Die CISO-Rolle: Was macht ein Chief Information Security Officer? (2023)

Mit der hohen Rate vonCyberangriffeHeutzutage ist die Rolle eines Chief Information Security Officer (CISO) wichtiger geworden – und viel sichtbarer. Unternehmen waren gezwungen, in den Schutz ihrer Infrastrukturen, Netzwerke und sensiblen Daten zu investieren. Sie müssen auch neue Technologien berücksichtigen, zwas ChatGPT und andere generative KIs für die Cybersicherheit bedeuten.

In diesem Blogbeitrag werfen wir einen Blick auf die Grundlagen eines CISO sowie auf die Hauptaufgaben und Verantwortlichkeiten des CISO.

(Schauen Sie sich unsere Empfehlungen für anSicherheitsbücherUnd.)

Definieren der CISO-Rolle

Als Teil der sogenannten „C-Suite“ ist ein Chief Information Security Officer ein leitender Angestellter, der für die Entwicklung und Implementierung eines verantwortlich istInformationssicherheitsprogrammdas schützt einDaten der Organisationund Systeme. CISOs sind für das Risikomanagement verantwortlich und stellen sicher, dass die Sicherheitslage des Unternehmens mit seinen Geschäftszielen übereinstimmt.

CISOs arbeiten eng mit anderen Führungskräften wie dem Chief Information Officer (CIO) und dem Chief Technology Officer (CTO) zusammen, um sicherzustellen, dass das Sicherheitsprogramm der Organisation effektiv und effizient ist. CISOs verfügen in der Regel über einen Hintergrund in Informationssicherheit, Informatik, Computertechnik oder einem anderen verwandten Bereich.

Um als CISO erfolgreich zu sein, müssen Sie über umfassende Kenntnisse von Sicherheitstechnologien und -prozessen sowie ein ausgeprägtes Verständnis für Geschäfts- und Risikomanagement verfügen. Allerdings reicht es nicht aus, die Sicherheitsaspekte zu verstehen. Entscheidend ist, dass CISOs in der Lage sein müssen:

• Kommunizieren Sie effektiv mit technischem und nichttechnischem Personal.
• Formulieren Sie klar und deutlich die Merkmale der OrganisationSicherheitslagean die Geschäftsleitung (insbesondere wenn die Situation nicht zufriedenstellend ist).

Hauptaufgaben von CISOs

Okay, das sind die Grundzüge, aber was macht ein CISO eigentlich? Ein CISO ist für die Gesamtsicherheit der Informationssysteme einer Organisation verantwortlich. Das beinhaltet:

• Vielleicht die Entwicklung und Implementierung von Sicherheitsrichtlinien und -verfahrenVerwendung eines Sicherheitsframeworksals Leitfaden
• Verwaltung des Sicherheitspersonals, was bedeutet, dass Sie viele Sicherheitsteams in größeren Organisationen beaufsichtigen müssen
• Verstehen Sie die Netzwerkaktivität und bereiten Sie sich auf potenzielle Bedrohungen vor
• AufsichtReaktion auf Vorfälleund Notfallwiederherstellungsplanung
• Koordinierung der Reaktions- und Wiederherstellungsbemühungen, wenn eine Daten- oder Sicherheitsverletzung auftritt
• Berichterstattung an die festgelegte Hierarchie, bei der es sich um den CIO, den CEO und sogar den Vorstand handeln kann

(Verstehe wieSchwachstellen und Bedrohungen tragen zum Gesamtrisiko bei.)

CISO-Fähigkeiten und Erfahrung

Ein CISO ist eine Führungskraft, die häufig Sicherheitsingenieure leitet und Ressourcen manövriert, um auf geschäftskritische Situationen zu reagieren. Daher sollten CISOs fundiertes Wissen über Informationssicherheit, Erfahrung in Informationstechnologie, Risikomanagement und Führungsqualitäten kombinieren. Auditing-Kenntnisse können eine gute Ergänzung sein.

