Outsourcing der IT-Security-Strategie Wann ist ein CISO-aaS die richtige Lösung?

Anbieter zum Thema

Fsas Technologies GmbH

netfiles GmbH

STACKIT GmbH & Co. KG

Ein externer CISO (as-a-Service bzw. virtuell) kann einem Unternehmen dabei aktiv helfen, seine aktuelle Reife der IT-Security sowie das erforderliche Schutzniveau zu ermitteln und die weiteren erforderlichen Schritte einzuleiten.

Jedes Unternehmen, das langfristig erfolgreich sein möchte, braucht ein durchgehendes strategisches und detailliertes IT-Security-Programm. Um die Initiativen dieses Programms professionell zu entwickeln und aufrechtzuerhalten, stellen viele Unternehmen entweder einen Chief Information Security Officer (CISO) ein oder arbeiten mit einem externen CISO-as-a-Service- bzw. vCISO-Anbieter (v = virtuell) zusammen. Obwohl beides praktikable Optionen sind, profitieren im Grunde viele Unternehmen mehr von der Wahl eines CISO-aaS als von der Einstellung einer solchen Personalie bzw. kompletten internen IT-Security-Abteilung.

Entscheidung über Outsourcing

Die Auslagerung einer CISO-Position als CISO-aaS kann für ein Unternehmen in verschiedenen Situationen richtig sein:

Akuter Bedarf
In der IT-Branche herrscht Fachkräftemangel. Es kann mehrere Monate dauern, einen geeigneten CISO in Festanstellung zu finden. Unternehmen können sofort einen CISO-aaS beauftragen, um eine Risiko-Managementplattform zu entwickeln oder auszubauen. Auf diese Weise profitieren sie schon bald von einem ausgereiften, definierten IT-Security-Programm. Wobei auch ein CISO-aaS etwas Vorlauf benötigt, um die aktuelle Risikolage eines Unternehmens zu bewerten, bevor er Veränderungen bewirken kann.

Interimslösungen
Unternehmen, die auf der Suche nach einem neuen CISO sind, können vorübergehend einen CISO-aaS einstellen, um die freie Stelle schnell zu besetzen.

Erfahrung mit Kompromittierungen
Ein Unternehmen macht sich Sorgen um die Sicherheit seiner Daten und Assets, weil diese bereits in der Vergangenheit bedroht oder gar entwendet wurden. Diese Unternehmen haben Grund genug, mit einem CISO-aaS zu arbeiten, um zukünftige Risiken zeitnah zu mindern.

Umfassende Experten-Lösung
Die zusätzlichen Aufgaben der IT-Security ist oft eine zu große Belastung für eine IT-Abteilung. Die erfahreneren Teammitglieder haben oftmals gar nicht die Zeit, sich mit allen Aspekten der IT-Security zu befassen.

Start-ups
Junge Unternehmen sind im Wesentlichen erst dabei, sich zu etablieren bzw. neue Produkte auf den Markt zu bringen. Start-up-Betreiber haben einfach nicht die Zeit oder Kapazität, sich um ihre IT-Security zu kümmern, denn sie benötigen alle ihre Ressourcen und Energie, um sich auf ihre Mission und das neue Geschäftswachstum zu konzentrieren.

Kleine und mittlere Unternehmen
Angesichts zunehmender Cyberangriffe bietet ein CISO-aaS flexible und preiswerte Lösungen besonders für KMUs. Insbesondere kleinere Unternehmen haben nicht nur große Schwierigkeiten, ihre IT-Systeme intern zu verwalten, sondern sie verfügen möglicherweise nicht über das erforderliche Fachwissen, um ihre Geschäftsanforderungen richtig zu priorisieren. Einige KMUs zögern, Geld für Sicherheitsmaßnahmen auszugeben, die sie es nicht für notwendig halten. Das Ergebnis ist, dass Unternehmen die Sicherheit für Innovationen opfern. Diese Entscheidung kann fatale Folgen nach sich ziehen.

Erfahrung der externen CISOs
Ein ausgelagerter CISO verfügt in der Regel über umfangreiche Erfahrung mit verschiedenen Organisationen bzw. Aufgabenstellungen und weiß, wie man eine robuste Sicherheitsstrategie in verschiedenen Teams umsetzt. Der CISO-aaS kann einen risikobasierten Sicherheitsansatz anbieten, der es einer Organisation ermöglicht, neue Tools und Technologien zur Überwachung und Steuerung von Systemen und Netzwerken zu planen und zu integrieren.

Hohe Flexibilität
Ein weiterer wichtiger Vorteil eines CISO-aaS ist seine Flexibilität. Anbieter können CISO-Services an die spezifischen Anforderungen vor Ort anpassen. Sie können beispielsweise Kosten senken, indem sie sich für ein Pay-per-Use-Modell entscheiden.

Bündelung von Entscheidungen

Wenn beispielsweise ein Vertriebsteam ungewöhnlich häufig über Schwachstellen und Probleme der IT-Security diskutiert, frisst das zu viel Zeit und hält es von seiner eigentlichen Arbeit ab. Ein CISO-aaS kann diese Fragen nicht nur mit deutlich mehr Expertise, sondern auch wesentlich schneller lösen als das Vertriebsteam.

Anforderungen an CISO-aaS

Für die Partnerschaft mit einem externen CISO sind ein paar wichtige Kriterien zu berücksichtigen, auf die Unternehmen achten sollten:

Keine unflexiblen, langfristigen Verträge
In vielen Branchen gibt es saisonale Schwankungen, die nicht für jeden Monat des Jahres die gleiche Arbeitsbelastung oder Strategie erfordern. Es ist ein geeignetes, leistungsabhängiges Vertragsmodell zu finden, das für beide Parteien gut passt.

Definieren, was ausgelagert werden soll
Einige Unternehmen müssen nicht alles an einen externen Anbieter übergeben und sind oft überrascht zu erfahren, dass sie nur das Notwendige auslagern können, wenn sie mit einem CISO-aaS zusammenarbeiten. Bei einem flexiblen Anbieter müsste es einfach sein, nach oben oder unten zu skalieren, sodass später jederzeit Anpassungen vorgenommen werden können.

Festlegung, wem der CISO-aaS berichtet
Der CISO-aaS sollte darüber informiert werden, mit wem er sich intern koordinieren kann und wer einen höheren Status in der Befehlskette einnimmt. Idealerweise sollte dieses CISO-Team nicht der Personalabteilung, der IT oder sogar der Forschung und Entwicklung unterstellt sein.

Routinemäßige Überprüfungen des Status
Mit fortwährenden Status-Meetings in regelmäßigen Abständen können externe CISOs dazu motiviert werden, für eine Zielerreichung aufgestellte Leistungsmetriken angesprochen zu werden.

Solide Methodik und Best Practices
Ein CISO-aaS sollte Best Practices und erprobte Taktiken mitbringen, die einem anerkannten Industriestandard zur Aufrechterhaltung der Sicherheit folgen und sicherstellen, dass das Unternehmen strategische und ergebnisorientierte Entscheidungen trifft.

Verantwortung für Verfahren und Standards
Ein CISO-aaS sollte zwar die Führung übernehmen, um eine IT-Security-Strategie autonom zu verwalten, aber das Unternehmen sollte wiederum sich seiner Verantwortung für die Rahmenbedingungen der Richtlinien und Standards bewusst sein.

(ID:49409005)