Das CISO-Paradoxon

Da kein Sicherheitsteam alles überwachen kann, ist es wichtig, dass die Mitarbeiter in der Lage sind, Bedrohungen zu erkennen und abzuwehren, dazu noch, eine stärkere, dezentralere Verteidigung aufzubauen. 

Indem wir auf Einflussnahme, Kommunikation und funktionsübergreifende Zusammenarbeit setzen, um Sicherheitspraktiken in die täglichen Arbeitsabläufe und Entscheidungsprozesse zu integrieren. 

Ausgeklügelte Angriffe wie Phishing, bei denen die Identität des Geschäftsführers vorgetäuscht wird, nutzen das interne Vertrauensverhältnis aus und erfordern ein unternehmensweites Bewusstsein. 

Moderne Sicherheit vereint Führung, Unternehmenskultur, Weiterbildung und integrierte Prozesse – und beschränkt sich nicht nur auf Zugangskontrollen oder reaktive Abwehrmaßnahmen. 

Wenn Sicherheit teamübergreifend verankert ist, Dies trägt dazu bei, dass Risiken früher erkannt werden und schneller sowie effektiver darauf reagiert werden kann. 

Sehen Sie sichhierdas Video mit dem zeitgestempelten Transkript an

Herzlich willkommen. 

Wir berichten live von der SHIFT, und ich bin hier zusammen mit Bill
O’Connell, dem Chief Security Officer von Commvault, und Will Galway, dem stellvertretenden Chief Security Officer von Commvault. 

Und das ist „The CISO Paradox“, ein Podcast, in dem es um führende Sicherheitskonzepte im Zeitalter der persönlichen
Verantwortung geht. 

Wir leben in herausfordernden Zeiten für CISOs. 

Warum? 

Nun, ähm, CISOs werden oft persönlich und rechtlich zur Verantwortung gezogen

für die Sicherheitsergebnisse in Unternehmen, aber sie haben nicht unbedingt die direkte Kontrolle über das
Das Budget, die Mitarbeiter oder die Technologien, die diese Sicherheitsergebnisse vorantreiben. 

Das macht ihren Job ziemlich anspruchsvoll. 

Und genau darüber werden wir heute sprechen: Was es bedeutet, ein moderner CISO zu sein, und wie sich diese
Rolle in den größten Unternehmen der Welt weiterentwickelt. 

Ich erteile zunächst Bill das Wort. 

Bill, was machst du gerade? 

Ja, ich, äh, ich finde den Titel unserer Sitzung toll, dass es um dieses Paradoxon geht, oder? 

Hier gibt es ein echtes Dilemma: Einerseits möchte man, dass der Sicherheitsleiter und das
Das Sicherheitsteam trägt die Verantwortung – die letztendliche Verantwortung. 

Andererseits sprechen wir aber auch von Dingen wie einem Modell der geteilten Verantwortung, nicht wahr? 

Wie lässt sich das beides also unter einen Hut bringen? 

Wie schafft man eine Organisation, die, äh, sicherstellen kann, dass die Sicherheit des Unternehmens auf dem erforderlichen Niveau ist?
 

, aber gleichzeitig anerkennt, dass man nicht überall sein kann? 

Man muss sich also auch um alle Mitarbeiter in der Organisation, die gesamte Technologie sowie
sich um alle Systeme und Prozesse kümmern. 

Ich stelle mir das gerne so vor: Das Paradoxon besteht darin, beides zuzulassen und den Fokus darauf Wert legen
, ja, darauf, ob wir über das richtige Sicherheits-Know-how verfügen, aber auch darauf, wie wir die Kultur der 

Die Organisation verändern? 

Es geht also um 

Außerdem, wie man so schön sagt: „Kultur als Code“, bei dem jeder weiß, was er tun darf. 

Und wenn man die gesamte Organisation dazu bringen kann, ein bisschen mehr über Sicherheit nachzudenken, äh
, Dann ist das wahrscheinlich effektiver, als eine weitere Person für das Sicherheitsteam einzustellen. 

Ich denke also, es sind beide Aspekte, aber das hat sich im Laufe der Zeit wirklich verändert. 

Weißt du, dein Stellvertreter Will versucht hier, jeden im Unternehmen dazu zu bringen, einen
Sicherheitswächter zu machen. 

Wie schaffst du das, Will, wo die Angriffe doch immer komplizierter werden? 

Ich meine, wir haben doch erst letzte
Wir haben in der vergangenen Woche Anrufe von Sanjay Marchandani, unserem CEO, erhalten, in denen er im Vorfeld von SHIFT um Geschenkkarten und Geldüberweisungen gebeten hat – wie soll man also 

dafür sorgen, dass wir alle klug genug sind? 

