Wir schützen vertrauliche Informationen.That`stheway – aha aha – I likeitDer CISO in der Kommunikation und strategische Ansätze von Awareness KampagnenMarcus Beyer, Architect Security Awareness, ISPIN AG

AgendaWer bin ich und wenn ja, wie viele?Ein Käfig voller NarrenDer FroschkönigHowtobeLiked?Sicherheitskultur (Awareness) als Enabler

Wer bin ich und wenn ja, wie viele?

Ein Käfig voller Narren

Der Froschkönig

HowtobeLiked?

Sicherheitskultur (Awareness) als Enabler

O-Töne von Awareness-Gruppenmitgliedern eines populären Social Media-Netzwerkes

O-Töne von Awareness-Gruppenmitgliedern eines populären Social Media-Netzwerkes

O-Töne von Awareness-Gruppenmitgliedern eines populären Social Media-Netzwerkes

O-Töne von Awareness-Gruppenmitgliedern eines populären Social Media-Netzwerkes

Definition CISODer CISO nimmt sich meist der folgenden Aufgaben an:Erarbeitung und Definition der sicherheitsrelevanten Objekte, der Bedrohungen und Risiken und den daraus abgeleiteten SicherheitszielenAufbau und Betrieb einer Organisationseinheit zur Umsetzung der SicherheitszieleAusarbeitung, Anpassung von SicherheitsvorschriftenAuditierung der Funktionseinheiten zum Stand der Umsetzung und Weiterentwicklung der SicherheitsvorschriftenBewusstsein der Mitarbeiter durch Trainings und Kampagnen schaffenPortfolio-Management der sicherheitsrelevanten Unternehmensprozesse

Erarbeitung und Definition der sicherheitsrelevanten Objekte, der Bedrohungen und Risiken und den daraus abgeleiteten Sicherheitszielen

Aufbau und Betrieb einer Organisationseinheit zur Umsetzung der Sicherheitsziele

Ausarbeitung, Anpassung von Sicherheitsvorschriften

Auditierung der Funktionseinheiten zum Stand der Umsetzung und Weiterentwicklung der Sicherheitsvorschriften

Bewusstsein der Mitarbeiter durch Trainings und Kampagnen schaffen

Portfolio-Management der sicherheitsrelevanten Unternehmensprozesse

Anforderungen an CISOsGrafik: avedos™ GRC-Pyramide

Dilema „Was man von CISOs erwartet“KommunikatorSicherheitschefTechnischer CrackProjektleiterTeamleaderBetriebswirtCompliance-Manager… und gut drauf sein!

Kommunikator

Sicherheitschef

Technischer Crack

Projektleiter

Teamleader

Betriebswirt

Compliance-Manager

Die Sicht auf das GanzeWeiss jeder welches unsere Werte sind?Worauf können wir bei unserer U‘Kultur bauen?Wie entwickeln wir eine Sicherheits-Kultur?Können wir unsere Sicherheit messen?

Das Thema Sicherheit im Wandel

Profile im Wandel„Denkansätze für den Aufgabenwandel“ WIK 96/7Damals „ (..) Er strebt nun eine Tätigkeit im Unternehmensschutz eines international tätigen Unternehmens an.“ Heute: Dr. Axel SittDie comratio Technology & Consulting GmbH bietet Ihnen professionelle Beratungsdienstleistungen für die Funktionen Risikomanagement, Security Management, Frühwarnsystem, Krisenmanagement und Interne Revision.

Wer ist der CISO„Woher komme ich? Was bin ich? Wo gehe ich hin? Mehr noch: Auf welche Weise? Auf welchen Wegen?“Beichtvater, Froschkönig oder Columbo?

Ziele der StudieWirken, Selbstbild resp. Image und Positionierungeine anschauliche Typisierung zu entwickeln um Learningsgenerieren zu können.

Wirken, Selbstbild resp. Image und Positionierung

eine anschauliche Typisierung zu entwickeln um Learningsgenerieren zu können.

Die Psychodynamik der StudieDie Begegnungen mit den CISOs erinnerten oftmals an das Erleben im Umgang mit einem Kippbild(optische Illusion).CISOs sind hin- und hergerissen. Mal reger Austausch, dann wie vor verschlossenen Türen.Mal offensiv-divenhaft, dann wiederum zurückhaltend und versteckt. Die verschiedenen Haltungen führen keine Beziehung untereinander. Sie wirken wie getrennt = Psycho-Dynamik der Studie durch eine Tendenz zur Spaltung gekennzeichnet – einem Mal-so-mal-so.

CISOs sind hin- und hergerissen.

Mal reger Austausch, dann wie vor verschlossenen Türen.

Mal offensiv-divenhaft, dann wiederum zurückhaltend und versteckt.

Die Wirklichkeit als CISOEin zufälliges Hineingeraten … Die Mehrheit stammt ursprünglich aus eher technisch geprägten Bereichen. Befragten hatten Tätigkeit nicht auf ihrem Berufswunschzettel.»Ich hab Technische Informatik studiert (...) und mich dann durchgeschlängelt. Ich wollte ursprünglich nur programmieren.«

Die Mehrheit stammt ursprünglich aus eher technisch geprägten Bereichen.

Befragten hatten Tätigkeit nicht auf ihrem Berufswunschzettel.

Die Wirklichkeit als CISOBesonderes vs. Banales bestimmt die Wahrnehmung der Position. Einerseits: Auszeichnung, mit dieser verantwortungsvollen Tätigkeit betraut zu werden.Andererseits: Eindruck, dass es darum geht, diesen Bereich reibungslos zu besetzen.CISOs selber schwanken in der Wertschätzung ihrer eigenen Tätigkeit (wenig wertvoll). Tätigkeit verspricht ein Arbeiten mit Gestaltungsfreiheit & hat existentielle Funktion für das Unternehmen. »Zufriedenheit (schmunzelt) hat man selten, aber immerhin ... wenn man gute Arbeit macht, fällt man nicht auf.«

Einerseits: Auszeichnung, mit dieser verantwortungsvollen Tätigkeit betraut zu werden.

Andererseits: Eindruck, dass es darum geht, diesen Bereich reibungslos zu besetzen.

CISOs selber schwanken in der Wertschätzung ihrer eigenen Tätigkeit (wenig wertvoll).

Die Wirklichkeit als CISOReaktionen der MitarbeiterCISOs werden als Vertreter einer anderen, einer unbekannten und unfassbaren Welt mit eigener Sprache und Ordnung betrachtet. »In meiner Freizeit gehe ich klettern und mach mit Kumpels Mountainbike-Touren. Das weiss keiner.«

Dinge, die Security-Manager tun, wenn sie nicht arbeiten Fussballspielen – Canyoning – Basketball spielen – Wandern auf Spuren des leuchtenden Pfads – Triathlon – An Radrennen teilnehmen – Biking – Mit Aktien spekulieren – Klettern + Bergsteigen – Rasen auf Autobahnen – Schwimmen + Tiefseetauchen – Vier oder mehr Kinder zeugen und grossziehen – Mit ihren Kindern herumturnen

Die gefährlichsten Sportarten laut US-Magazin Forbes(2008)Fussball – Eishockey – Basketball – Radsport – Fallschirmspringen – Qaudbiking – Stabhochsprung – Cheerleading – Schwimmen + Tauchen – Football – Ringen + Turnen

Die Wirklichkeit als CISO

Die Wirklichkeit als CISO

Versuch einer TypisierungWelche Strategien verfolgen die CISOs bei der Einrichtung einer Sicherheitskultur?Welche Wirkungen löst die jeweilige Strategie im Unternehmen aus?Welches Bild hat der CISOs in der entsprechenden Strategie?

Welche Strategien verfolgen die CISOs bei der Einrichtung einer Sicherheitskultur?

Welche Wirkungen löst die jeweilige Strategie im Unternehmen aus?

Welches Bild hat der CISOs in der entsprechenden Strategie?

