Um den sich ständig weiterentwickelnden Bedrohungen im Bereich der Cybersicherheit von heute zu begegnen, konzentrieren sich viele Führungskräfte in Unternehmen auf die Technologie und fügen in den voneinander abgeschotteten Unternehmensbereichen ein Tool nach dem anderen und einen Ansatz nach dem anderen hinzu.
So haben beispielsweise Stromversorger, die insgesamt 56 Millionen Kunden versorgen, entweder Maßnahmen zur besseren Erkennung von Cyberangriffen eingeführt oder sich dazu verpflichtet, dies zu tun. Tatsächlich planen laut der Enterprise Strategy Group (ESG) 60 % der befragten leitenden IT- und Geschäftsführungskräfte eine Erhöhung der IT-Ausgaben, wobei die Sicherheit für sie oberste Priorität hat.
Eine entschlossene Reaktion ist ein guter Anfang. Technische Hilfsmittel allein reichen jedoch nicht aus, um Sicherheitsverletzungen zu verhindern. Die heutigen versierten Hacker sind dafür zu schlau.
Nach einem schwerwiegenden Sicherheitsvorfall fehlt es bei Initiativen der Bundesregierung und den von Panik geprägten Strategien von Unternehmensvorständen häufig an Bemühungen, zwei der wirksamsten Waffen im Arsenal eines Unternehmens zu stärken: seine Mitarbeiter an vorderster Front und seine Prozesse.
Um die Cyberabwehr zu stärken, reicht es nicht aus, den Mitarbeitern lediglich zu zeigen, wie sie einen Plan zur Reaktion auf Sicherheitsvorfälle erstellen, oder sie davor zu warnen, auf Phishing-E-Mails mit der Betreffzeile „ “ () zu antworten. Dies sind die „niedrig hängenden Früchte“ unter den zahlreichen Maßnahmen, die Führungskräfte ergreifen sollten.
Um die richtigen Mitarbeiter und Prozesse zu finden, muss man sich eingehend mit den Hindernissen auseinandersetzen, die die Effektivität der Sicherheitsexperten beeinträchtigen, auf die sich Unternehmen für ihren Schutz verlassen. Wenn jemand ständig mit Sicherheitswarnungen überhäuft wird, nicht über die erforderlichen Fähigkeiten verfügt oder durch organisatorische Trägheit daran gehindert wird, das Notwendige zu tun, hat ein Unternehmen keine Chance, sich zu verteidigen.
Um die ersten beiden Elemente des dreiteiligen Konzepts „Mitarbeiter, Prozesse und Technologie“ zu stabilisieren, sollten sich Unternehmen auf Maßnahmen in den folgenden drei Bereichen konzentrieren.
Arbeiten Sie clever
Nach mehr als einem Jahr heldenhafter Bemühungen, ihre Unternehmen nach dem größten Experiment in der Geschichte im Bereich der Telearbeit zu schützen, erreichen Sicherheitsexperten ein Rekordniveau an Burnout. „Die menschlichen Verluste des vergangenen Jahres waren enorm“, erklärte Martin Fisher, Leiter der Informationssicherheit und Chief Information Security Officer am Northside Hospital in Atlanta, kürzlich gegenüber dem „ “ Endpoint. „Wir sind nervös. Jeder Alarm führt zu einer Untersuchung im Rahmen der Reaktion auf kleinere Vorfälle. „Ein solcher Aufwand ist anstrengend.“
Eine Umfrage von „ “ ( ) kam zu dem Ergebnis, dass ein durchschnittliches Unternehmen täglich mehr als 10 000 Sicherheitswarnungen erhält, wobei fast 30 % der Unternehmen angaben, mehr als 1 Million Warnungen zu verzeichnen. Im Vergleich zum durchschnittlichen amerikanischen Arbeitnehmer geben Fachkräfte im Sicherheitsbereich mehr als doppelt so häufig an, dass ihre Work-Life-Balance schlecht ist, und mehr als dreimal so häufig, dass sie ihren Urlaub nicht vollständig in Anspruch nehmen.
[Lesen Sie auch: Die Zukunft der Arbeit gestalten]
Ein agiler Arbeitsablauf namens „ “ (Kanban), der im Jahr 1963 in allen Toyota-Werken eingeführt wurde, kann Sicherheitsfachkräften dabei helfen, Aufgaben zu priorisieren, wenn sich die Lage von Minute zu Minute ändert. Das Prinzip besteht darin, den Arbeitsablauf eines Teams zu visualisieren, sodass jeder sowohl die Prioritäten des Teams als auch die aktuellen Aufgaben der anderen Teammitglieder erkennen kann.
Zusammenarbeiten
In vielen Unternehmen glauben Programmierer allzu oft, dass ihre Brillanz ausreicht. Sie programmieren Produkte einfach so lange, bis sie funktionieren, und der Rest ist dann das „Problem eines Sicherheitsexperten“. Im Gegensatz dazu zielt ein sich entwickelnder Ansatz namens „ “ (DevSecOps; ) darauf ab, Brücken zwischen diesen und anderen rivalisierenden Bereichen zu schlagen, um Schwachstellen frühzeitig zu erkennen, indem Mitglieder und Prozesse des Sicherheitsteams in den Lebenszyklus der Softwareentwicklung integriert werden.
