Das Berufsbild: Was macht ein Chief Information Security Officer (CISO)?

Der Chief Information Security Officer (CISO) ist der Sicherheitsbeauftragte im Unternehmen und Hauptverantwortlicher für die IT-,  Informations-, und Datensicherheit. Als Teil der Geschäftsleitung  ist das Aufgabenfeld des CISO entsprechend größer als das des IT-Security Officers aus Information Technology, der zumeist nur ein Ressort verantwortet.

Tätigkeiten: Welche Aufgaben hat ein Chief Information Security Officer (CISO)?

Das Aufgabengebiet des  Chief Information Security Officers ist vielseitig und umfasst die gesamte IT-Sicherheit im Unternehmen. Dazu erstellt der CISO eine geeignete Strategie, welche alle Bereiche, von der Infrastruktur, wie Soft- und Hardware, über den Datenschutz bis zu Cyberkriminalität abdeckt.

Dazu gehört auch die Aufklärung der Mitarbeiter und deren Sensibilisierung für das Thema. Gemeint sind keinesfalls nur die Mitarbeiter aus den betroffenen, digitalen Abteilungen, wie Tech & Development, Information Technology, Networks & Infrastructure oder Digital Marketing, sondern auch Kollegen, die auf den ersten Blick nicht im digital Umfeld arbeiten, wie die Logistik, der Vertrieb oder die Buchhaltung. 

Das Risk Management ist ebenso Teil der Arbeit des CISOs, wie auch die IT-Governance. Alle Sicherheitsstrategien müssen auf die Prozesse im Unternehmen angepasst sein und entsprechend flexibel auf Änderungen reagieren können. Zudem müssen auch die verwendeten Tools in das Unternehmen passen und sich dynamisch an die Bedürfnisse des Unternehmens anpassen. 

Des Weiteren verantwortet der CISO das Identity Management, welches dafür sorgt, dass nur berechtigte Personen Zugriff auf die sensiblen Daten haben. Es darf keinesfalls passieren, dass gelöschte Accounts oder ehemalige Mitarbeiter weiter Zugriff auf die Systeme haben. Auch Gäste, die erlaubten Zugang zu dem WLAN des Unternehmens haben, dürfen nicht auf die sensiblen Daten zugreifen können oder die selben Berechtigungen haben wie Mitarbeiter. Auch innerhalb der Mitarbeitenden sind differenzierungen zu treffen. 

Während der IT-Security Officer aus Information Technology eher kleinere Projekte überwacht und dafür eng mit den Mitarbeitern aus Data & Business Intelligence, Tech & Development, Information Technology, Networks & Infrastructure, Digital Media & Performance Marketing, Digital Marketing oder dem e-Commerce zusammenarbeitet, erhält der Chief Information Security Officer in regelmäßigen Präsentationen die wichtigsten Ereignisse zusammengefasst.

Der Director of Business Intelligence, der Head of Development, der IT-Security Officer, der e-Commerce Leiter, der Director of Performance Marketing und der Digital Marketing Leiter berichten dafür regelmäßig an den Chief Information Security Officer und werden von dem CISO zu den gefundene Schwachstellen beraten.

Der CISO beurteilt zudem die genutzten Applikationen, die Prozessabläufe, sowie Lieferanten und erarbeitet neue Konzepte. Eine Zusammenarbeit des CISOs mit Mitarbeitern aus Data & Business Intelligence, wie den SAP Spezialisten, den Entwicklern aus Tech & Developement, wie den Frontend Spezialisten oder den Backend Experten, ist ebenso selten wie die direkte Teamarbeit mit den Netzwerk Entwicklern aus Networks & Infrastructure oder den Shop Entwicklern aus dem e-commerce, wie dem Shopware Engineer oder dem Intershop Entwickler.  

Bei allen anfallenden Tätigkeiten muss der Chief Information Security Officer immer das Budget im Auge behalten und die Ressourcen sorgfältig planen.

Qualifikationsprofil: Wie wird man Chief Information Security Officer (CISO)?

Beim Chief Information Security Officer kommt es vor allem auf die Erfahrung im IT-Umfeld an. Ein Studienabschluss in (Wirtschafts-)Informatik, Telekommunikation, Informationstechnik oder einem vergleichbaren Bereich sind allerdings hilfreich. 

Es gibt Einstiegswege in die CISO Rolle z.B. via einer Zertifizierung als Certified Ethical Hacker (CEH) oder auch als Certified Information Security Manager (CISM) bzw. als Certified Information Systems Security Professional (CISSP).

Wichtig sind darüber hinaus vor allem:

• Führungsqualitäten, Überzeugungskraft und analytische Fähigkeiten
• sehr gute Fähigkeiten im Projektmanagement und fundiertes Wissen in Information Sicherheitstechnik 
• ITIL-Kenntnisse und Erfahrung in der Anwendung von ISO/IEC 27001/27002 (Auch via BitKom als Lehrgang verfügbar)

Für Einige interessant dürfte das Angebot des Bundesverband für IT-Sicherheit „Teletrust“ sein: Dieser bietet eine Fortbildung zum TeleTrusT Information Security Professional (TISP) an. Ebenso vergleichbar wäre das vom TÜV Nord angebotene CISO-Seminar mit anschließendem TÜV-NORD-CERT-Zertifikat als CISO.

Welche Tools & Technologien nutzt ein Chief Information Security Officer (CISO)?

Die Tools & Technologien des Chief Information Security Officers (CISO) sind extrem spezifisch. Oftmals handelt es sich auch um selbstentwickelte Tools & Schnittstellen.

Ein klassisches Standard Toolkit, wie bei vielen anderen Rollen, gibt es hier in diesem Job leider nicht. Paradoxerweise gibt es im Cybersecurity Bereich entsprechend eher zu viele Tools, als zu wenige.

Beliebt sind unter anderem OpenSOC, Risk Management Tools wie SARM [von der EU-Agentur für Netz- und Informationssicherheit (ENISA)], Tools zum Berechtigungsmanagement, Security Operations Tools und auch diverste Tools zum Identitäts- und Zugriffsmanagement (IAM).

Welche Skills hat ein Chief Information Security Officer (CISO)?

Folgende Fähigkeiten besitzen die unserer Erfahrung nach qualifziertesten und erfolgreichsten Bewerber bei adoleo im Spitzenfeld:

Vergütung: Was verdient ein Chief Information Security Officer (CISO)?