Typus 1 | Die zentrale Kontrollinstanz – meine Sicherheit ist GesetzVision einer 100 %igen Sicherheit. Voraussetzung: alle Prozesse finden in einem geschlossenen System statt.Die Arbeitsabläufe, die Verbindung mit der Aussenwelt und vor allem die Mitarbeiter = Störung dieser Vision.Wunschvorstellung: Sicherheit wird durch Technik (ggfs. zzgl. Organisation) hergestellt (Unersetzbarkeit und Macht).Sicherheitskultur wird nicht vermittelt, sondern erzwungen. Wer nicht spurt, wird ausgeschlossen.»Bei Fehlverhalten gibt es erst eine mündliche Mahnung. Manche sind resistent. Dann gibt es einen zweiten Hinweis. Wenn das nicht reicht, gibt es eine schriftliche Abmahnung.«

Vision einer 100 %igen Sicherheit. Voraussetzung: alle Prozesse finden in einem geschlossenen System statt.

Die Arbeitsabläufe, die Verbindung mit der Aussenwelt und vor allem die Mitarbeiter = Störung dieser Vision.

Wunschvorstellung: Sicherheit wird durch Technik (ggfs. zzgl. Organisation) hergestellt (Unersetzbarkeit und Macht).

Sicherheitskultur wird nicht vermittelt, sondern erzwungen.

Wer nicht spurt, wird ausgeschlossen.

Typus 1 | Die zentrale Kontrollinstanz – meine Sicherheit ist GesetzVision einer 100 %igen Sicherheit. Voraussetzung: alle Prozesse finden in einem geschlossenen System statt.Die Arbeitsabläufe, die Verbindung mit der Aussenwelt und vor allem die Mitarbeiter = Störung dieser Vision.Wunschvorstellung: Sicherheit wird durch Technik (ggfs. zzgl. Organisation) hergestellt (Unersetzbarkeit und Macht).Sicherheitskultur wird nicht vermittelt, sondern erzwungen. Wer nicht spurt, wird ausgeschlossen.»Bei Fehlverhalten gibt es erst eine mündliche Mahnung. Manche sind resistent. Dann gibt es einen zweiten Hinweis. Wenn das nicht reicht, gibt es eine schriftliche Abmahnung.«

Vision einer 100 %igen Sicherheit. Voraussetzung: alle Prozesse finden in einem geschlossenen System statt.

Die Arbeitsabläufe, die Verbindung mit der Aussenwelt und vor allem die Mitarbeiter = Störung dieser Vision.

Wunschvorstellung: Sicherheit wird durch Technik (ggfs. zzgl. Organisation) hergestellt (Unersetzbarkeit und Macht).

Sicherheitskultur wird nicht vermittelt, sondern erzwungen.

Wer nicht spurt, wird ausgeschlossen.

Typus 1 | Die zentrale Kontrollinstanz – meine Sicherheit ist GesetzFehler des CISOs führen zu grosser Schadenfreude der Mitarbeiter. Möglichkeiten werden gesucht, die Regeln des CISOs zu umgehen.Dadurch kommt es immer wieder zu entsicherndem Umgang. In der zentralen Kontrollinstanz sind Züge einer Diva enthalten. Menschlich-analoge Seiten werden konsequent abgespalten. Als (fiktive) Person spiegelt sich die Zentrale Kontrollinstanz am ehesten in Fräulein Rottenmeier (aus: »Heidi«) wider.»Wenn der CISO der beliebteste Mann im Unternehmen ist, stimmt etwas nicht.«

Fehler des CISOs führen zu grosser Schadenfreude der Mitarbeiter. Möglichkeiten werden gesucht, die Regeln des CISOs zu umgehen.

Dadurch kommt es immer wieder zu entsicherndem Umgang.

In der zentralen Kontrollinstanz sind Züge einer Diva enthalten.

Menschlich-analoge Seiten werden konsequent abgespalten.

