"CISO: der härteste Job der Welt?"

"CISO: The hardest job in the world?" - diese Frage stellte Andrzej Kawalec, Chief Technology Officer bei HP Enterprise Security Services, letzten Freitag in London. Die anwesenden Journalisten am HP Security Event waren sich uneins: Haben Chief Information Security Officers (CISO), die für die IT-Sicherheit in Unternehmen zuständig sind, wirklich den härtesten Job der Welt? Ja, meinte Kawalec, und untermauerte seine These mit Zahlen, die auch Schweizer Sicherheitsverantwortliche aufhorchen lassen müssen.

1 Million neue Hacker

Rund 2,3 Milliarden Menschen hatten 2010 Zugang zum World Wide Web, begann Kawalec sein Referat. 2020 sollen es laut Hewlett Packard (HP) rund 4,8 Milliarden sein - und eine Million neue Hacker werden bis dann dazukommen. Viel schlimmer aber sei die Tatsache, dass es CISOs durchschnittlich erst nach 243 Tagen gelinge, erfolgreiche Attacken auf ihre Informatik überhaupt zu erkennen. Es verwundere also nicht, dass 94 Prozent aller Sicherheitslücken von Dritten gemeldet würden. Und noch eine Zahl macht Kawalec Sorgen: 84 Prozent aller Angriffe erfolgen im Application Layer - doch Unternehmen pumpen ihre IT-Budgets vor allem in Hardware.

"IT-Sicherheit muss zuoberst auf die Agenda aller Verwaltungsräte und Direktoren", plädierte Kawalec. Dies nur schon darum, weil die Aufgaben für CISOs kaum noch bewältigbar seien. In einem Umfeld, in dem Budgets schrumpfen und Fachkräfte zunehmend Mangelware sind, müssen sie sich mit nervigen Themen wie Compliance, Privatsphäre und Cloud Computing herumschlagen. Doch eigentlich fehle ihnen dafür die Zeit. "Bis der Schaden nach einem Angriff behoben ist, dauert es heute mehr als doppelt so lange als noch vor drei Jahren", sagte Kawalec. Die Ressourcen für IT-Sicherheit seien aber in dieser Zeit nicht entsprechend gewachsen.

Eine Firewall genügt nicht

"Sicherheit ist ein Big-Data-Problem", referierte Neil MacDonald, der seit 18 Jahren beim Analysten Gartner arbeitet. Tatsächlich: Die Fülle an Informationen, die CISOs täglich auswerten müssen, ist gewaltig. Big Data sei aber nicht das Ziel, so MacDonald. Nein - es gehe darum, überhaupt zu wissen, wo Sicherheit nötig sei und wo nicht. Jeder CISO müsse sich folgende Fragen stellen: Wo gibt es IT-Risiken in meinem Unternehmen? Was verursacht diese? Und wie müssen wir reagieren?

Wer die Informatik eines Unternehmens schützen wolle, könne sich heute nicht mehr bloss auf Firewalls, Anti-Viren-Programme und Intrusion-Prevention-Systeme verlassen. Stattdessen müsse für Sicherheit in den ganzen Stack investiert werden: In Hardware, Netzwerk, Betriebssystem, Apps, Prozesse - und Menschen.

Hinweis: Hewlett Packard hat die Netzwoche für zwei Tage nach London eingeladen. Flug und Hotel wurden vom Veranstalter bezahlt.