Wie lässt sich die Kultur in Richtung eines Modells der geteilten Verantwortung verändern? 

Ja, und ich denke, es ist wichtig, Einfluss statt Autorität einzusetzen. 

Wie du zu Beginn gesagt hast

Wir haben keine Kontrolle über jedes System oder jede Person oder deren persönliches WhatsApp-Konto. 

Das sind also einfach Dinge, bei denen wir unseren Einfluss geltend machen müssen, um
mit Führungskräften aus dem Unternehmen und anderen Abteilungsleitern zusammenzuarbeiten und diese Botschaft einfach an unsere Mitarbeiter weiterzugeben. 

Ich denke, jeder trägt Verantwortung für die Sicherheit, aber letztendlich geht es darum, das Unternehmen voranzubringen
. 

Und ich glaube, es gibt Dinge, die wir tun können und auch tun, um dies zu ermöglichen. 

Ich halte es für wirklich wichtig, diese Sicherheitskultur, die Bill erwähnt hat, auf
auf den richtigen Weg zu bringen. 

Und ich glaube, ähm,

Das machen wir im Moment schon ganz gut. 

Ja, da stimme ich zu. 

Übrigens waren die Anrufe und die SMS gefälscht. 

Das war ein Phishing-Versuch. 

Sie waren nicht echt. 

Ähm, nur um sicherzugehen, dass alle Zuhörer das verstehen. 

Ähm, also, Bill, wie stellst du dir heute den Aufbau einer modernen Sicherheitsorganisation in
einem Unternehmen? 

Denn es geht nicht nur darum, Probleme mit Identitäten und Zugriffen abzuwehren und zu bewältigen. 

Wie siehst du das? 

Ja, ich denke, zum Teil, ähm,

für das man ein gewisses Maß an Fachwissen benötigt. 

Da ich jedoch in der Vergangenheit verschiedene Modelle von Sicherheitsorganisationen kennengelernt habe, sind mir einige
aufgefallen, die den Ansatz verfolgten, bei dem die Sicherheit des Helden im Mittelpunkt steht, des Feuerwehrmanns, der sich um 

alles regelt. 

Und wenn man diese Mauer und diese Trennung schafft, entlastet man damit alle anderen in der Organisation von
ihrer Verantwortung. 

Sie könnten sagen: „Na ja, ich mache einfach meine Arbeit, und die Sicherheitsabteilung kümmert sich um die Sicherheitsangelegenheiten.“
.“ 

Und ich glaube nicht, dass dieses Modell funktioniert. 

Ich glaube,

müssen wir es eher so betrachten: Wenn man ein Haus baut, gibt es doch auch keinen Klempner und keinen
Einen Elektriker und dann noch einen Sicherheitselektriker oder einen Sicherheitsinstallateur, oder? 

Der Klempner und der Elektriker müssen von Anfang an
und wissen, wie sie ihre Arbeit sicher ausführen können. 

Wenn wir also über das moderne Unternehmen nachdenken, geht es meiner Meinung nach um folgende Frage: Wo sind die richtigen Leute?
, welche Rollen und Funktionen sollten im Sicherheitsteam vertreten sein? 

Und wo können wir anderen Teams dabei helfen, sicherer zu werden? 

Und wie kann ich einem Dienstleistungsunternehmen helfen,

zu erkennen, in welchen Bereichen ihres Arbeitsalltags Sicherheit wichtig ist, und wie kann ich ihnen
ihnen beibringen, skeptischer zu sein? 

Ähm, wenn ich an eine Produktentwicklungsorganisation denke, kann ich doch keine Entwickler haben, die
Man muss sich keine Gedanken über die Sicherheit machen, und dann kommt ein Sicherheitsteam und behebt das Problem, oder? 

Seit Jahren bemühen sich Unternehmen bereits um einen „Shift Left“, damit Entwickler von Anfang an
Sicher denken und sicher entwickeln – und ja, dann gibt es das Sicherheitsteam, das 

ebenso einige Überprüfungen durchführt, 

Aber wir sind nicht dazu da, alles abzufangen. 

Das Team beugt dem Problem entweder von vornherein vor oder, falls es eine Schwachstelle geschaffen hat,
Es behebt diese, lange bevor sie in die Produktion gelangen. 

Das sind also die Bereiche, in denen eine moderne Sicherheitsorganisation mit echtem Fachwissen einen Beitrag leisten kann
, damit all diese anderen Teams ihre Arbeit sicherer erledigen können. 