Neben der Reaktion auf Verstöße,ÜberwachungUm Bedrohungen zu bekämpfen und Strategien zur Risikominderung zu entwickeln, muss ein CISO die Sicherheitsstrategien an den Geschäftszielen ausrichten und gleichzeitig Ressourcen für maximale Effizienz zuweisen. Ein ausgeprägtes Geschäftsverständnis kann also einen großen Beitrag zur Ausbildung eines effektiven Chief Information Security Officer leisten.

Viele Unternehmen verlangen von einem CISO einen höheren Abschluss in Informatik, Ingenieurwesen oder Betriebswirtschaft. Oft sind auch Zertifizierungen erforderlich. Ein CISO kann zertifiziert werden als:

• Ein Auditor für Informationssysteme oder Sicherheitsmanager vonISACA
• Ein Experte für Informationssystemsicherheit von(ISC)²

Wie die CISO-Rolle entstand

Der Begriff CISO warerstmals um 1994 von der Citigroup eingeführt als sie Steve Katz mit der Einrichtung eines Sicherheitsbüros beauftragten, um die Technologie sicherer zu machen. Wie Sie sehen können, hat sich der Kern der Rolle in fast drei Jahrzehnten nicht wesentlich verändert.

Während sich die Aufgaben eines CISO über einen längeren Zeitraum auf Governance, Richtliniengestaltung und Überwachung des Datenverkehrs beschränkten, gehören nun einige spannende Ergänzungen zu den Aufgaben des CISO. Ein CISO baut Brücken zwischen technischen und nichttechnischen Führungskräften, Fachexperten, Sicherheitsexperten und Entwicklern.

Hierarchie und Berichtsstruktur rund um CISOs

Traditionell waren CISOs dem CIO unterstellt. Dies hat sich in letzter Zeit stark verändert, da 61 % der CISOs nicht mehr dem CIO unterstellt sind. Stattdessen berichten sie an den CTO, den COO oder manchmal direkt an den CEO.

Wer dem CISO unterstellt ist,eine Umfrage unter 3.600 Sicherheitsexpertenzeigte, dass 48 % der Sicherheitsteams dem CISO unterstellt sind, wobei der CISO die gesamten Sicherheitsbemühungen leitet. Die Studie von ISACA zeigte außerdem, dass Sicherheitsbewertungen eher an den IT- und Geschäftszielen ausgerichtet sind, wenn der CISO für die Sicherheitsteams verantwortlich ist.

CISO-Gehalt

Aufgrund der Bedeutung dieser Rolle können Sie davon ausgehen, dass CISOs hohe Gehaltsschecks erhalten. Dank der Aggressivität von Sicherheitsbedrohungsakteuren ist das Gehalt von CISOs im letzten Jahrzehnt erheblich gestiegen.

Verschiedenen Quellen zufolge lag das mittlere CISO-Gehalt im Jahr 2015 bei etwa 130.000 bis 190.000 US-Dollar. Vor 2017 erreichte es die Marke von 220.000 US-Dollar.

Im Oktober 2022 beträgt das durchschnittliche Grundgehalt in den USA 234.025 US-Dollar. Abhängig von der Rolle, dem Kontext, der Organisation und der Gesamterfahrung kann das Gehalt eines CISOs bis zu 585.000 US-Dollar betragen – und das ist auch soVorBoni, die für C-Level-Positionen oft Standard sind.

(Schauen Sie sich unsere anZusammenfassung der IT-Gehälter.)

CISO im Vergleich zu anderen Rollen

CISOs werden oft mit anderen C-Suite-Rollen verglichen. Schauen wir uns kurz die Unterschiede an.

CISO vs. CTO vs. CIO

Ein CISO ist für die Sicherheit der Informationssysteme einer Organisation verantwortlich, während ein CIO oder CTO für den gesamten Betrieb und die Verwaltung verantwortlich ist. Obwohl sie einige Verantwortlichkeiten teilen, haben sie unterschiedliche Prioritäten und konzentrieren sich auf verschiedene Aspekte der Informationssysteme der Organisation.

Ein CIO oder CTO ist für die Gesamtverwaltung der Informationssysteme einer Organisation verantwortlich. Ein CISO berichtet an den CEO oder CIO, während ein CIO und CTO an den COO berichten.

