Inmitten der weit verbreiteten Entlassungen in der Technologiebranche, die wir im vergangenen Jahr beobachtet haben, gibt es zumindest einen Hoffnungsschimmer: Die Teams im Bereich Cybersicherheit sind nicht so stark betroffen, wie ursprünglich angenommen.
Eine aktuelle weltweite Studie mit dem Titel „ “ der gemeinnützigen Organisation (ISC)² ergab, dass zwar die Hälfte der 1 000 befragten Führungskräfte der obersten Ebene sehr wahrscheinlich in diesem Jahr Entlassungen genehmigen wird, jedoch nur 10 % davon ausgehen, dass Personal im Bereich Cybersicherheit abgebaut wird. Dies deckt sich mit weiteren positiven Anzeichen für Sicherheitsteams: Die Gesamtzahl der Beschäftigten im Bereich Cybersicherheit blieb im Jahr 2022 laut den im Januar veröffentlichten Daten des „ “ gegenüber früheren Schätzungen relativ unverändert, und im öffentlichen Sektor, beispielsweise bei der National Security Agency (NSA), die eine „beispiellose“ Einstellungsinitiative gestartet hat, um Stellen im Bereich Cybersicherheit im Jahr 2023 zu besetzen, , nimmt die Zahl der Neueinstellungen zu.
Dies deutet darauf hin, dass Führungskräfte sowohl im privaten als auch im öffentlichen Sektor wissen, dass sie ihre Belegschaft im Bereich Cybersicherheit angesichts der zunehmenden Bedrohungen durch „ “, Ransomware, , „Business Email Compromise“ sowie anderer anhaltender Bedrohungen nicht zu stark reduzieren dürfen. Entlassungen werden jedoch zweifellos die Bedrohungslage im Bereich „ “ verändern, weshalb es für Führungskräfte in Unternehmen umso wichtiger ist, ihre Cybersicherheitsstrategien regelmäßig zu aktualisieren.
So könnten Unternehmen und Nutzer beispielsweise eine Zunahme von Phishing-Versuchen vom Typ „ “ verzeichnen, bei denen versucht wird, Mitarbeiter dazu zu verleiten, auf gefährliche Links zu klicken. Neben gefälschten Umfragen, Auszeichnungen und Bitten um Hilfe für in Not geratene nigerianische Prinzen könnten entlassene Arbeitnehmer nun auch Phishing-Betrugsversuche erhalten, deren Links „Aktualisierungen“ zu ihren betrieblichen Sozialleistungen versprechen.
Unternehmen können zudem darunter leiden, dass „zurückgelassene“ Mitarbeiter niedergeschlagen sind, sich Sorgen machen, ob sie als Nächste eine Kündigung erhalten, und dadurch an Produktivität einbüßen, sagt Max Solonski, CISO bei Hexview, einer Beratungsfirma für Führungskräfte.
„Wenn Unternehmen eine Reihe von Mitarbeitern entlassen, ist die Arbeitsmoral der verbleibenden Mitarbeiter oft nicht besonders hoch“, sagt er. „In manchen Fällen ist ihr Interesse möglicherweise nicht groß genug, um auf Probleme zu reagieren, was das Gesamtrisiko erhöht.“
Schlimmer noch: Eine negative Einstellung unter den Mitarbeitern erhöht das Insiderrisiko eines Unternehmens und erfordert damit eine weitere Neuausrichtung der Sicherheitsmaßnahmen. Entlassungen haben stets ihren Preis, auch wenn sie die Sicherheitsteams nicht unmittelbar betreffen.
Das „schmutzige kleine Geheimnis“ der Entlassungen in der IT-Branche
Um es klar zu sagen: Die Chief Information Security Officers von „ “ und ihre Teams haben Entlassungen nicht vollständig vermeiden können, und einige streichen sogar ganze Sicherheitsteams. So hat beispielsweise Patreon, eine Mitgliederplattform für Kreative, die seit 2015, nicht mehr gehackt worden war, im vergangenen September ihr fünfköpfiges Cybersicherheitsteam entlassen.