Und ich denke – um kurz auf Bills Argument einzugehen –, ich glaube, es geht darum, dorthin zu gehen, wo
das Geschäft stattfindet. 

Ich halte das für wirklich wichtig. 

Und ich glaube,

Ähm, wissen Sie, man darf nicht mehr das übliche Sicherheitssilo haben, das wir in der Vergangenheit gesehen haben – man muss
dorthin dorthin gehen, wo das Geschäft stattfindet, und auf dieser Ebene eine Verbindung herstellen. 

Zu Bills Anmerkung bezüglich der Entwickler und derjenigen, die näher am Produkt sind: 

Ich meine, es gibt Schulungen und Möglichkeiten, wie wir die Sicherheit insgesamt verbessern können. 

Neben dem Produkt können wir das auch intern umsetzen. 

Ich denke, wir müssen diese Aspekte berücksichtigen und dorthin gehen, wo das Geschäft stattfindet, um unsere Arbeit zu
verbessern. 

Das ist ein sehr guter Punkt. 

Ich möchte hier ganz konkret werden. 

Für Unternehmen also, die ihre Cybersicherheitsfunktion aus der Not heraus ausbauen, die Investition aber
vielleicht so lange wie möglich hinausgezögert haben: Ihr Unternehmen und die Aufgaben 

, die Sie zu erledigen haben, sind geradezu brisant. 

Sie sind dafür verantwortlich, sicherzustellen, dass die entwickelten Produkte sicher sind, wenn sie
in die Hände der Kunden gelangen. 

Sie sind dafür verantwortlich,

Sie sind sozusagen die letzte Anlaufstelle für einen Kunden, bevor er etwas kauft. 

Sie möchten mit einem von Ihnen beiden sprechen und sich vergewissern, dass die Produkte unter Berücksichtigung der Sicherheit entwickelt wurden
und was passiert, wenn das Unvorstellbare eintritt. 

Äh, ihr habt die Aufgabe, dafür zu sorgen, dass jeder im Unternehmen, äh, unseren Zugriff auf
das schützt, was intern wichtig ist, und Aufklärungsarbeit zu leisten, denn man kann kein Team haben, das 

So groß ist es doch, oder? 

Außerdem musst du die Entwickler darin schulen, wie man sicher programmiert, und du musst die Vertriebsmitarbeiter
darin schulen, wie man sicher verkauft. 

Wie seht ihr das? 

Ich meine, das ist ein ziemlich umfangreicher Aufgabenbereich. 

Ich würde die Frage folgendermaßen formulieren: 

Was sind Ihrer Meinung nach die fünf wichtigsten Rollen in einer modernen
CISO-Organisation? 

Das ist schwer zu beantworten, denn wie du bereits erwähnt hast, sind all diese Bereiche so wichtig. 

Ich glaube, ähm 

Eines der Dinge, die ich verstehen muss, wenn ich in eine neue Organisation komme
, lautet: Was macht das Unternehmen und was versucht es

zu erreichen? 

Und ich glaube, das ist etwas, das sich im Laufe der Zeit stark verändert hat: Eine Sicherheitsorganisation hat
früher damit angefangen, einfach zu allem „Nein“ zu sagen. 

Und dann wurde uns klar: So geht das nicht – alles ist vernetzt, alles ist digital. 

Wie kann ich also sicherstellen, dass 

wir von Grund auf sicher sind, das Unternehmen aufzuklären und dort abzuholen, wo es
da steht doch, oder? 

Damit wir das eben tun können. 

Ähm, ich glaube auch, du fragst ja, welche Schlüsselrollen es in der Abteilung gibt. 

Ähm, ich bin mir nicht sicher, ob ich sie in eine Rangfolge bringen könnte, denn sie haben alle so unterschiedliche Aufgaben. 

Ähm, aber letztendlich gehe ich davon aus, was das Unternehmen erreichen will, und
Welche Risiken gibt es denn? 

Alles muss risikoorientiert sein. 

Und deshalb: 

Wenn ich ein Team habe, das sich auf Anwendungssicherheit konzentriert, oder ein Team, das sich mit der
Wenn es um Infrastruktur oder die Cloud geht, äh, dann brauchen wir fast schon eine, äh, es ist so wichtig, dass wir das Risk als eine Art 

eine Art einheitliche Taxonomie dafür nutzen, wie wir über all die Dinge sprechen, die schiefgehen
könnten – damit ich ein Problem im Architekturentwurf, das mir nicht gefällt, mit einer potenziellen 

Eine Sicherheitslücke in einer Anwendung vergleichen – und das gilt für das gesamte Sicherheitsteam. 

