Große Hacks erhalten die ganze Aufmerksamkeit. Im letzten Sommer waren es Barack Obama, Joe Biden, Elon Musk und Bill Gates. Die Hacker nutzten die Kontrolle über ihre Twitter-Konten und machten am Ende mehr als 100 000 US-Dollar in einem Betrug aus, indem sie sich als diese öffentlichen Figuren ausgeben und Geld von anderen Twitter-Benutzern erbitten.
Ziehen Sie die Schlagzeilen auf diesem High-Tech-Dieb zurück und es stellt sich heraus, dass es sich um einen sehr alten Schulbezirk handelt. Einer der Hacker hat angeblich Social Engineering verwendet, um einen Mitarbeiter in der IT-Abteilung von Twitter dazu zu bringen, die Anmeldedaten zu übergeben, um auf das Master-Kundendienstportal des Unternehmens zuzugreifen.
Solche Social-Engineering-Angriffe nutzen die menschliche Glühlichkeit. Wie Szenen aus einem Ocean- Film bitten Hacker genug ahnungslose Mitarbeiter um Hilfe, sodass sie sensible Unternehmensinformationen weitergeben müssen. Es ist ein Zahlenspiel. Die Wahrscheinlichkeit besteht darin, dass jemand irgendwann nachkommt.
Das ist zum Teil der Grund, warum fast 55 % der Führungskräfte in einer kürzlich durchgeführten Umfrage sagten, dass sie Mitarbeiter als ihre größte Sicherheitsbedrohung sehen – sogar mehr als Hacker selbst (29 %) und viel mehr als böswillige Insider (20 %). Dies sind keine trivialen Statistiken. Unternehmen wissen, dass Mitarbeiter nachlässig, leicht zu täuschen und gelegentlich feindselig sein können. Es ist ein zunehmend schwieriges Problem, insbesondere in der COVID-19-Ära, und viele – wenn nicht die meisten – Organisationen wissen nicht, wie sie es überwinden können.
Da ein Drittel der Mitarbeiter in den USA immer noch remote arbeitet und Cyberangriffe und Nachforschungen dramatisch nach oben gerichtet sind, sagen Experten, dass die effektivste Möglichkeit, Organisationen zu schützen, darin besteht, Mitarbeiterrisiken zu adressieren, indem sie sie in Cybersicherheitsbemühungen einbeziehen – sie in Kampagner für den Zweck umzuwandeln.
„Das muss der Ausgangspunkt sein“, sagt Lance Spitzner, Direktor und Cybersicherheitstrainer des SANS Institute in Chicago. „Bestimmen Sie, welche menschlichen Verhaltensweisen und Risiken Sie bewältigen müssen, und bestimmen Sie dann, welche priorisiert werden müssen.“
Es wird nicht einfach sein. Es erfordert ein kulturelles Engagement, Veränderungen zu schaffen und Führungskräfte vom Vorstand bis zu den Außendienstbüros anzuregen, ihre Bereitschaft zur Teilnahme zu zeigen. Es erfordert Investitionen in die Tools und Technologien, um die Mitarbeiter zu befähigen, besser zu werden. Und es erfordert eine bestimmte Art von Schulung. Nicht der ständige Trommelschlag von Sicherheitslektüren oder langweiligen forcierten Teilnahmeschulungen. Es erfordert eine gamifizierte Sicherheitsschulung, die die Mitarbeiter engagiert und in den Prozess einbezieht.
„Bestimmen Sie, welche menschlichen Verhaltensweisen und Risiken Sie verwalten müssen, und bestimmen Sie dann, welche priorisiert werden müssen.“Lance Spitzner, Direktor und Cybersicherheitstrainer des SANS Institute
„Sie müssen auch einen Vollzeitmanager einsetzen, um Cybersicherheitsbewusstsein und Schulungen durchzuführen“, sagt Spitzner. „Jemand, der ein guter Kommunikator ist und gerne mit Menschen zusammenarbeitet. Sie brauchen eine Person, die komplizierte Themen für alle zugänglich machen kann.“
Nach der Ausarbeitung eines soliden Plans und der Ernennung einer starken Führungskraft und eines Teams zur Umsetzung empfehlen Experten, sich auf drei Schlüsselbereiche zu konzentrieren: Schaffung einer Cybersicherheitskultur, Förderung von Schulungen und Bewusstsein und Schaffung von Mitarbeiterengagement durch bessere Cybersicherheitserfahrungen.
Erstellen Sie Sicherheits-Champions
Mit einer bestehenden Cybersicherheitskultur tendiert die Eindämmung menschlicher Risiken dazu, natürlicher voranzuschreiten. Tatsächlich werden Sicherheitsbewusstsein und -verhalten schnell zu einem nahtlosen Teil des täglichen Betriebs.