„Die menschlichen Belastungen des letzten Jahres waren enorm – die Menschen sind am Ende ihrer Kräfte.“Martin Fisher, Leiter der Abteilung für Informationssicherheit und Chief Information Security Officer am Northside Hospital
Eine Möglichkeit, diese interne Kluft zu überbrücken, besteht darin, die Sicherheit stärker in den IT-Entwicklungsprozess zu integrieren. Laut einer Studie von EY beziehen heute fast zwei Drittel der Unternehmen ihre Sicherheitsteams nicht bereits in frühen Phasen von IT-Projekten mit ein. Eine weitere Möglichkeit, diese Lücke zu schließen, besteht darin, den Ansatz „Shift-Left-“ bei der Softwaretestung anzuwenden – dabei werden Sicherheitstests bereits in einer viel früheren Phase des Entwicklungszyklus priorisiert, anstatt sie erst nachträglich anzuhängen. Dieser Ansatz fördert, wenn nicht sogar erfordert, eine engere Zusammenarbeit zwischen Sicherheitsteams und Entwicklern.
Die Nachwuchspipeline im IT-Bereich stärken
Laut dem Bureau of Labor Statistics wird die Beschäftigung von Analysten und Ingenieuren für Informationssicherheit in den USA von 2019 auf 2029 um 31 % wachsen. Die Cybersecurity-Gruppe des Aspen Institute schätzt jedoch, dass allein in den USA in diesem Jahr 500 000 Stellen im Bereich Cybersicherheit unbesetzt bleiben werden. Einem kalifornischen Bericht zufolge würde es selbst dann nicht ausreichen, alle verfügbaren Stellen im Bundesstaat zu besetzen, wenn jeder Studierende eines IT-orientierten Hochschulstudiengangs in den Bereich Cybersicherheit einsteigen würde.
Um den Fachkräftemangel zu beheben, müssen Unternehmen über die Absolventen von vierjährigen Ingenieur- und Informatikstudiengängen hinausblicken. Führungskräfte aus den Bereichen Cybersicherheit und IT fordern Arbeitgeber dazu auf, „ “„New-Collar-“ zu fördern – also Arbeitnehmer, die zwar möglicherweise keinen kostspieligen vierjährigen Hochschulabschluss besitzen, aber über die grundlegenden Fähigkeiten und die natürliche Begabung für die heute gefragten technologieorientierten Berufe verfügen. So hat Mastercard beispielsweise die „Cybersecurity Talent Initiative“ mit ins Leben gerufen, eine öffentlich-private Partnerschaft, die Teilnehmer – von denen die meisten Frauen, Angehörige von Minderheiten oder Personen sind, die sich für einen Berufswechsel entschieden haben – in Einstiegspositionen im Bereich Cybersicherheit vermittelt. Nach zwei Jahren können sie sich auf Stellen bei einem der Unternehmenspartner des Programms bewerben und erhalten eine Unterstützung in Höhe von 75 000 Dollar zur Tilgung ihres Studiendarlehens.
Tanium betreibt zwei Programme zur Karriereförderung, die Talente und Vielfalt am Arbeitsplatz fördern. Jedes Jahr richtet das Unternehmen eine Kohorte der Society of Women Engineers (SWE) aus, einer gemeinnützigen Bildungs- und Dienstleistungsorganisation der UC Berkeley. Das Programm, das vom Hauptsitz von Tanium aus durchgeführt wird, bietet Studierenden die Möglichkeit, Tanium-Ingenieuren über die Schulter zu schauen, Coaching am Arbeitsplatz zu erhalten und an simulierten Programmier-Vorstellungsgesprächen teilzunehmen. Neben den praktischen Erfahrungen und Kontakten, die das Programm den Studierenden bietet, verschafft es Tanium neue und vielfältige Perspektiven – ganz zu schweigen von der Begeisterung – in Bezug auf die Technologiebranche.
In Zusammenarbeit mit dem Verteidigungsministerium führt Tanium das „ “ SkillBridge-Praktikumsprogramm durch, das Angehörigen der US-Streitkräfte in den letzten Monaten ihres aktiven Dienstes Berufserfahrung vermittelt. Die neuen Mitarbeiter absolvieren ihre Schulung auf der Tanium-Plattform und arbeiten mit den Teams und Kunden von Tanium zusammen, wobei sie kreative, unkonventionelle Problemlösungsansätze in der Praxis erleben. Jeder Dienstgrad, ob Mannschaften oder Offiziere, kann teilnehmen.
In den Bereichen Diversität, öffentlich-private Partnerschaften und die Einstellung von „New-Collar“-Fachkräften finden derzeit Veränderungen statt. Auf diese Weise werden Unternehmen ihre Abwehrmaßnahmen auf weitaus effektivere Weise verbessern, als es ein technisches Hilfsmittel allein leisten kann.
