3. GRC vernachlässigen

Eine weitere vielversprechende Option, um die eigene Security-Karriere zu verkürzen: Einen Cybersecurity-Stack ohne formelles GRC-Programm (Governance, Risk & Compliance) auf die Beine stellen. Scott Hawk, CISO beim Netzwerkserviceanbieter Velaspan, erklärt äußerst detailliert, warum: “Dieser Fehler hat potenziell verheerende Wirkung, weil er diverse Unternehmensaspekte betreffen kann. Ohne solides GRC-Programm ist es wesentlich wahrscheinlicher, dass zu viel Geld für Technologie ausgegeben wird, ein falsches Gefühl der Sicherheit entsteht, kritische Security-Komponenten übersehen werden und ein Alignment mit anderen Geschäftsbereichen verhindert wird.”

Als Gegenmittel empfiehlt auch Hawk ein GRC-Framework wie COBIT. Das stelle sicher, dass Risikomanagement, Compliance-Anforderungen und Governance in die Gesamtstrategie des Unternehmens integriert werden: “GRC wird Cybersecurity unternehmensweit zum Gesprächsthema machen. Das unterstützt dabei, Prioritäten zu setzen und Akzeptanz zu fördern. Mit GRC wird Cybersicherheit zum Business Enabler”, weiß der Sicherheitsentscheider.

4. Alignment verfehlen

Der größte Bock, den Sicherheitsprofis schießen können, ist weder technischer noch finanzieller Natur. Richard Caralli, Senior Cybersecurity Advisor beim Plattformanbieter Axio, verrät, was für CISO-Karrieren seiner Meinung nach sogar noch schädlicher ist, als potenzielle Bedrohungen nicht zu erkennen: “Cybersecurity-Programme nicht im organisatorischen Gesamtkontext zu durchdringen und zu gestalten, ist der größte Fehler, den IT-Sicherheitsentscheider begehen können. Der Schutz dessen, was für die Lebensfähigkeit des Unternehmens essenziell ist, sollte über Prioritäten und Investitionen im Bereich Cybersicherheit bestimmen.”