CIO-Jahresplanung 2025

CIO-Jahresplanung 2025: Drei wichtige Cybersecurity Aktivitäten und wie die Geschäftsleitung das GO dafür freigibt.

Warum die drei Aktivitäten Security Assessment, Security Operations Center (SOC) Service und Awareness Trainings im kommenden Jahr zwingend auf die CIO-Jahresplanung gehören und wie die veranschlagten Massnahmen gegenüber der Geschäftsleitung oder dem Verwaltungsrat argumentiert werden müssen, verraten wir in diesem Blogbeitrag. 

Inhaltsverzeichnis

Aktivität 1: Das Cybersecurity Assessment

Aktivität 2: Der Security Operations Center Service (SOC Service)

Aktivität 3: Awareness Training für die Mitarbeitenden

Zusätzliches Cybersecurity Budget bei der Geschäftsleitung oder dem Verwaltungsrat verargumentieren

Aktivität 1: Das Cybersecurity Assessment

Im Cybersecurity Assessment wird eine Standortbestimmung vorgenommen, wie sicher und resilient die IT-Landschaft eines Unternehmens ist. Das Assessment enthüllt Schwachstellen und empfiehlt konkrete Massnahmen, um diese zu schliessen und die Sicherheitspostur nachhaltig zu stärken. 

Wirkungshorizont: Die Assessment-Bewertung ist eine Momentaufnahme, deren Erkenntnisse und Massnahmen einen sofortigen und bleibenden Effekt haben auf die Abwehrkraft des Unternehmens. 

Wichtige Qualitätsaspekte: Wirkungsvolle Security Assessments haben alle Dimensionen einer Unternehmens-IT im Blick: Menschen, Business und Technologien, auf strategischer, operativer und taktischer Ebene. Zudem sollte der Abschlussbericht des Assessments konkrete Schritte aufführen, wie die gefundenen Schwachstellen behoben werden können.  

Info: inseya.ch/de/security-assessment-schweiz/

Aktivität 2: Der Security Operations Center (SOC) Service

Ein Security Operations Center (SOC) ist eine Organisationseinheit, welche die IT-Landschaft eines Unternehmens konstant auf Bedrohungen überwacht. Laufend wird eine riesige Menge an Signalen empfangen und von Sicherheitsanalysten auf Legitimität und Absicht des verursachenden Agenten bewertet. Böswillige Aktivitäten können frühzeitig entdeckt und unterbunden werden, bevor diese das volle Schadenpotenzial entfesseln. 

Die Krux: Die für ein eigenes SOC notwendigen Cybersecurity-Analysten sind teuer und am Arbeitsmarkt sehr begehrt. Heute ist es möglich, SOC-Leistungen im Servicemodell zu beziehen. Dies hat die Vorteile, dass die Kosten klar und planbar sind, dass die Überwachung ohne langwierige Initialaufwände lanciert werden kann und dass von der skalierten Erfahrung des externen SOC-Dienstleisters profitiert werden kann. 

Wirkungshorizont: Die SOC-Überwachung schliesst an die aus dem Assessment umgesetzten Verbesserungen an und entfaltet seine Schutzwirkung über einen mittel- bis langfristigen Horizont. 

Wichtige Qualitätsaspekte: Drei Dinge sind beim SOC as a Service wichtig:  

• An erster Stelle steht eine hohe Qualität der Bedrohungsanalyse zusammen mit der Reaktion, die schnell und angemessen sein muss 

• Zweitens muss die die Security-Plattform eine holistische Sicht auf den eigenen Technologie-Stack ermöglichen 

• Drittens sollten SOC-Anbieter die Nähe zu den Kundenunternehmen suchen, sicherheitsrelevante Events aufzeigen und einordnen, sowie an der kontinuierlichen Verbesserung der Postur arbeiten. 

