Navigieren im neuen Zeitalter der Cybersicherheitsdurchsetzung

KOMMENTAR

Am 30. Oktober 2023 erschütterte die Securities and Exchange Commission (SEC) die Annahmen von Sicherheitsführern aller Branchen, als sie dies tat reichte eine Grundsatzklage ein gegen SolarWinds und sein Chief Information Security Officer (CISO). Viele bezeichnen diesen Schritt als eine Art Bombenexplosion für Menschen, die in der Rolle des CISO arbeiten. Es ist auch das erste Mal, dass eine SEC-Klage eine Einzelperson eines Unternehmens auf diese Weise zurückruft.

Verstehen Sie angesichts der aktuellen Entwicklung des Falles Ihre persönliche Haftung als CISO? Eines ist klar: Dieser Fall sendet eine Botschaft. CISOs sind nun mit beispiellosen potenziellen Haftungsrisiken konfrontiert, was einen proaktiven Ansatz zur rechtlichen Gefährdung von Sicherheitsmanagern erforderlich macht. Um Licht in dieses komplexe Thema zu bringen, haben wir mehr als 60 CISOs, ehemalige SEC-Mitglieder und Rechtsexperten zu einer Podiumsdiskussion zusammengebracht. Bei der Rekrutierung von Diskussionsteilnehmern zur Diskussion dieses hochriskanten Themas waren Hintergrundwissen und Glaubwürdigkeit von entscheidender Bedeutung. Unser Ziel war einfach: der CISO-Community verlässliche Anleitung und Klarheit zum Haftungsmanagement zu bieten.

Das Gremium untersuchte den Fall SolarWinds und stellte fest, dass der Fokus der SEC offenbar eher auf Fahrlässigkeit als auf ungeheuerlichem Betrug liegt. Während der Fall als aggressiv dargestellt wird, ist die Substanz möglicherweise nicht so robust. Experten schlagen vor, dass CISOs diesen Fall als Weckruf betrachten und die Notwendigkeit proaktiver Maßnahmen und eines gutgläubigen Ansatzes zur Cybersicherheit betonen.

Die aus dieser Diskussion gewonnenen Erkenntnisse bieten CISOs einen Fahrplan für die Bewältigung dieser neuen Ära der Durchsetzung der Cybersicherheit. Hier sind einige der wichtigsten Ratschläge, die wir von der Jury gelernt haben.

Bauen Sie starke Allianzen mit dem General Counsel auf

Eine der ersten – und vielleicht wichtigsten – Erkenntnisse aus der Podiumsdiskussion ist, wie wichtig es ist, dass CISOs starke Beziehungen zum General Counsel (GC) aufbauen. Den Experten zufolge kann der Generalstaatsanwalt in Krisenzeiten ein entscheidender Verbündeter sein und wertvolle rechtliche Beratung und Unterstützung bieten. Nach dem SolarWinds-Fall wird CISOs empfohlen, sich proaktiv mit ihrem GC abzustimmen, um eine kooperative und gut vorbereitete Reaktion auf potenzielle rechtliche Herausforderungen sicherzustellen.

Stellen Sie FBI-Verbindungen her

Ein weiterer wichtiger Rat des Gremiums besteht darin, so schnell wie möglich eine Beziehung zur örtlichen FBI-Außenstelle aufzubauen. Ein FBI-Vertreter betonte in der Diskussion die Bedeutung bereits bestehender Beziehungen zum FBI. Ein Kontakt innerhalb des FBI kann bei der Bewältigung ähnlicher Situationen wie im SolarWinds-Fall von entscheidender Bedeutung sein. Laut dem FBI-Vertreter des Gremiums geht es vor allem um den Vertrauensfaktor. Sie stellten außerdem fest, dass das FBI Unternehmen in solchen Situationen als Opfer betrachtet, weshalb CISOs dazu ermutigt werden, eine Beziehung zu ihrer örtlichen FBI-Außenstelle aufzubauen, lange bevor eine Krise eintritt.