“Wenn Sie zwei Jahre lang auf Sicherheitsmaßnahmen verzichten, sparen Sie in der Tat 20 Millionen Dollar. Sie gehen jedoch ein extrem hohes Risiko ein, weitaus mehr als das zu verlieren.”Richard Stiennon, leitender Forschungsanalyst bei IT-Harvest
„Ich versichere Ihnen, dass es große Unternehmen gibt, die im Zuge von Personalabbau ihre CISOs und IT-Sicherheitsmitarbeiter entlassen haben“, sagt Steve Zalewski, ehemaliger CISO bei Levi Strauss und Gründer von S3 Consulting. „Darauf weisen sie nicht hin. „Das ist ihr kleines schmutziges Geheimnis.“
Der Reiz, kurzfristig etwas Geld zu sparen, ist verständlich, doch ein solcher Ansatz sei „kurzsichtig“, meint Richard Stiennon, Chefanalyst bei IT-Harvest.
„Um ein hohes Maß an Sicherheit zu gewährleisten, fallen jährlich Kosten in Höhe von etwa 10 Millionen Dollar an“, sagt Stiennon. „Wenn Sie zwei Jahre lang auf Sicherheitsmaßnahmen verzichten, sparen Sie in der Tat 20 Millionen Dollar.“ „Sie gehen jedoch ein extrem hohes Risiko ein, weitaus mehr als das zu verlieren.“
Tatsächlich könnten Unternehmen feststellen, dass sie sich mit einer geringeren Anzahl an Sicherheitsexperten in ihren Reihen weniger gut gegen die Art von immer raffinierteren Angriffen verteidigen können, mit denen sie in den nächsten Jahren voraussichtlich konfrontiert werden.
„Angesichts knapperer Ressourcen sind Unternehmen möglicherweise nicht in der Lage, mit den neuesten Sicherheitsupdates und Patches Schritt zu halten, was das Risiko erhöht, dass Sicherheitslücken ausgenutzt werden“, sagt George Lamont, Chief Information Officer und Gründer von IronNet Cybersecurity. „Softwareentwicklerteams neigen häufig dazu, Sicherheitskorrekturen und Patches für das „ “ in den Backlog zu verschieben, was ein zusätzliches Risiko für Systeme und Produkte darstellt, bis diese Probleme behoben werden können.“
Mit den Folgen umgehen
Experten warnen, dass Unternehmen alles in ihrer Macht Stehende tun müssen, um ihre Sicherheitslage aufrechtzuerhalten, insbesondere im Zuge von Entlassungen, die ein Unternehmen sowohl intern als auch extern grundlegend verändern werden. Um sich auf diese Veränderungen vorzubereiten, finden Sie hier 5 proaktive Maßnahmen, die Führungskräfte in Unternehmen und im Sicherheitsbereich ergreifen können.
Sorgen Sie dafür, dass alle auf dem gleichen Stand sind
Lamont erklärt, dass es in Zeiten von Personalengpässen umso wichtiger ist, sicherzustellen, dass alle, die noch für das Unternehmen tätig sind – von der IT über den operativen Bereich bis hin zu Personalwesen, Rechtsabteilung, Marketing, Kundendienst und Support – aufeinander abgestimmt und im Falle eines Cyberangriffs einsatzbereit sind. Das bedeutet, dass Sie Ihre Handbücher zur Reaktion auf Vorfälle unter oder überarbeiten und aktualisieren oder diese Pläne unter erstellen sollten, falls Sie noch keine haben. Er empfiehlt zudem die Durchführung gemeinsamer Rollenspiele, wie beispielsweise Kriegsspiele.
„“Eine negative Einstellung unter den nach einem Personalabbau verbleibenden Mitarbeitern erhöht das Insiderrisiko und erfordert eine erneute Neuausrichtung der Sicherheitsmaßnahmen.“
„Es kommt so oft vor, dass man bei einer Tabletop-Übung zur Cybersicherheit (TTX) feststellt, dass sich die Namen und die Meldewege der Schlüsselpersonen geändert haben“, sagt Lamont. „So etwas möchte man bei einer Veranstaltung in der realen Welt nicht erleben.“
Automate
Sollten weniger Mitarbeiter für Sicherheitsangelegenheiten zur Verfügung stehen, wird die Automatisierung wesentlicher Aufgaben keine Option mehr sein, sondern eine Notwendigkeit. Die Sicherheitsautomatisierung, die einst als „heiliger Gral“ galt und nicht sonderlich beliebt war, erlebt derzeit eine Renaissance.