Spitzner sagt, dass eine der wichtigsten, aber am wenigsten geübten Gewohnheiten, die Unternehmen übernehmen müssen, darin besteht, ständig zu schulen und das Bewusstsein zu fördern. Sie sollten versuchen, einen stetigen Schlag der Aktivität zu erreichen, um eine gute Cybersicherheitshygiene zu fördern. Eine Verwechslung kann helfen: Aktivere und erfolgreichere Organisationen durchdringen Bildungsprogramme mit kreativen Kampagnen, sagt er.
Zum Beispiel arbeitet das Sicherheitsschulungsteam bei einem multinationalen Getränkehersteller mit den regionalen Kommunikations-, Marketing- und Vertriebsleitern des Unternehmens zusammen, um Cybersicherheitsberichte anzupassen, die auf lokale Bedürfnisse ausgerichtet sind. Dazu gehören kulturelle Praktiken und Cybersicherheitsvorfälle. Wenn also eine bestimmte Region eine Vielzahl von Phishing-Angriffen hatte, um Mitarbeiter zu täuschen, auf Links zu einem bevorstehenden kulturellen Feiertag zu klicken, könnte das Sicherheitsbewusstseinsteam zusätzliche Zeit mit der Bereitstellung digitaler Kommunikation verbringen, um Mitarbeitern dabei zu helfen, solche Angriffe zu erkennen und zu verhindern.
Darüber hinaus feiert das Getränkeunternehmen in jedem Gebiet „Champions“ (oder Mitarbeitervertreter), um seine fast 30 000 globalen Mitarbeiter zur Teilnahme an Cybersicherheitsprogrammen zu ermutigen. Champions, sagen Sicherheitsexperten wie Spitzner, sind tendenziell eines der kosteneffektiveren Tools im Gürtel eines Unternehmens, und sie haben erhebliche Glaubwürdigkeit bei Kollegen. Dazu gehören Sicherheitsschulungen und Sensibilisierungskampagnen, die auf unterhaltsamen Aktivitäten basieren, wie virtuellen Spielen und Herausforderungen, bei denen Mitarbeiter ein Quiz zu bewährten Cybersicherheitspraktiken absolvieren können, um einen bescheidenen Preis zu gewinnen. Das Getränkeunternehmen stellte fest, dass das Hinzufügen von Preisen für seine eigenen Produkte zu einer exponentiellen Erhöhung der Anzahl der Antworten auf das Spiel führte.
Bei der größten Versicherungsgesellschaft der Schweiz, der Zurich Insurance Group, ist Janet Roberts Global Head des Sicherheitsschulungs- und Sensibilisierungsprogramms des Unternehmens. Ebenso behandelt sie ihre Mitarbeiter mit einer stetigen Ernährung aus Gamification-Übungen, Online-Lernprogrammen, Tipps und kurzen interaktiven Videos. Das war ein Erfolg, weil Roberts Team es nicht übertreibt. Sie stellen Informationen in schnellen, mundgerechten Morels bereit, anstatt Menschen zu zwingen, stundenlange Schulungen zu bestehen.
„Menschen überlagern Informationen; sie nehmen sich nicht immer die Zeit, sie vollständig zu lesen“, sagt Roberts. „Das gilt jetzt noch mehr, weil mehr Menschen aus der Ferne arbeiten und Kinder, Hunde und all diese anderen Ablenkungen haben. Also müssen Sie sich vorstellen, dass Sie 30 Sekunden bis eine Minute Zeit haben, um ein Konzept an sie weiterzugeben. Sie können nicht glauben, dass sie einfach weil sie zu Hause sitzen, alle Arten von Zeit haben. Ihre Informationen müssen für sie schnell und einfach zu konsumieren sein.“
Dann erneut trainieren
Zu viele Organisationen tun das Gegenteil: Sie überfordern Mitarbeiter mit technischen und unerheblichen Informationen. „Einer der häufigsten Fehler, die Sicherheitsexperten machen, ist es, Mitarbeiter mit Informationen zu überfluten“, sagt Spitzner. „Mitarbeiter finden Sicherheit bereits verwirrend, einschüchternd und beängstigend. Irgendwann gibt der Mitarbeiter also einfach auf, entscheidet, dass er nicht interessiert oder hört auf zuzuhören. Die Realität unserer Arbeit ist, dass wir Sicherheit so einfach wie möglich machen müssen.“
Dazu schlägt er fokussierte und verdauliche Informationsausschnitte zu wichtigen und wirkungsvollen Themen vor, anstatt den Ozean zu kochen. Ein Schulungs-Microvideo zum Beispiel, wie man der wachsenden Bedrohung durch Ransomware entgegenwirkt. Oder ein lustiges Quiz über Möglichkeiten, einen fortgeschrittenen Phishing-Versuch zu erkennen.