Wenn wir sagen, dass etwas kritisch ist – was bedeutet das dann? 

Und ich muss die Führungskräfte im Unternehmen nicht ständig zu Cybersicherheitsexperten machen. 

Ich spreche mit ihnen nicht über CVSS-Werte oder Ähnliches; ich habe es folgendermaßen umgedeutet: Wenn ich sage
, wenn etwas kritisch ist, bedeutet das, dass wir unsere derzeitige Tätigkeit unterbrechen müssen. 

Wenn ich sage, etwas sei „hoch“, sollten Sie sich Sorgen machen. 

Und ebenso gilt: Wenn ich sage, dass etwas ein „geringes Risiko“ darstellt, können Sie sich darauf verlassen, dass wir es im Auge behalten,

, aber ich werde nicht allzu viel Zeit darauf verwenden. 

Ich werde einen überproportional großen Teil meiner Zeit den kritischen und schwerwiegenden Problemen widmen. 

Deshalb denke ich, dass alle Funktionen im Unternehmen, insbesondere in der Sicherheitsabteilung,
diese Taxonomie verstehen müssen, damit wir mit dem Unternehmen so sprechen können, dass die sie 

verstehen und nicht in Diskussionen über SQL-Injection und deren Vermeidung verwickelt werden. 

Ich halte es auch für wichtig, im Hinterkopf zu behalten, dass, wenn man über solche
Wenn es um Risiken geht, 

dass Risiken meist anhand der Eintrittswahrscheinlichkeit oder nach den Vorgaben einer
Behörde, einer übergeordneten Instanz, bewertet werden, wir aber die Auswirkungen auf das Unternehmen berücksichtigen müssen. 

Ich halte das für einen wirklich wichtigen Maßstab, und was die Bewertung der Kritikalität betrifft
festgelegt ist, stellt sich die Frage, wie sich das auf uns auswirken könnte – und in dieser Reihenfolge gehen wir die Dinge dann an. 

Und ich halte das für einen sinnvollen Ansatz. 

Das ist ein geradliniger Denkansatz, denn ich glaube einfach, dass die Reihenfolge, in der
wie man vorgeht, entscheidend ist. 

Lassen Sie uns also ein paar Minuten lang über eingetretene Risiken sprechen. 

Wir drei haben gemeinsam eine Reaktion auf einen Sicherheitsvorfall durchlaufen – das ist der beste Weg, um
lernen. 

Ähm, was sind die Merkmale? 

Welche Persönlichkeitsmerkmale zeichnen Führungskräfte aus, die bei der Reaktion auf einen Sicherheitsvorfall an vorderster Front stehen? 

Ich fange mit dir an, Will. 

Ich halte Hygiene für wirklich wichtig. 

Und ich glaube, dass bei den meisten, ja bei den allermeisten Vorfällen im Bereich der öffentlichen Sicherheit, von denen wir hören, alles mit der grundlegenden
Sicherheit beginnt. 

Und ich denke, für eine gute Führungskraft gilt: Man darf nicht zulassen, dass das Perfekte der
zum Feind des Guten wird, sondern muss einfach dafür sorgen, dass wir das erreichen, was nötig ist, um das 

Unternehmen zu schützen. 

Ich glaube, dass gute Führungskräfte nicht nur darauf achten, sondern auch Beziehungen und Vertrauen über verschiedene Geschäftsbereiche hinweg aufbauen.
. 

Wir sitzen alle im selben Boot, und jeder noch so kleine Beitrag zählt. 

Ganz gleich, ob man es mit verschiedenen Personen im Unternehmen oder mit verschiedenen Mitarbeitern zu tun hat
die in verschiedenen Bereichen und Regionen zum Tragen kommt. 

Ich halte es für wirklich wichtig, dass alle zusammenkommen und wissen, welche Verantwortung sie
in einem solchen Modell einer gemeinsamen Sicherheitskultur einen Beitrag leisten. 

Und Bill, Sie stehen vor den Vorständen. 

Wie gehst du mit dem Moment um, in dem – ob du es nun verkündest oder nicht – der Alarm ertönt?
? 

Wer bist du in diesem Moment, und was sind deiner Meinung nach die besten Eigenschaften einer
Führungskraft – wie verhält man sich, wenn man mit einer Krise konfrontiert ist? 

Ich persönlich finde das irgendwie lustig. 