Typus 2 | Der Sicherheits-Service – Sicherheit soll nicht spürbar werden Unauffälliges und überwiegend freundliches Auftreten.Wohlwollen der Mitarbeiter sehr wichtig. Er will gemocht werden.Sicherheit soll nicht belasten oder einschränken – vor allem nicht die Beziehung zwischen User und CISO (Service-Unternehmen) CISO braucht Probleme und Störungen, weil er hierdurch als Sicherheits-Service agieren kann (Rolle des Helfers).Er kann Mädchen für alles sein (wenig bis keine Kernkompetenz).»Ich komme mir vor wie ein Mann vom ADAC. Den holt man auch nur, wenn man am Strassenrand liegen geblieben ist.«

Unauffälliges und überwiegend freundliches Auftreten.

Wohlwollen der Mitarbeiter sehr wichtig. Er will gemocht werden.

Sicherheit soll nicht belasten oder einschränken – vor allem nicht die Beziehung zwischen User und CISO (Service-Unternehmen)

CISO braucht Probleme und Störungen, weil er hierdurch als Sicherheits-Service agieren kann (Rolle des Helfers).

Er kann Mädchen für alles sein (wenig bis keine Kernkompetenz).

Typus 2 | Der Sicherheits-Service – Sicherheit soll nicht spürbar werdenKann sich gut in die User hineinversetzen. Aber Probleme, Relevanz seiner Belange und die damit verbundenen Konsequenzen durchzusetzen.Wenn etwas nicht läuft = Mann der Stunde. In der restlichen Zeit = eher ungesehenes Dasein.Es gelingt ihm nicht, einen dauerhaften Eindruck zu hinterlassen.Fürchtet um seine Existenz im Unternehmen (z.B. Bedrohung durch Externe). Als Person spiegelt sich der Sicherheits-Service am ehesten in Mutter Teresa wider.»Alles soll so weitergehen wie bisher. Ich habe ein gutes Verhältnis zu den Mitarbeitern. Die können mit Problemen zu mir kommen.«

Kann sich gut in die User hineinversetzen. Aber Probleme, Relevanz seiner Belange und die damit verbundenen Konsequenzen durchzusetzen.

Wenn etwas nicht läuft = Mann der Stunde. In der restlichen Zeit = eher ungesehenes Dasein.

Es gelingt ihm nicht, einen dauerhaften Eindruck zu hinterlassen.

Fürchtet um seine Existenz im Unternehmen (z.B. Bedrohung durch Externe).

Typus 3 | Der Streetworker – (Ein-)Beziehung bietet SicherheitIT-Sicherheit als eine auf das Unternehmen zugeschnittene Konfiguration.Strategie: Beweglichkeit und ein Interesse am interdisziplinären Austausch.Interessen der Sicherheit wie auch die der Mitarbeiter werden in einen Austausch gebracht.Führung mit Sinnstiftung durch das Einrichten einer Sicherheitskultur.Bei wechselseitiger Integration will keine 100 %ige Sicherheit erreicht werden.Ist in beiden Welten (Zwischenwesen: analog/digital) zu Hause.

IT-Sicherheit als eine auf das Unternehmen zugeschnittene Konfiguration.

Strategie: Beweglichkeit und ein Interesse am interdisziplinären Austausch.

Interessen der Sicherheit wie auch die der Mitarbeiter werden in einen Austausch gebracht.

Führung mit Sinnstiftung durch das Einrichten einer Sicherheitskultur.

Bei wechselseitiger Integration will keine 100 %ige Sicherheit erreicht werden.

Ist in beiden Welten (Zwischenwesen: analog/digital) zu Hause.

Typus 3 | Der Streetworker – (Ein-)Beziehung bietet SicherheitIn gewisser Weise entsichert sich der CISO, weil er an bestimmten Stellen ein Sicherheitsrisiko in Kauf nimmt, um der analogen Sichtweise der Mitarbeiter zu begegnen.Setzt – anders als die der Zentralen Kontrollinstanz und des Sicherheits-Services – nicht auf Spaltung, sondern auf ein Verzahnen der analogen und digitalen Perspektive. Als (fiktive) Person spiegelt sich der Streetworker am ehesten in Inspektor Columbo aus dergleichnamigen TV-Serie wider.»Mein Vorsatz ist: Vergiss nie, dass du auch mal da gesessen hast, wo die jetzt sitzen.«

In gewisser Weise entsichert sich der CISO, weil er an bestimmten Stellen ein Sicherheitsrisiko in Kauf nimmt, um der analogen Sichtweise der Mitarbeiter zu begegnen.