[Read also: A security automation playbook for 2023]
Tools zur Automatisierung der Sicherheit können dazu beitragen, unmittelbare Risiken zu verringern und die Belastung für ausgebrannte Mitarbeiter sowie chronisch unterbesetzte IT-Teams zu verringern. Konvergente Endpunktmanagementsysteme ermöglichen beispielsweise eine durchgängige Automatisierung durch den Zugriff auf Echtzeitdaten. Die Zentralisierung und Automatisierung des Identitätsmanagements, das häufig in einzelnen Geschäftsbereichen isoliert erfolgt, kann dazu beitragen, sicherzustellen, dass Benutzer und Geräte nur Zugriff auf jene Ressourcen und Daten haben, zu denen sie berechtigt sind.
Konsolidieren
Angesichts knapper Haushaltsmittel müssen Führungskräfte überflüssige und unnötige Tools abschaffen. Allzu oft glauben Unternehmen, die Lösung für ein Problem, das ihre bestehenden Tools nicht bewältigen können, bestehe darin, einfach noch mehr Tools hinzuzufügen.
Leider führt dies zu einer übermäßigen Vielzahl an Tools, wobei eine überwältigende Anzahl von Einzellösungen zusätzliche Kosten, Komplexität und Cyberrisiken mit sich bringt. Eine einzige, genehmigte Plattform für die Abwicklung mehrerer Funktionen sei die effizientere und praktikablere Lösung, so einige Experten.
Einstellen, einstellen, einstellen
Für ein Unternehmen, das Mitarbeiter entlassen hat, mag dies vielleicht widersprüchlich erscheinen, doch derzeit gibt es wahrscheinlich mehr Fachkräfte im Bereich Sicherheit auf der Suche nach einer Anstellung als seit Jahren. Und wenn man bedenkt, dass laut einer weiteren Studie von (ISC)² mehr als 3,4 Millionen Stellen im Bereich Cybersicherheit unbesetzt bleiben, bedeutet dies eine enorme Chance. So wie Immobilieninvestoren in schwachen Märkten Schnäppchen finden, können versierte Arbeitgeber in dieser turbulenten Wirtschaftslage einige verborgene Talente für sich gewinnen.
Dies ist ein besonders umsichtiger Schritt für Sicherheitsverantwortliche im öffentlichen Sektor. Nach Angaben des Office of Personnel Management plant die Bundesregierung, in diesem Jahr mehr als 22 000 Stellen im Technologiebereich zu besetzen, darunter bei der NSA und der Cybersecurity and Infrastructure Security Agency (CISA), die im vergangenen Jahr Hunderte neuer Mitarbeiter eingestellt hat und im Jahr 2023 noch mehr einstellen will .
Zahlreiche staatliche und kommunale Behörden stocken zudem ihre Personalausstattung für neue, landesweite Cybersicherheitsprogramme auf und nutzen dabei die 1 Milliarde US-Dollar an Cybersicherheitsmitteln, die im Infrastrukturgesetz von Präsident Biden vorgesehen sind.
Ziehen Sie den Support durch Drittanbieter in Betracht
Häufig – wie es möglicherweise auch bei Patreon der Fall war – stellen Unternehmen, die Personal abgebaut haben, fest, dass ihnen das interne Fachwissen fehlt, um ihre Sicherheit zu stärken, und wenden sich daher an Anbieter von Managed Security Services (MSSPs), um Unterstützung zu erhalten. Stiennon sagt, dies sei für viele Unternehmen ein kluger Ansatz.
„Es gibt Hunderte, wenn nicht sogar Tausende guter MSSPs, die diese Aufgabe nur zu gerne für Sie übernehmen würden“, sagt er. „Dies würde zu einem Nettoanstieg der Ausgaben führen, da Sie weiterhin Abfindungen und COBRA-Zahlungen für die Mitarbeiter leisten müssen, die Sie gerade entlassen haben.“ „Aber im Bereich Cybersicherheit wären Sie abgesichert.“