Im Stau werde ich total frustriert,

, aber wenn etwas sehr Ernstes passiert, kann ich sehr, sehr ruhig bleiben. 

Und ich denke, eine der wohl wichtigsten Eigenschaften ist, dass man nur über unvollständige Informationen verfügt
. 

Man wird von einer Million Menschen mit Fragen bombardiert und muss sich
sich wirklich konzentrieren kann, um zu sagen: Okay, was muss ich jetzt tun? 

Was ist der nächste Schritt, den ich unternehmen muss? 

Dabei muss man gleichzeitig das große Ganze im Blick behalten: Wo muss
Wo werde ich am Ende des Tages stehen? 

Und das dann nach außen zu kommunizieren. 

Und es ist interessant: Ich führe viele Gespräche mit Kunden und
Das musste ich im Laufe meiner Karriere immer wieder tun – manchmal muss man seine Fehler einfach zugeben. 

In anderen Fällen geht man eher proaktiv vor und versucht, wie du bereits erwähnt hast, frühzeitig Vertrauen aufzubauen. 

Äh, und man kann irgendwie erkennen, welche CISOs Probleme hatten und welche nicht
, denn viele sagen: „Nun, bei Ihnen sind die Probleme X, Y und Z aufgetreten. 

Wir können einfach nicht mit euch zusammenarbeiten. 

Äh 

Und wenn man schon lange genug in der Branche tätig ist, wird einem langsam klar, dass einem irgendwann die
Das sind doch Unternehmen, mit denen man Geschäfte machen kann, oder? 

Jeder hat irgendwann einmal ein Problem, oder er weiß einfach noch nichts davon. 

Wichtiger ist also: Wie sind sie damit umgegangen? 

Wie haben sie reagiert? 

Sind sie transparent? 

Äh, und genau darauf achte ich, wenn ich mit anderen CISOs spreche – ich
Ich glaube, das ist genau die Einstellung, die man haben muss. 

Meine Lieblingsanalogie ist die eines Boxers. 

der vorhat, niemals einen Schlag ins Gesicht zu bekommen. 

Das ist einfach keine gute Strategie. 

Man muss also darauf vorbereitet sein, dass etwas passieren wird. 

Und schaust du immer nach vorne? 

Du bist, na ja, nie zufrieden mit dem Programm, oder? 

Es gibt immer etwas Besseres, das man tun könnte. 

Wenn du also für das Jahr planst, plane 10 bis 15 % des Budgets und der Zeit ein, die … 

offen ist, weil du nicht weißt, was passieren wird. 

Man weiß nicht, was sich ändern wird. 

Wir wissen nicht, wie KI unsere Arbeitsplätze in einem Jahr verändern wird. 

Anstatt also zu glauben, du hättest alle Antworten, gönne dir ein wenig
Flexibilität, damit du widerstandsfähig bleibst und erkennen kannst, wo du dich anpassen musst. 

Lassen Sie uns also in tiefere Gewässer vordringen. 

Vertrauen wächst oder schwindet im entscheidenden Moment. 

Nehmen wir an, in Ihrem Unternehmen ist es zu einer Sicherheitsverletzung gekommen oder 

Irgendwo in der Lieferkette ist es zu einer Sicherheitsverletzung gekommen, die Sie betrifft. 

Ähm … Wie stellen Sie sicher, dass Sie das Vertrauen während dieses Prozesses stärken, anstatt es
das Vertrauen Ihrer Kunden, Mitarbeiter, Ihres Vorstands und Ihrer Geschäftsführung zu untergraben? 

Und dazu möchte ich noch einen weiteren Punkt anmerken: Die Reaktion auf einen
Ein Sicherheitsvorfall dauert nicht einen Tag, nicht eine Woche, sondern manchmal Monate. 

Und viele Menschen kehren zu ihrer täglichen Arbeit zurück, aber das Sicherheitsteam und die möglicherweise
die betroffenen Teams sowie die Kunden und Lieferanten

müssen damit weiterleben, bis sich die Situation von selbst klärt – aber das geht nie schnell. 

Wie hält man also die Energie und die Konzentration aufrecht? 

Lassen Sie uns diese beiden Aspekte kurz näher betrachten. 

Ja, ich denke, es ist natürlich wichtig, über die richtigen Kontrollmechanismen zu verfügen. 

Es geht auch um den Weg dorthin – in dem Bewusstsein, dass sich die Dinge ändern werden und neue
Technologien kommen in immer schnellerem Tempo auf den Markt.