CISOs konzentrieren sich in der Regel stärker auf Sicherheit als CIOs oder CTOs und ihre Aufgabe besteht darin, sicherzustellen, dass die Informationssysteme des Unternehmens vor internen und externen Bedrohungen geschützt sind.

(LernenCyber-Bedrohungsinformationen.)

CISO vs. CPO

Wie Technologieautorin Kayly Lange erklärt:

• CISOs konzentrieren sich auf den Schutz ihrer Informationsbestände vor Cyber-Bedrohungen.
• CPOs konzentrieren sich darauf, sicherzustellen, dass die Organisation die Datenschutzgesetze und -vorschriften einhält.

(Lesen Sie unsereVergleich: CIO vs. CISO vs. CPO.)

CISO vs. vCISO

Ein vCISO ist ein virtueller Chief Information Security Officer. Diese neue Rolle erfreut sich immer größerer Beliebtheit in Unternehmen, die nach Möglichkeiten suchen, ihre Cybersicherheitslage zu verbessern. Der vCISO ist für die strategische Ausrichtung und Führung verantwortlichCybersicherheitsprogramm der Organisation. Zu den Aufgaben eines vCISO gehören:

• Entwicklung und Umsetzung von Sicherheitsstrategien, die auf die Geschäftsziele abgestimmt sind.
• Verwaltung und Überwachung der täglichen Abläufe des Sicherheitsteams und Sicherstellung der Wirksamkeit des Sicherheitsprogramms.

Klingt wie ein CISO, abgesehen von einem wesentlichen Unterschied: vCISOs sind keine Vollzeitmitarbeiter der Organisation. Stattdessen werden sie als Berater eingestellt, um ihr Fachwissen und ihre Beratung bereitzustellen. Dadurch können Unternehmen von einem CISO profitieren, ohne dass die Kosten für die Einstellung eines Vollzeitmitarbeiters anfallen. Darüber hinaus kann der vCISO in seinem Ansatz zur Cybersicherheit flexibler vorgehen, was angesichts der sich schnell verändernden Bedrohungslandschaft von heute von Vorteil sein kann.

So stellen Sie einen CISO ein

CISOs spielen eine wichtige Rolle bei der Gewährleistung der Sicherheit von Unternehmen, aber Sie fragen sich vielleicht immer noch, warum Sie einen CISO einstellen sollten. Sie suchen einen CISO für:

• Verwaltung und Sicherheit von Informationsressourcen
• Maximierung des ROI bei sicherheitsrelevanten Entscheidungen
• Bleiben Sie der Bedrohungslandschaft immer einen Schritt voraus
• Einhaltung von Industriestandards
• Sicherheit und Geschäft in Einklang bringen

Wenn Sie sich für die Einstellung eines CISO entscheiden, sollten Sie auf diese Eigenschaften achten:

• Umfangreiche Erfahrung im Umgang mit Informationsressourcen
• Solides Wissen überDatenamtund Verständnis für Compliance-Strukturen
• Fähigkeit, Sicherheitsbemühungen geschäftlichen Nutzen zuzuordnen
• Fähigkeit, Aktionen auszulösen, die die Sicherheit stärken würden
• Fähigkeiten im Risikomanagement
• Führungsqualitäten
• Ein ruhiges Auftreten, besonders unter Druck

Fazit des CISO

Cybersicherheit ist ein nie endender Kampf, der ständige Wachsamkeit und die Fähigkeiten von Fachleuten mit den richtigen Qualifikationen und Erfahrungen erfordert.

Der CISO ist für den Schutz der Informationsbestände einer Organisation verantwortlich. Dazu stellen sie sicher, dass die IT-Infrastruktur eines Unternehmens sicher ist, untersuchen Sicherheitsvorfälle und arbeiten mit anderen Mitgliedern der Organisation zusammen, um sicherzustellen, dass die IT-Abteilung und alle Mitarbeiter Best Practices befolgen.

Was ist Splunk?

Dieser Beitrag gibt nicht unbedingt die Position, Strategien oder Meinung von Splunk wieder.