Reaktive Sicherheitsstrategie stellt CISOs vor erhebliche Herausforderungen

Neue Untersuchungen von F5 zeigen, dass nur 51 % der Unternehmen über eine etablierte IT-Sicherheitsstrategie verfügen

SINGAPUR – Heute hat im Rahmen der Singapore International Cyber Week F5 Networks (NASDAQ: FFIV) einen umfassenden Bericht über die sich wandelnde Rolle des CISO und die IT-Sicherheitsansätze veröffentlicht, die Unternehmen weltweit angesichts der sich ständig verändernden Bedrohungslage verfolgen. Dem Bericht zufolge wächst der Einfluss von CISOs innerhalb der Unternehmen, da die IT-Sicherheit zunehmend an Bedeutung gewinnt. In vielen Unternehmen ist die Sicherheitsstrategie jedoch noch immer weitgehend reaktiv und noch nicht auf die Geschäftsfunktionen abgestimmt.

Die vom Ponemon Institute durchgeführte Studie basiert auf Interviews mit leitenden IT-Sicherheitsexperten aus 184 Unternehmen in sieben Ländern: den Vereinigten Staaten, dem Vereinigten Königreich, Deutschland, Brasilien, Mexiko, Indien und China.

„Diese Studie bietet einen einzigartigen Einblick darin, wie CISOs im heutigen anspruchsvollen Umfeld agieren“, sagte Mike Convertino, Chief Information Security Officer bei F5. „Es ist deutlich zu erkennen, dass CISOs Fortschritte dabei machen, wie sie die Sicherheitsfunktion steuern und welche Führungsrolle sie in Unternehmen übernehmen. In vielen Organisationen spielt die IT-Sicherheit jedoch noch nicht die strategische, proaktive Rolle, die erforderlich ist, um Ressourcen umfassend zu schützen und sich gegen immer raffiniertere und häufigere Angriffe zu verteidigen.“

Wichtigste Erkenntnisse

• Wachsende Verantwortung für CISOs – Obwohl CISOs in der Führungsebene ihrer Unternehmen unterschiedlich großen Einfluss haben, spielen die meisten von ihnen eine wichtige Rolle beim Management der Cybersicherheitsrisiken ihres Unternehmens, und ihr Einfluss nimmt weiter zu. 68 Prozent der Befragten geben an, dass CISOs bei sämtlichen Ausgaben für IT-Sicherheit das letzte Wort haben, während eine etwas geringere Zahl (64 %) angibt, dass sie direkten Einfluss auf alle Sicherheitsausgaben in ihrem Unternehmen haben und darüber entscheiden können. 87 Prozent der Befragten geben an, dass das Budget für IT-Sicherheit deutlich gestiegen ist (18 %), etwas gestiegen ist (29 %) oder unverändert geblieben ist (40 %).
  
• Fehlende Abstimmung mit dem Unternehmen – Eine unternehmensweite IT-Sicherheitsstrategie ist nach wie vor sehr selten. 58 % der Befragten geben an, dass die IT-Sicherheit eine eigenständige Funktion ist, und nur 22 % sagen, dass die Sicherheit in andere Unternehmensteams integriert ist. 45 % erklären hingegen, dass die Verantwortungsbereiche ihrer Sicherheitsfunktion nicht klar definiert sind. 75 % der Befragten geben an, dass aufgrund der mangelnden Integration in die Geschäftsbereiche Kompetenzstreitigkeiten und Silodenken entweder einen erheblichen Einfluss (36 %) oder einen gewissen Einfluss (39 %) auf die Taktiken und Strategien der IT-Sicherheit haben.
  
• Die Anerkennung von Sicherheit als geschäftliche Priorität erfolgt reaktiv – 60 Prozent der Befragten sind der Ansicht, dass ihre Unternehmen Sicherheit als geschäftliche Priorität betrachten. Dennoch geben nur 51 % an, dass ihr Unternehmen über eine IT-Sicherheitsstrategie verfügt, und davon sagen lediglich 43 %, dass diese Strategie von anderen Führungskräften auf C-Level geprüft, genehmigt und unterstützt wird. Die Ergebnisse zeigen, dass Änderungen an Sicherheitsprogrammen weitgehend reaktiv erfolgen. Schwerwiegende Datenschutzverletzungen (45 %) und Cyberangriffe (43 %) sind dabei die beiden wichtigsten Ereignisse, die die Aufmerksamkeit anderer Führungskräfte auf sich ziehen.
  