„Wir patchen jeden Monat Computer. Wir müssen auch Menschen patchen, um ihre Cybersicherheitsinteressen und -gewohnheiten auf dem neuesten Stand zu halten.“Lance Spitzner, Direktor und Cybersicherheitstrainer des SANS Institute
„Das Wichtigste, an das Sie sich erinnern sollten, ist, dass Sie diese Dinge das ganze Jahr über kontinuierlich tun möchten“, sagt er. „Lehren Sie sie nicht einmal und vergessen Sie sie. Wir patchen jeden Monat Computer. Wir müssen auch Menschen patchen, um ihre Cybersicherheitsinteressen und -gewohnheiten auf dem neuesten Stand zu halten.“
Engagement durch Erfahrung
Eine andere Möglichkeit, Mitarbeiter an der Cybersicherheit zu beteiligen, besteht darin, sie zu einer positiven statt negativen Erfahrung zu machen. Frank Dickson, ein Cybersicherheitsanalyst bei IDC, sagt, dass viele Unternehmen immer noch einen autoritären Ansatz für Cybersicherheit verfolgen. Sie legen das Gesetz über Richtlinien und Verfahren fest. Sie betonen, dass Verletzer bestraft oder sogar beendet werden könnten. Das schafft nur eine feindliche Beziehung zu Arbeitern, die heutzutage genug Stress auf ihren Tellern haben.
„Einige Unternehmen hacken einfach Menschen mit einem Stick, wobei sie, wenn sie etwas falsch machen, gezwungen sind, einen zweistündigen Schulungskurs über Ransomware zu absolvieren, oder sie erhalten jeden Tag Spam-Warnungen, die sie daran erinnern, ein solches Verhalten nicht zu wiederholen“, sagt Dickson. „Unternehmen sollten bedenken, dass sie widersprüchliche Beziehungen zu Menschen schaffen, die Mitarbeiter an vorderster Front sein können und einen direkten Einfluss auf den Umsatz haben. Das Ankreuzen ist nicht der richtige Weg.“
Roberts stimmt zu. „Wir schulen und schulen, um das Bewusstsein zu erhöhen, um den Mitarbeitern zu helfen, zu lernen, damit sie sich sicher fühlen, ein Botschafter für das Unternehmen zu sein und Sicherheitsmeister für uns zu sein“, sagt sie. „Wir möchten, dass sie teilnehmen und keine Angst vor dem haben, was wir tun.“
Eine Möglichkeit, die Teilnahme zu fördern, bemerkt Dickson, besteht darin, Mitarbeitern Geräte zur Verfügung zu stellen, die ihnen eine reichhaltige Benutzererfahrung bieten – ob Laptops, Smartphones, Tablets, PCs oder Drucker. Der Versuch, 200 US-Dollar auf einem vom Unternehmen ausgegebenen Laptop zu sparen, der zu klein für den täglichen Gebrauch ist, ermutigt nur Mitarbeiter, ihre persönlichen Geräte zu verwenden, um die Sicherheitsmaßnahmen des Unternehmens zu umgehen.
Eine solche Aufmerksamkeit auf die Benutzererfahrung sollte, so Dickson, kein Nachgedanke sein, wie es bei vielen Unternehmen der Fall ist. Wenn Arbeitgeber möchten, dass Mitarbeiter ihre Arbeit sicher erledigen, sollten Unternehmen sie sicher mit Geräten und Apps aktivieren, die sie auch produktiver machen, sagt er.
Ebenso können Unternehmen Mitarbeitern einen einfachen, sicheren Zugriff auf ihre Unternehmensnetzwerke gewähren. Während Benutzernamen und Passwörter seit Jahren keine effektiven Sicherheitsmechanismen sind, klammern sich Unternehmen immer noch an sie, sodass die Mitarbeiter sie alle 90 Tage aktualisieren müssen. Virtuelle private Netzwerke (VPNs) verwirren und frustrieren die Mitarbeiter in der Zwischenzeit weiter. Sie sind der zweithäufigste Grund (nach dem Abrufen des Passworts), dass Remote-Mitarbeiter IT-Support benötigen, sagt Dickson.
Es gibt bessere Alternativen, die es zu berücksichtigen gilt, um Cybersicherheit weniger aufdringlich zu machen, bemerkt er. Dazu gehören Lösungen für Multifaktor-Authentifizierung, Single Sign-On, passwortlose biometrische Authentifizierung und Endpunktmanagement .
„Wenn Sie Mitarbeiter wirklich einbinden und in Ihre Cybersicherheitsvertreter verwandeln möchten, müssen Sie sicherstellen, dass sie den Nutzen für sie sehen“, sagt Dickson. „Die Art und Weise, wie Sie dies tun, besteht darin, sicherzustellen, dass sie immer eine positive Benutzererfahrung haben, damit sie teilnehmen möchten.“