Setzt – anders als die der Zentralen Kontrollinstanz und des Sicherheits-Services – nicht auf Spaltung, sondern auf ein Verzahnen der analogen und digitalen Perspektive.

Fazit CISO-Studie

Fazit CISO-StudieDer CISO ist mit einer paradoxen Anforderung konfrontiert. Er spürt, dass er ein Sicherheitsrisiko eingehen muss, um für eine verbindlichere, stabilere Sicherheitskultur zu sorgen.Zugespitzt: Entsicherung produziert Sicherheit – der CISO muss nun entscheiden, an welcher Stelle Entsicherungen vertretbar sind!

Er spürt, dass er ein Sicherheitsrisiko eingehen muss, um für eine verbindlichere, stabilere Sicherheitskultur zu sorgen.

Zugespitzt: Entsicherung produziert Sicherheit – der CISO muss nun entscheiden, an welcher Stelle Entsicherungen vertretbar sind!

Fazit CISO-StudieDie pragmatische Formel: »100 % Sicherheit gibt es nicht, 80 % sind ausreichend« stellt eher eine Belastung als eine Erleichterung dar.Es ist einfacher, sich an dem Versuch einer 100 %igen Sicherheit abzuarbeiten als sich auf ein Ineinander von Sicherheit und Gefährdung, von analogem und digitalem Prinzip einzulassen.

Die pragmatische Formel: »100 % Sicherheit gibt es nicht, 80 % sind ausreichend« stellt eher eine Belastung als eine Erleichterung dar.

Es ist einfacher, sich an dem Versuch einer 100 %igen Sicherheit abzuarbeiten als sich auf ein Ineinander von Sicherheit und Gefährdung, von analogem und digitalem Prinzip einzulassen.

Konsequenz für die SicherheitskulturDer Umgang mit unternehmensbezogenen Sicherheitsmassnahmen ist davon geprägt, wie der einzelne Mitarbeiter das Unternehmen als Ganzes und seine Stellung innerhalb dieser Arbeitsfamilie erlebt.Security und Risk Management entstehen über Kultur und prägen wiederum Kultur aus.So produziert jedes Unternehmen seine individuelle Sicherheitskultur.

Der Umgang mit unternehmensbezogenen Sicherheitsmassnahmen ist davon geprägt, wie der einzelne Mitarbeiter das Unternehmen als Ganzes und seine Stellung innerhalb dieser Arbeitsfamilie erlebt.

Security und Risk Management entstehen über Kultur und prägen wiederum Kultur aus.

So produziert jedes Unternehmen seine individuelle Sicherheitskultur.

Konsequenz für die SicherheitskulturDiese Sicherheitskultur ist untrennbar mit der jeweiligen Corporate Culture verbunden. Dies hat Konsequenzen für die Ausrichtung jeglicher Kommunikation, die Sicherheit zum Thema hat.Risiken wie entsicherndes Verhalten von Mitarbeitern lassen sich nicht als isolierte, technisch begründete Phänomene verstehen, die es mit allen Mitteln zu beseitigen und verhindern gilt. In jeder Entsicherung kommt also ein Sinn zum Ausdruck.

Diese Sicherheitskultur ist untrennbar mit der jeweiligen Corporate Culture verbunden.

Dies hat Konsequenzen für die Ausrichtung jeglicher Kommunikation, die Sicherheit zum Thema hat.

Risiken wie entsicherndes Verhalten von Mitarbeitern lassen sich nicht als isolierte, technisch begründete Phänomene verstehen, die es mit allen Mitteln zu beseitigen und verhindern gilt.

In jeder Entsicherung kommt also ein Sinn zum Ausdruck.

Awareness als Change-Prozess

Was man tun muss, damit der CEO den CISO magWas erwartest Du? Was erwartet der CEO?Love it – changeit – leaveitSags in den Worten, die er gern hört.Wirtschafliches Wachstum, Ego, ErfolgSei Dir Deiner Strategie sicher, dass sie zum Geschäftserfolg beitragen wird. Be sure your strategy is craftedtosupportbusinessinnovation.

