Wie Sie Ihre Cybersicherheit mit einem geringeren Budget verbessern können

Die meisten CISOs werden irgendwann in ihrer Amtszeit mit einer Phase konfrontiert, in der sie aufgefordert werden, weniger Geld auszugeben - oder zumindest nicht mehr Geld auszugeben. Dies kann mit einer bestimmten Situation im Unternehmen zusammenhängen, z. B. mit einem Umsatzrückgang, einem Managementwechsel oder der Notwendigkeit, Investitionen auf andere Prioritäten zu verlagern.

Aber es gibt auch Zeiten, in denen die Kürzungen der Budgets für Cybersicherheit universell sind und jeder CISO davon betroffen ist. Wir befinden uns derzeit in einer solchen Phase, da die wirtschaftliche Unsicherheit in Form von anhaltender Inflation, anhaltenden Unterbrechungen der Versorgungskette, die durch Trickle-Down-Inflation oder Inflationssorgen verursacht werden können, und echten Sorgen über eine bevorstehende Rezession besteht.

Fast drei Viertel der CISOs, die an einer kürzlich durchgeführten Umfrage teilgenommen haben, gaben an, dass die sich verschlechternden wirtschaftlichen Aussichten Auswirkungen auf die Art und Weise haben, wie ihre Unternehmen die Cybersicherheit angehen.[1] Dieselbe Umfrage ergab, dass sich der Anteil der CIOs und CISOs, die sagen, dass Cybersicherheitsthemen für ihre Unternehmen wichtig sind, in den letzten zwei Jahren verdoppelt hat. 

Für CISOs besteht offensichtlich ein Spannungsverhältnis zwischen der wachsenden strategischen Bedeutung der Cybersicherheit und ihren eigenen, möglicherweise statischen oder sinkenden Budgets sowie der Gesamtstrategie des Unternehmens. Ein Dilemma, das von den CISOs verlangt, ihren Einfallsreichtum und ihre Genialität aufzubieten und ihre bestehenden und zukünftigen Investitionen zu optimieren, um mit weniger mehr zu erreichen. Kluge Sicherheitsverantwortliche setzen sich mit dem Thema auseinander, um sicherzustellen, dass sie nicht nur ihre Cybersicherheitsmaßnahmen aufrechterhalten, sondern auch das Vertrauen, das sie bei ihren Vorständen und Aufsichtsräten aufgebaut haben. Wie ein Mimecast-Kunde, der CISO einer bekannten Schuhmarke, kürzlich erklärte, ist es jetzt an der Zeit, dass die Sicherheitsverantwortlichen Ideen zur Kosteneffizienz entwickeln, ohne die Sicherheit zu opfern.

Der erste Imperativ: Offen sein für das, was passiert

Kommunikation ist für CISOs in Zeiten der Ungewissheit und knapper werdender Ausgaben für Cybersicherheit unerlässlich. Sie möchten, dass Ihre unmittelbaren Ansprechpartner so schnell wie möglich verstehen, was vor sich geht.

Wenn zuvor geplante Investitionen, wie z. B. die Aufstockung des Personals oder eine technologische Aufrüstung, verschoben werden müssen, kann dies die Arbeitsmoral beeinträchtigen. Die Erläuterung der Gründe für diese Verzögerungen stärkt das Vertrauen. Darüber hinaus hat Ihr Team vielleicht wertvolle Ideen zur Kostenoptimierung.

5 zu beachtende Schritte

Es gibt eine ganze Reihe von Möglichkeiten, mehr aus einem Budget für Cybersicherheit herauszuholen. Hier sind fünf Schritte, die jeder Sicherheitsverantwortliche in Betracht ziehen kann:

• Feinabstimmung Ihrer Cybersecurity-Prioritäten: Jeder CISO geht in eine neue Budgetperiode mit einer klaren Cybersicherheitsagenda, die oft in Zusammenarbeit mit dem CIO, dem CFO und dem Vorstand ausgearbeitet wird. Ein guter Leitgedanke für die Planung der Cybersicherheit im Abwärtszyklus ist die Konzentration auf die Verringerung des Risikos für die wichtigsten Geschäftsergebnisse. Die Dinge, die auf Ihrer Liste stehen, sollten alle ein großes finanzielles oder operatives Risiko abschrecken. Wenn auf Ihrer Liste Dinge stehen, die aus heutiger Sicht wie Luxusgüter aussehen oder nicht mehr relevant sind, streichen Sie sie. Diese Übung wird Ihnen die Grundlage für spätere taktische Entscheidungen liefern.
• Bestehende Technologie-Investitionen optimal nutzen: Viele Unternehmen nutzen ihre Cybersicherheits-Tools nicht voll aus. In einer unsicheren Wirtschaft ist es sinnvoll, die vorhandenen Investitionen zu maximieren. Es gibt Fälle, in denen ein Cybersicherheits-Tool zwei ersetzen oder Cybersicherheitspersonal freisetzen könnte, um andere Aufgaben zu übernehmen. Darüber hinaus kann die Integration von Lösungen tatsächlich zu besseren Ergebnissen führen, einschließlich höherer Produktivität und geringerer MTTD und MMTR. Nutzen Sie die Beratungs- und Schulungsangebote der Anbieter, um Ihre bereits vorhandenen Fähigkeiten besser zu verstehen und zu nutzen. Darüber hinaus kann die Integration von Tools nicht nur zu Kosteneinsparungen führen, sondern auch zu besseren Bedrohungsdaten und bidirektionalen Feeds und Maßnahmen. Mimecast zum Beispiel unterhält eine große Anzahl von Lehrvideos , die Kunden nutzen können, um den Wert ihrer Produkte zu maximieren.
• Umstrukturierung und Konsolidierung der Lieferantenbeziehungen: Mehrere Lieferanten zu haben, ist nicht unbedingt eine schlechte Praxis. Tatsächlich kann keine Lösung eines einzelnen Anbieters alle Anforderungen eines Unternehmens an die Cybersicherheit erfüllen. Aber die Verwaltung von Dutzenden von Einzellösungen kann die Mitarbeiter im Bereich Cybersicherheit überfordern und es kann zu unnötigen Überschneidungen kommen. Sicherheitsverantwortliche sollten nach Möglichkeiten suchen, das richtige Gleichgewicht zwischen Konsolidierung und Neuverhandlung der Lösungskosten zu finden ̶ der Sweet Spot der Konsolidierung. Diejenigen, die eine längerfristige Perspektive verfolgen, sollten eine Cybersecurity-Integrationsstrategiein Erwägung ziehen und nach Cybersecurity-Tools suchen, die sich problemlos in bereits vorhandene oder künftig zu erwerbende Produkte integrieren lassen. 
• Überdenken Sie Ihr Cyber-Sourcing: Möglicherweise gibt es einige Aspekte Ihrer Cybersicherheitsarbeit, die derzeit von Dritten erledigt werden und die Sie selbst besser oder kostengünstiger erledigen könnten. Es kann aber auch Aufgaben oder Funktionen geben, die ein Managed Service Provider besser erledigen kann - entweder mit höherer Qualität, niedrigeren Kosten oder beidem. Wenn Unternehmen erkennen, dass sie ihr Unternehmen verkleinern und/oder eine bessere Cybersecurity-Expertise einsetzen müssen, neigen sie im Allgemeinen dazu, sich an einen MSP oder MSSP zu wenden.
• Beziehen Sie Ihr gesamtes Unternehmen in die Bemühungen ein: Es mag verlockend sein, die Cyber-Awareness-Schulungenzu kürzen. Angesichts der Tatsache, dass die meisten Cyberangriffe von allzu vertrauensseligen Endnutzern ausgehen, wäre dies jedoch ein Fehler. Es ist wichtiger denn je, Ihre Endbenutzer mit einer Art von Sensibilisierungsschulung zu stärken. Aber die Chancen stehen gut, dass Sie es besser machen könnten - und das ohne nennenswerte Kostensteigerungen. Ein wirksames Programm sollte Verhaltensweisen ändern. Es gibt viele wichtige Leistungsindikatoren (KPIs), die Unternehmen implementieren können, um sicherzustellen, dass ihre Schulungsprogramme zur Cybersicherheit die richtigen Mitarbeiter erreichen und die beabsichtigte Wirkung haben - viele davon können im Schulungs-Dashboard ihres Anbieters enthalten sein. Sicherheitsverantwortliche, die mehr Geld für ihre Schulungen ausgeben möchten, sollten diese KPIs verfolgen. Es gibt auch einige kostengünstige Möglichkeiten, Ihr formelles Schulungsprogramm zu ergänzen, z. B. Schilder an den Bürowänden oder Aufkleber, die die Mitarbeiter auf ihren Laptops anbringen können.

Die Quintessenz

Nach Jahren mit zweistelligen Budgetzuwächsen suchen umsichtige Sicherheitsverantwortliche nach Möglichkeiten, ihre Ausgaben zu reduzieren oder beizubehalten und gleichzeitig eine starke Cybersicherheitsstruktur für ihre Unternehmen zu erhalten. Es gibt viele Möglichkeiten, den Gürtel enger zu schnallen, z. B. durch eine Neubewertung der Risikopositionen und Prioritäten, durch Konsolidierung und Neuverhandlungen mit Anbietern und durch die Maximierung bestehender Investitionen. Eine wirksame Integration der Cybersicherheit ist eine weitere Möglichkeit, den Schutz zu erweitern und gleichzeitig die Budgets einzuhalten. Lesen Sie mehr über Mimecasts Ökosystem von Partnern und APIs.

[1] "CISO and CIO Investment Priorities for Cybersecurity in 2023 - White Paper," Osterman Research