Achten Sie auf die Einhaltung von Standards

Das Gremium betonte auch, wie wichtig es ist, Cybersicherheitspraktiken an objektiven Standards auszurichten, wie sie beispielsweise vom National Institute of Standards and Technology (NIST) festgelegt wurden. Die SEC kann, wie im Fall SolarWinds gezeigt, einen Nachweis über die Einhaltung dieser Standards verlangen. „Jedes Mal, wenn Sie sich an einem objektiven Standard wie NIST orientieren, wird die SEC einen Beweis dafür verlangen“, bemerkte einer unserer SEC-Vertreter. Wenn Sie also öffentlich bekannt geben, dass Sie eine Reihe von Standards verwenden, stellen Sie auch sicher, dass Sie die von Ihnen gewählten Standards einhalten. CISOs müssen eine gründliche Dokumentation führen, um bei Bedarf Beweise vorlegen zu können.

Koordinieren Sie Rechtsberatung und interne Untersuchungen

Beim Thema Rechtsberatung stieß die Diskussionsrunde auf unterschiedliche Meinungen zu der Frage, ob ein CISO einen eigenen Rechtsbeistand benötigt. Was kann ein CISO also tun? Das Gremium war sich einig, dass ein persönlicher Anwalt, insbesondere bei Befragungen durch die SEC oder das Justizministerium (DOJ), wahrscheinlich erforderlich ist. Eine rechtliche Vertretung bei internen Untersuchungen und bei der Interaktion mit internen Anwälten kann ebenfalls ein kluger Schachzug sein.

Denken Sie über eine D&O-Versicherung nach

Ein weiterer wichtiger Aspekt, den das Gremium hervorhob, war das Verständnis und die Investition in eine D&O-Versicherung (Directors and Officers). Angesichts möglicher rechtlicher Schritte kann eine D&O-Deckung den CISOs finanziellen Schutz bieten. Die Experten empfehlen, sich mit der Deckung vertraut zu machen, nach bestehenden Ansprüchen zu suchen und für zusätzlichen Schutz sogar eine eigenständige Deckung in Betracht zu ziehen.

Machen Sie sich die drei Säulen zu eigen: Ausrichten, klären, eskalieren

In dieser neuen Ära der verschärften Durchsetzung der Cybersicherheit wird CISOs empfohlen, sich an drei Grundpfeiler zu halten: Abstimmung, Klärung und Eskalation. Richten Sie Cybersicherheitspraktiken an anerkannten Standards aus, klären Sie die Kommunikation mit Rechts- und FBI-Kontakten und eskalieren Sie Bedenken in der Befehlskette. Diese Säulen bilden die Grundlage eines proaktiven und schützenden Ansatzes für die sich verändernden Herausforderungen, denen sich Führungskräfte im Bereich Cybersicherheit gegenübersehen.

CISOs müssen jetzt proaktive Maßnahmen ergreifen

Die SEC-Klage gegen SolarWinds hat die potenziellen Risiken beleuchtet, denen Cybersicherheitsmanager ausgesetzt sind. CISOs werden aufgefordert, proaktive Maßnahmen zu ergreifen, um sich vor rechtlichen Risiken zu schützen. Der Aufbau starker Allianzen mit dem General Counsel, der Aufbau von Verbindungen zum FBI, die Einhaltung von Cybersicherheitsstandards, der Abschluss einer D&O-Versicherung und die Übernahme der drei Säulen Abstimmung, Klärung und Eskalation sind wichtige Schritte bei der Bewältigung der Herausforderungen dieses neuen Zeitalters der Durchsetzung der Cybersicherheit. Da sich die Landschaft ständig weiterentwickelt, müssen CISOs wachsam und gut vorbereitet bleiben, um die Sicherheit ihrer Organisationen zu gewährleisten und ihre eigene berufliche Stellung zu schützen.

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• PlatoData.Network Vertikale generative KI. Motiviere dich selbst. Hier zugreifen.
• PlatoAiStream. Web3-Intelligenz. Wissen verstärkt. Hier zugreifen.
• PlatoESG. Kohlenstoff, CleanTech, Energie, Umwelt, Solar, Abfallwirtschaft. Hier zugreifen.
• PlatoHealth. Informationen zu Biotechnologie und klinischen Studien. Hier zugreifen.
• Quelle: https://www.darkreading.com/cyberattacks-data-breaches/navigating-new-age-cybersecurity-enforcement