Führungskräfte ignorieren Cyber-Gefahren

Führungskräfte und Vorstände behandeln die Abwehr von Cyber-Gefahren immer noch nicht mit der nötigen Aufmerksamkeit. Dies ist das Fazit einer Studie des Carnegie Mellon Cylab, die von RSA und der Security Division von EMC in Auftrag gegeben wurde. Für die Studie wurden CEOs, CFOs, CROs und Mitglieder von Governance-Gremien aus Unternehmen der Forbes Global 2000 Liste befragt.

Die Studie kommt zum Schluss, dass die Führungskräfte und Vorstände die Aufsicht vernachlässigen würden, weil sie zum Beispiel keine Richtlinien zum Schutz vor Cyber-Angriffen und zur Begrenzung der daraus resultierenden finanziellen Verluste auf höchster Ebene festlegen würden. Auch der Budgetrahmen für den Datenschutz und die Sicherheit würde nicht regelmässig überprüft.

Ungenügend trotz Verbesserungen

Da die Studie die dritte aus einer Reihe von Erhebungen ist, die in den Jahren 2008 und 2010 durchgeführt wurde, haben die Analysten gewisse Vergleichswerte. So schliessen sie in der aktuellen Studie, dass obwohl Verbesserungen bei der Erfüllung der üblichen Governance-Aufgaben zu beobachten seien, würden weniger als ein Drittel der Befragten glauben, dass ihre Führungskräfte und Vorstände die grundlegenden Aufgaben der Cyber-Governance erfüllen.

Einige Verbesserungen würden sich zum Beispiel in der Formierung von Risiko-Komitees auf Vorstandsebene und organisationsübergreifenden Teams zeigen. Allerdings habe beinahe die Hälfte aller Befragten angegeben, dass sie keine Vollzeit-Positionen für Datenschutz und Sicherheit haben. 58 Prozent der Befragten sind der Meinung, dass ihre Aufsichtsgremien die Versicherungsabdeckung gegen Cybergefahren nicht überprüfen.

Empfehlungen

Zur Verbesserung der Corporate Governance in Bezug auf Datenschutz und Sicherheit gibt die Studie eine Reihe von Empfehlungen:

• Festlegung von Richtlinien für Datenschutz und Sicherheit auf Führungsebeneberprüfung von Rollen und Verantwortlichkeiten für Datenschutz und Sicherheit.
• Besetzung dieser Positionen mit qualifizierten leitenden Führungskräften in Vollzeit, Rechenschaftspflichten in der gesamten Organisation verankern.
• Sicherstellen eines regelmässigen Informationsfluss zum Datenschutz und zu Sicherheitsrisiken an die Geschäftsleitung und den Aufsichtsrat, dazu gehören insbesondere Berichte zu Cyber-Zwischenfällen und Rechtsverstössen.
• Jährliche Überprüfung der IT-Budgets für Datenschutz und Sicherheit, unabhängig vom Budget des CIO.
• Jährliche Überprüfung der Sicherheitsmassnahmen im Unternehmen und der Wirksamkeit von Kontrollmechanismen, Überprüfung der Ergebnisse und der eingeleiteten Massnahmen zur Beseitigung von Mängeln.
• Regelmässige Anpassung der Abdeckung des Cyber-Versicherungsschutzes an das Risikoprofil der Organisation.