Gartner 2008 CEO Business StrategiesQuelle: Gartner EXP Worldwide Survey of 1,500 CIOs Shows 85 Percent of CIOs Expect "Significant Change" Over Next Three Years

Verbesserungen oder Innovationen?Business improvement:Mache die gleichenDingebesser, schneller und billiger.Business innovation:Schaffen Sie neue und nachhaltige Kanäle, um mit Kunden, Lieferanten, und Partnern zu interagierenBezwingen und kreierenSieIhrenMarkt. SchaffenSieauchneueMärkte.Öffnen Sie neue Wege, um einen höheren Umsatz innerhalb eines bestehenden Marktes zu generieren.Seien Sie radikal und setzen Sie sich durch. Der Wettbewerbsdruck ist immens hoch.Quelle: Andreas Wuchner, Head IT Risk Management, Security & Compliance Novartis, December 2008

Schaffen Sie neue und nachhaltige Kanäle, um mit Kunden, Lieferanten, und Partnern zu interagieren

Bezwingen und kreierenSieIhrenMarkt. SchaffenSieauchneueMärkte.

Öffnen Sie neue Wege, um einen höheren Umsatz innerhalb eines bestehenden Marktes zu generieren.

Seien Sie radikal und setzen Sie sich durch. Der Wettbewerbsdruck ist immens hoch.

Wie werde ich gehört? In dem ich schreie!Reden Sie über Werte nicht TechnologienSchauen Sie, das Sie die richtige Mannschaft mit dem notwendigen Know-how habenSei Unternehmer im UnternehmenSchaffen Sie sich KontrollmechanismenBewerten Sie wichtige GeschäftsprozesseIdentifizieren Sie kritische Rollen, Prozesse, IT-AssetsDokumentieren und berichten Sie kontinuierlich über mögliche RisikenNutzen Sie alle guten Chancen und posituven VorteileMachen Sie Ihr C-Level happyQuelle: Andreas Wuchner, Head IT Risk Management, Security & Compliance Novartis, December 2008

Reden Sie über Werte nicht Technologien

Schauen Sie, das Sie die richtige Mannschaft mit dem notwendigen Know-how haben

Sei Unternehmer im Unternehmen

Schaffen Sie sich Kontrollmechanismen

Bewerten Sie wichtige Geschäftsprozesse

Identifizieren Sie kritische Rollen, Prozesse, IT-Assets

Dokumentieren und berichten Sie kontinuierlich über mögliche Risiken

Nutzen Sie alle guten Chancen und posituven Vorteile

Machen Sie Ihr C-Level happy

ZusammenfassungEhrliche Kommunikation schafft AkzeptanzAuthentizität schafft EmotionalitätLebenswelten und Benefits statt Betroffenheit und AngstPositive Kommunikation statt „Erhobener Zeigefinger“These: Think local – act „glocal“ (Lokalisierung)Medieneinsatz muss „State-of-the-art“ seinWeniger ist manchmal mehrExperimente wagen - Anders sein als AndereErfolge kommunizieren!Kundenprojekte sprechen eine deutliche Sprache:

Ehrliche Kommunikation schafft Akzeptanz

Authentizität schafft Emotionalität

Lebenswelten und Benefits statt Betroffenheit und Angst

Positive Kommunikation statt „Erhobener Zeigefinger“

These: Think local – act „glocal“ (Lokalisierung)

Medieneinsatz muss „State-of-the-art“ sein

Weniger ist manchmal mehr

Experimente wagen - Anders sein als Andere

Erfolge kommunizieren!

Wir schützen vertrauliche Informationen.Security Awareness by ISPINKontakt: Marcus Beyer, marcus.beyer@ispin.ch, Twitter: @mbeyerGrindelstrasse 15, CH - 8303 Bassersdorf Tel. (geschäftl.): +41-44-8383111, Tel. (mobil): +41-79-3078133