Lehren für CISOs von der Front

Kürzlich habe ich einen befreundeten CISO zum Mittagessen getroffen, nennen wir ihn «M». Im Schatten des Krieges gegen die Ukraine und vor dem Hintergrund der militärischen Erfahrungen M’s sprachen wir über die Analogien zwischen Cybersicherheit und militärischem Denken. Schliesslich geht es in beiden Fällen um die Kontrolle von Risiken, das Erreichen von Zielen und die Verwaltung von Ressourcen in einer feindlichen Umgebung.

Die Aufgabe einer Führungskraft besteht ganz offensichtlich darin, zu führen. Es gibt jedoch viele Möglichkeiten, dies zu tun – einige sind weniger stressig als andere.

Im Krieg gegen die Ukraine hat die russische Armee mehrerer Generäle verloren. Sie hatten sich in aktive Kampfgebiete begeben, um ein besseres Bild der Lage zu erhalten, Aktivitäten zu lenken und die Moral zu heben. Keines dieser Ziele haben sie erreicht.

Man könnte sich fragen, warum sie sich in die Schusslinie begeben mussten. Die Antwort offenbart ein tieferes Problem. Die Kultur der russischen Streitkräfte besteht darin, auf detaillierte Befehle zu warten. Dies unterscheidet sie deutlich von vielen anderen Streitkräften, denen sowohl Ziele vorgegeben werden als auch die Erlaubnis, sich an die Umstände vor Ort anzupassen. Das Fehlen dieser lokalen Befugnisse und entsprechenden Vertrauens erforderte die Anwesenheit der russischen Führung an der Front.

Wenn wir das Thema aus der Perspektive der Cybersicherheit betrachten, sollten wir uns fragen, ob es möglich ist, dass sich die CISOs in ähnlicher Weise in eine gefährliche Lage begeben. Auch bei CISOs können Stress und Überforderung die Fähigkeit zu strategischem Denken und Handeln beeinträchtigen. Dies ist oft darauf zurückzuführen, dass sie in die operativen Aspekte ihrer Rolle eingebunden sind und sich mit der Reaktion auf Vorfälle, der Beaufsichtigung von Problemlösungen und den Kleinigkeiten vieler sicherheitsrelevanter Entscheidungen beschäftigen.

Könnten CISOs ihre Lebensqualität verbessern, wenn sie sich von der Cyberfront distanzieren und ihren Mitarbeitern die Freiheit geben würden, innerhalb bestimmter Grenzen unabhängig zu operieren? Dazu müssten Erwartungshaltungen und Vorgehensweisen sowohl «nach oben» als auch «nach unten» geändert werden.

Nach oben muss zum Beispiel der Druck gemindert werden, der von CIOs/COOs/CEOs ausgeht, die ständig über alles Mögliche informiert werden wollen, indem man einen praktikablen Zeitplan aufstellt, an dem sich die Mitarbeiter orientieren können.

Nach unten müssen Parameter für unabhängiges Handeln und Eskalationsprozesse festlegt werden. Zudem müssen Beziehungen zwischen Management und operativen Mitarbeitern etabliert werden, die letzteren die nötige Rückendeckung bei Interaktionen mit den Abteilungen im Unternehmen geben.

Diese Ziele sind nicht einfach zu erreichen, aber ohne sie wird ein CISO ständig in lokale Feuergefechte hineingezogen. Das erhöht den Stress und untergräbt seinen Status im Management, indem es die Wahrnehmung des CISOs als Macher und nicht als Führungskraft fördert.

M hatte auch zum Ressourcenmanagement Aufschlussreiches zu berichten. Aus militärischer Sicht, so M, sei es immer wichtig, eine Reservetruppe zu haben, um flexibel zu sein. Die Reserve kann feindliche Durchbrüche verhindern, Löcher in der Linie stopfen oder Erfolge konsolidieren. Ihr Fehlen bringt den Kommandeur in eine schwierige Lage.  

Wenn etwas wider Erwarten passiert (was, wie wir alle wissen, so ziemlich immer der Fall ist), muss die Führungskraft Ressourcen umverteilen. Dies kann sich in mehrfacher Hinsicht negativ auswirken: Die Umsetzung geplanter Aktivitäten wird beeinträchtigt, die Umverteilung erfordert Zeit, bestehende Initiativen werden geschwächt und die neu zugewiesenen Mitarbeiter werden unter Stress gesetzt, da sie von ihren Spezialgebieten abgezogen werden, um einen unmittelbaren Bedarf zu decken.

Auch hier sind die Parallelen zur Cybersicherheit offenbar. Wie viele von uns setzen tagtäglich all ihre Ressourcen ein, sowohl persönlich als auch organisatorisch, und halten nichts zurück, um sich auf Veränderungen einstellen zu können, mit unerwarteten Zwischenfällen umzugehen oder strategisch zu denken? Mir ist das Szenario sicher vertraut. Meine ganze Energie und Zeit floss in die unmittelbaren Anforderungen der Aufgabe, sodass die Wochenenden meine einzige Insel der Ruhe waren. Ich erkannte nicht, wie wichtig die Reserve war, weder für mein Team noch für mich selbst.

Mein Gespräch mit M hat mich zum Nachdenken angeregt, und er hat mir verschiedene Ratschläge mit auf den Weg gegeben, die es wert sind, wiederholt zu werden, so offensichtlich sie auch sein mögen. Wenn wir eine lange Karriere als Sicherheitsverantwortliche anstreben, müssen wir den Stress, der mit dieser Rolle verbunden ist, in den Griff bekommen. Nehmen Sie die Selbstfürsorge deshalb ernst: