AUFGABENFELDER
Als Gesamtverantwortlicher für die Informations- und Systemsicherheit können die Aufgaben eines CISO je nach Branche oder Anforderungen des Unternehmens variieren. Da der Chief Information Security Officer ein wichtiger Teil des C-Level-Managements ist, berichtet er in der Regel direkt an den Chief Executive Officer (CEO) und ist nicht zu verwechseln mit dem Informationssicherheitsbeauftragten (ISB).
Als eigenständige Kontrollinstanz agiert der CISO unabhängig von den operativen IT Zielen des CIO und kann so Sicherheitsrisiken objektiv bewerten, die Einhaltung von Datenschutzbestimmungen sicherstellen und Interessenkonflikte vermeiden, um eine ausgewogene Herangehensweise an die Informationssicherheit der Organisation zu gewährleisten.
- Entwicklung von Sicherheitsstrategien und Sicherheitsrichtlinien: Der CISO entwickelt und implementiert Strategien und Richtlinien zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Dazu gehört auch der Aufbau eines Informationssicherheits-Managementsystems (ISMS).
- Cyber Security: Das Management, die Implementierung und die kontinuierliche Optimierung der IT Sicherheit inklusive Cloud Sicherheit ist ein zentrales Element. Echtzeitanalyse von Bedrohungen einschließlich der Überwachung von Firewalls, Zugangspunkten, Datenbanken usw., ist dabei von entscheidender Bedeutung.
- Sicherheitstechnologien evaluieren und implementieren: Der CISO evaluiert und implementiert Sicherheitstechnologien wie beispielsweise Intrusion Detection Systems, Endpoint Protection oder generelle Verschlüsselungsmodelle zum Schutz der Organisation vor Bedrohungen. Auch vollständige Zero Trust Konzepte können Anwendung finden.
- Identitäts- und Zugriffsmanagement (IAM): Für Konzepte, Prozesse und Richtlinien, wer auf welche Systeme Zugriff hat, ist der Chief Information Security Officer verantwortlich.
- Risikomanagement und Cyber Intelligence: Der Chief Information Security Officer identifiziert und bewertet Sicherheitsrisiken und entwickelt Pläne zu deren Minderung und Kontrolle. Der Aufbau und die Optimierung eines SOC (Security Operations Center) kann in diesem Zusammenhang wichtig sein.
- Compliance: Der CISO stellt sicher, dass die Organisation alle gesetzlichen und behördlichen Anforderungen an die Informationssicherheit erfüllt, z.B. Datenschutzgesetze und Industriestandards wie die ISO2700x.
- Sicherheitsüberprüfung und Audits: Durchgeführt werden regelmäßige Sicherheitsaudits und Penetrationstests, um Schwachstellen und potenzielle Risiken zu identifizieren und geeignete Gegenmaßnahmen zu ergreifen. Die Umsetzung von auditbezogenen Verbesserungsmaßnahmen wird entsprechend organisiert.
- Incident Management: Der Chief Information Security Officer entwickelt und implementiert Verfahren zur Erkennung, Eindämmung und Behebung von IT Sicherheitsvorfällen, um den Schaden und die Auswirkungen von Sicherheitsverletzungen zu minimieren.
- Sicherheitsbewusstsein und Schulung: Durch die Entwicklung von Schulungsprogrammen für Mitarbeiter werden Sicherheitskompetenzen aufgebaut und das Bewusstsein für Sicherheitsrisiken und bewährte Praktiken im gesamten Unternehmen gefördert. Dabei spielen Überwachung und Durchsetzung der Cybersicherheitsziele und
-aktivitäten eine fundamentale Rolle. - Zusammenarbeit mit anderen Führungskräften: Als Mitglied der Geschäftsleitung arbeitet der Chief Information Security Officer eng mit anderen Führungskräften zusammen, um die Informationssicherheit in die Geschäftsstrategie zu integrieren. Somit stellt er sicher, dass die Organisation ihre Sicherheitsziele erreicht.
- Beziehung zu externen Partnern: Der CISO unterhält Beziehungen zu externen Partnern wie Strafverfolgungsbehörden, Branchenorganisationen und Sicherheitsdienstleistern zum Austausch von Informationen über Bedrohungen und bewährte Verfahren sowie zur Unterstützung des Unternehmens bei der Reaktion auf Sicherheitsvorfälle.
CISO, CSO und CIO
CISO, CSO und CIO sind leitende Positionen im IT Bereich, die sich jedoch in ihren spezifischen Verantwortlichkeiten und Schwerpunkten unterscheiden. Obwohl die Berufsbezeichnungen und Aufgabenbereiche des Chief Information Security Officer (CISO), des Chief Security Officer (CSO) und des Chief Information Officer (CIO) sich gelegentlich überschneiden können, existieren klare Abgrenzungen, wie nachfolgend beschrieben:
CISO: Er ist verantwortlich für die Informations- und Datensicherheit. Zudem identifiziert und bewertet er Sicherheitsbedrohungen, implementiert Sicherheitsmaßnahmen und stellt die Einhaltung der Sicherheitsrichtlinien und
CSO: Er ist für die Überwachung und Umsetzung von Sicherheitsmaßnahmen in der Informationssicherheit, aber auch zum Schutz der physischen Vermögenswerte einer Organisation (z.B. große Fabriken, Casinos oder Banken) und der Mitarbeiter selbst zuständig.
CIO: Er trägt die Verantwortung für den störungsfreien Betrieb der IT Infrastruktur und ist für die strategische Ausrichtung der gesamten Informationstechnologie zuständig.
NETZWERK
Wichtige Kontakte in meinem Netzwerk
„Im Zusammenspiel mit - und manchmal auch als Korrektiv zum CIO - kann man mit Kai Sauer als CISO immer in kurzer Zeit konstruktive Lösungen erarbeiten, die auch rasch umsetzbar sind. Seine Sicherheitsstrategien und Kommunikationsfähigkeiten sind erstklassig.”
VP IT Siltronic AG
„Als langjähriger CFO von börsennotierten Unternehmen weiß ich, wie wertvoll ein guter CISO ist. Kai Sauer ist einer der besten und gibt einem immer ein sehr sicheres Gefühl, wenn es um Cyber Security im Unternehmen geht.”
Aufsichtsrat Concept AG
„Auf Kai Sauer ist Verlass, es existieren keine Probleme, sondern nur Lösungen und er steht einem immer mit Rat und Tat zu Seite.”
U-Bootmuseum Hamburg
„Kai Sauer ist ein Typ Mensch mit den wichtigen drei H’s: Hirn, Humor undHands-on. ”
CIO Jenoptik AG
„Kai Sauer hat die Vision vom sicheren Netz und setzt diese dann perfekt um.”
Angermann Luftbildservice
„Auf wirklich jede Frage hat Kai Sauer immer eine passende Antwort.”
Wirtschaftsberatung Egert