Es reicht nicht aus, nur eine Checkliste zu haben und zu fragen: „Habe ich diese 10 Dinge erledigt?“ 

Es geht auch darum, nach welchem Verfahren man festlegt, welche diese 10 Dinge sind, und wie sich das
sich im nächsten Jahr ändern wird. 

Anpassungsfähigkeit und diese Denkweise sind also wahrscheinlich genauso wichtig wie, nun ja,
eine Bestandsaufnahme der technischen Kontrollmaßnahmen, die mir an einem bestimmten Tag zur Verfügung stehen. 

Ich glaube, das ist es, worauf ich mich in meinem Team freue. 

Und wenn ich mit anderen CISOs spreche, 

dass dies meiner Meinung nach die beste Eigenschaft ist, die ich beobachtet habe: anpassungsfähig zu sein und zu erkennen sowie zu akzeptieren
, dass man nicht alle Antworten haben kann. 

Wie gehst du also vor, um festzulegen, wie diese Priorisierung aussehen sollte? 

Ich glaube auch, dass du ja von Ermüdung gesprochen hast, oder? 

Vor allem, nachdem sich ein Sicherheitsvorfall ereignet hat und die Mitarbeiter wieder ihrer täglichen Arbeit nachgehen. 

Ich denke, wenn man im Laufe des Prozesses bewertet wird und sich ständig selbst bewertet, weiß man
, wo man steht, weiß man, wie weit man damit kommt, und man weiß, was 

noch zu erledigen ist. 

Ich halte diese Messung also für wirklich wichtig, um zu wissen, wann man Alarm schlagen muss
wann man weitermachen muss und wann man damit aufhören und versuchen sollte, zum normalen Geschäftsbetrieb zurückzukehren. 

Aber ich glaube, all das ergibt sich aus der Vorbereitungsarbeit, die man im Vorfeld leistet, um dorthin zu
gelangen. 

Wenn du mit einem Lieferanten, einem Kunden oder einem potenziellen Kunden telefonierst und dieser auf eine Antwort wartet
– Erzähl mir doch mal von einem Fall, in dem du eine Sicherheitsverletzung erlebt hast, und wie du 

mit den Betroffenen kommuniziert haben. 

Wie führst du dieses Gespräch? 

Denn es gibt eine ganze Bandbreite an Möglichkeiten: Man könnte sich einen juristisch ausgearbeiteten Leitfaden erstellen lassen oder die Vertriebsmitarbeiter damit betrauen
, das Gespräch zu führen. 

Aber wie führt man dieses Gespräch am besten, um Vertrauen aufzubauen? 

Ich bin nun schon fast 20 Jahre in der Sicherheitsbranche tätig und habe viele Gespräche geführt
mit anderen CISOs geführt. 

Ich denke, Transparenz ist das Wichtigste. 

Ich glaube, die Leute spüren es, 

, wenn man ihnen keine vollständige Antwort gibt oder ihnen nicht alles sagt. 

Und das untergräbt das Vertrauen wahrscheinlich schneller als alles andere. 

Und wie bei jeder Beziehung, die auf Vertrauen basiert: Wenn man es einmal verloren hat, ist es viel schwieriger, es wieder zurückzugewinnen.
. 

Deshalb ist es viel
Es ist besser, sagen zu können: „Das wissen wir mit Sicherheit, das wissen wir nicht“, als zu versuchen, die Lage rosiger darzustellen, als sie ist. 

Wissen Sie, ich würde zustimmen, dass Transparenz enorm wichtig ist. 

Und ich denke, als Sicherheitsexperte freue ich mich darauf, die wahrheitsgemäßen
Die Berichte zu lesen, die nach einem solchen Vorfall veröffentlicht werden – man lernt dabei so viel 

daraus, wenn Unternehmen offen und ehrlich darüber berichten, was passiert ist. 

Und in diesem Moment, wenn der erste Anruf eingeht, möchte man
– wie Bill schon sagte – so offen und so ehrlich wie möglich sein, einfach weil die Leute 

verstehen, dass 

So etwas kommt vor, aber dass sie dich anhand deiner Reaktion in
die Zukunft beurteilen werden. 

Okay, wechseln wir das Thema und sprechen wir über KI. 

KI scheint die Spielregeln bei Cyberangriffen hinsichtlich der Landschaft und der Angriffsvektoren
zu ändern. 

Wie werden sich Ihrer Meinung nach Ihre Aufgaben in einem Jahr verändern, wenn die KI ausgereifter ist? 

Ich glaube, das wird knifflig. 