Info: inseya.ch/de/soc-as-a-service-schweiz-mit-arctic-wolf/

Aktivität 3: Awareness Trainings für die Mitarbeitenden 

Awareness-Trainings spielen eine entscheidende Rolle bei der Stärkung der «menschlichen Firewall». Mitarbeitende werden in den neuesten Social-Engineering-Techniken und gängigen Angriffsmethoden geschult, um ihr Sicherheitsbewusstsein zu erhöhen und es Cyberkriminellen dadurch zu erschweren, sich unbemerkt Zugang zum Unternehmen zu verschaffen. 

Mit dem Einsatz von künstlicher Intelligenz werden Phishing- und Social-Engineering-Angriffe auf ein ganz neues Level an Raffinesse wachsen. Daher sind Awareness-Trainings für Mitarbeitende nicht nur eine Präventivmassnahme, sondern absolut notwendig, um sie für die sich schnell weiterentwickelnde Bedrohungslandschaft zu rüsten. 

Wirkungshorizont: Die Awareness-Trainings haben einen langfristigen Wirkungshorizont. Mitarbeitende mit erhöhter Achtsamkeit lassen sich auch von neuen Angriffstaktiken weniger einfach täuschen. Eine äusserst wertvolle Investition in die Mitarbeitenden und in die Abwehrkraft des Unternehmens. 

Wichtige Qualitätsaspekte: Effektive Awareness-Trainings sind auf die spezifischen Bedürfnisse des Unternehmens zugeschnitten und beinhalten praxisnahe Szenarien. E-Learning-Module kombiniert mit simulierten Angriffen bieten den besten Lerneffekt. Moderne Awareness-Plattformen bieten zudem Echtzeit-Reportings, beispielsweise die Reduktion an Klicks auf schlechte Links in den fingierten Phishing-Mails. 

Info: inseya.ch/de/sosafe-security-awareness-training/

Massnahmen bei der Geschäftsleitung oder dem Verwaltungsrat verargumentieren 

Uns ist völlig klar, dass die hier genannten Massnahmen für viele Unternehmen viele sind und von der Unternehmensleitung oder gar dem Verwaltungsrat mit Gegenwind zu rechnen ist. 

Darum führe ich hier die wichtigsten Argumente auf, mit denen das Entscheidungsgremium überzeugt werden kann.

• «Wir hatten bisher keine nennenswerten Vorfälle. Wieso jetzt?»
  
  Je länger es still ist, umso höher wird das Risiko. Die Anzahl an Cybervorfällen steigt stetig an und die Kriminellen werden raffinierter und passen ihre Taktiken an. Zudem sind die Folgekosten eines Cybervorfalles um ein Vielfaches höher.
  
  Im Schadenfall werden wir sofort externe Hilfe zuziehen müssen und nicht in der Lage für Preisverhandlungen sein. Zu den direkten Aufwendungen für die Reaktion auf den Vorfall und die Wiederinbetriebnahme kommen grosse indirekte Kosten auf uns zu: Mehrwöchige Beeinträchtigung oder gar Stillstand des Geschäftsbetriebes, grosse Reputationsschäden mit Kundenabwanderung und ein enormer Stress für alle beteiligten Mitarbeitenden.
  Es ist günstiger, jetzt in die Resilienz zu investieren. 
  
  
• «Können wir das nicht mit bestehenden Tools abdecken?»
  
  Unsere bestehenden Tools bieten diese Funktionen nicht. Zudem sind die Tools nur ein Aspekt einer gesamtheitlichen Security-Strategie, es müssen jedoch auch die Menschen und die Business-Prozesse miteinbezogen werden. Diese Erfahrung zusammen mit den nötigen modernen Tools können wir von spezialisierten Security-Unternehmen einkaufen.
   
• «Wie stellen wir sicher, dass diese Investition einen wirklichen Effekt hat?» 
  
  Die Liefergüter aus sämtlichen Massnahmen beinhalten Berichte über das Gefundene und die daraus abzuleitenden Schritte. Die Effekte sind jederzeit transparent und werden vorgängig klar definiert.