).

Die Bezeichnungen und Aufgaben der Rollen des Information Security Officers(ISO) und des Chief Information Security Officers (CISO) variieren oftmals. Der Chief Information Security Officer (CISO) wird häufig als Chief Information Security Manager (CISM) bezeichnet. Und der Information Security Officer (ISO) kann auch IT-Sicherheitsbeauftragter (IT-SB oder IT-SiBe) oder Informationssicherheitsbeauftragter (ISB) genannt werden. Die den Rollen zugewiesenen Aufgaben können voneinander abweichen. So ist der ISB für die operative (und in Teilen taktische) Verantwortung der Informationssicherheit sowie der Umsetzung dieser nach den Vorgaben des CISO zuständig.