Aus sicherheitstechnischer Sicht ist KI ein sehr interessantes … 

Ein Problem, das es zu lösen gilt, denn wir versuchen, sie einzusetzen, um das Geschäft zu verbessern und es
zu beschleunigen. 

Wir versuchen auch, sie für Sicherheitszwecke einzusetzen, um das Unternehmen besser zu schützen. 

Aber wir wollen auch sicherstellen, dass sie uns nicht in die Quere kommt, während wir versuchen, die ersten beiden Ziele zu
erreichen. 

Ich glaube also, dass sie die Spielregeln neu definieren wird. 

Und ich war lange Zeit kein Befürworter davon. 

Aber je länger man beobachtet, wie sich die Dinge entwickeln – insbesondere
im Bereich der agentenbasierten KI – und wie Unternehmen beginnen, ihr Vertrauen in ein Modell zu setzen, 

die diese Ergebnisse liefern und im Laufe der Zeit in manchen
In manchen Fällen kann man fast besser lernen als als Mitarbeiter, 

Ich bin nach wie vor der Meinung, dass Mitarbeiter für die Sicherheit unverzichtbar sind. 

Ich behaupte nicht, dass wir alle von KI-Systemen überholt werden, aber ich glaube, dass denen
unsere Denkweise und unsere Planung zum Schutz des Unternehmens grundlegend verändern werden, da KI 

sowohl bei den Angriffen der Angreifer als auch bei der Verteidigung eines
die für das Unternehmen immer mehr an Bedeutung gewinnt. 

Ja, und das ist ein großartiges Beispiel dafür, wo 

Weißt du, ich glaube, wir müssen uns auf das Unbekannte einstellen und uns ein wenig
Zeit und Geld für Dinge einplanen, die sich im nächsten Jahr so rasant ändern werden, dass ich nicht 

genau vorhersagen kann, wie wir KI nutzen werden. 

Und wenn die Leute von KI sprechen, was meinen sie dann eigentlich genau, oder? 

Agentenbasierte KI im Gegensatz zum reinen maschinellen Lernen. 

Außerdem, äh, lassen wir uns den Spielraum, zu sagen: „Okay, wir haben keine Antwort.“ 

Wir haben heute noch nicht alle Antworten, aber wir wissen,

, dass dies für uns von enormer Bedeutung sein wird. 

Und so geht es nicht nur um Sicherheit für KI und KI für Sicherheit, sondern auch um dieses Wettrüsten
, bei dem die Hürde für einen Angreifer, KI gegen ein Unternehmen einzusetzen, 

immer weiter sinkt. 

Es wird immer billiger und einfacher. 

Und die Fähigkeiten, die man braucht, um das zu tun, was sie vielleicht schon vor Jahren getan haben – ähm, das ist einfach
so viel einfacher geworden. 

Das ist also der andere Punkt, über den wir nachdenken müssen: Wie – wie Will bereits sagte – wie verteidigen wir uns
Dagegen? 

Ähm, in dem Wissen, dass es immer einfacher geworden ist und es, ähm, immer mehr Werkzeuge gibt
gibt es, aber jetzt, Ähm, KI, ähm, für Sicherheitsangriffe – das ist etwas, das wir wirklich 

herausfinden müssen. 

Ja, und wenn man sich die Entwicklung der Vorgehensweise von Angreifern ansieht: Früher war
Es war so, dass eine wirklich kluge Person einfach so lange an die Eingangstür eines Unternehmens klopfte, bis sie 

reinkam. 

Und dann hieß es: „Ich kann diese Skript-Tools nutzen und die Sache schneller erledigen.“ 

Und angesichts der Ergebnisse, die sie mit diesen Tools erzielten, mussten sie sich dennoch entscheiden: Okay, wem
Gehe ich von diesem Punkt aus weiter? 

Aber jetzt mit KI – die KI wird das viel schneller automatisieren können. 

Früher ging es einfach nur darum, schneller zu sein als der, na ja, als der nebenan
einem. 

Nun, jetzt wird es etwas anspruchsvoller, denn ich glaube, die Angriffe werden
an Geschwindigkeit zu gewinnen, was bedeutet, dass unsere Verteidigung im gleichen Tempo mithalten muss. 

Richtig. 

Und die Reaktion. 

Ja. 

Ich denke, wir müssen davon ausgehen, dass sie eindringen werden, und wir müssen herausfinden, wie wir
das so schnell wie möglich eindämmen und beheben können. 

Absolut. 

Ja. 

Ich denke, ich möchte die CISOs gerne an zwei wichtige Dinge erinnern, die meiner Meinung nach
die in den letzten Jahren oft in Vergessenheit geraten sind. 