• Krisen stärken den Einfluss auf die Unternehmensleitung – 65 Prozent der Befragten geben an, dass CISOs direkt mit der Unternehmensleitung kommunizieren. Dabei geht es jedoch nur selten um eine strategische Erörterung aller Bedrohungen für das Unternehmen. Die Befragten räumten zudem ein, dass die Unternehmensleitung nur eingeschränkt über Sicherheitsvorfälle informiert wird: 46 Prozent gaben an, dass dem CEO und dem Aufsichtsrat lediglich schwerwiegende Datenschutzverletzungen und Cyberangriffe gemeldet werden, während nur 19 Prozent dieser Gruppe sämtliche Datenschutzverletzungen melden.
  
• KI ist eine potenzielle Lösung für den Personalbedarf – Der Fachkräftemangel in der IT-Sicherheit stellt für CISOs weiterhin eine große Herausforderung dar. Die durchschnittliche Zahl der Vollzeitbeschäftigten (oder entsprechender Stellen) im Bereich IT-Sicherheit wird in den nächsten zwei Jahren von 19 auf 32 steigen, wobei fast die Hälfte (42 %) die derzeitige Personalausstattung für unzureichend hält. 58 % geben an, Schwierigkeiten bei der Einstellung qualifizierter Sicherheitsfachkräfte zu haben. Die größten Herausforderungen bestehen darin, qualifizierte Bewerber zu finden und anzuwerben (56 %) sowie marktübliche Gehälter anzubieten (48 %). Diese Herausforderungen veranlassen Unternehmen dazu, nach anderen Lösungen zu suchen: Die Hälfte der Befragten (50 %) ist der Ansicht, dass maschinelles Lernen und künstliche Intelligenz dem Personalmangel entgegenwirken können, und 70 % glauben, dass diese Technologien in zwei Jahren für ihre IT-Sicherheitsfunktionen von Bedeutung sein werden.

Über F5

F5 (NASDAQ: FFIV) macht Apps schneller, intelligenter und sicherer – für die weltweit größten Unternehmen, Dienstanbieter, Behörden und Verbrauchermarken. F5 bietet Cloud- und Sicherheitslösungen, mit denen Unternehmen die Anwendungsinfrastruktur ihrer Wahl nutzen können, ohne Abstriche bei Geschwindigkeit und Kontrolle machen zu müssen. Weitere Informationen finden Sie unter f5.com. Sie können außerdem @f5networks auf Twitter folgen oder uns auf LinkedIn und Facebook besuchen, um mehr über F5, seine Partner und Technologien zu erfahren.

F5 ist eine Marke oder Dienstleistungsmarke von F5 Networks, Inc. in den USA und anderen Ländern. Alle anderen hier genannten Produkt- und Unternehmensnamen können Marken ihrer jeweiligen Eigentümer sein.

###

Diese Pressemitteilung kann zukunftsgerichtete Aussagen zu künftigen Ereignissen oder zur künftigen finanziellen Entwicklung enthalten, die mit Risiken und Unsicherheiten verbunden sind. Solche Aussagen sind an Begriffen wie „könnte“, „wird“, „sollte“, „erwartet“, „plant“, „geht davon aus“, „glaubt“, „schätzt“, „prognostiziert“, „Potenzial“ oder „fortsetzen“ sowie an deren Verneinungen oder vergleichbaren Begriffen zu erkennen. Bei diesen Aussagen handelt es sich lediglich um Prognosen. Die tatsächlichen Ergebnisse können aufgrund verschiedener Faktoren, darunter die in den bei der SEC eingereichten Unterlagen des Unternehmens genannten Faktoren, erheblich von den in diesen Aussagen erwarteten Ergebnissen abweichen.