Ich habe eine enorme Verlagerung in Richtung Verteidigung beobachtet. 

Und wie du bereits erwähnt hast, glaube ich wirklich, dass es auch um die Widerstandsfähigkeit geht – dass man
einen Schlag ins Gesicht bekommt. 

Kann man wieder aufstehen? 

Wie gut kannst du dich wieder aufrappeln? 

Ach ja, und wenn man also an Dinge wie die CIA-Triade denkt – also Verfügbarkeit –, dann ist das einer
der Grundpfeiler der Sicherheit. 

Ach, oder, weißt du, beim NIST geht es um die Wiederherstellung. 

Und ich glaube, wir haben uns bisher so sehr auf die Verteidigung verlagert

Und ich glaube, kluge CISOs erkennen: Ich muss auch darauf achten, wie ich dabei helfen kann, den Betrieb wiederherzustellen
. 

Ah: Wie kann ich das so schnell wie möglich erkennen? 

Aber auch: Wie bringe ich mein Unternehmen wieder auf Kurs? 

Das ist ein perfekter Übergang zu meiner letzten Frage, die wie folgt lautet: 

Wissen Sie, es geht nicht darum, perfekt zu sein. 

Der Maßstab ist nicht, alles richtig zu machen. 

Das Wichtigste ist, es zu versuchen. 

Das Wichtigste ist, Fortschritte zu machen. 

Zum Schluss noch eine Frage: Wie gehen Sie dabei vor? 

Was steht ganz oben auf Ihrer Liste, um Fortschritte zu erzielen? 

Wofür möchten Sie in nur zwei Quartalen bekannt sein? 

Ich möchte dafür bekannt sein, dass ich die langweiligen Dinge gut erledige. 

Ich möchte dafür bekannt sein, das Unternehmen auf ein Niveau zu bringen, auf dem die durchschnittlichen Schwachstellen – die Dinge
, bei denen die meisten Unternehmen scheitern – bei uns kein Thema sind. 

Ich möchte sicherstellen, dass wir durch gute Sicherheitspraktiken und gut durchdachte Maßnahmen in der Lage sind, weit über das erforderliche Maß hinaus
halten, 

, damit wir genügend Zeit und Mittel zur Verfügung haben, um uns um die Dinge zu kümmern, von denen wir noch
nichts wissen. 

Aber wir müssen – wir müssen immer zuerst die einfachen Dinge erledigen. 

Das ist hervorragend. 

Ich danke Ihnen. 

Ja, weißt du, es ist interessant: Sport spielt eine große Rolle in meinem Leben. 

Ich bin ein sehr ehrgeiziger Mensch und spiele immer in der Abwehr. 

Und ich glaube, das spricht mich wirklich an, und wie ich zu diesem
Was mir in diesem Bereich aufgefallen ist, ist, dass – wie du bereits gesagt hast – die eigene Arbeit unsichtbar ist, wenn man sie richtig macht. 

Das merkt doch niemand, oder? 

Ähm, in der Offensive zu sein, fällt sehr auf, aber, ähm, in der Verteidigung muss man einfach nur seinen Job machen
so handeln, wie es erwartet wird. 

Und deshalb, weißt du, denke ich, äh, weißt du, ich stimme hundertprozentig zu, dass es darum geht
geht, sicherzustellen, dass wir über ein angemessenes Maß an Verteidigung verfügen, damit wir, sollte etwas passieren, bereit sind 

darauf vorbereitet sind. 

Wir können schnell reagieren und den Betrieb wieder in Gang bringen. 

Und ich glaube, wissen Sie, genau dort möchte ich sein. 

Vielen Dank, Bill, Chief Security Officer bei Commvault, und Will, 

Stellvertretender Chief Security Officer bei Commvault. 

Wir können uns wirklich glücklich schätzen, dass ihr bei Commvault seid und dass ihr so vielen
Menschen intern und extern dabei hilft, ein tieferes Verständnis dafür zu entwickeln, womit wir alle

im Hinblick auf die Cyber-Resilienz. 

Wenn ihr mehr erfahren möchtet, schaut doch mal bei unserem „Readi verse“ vorbei. 

Dort finden Sie eine Fülle an Informationen, Tipps und bewährten Verfahren für Sicherheitsverantwortliche und Führungskräfte
– als Einstieg, zur Weiterentwicklung und um noch kompetenter zu werden

denn dies ist ein Modell der geteilten Verantwortung, bei dem es darum geht, jedem von uns zu helfen, stärker zu werden
. 

Vielen Dank. 

Sie