Die radiologischen Techniker hatten ein Problem. Jedes Mal, wenn einer von ihnen auf Krankenakten auf dem gemeinsamen Computersystem ihres Krankenhauses zugreifen wollte, musste er sich einzeln anmelden. Das
System und die Software waren so alt, dass der Anmeldevorgang bis
zu fünf Minuten dauern konnte.
Ihre Lösung: Wer zuerst in der Schicht angekommen ist, würde sich unter seiner ID anmelden. Und wer der Letzte war, würde sich abmelden.
„Sie haben keinen Schaden bedeutet“, sagt Clay Posey, der als Chief Research Scientist bei der Cyber-Beratungsfirma Beyond Layer 7 das Team über ihre Cyber-Hygienegewohnheiten befragt hat. „Sie haben nicht versucht, eine Vertraulichkeitsverletzung zu
schaffen.“ Aber ihre Aktionen schufen das Potenzial für eines.
Vom Mitarbeiter zur Insider-Bedrohung
Eine solche Insider-Bedrohung wird als „nicht böswillige Nichteinhaltung“ bezeichnet. Dies ist eine der häufigsten Arten, auf die Mitarbeiter gegen Cybersicherheitsrichtlinien verstoßen. „Sie wussten, dass ihre Handlungen gegen die Richtlinien verstoßen“, sagt Posey, der auch außerordentlicher Professor für Informationssysteme an der Brigham Young University Marriott School of Business ist. „Aber Sicherheitsregeln, die als gut angesehen wurden, haben Produktivität und Workflow behindert. Also hat diese Gruppe einfach einen Workaround erstellt.“
In einem anderen Alter könnte dieser Einfallsreichtum gelobt werden. Aber nicht heute, wenn Cyberkriminelle und nationale Hacker ständig Endpunkte und Netzwerkschwachstellen untersuchen, nach Anmeldungen, Zugriff
auf sensible Daten und Möglichkeiten suchen, lukrative Ransomware-Angriffe
auf Opfer zu entschärfen.
Tatsächlich sind Insider-Bedrohungen wie die im Krankenhaus oft das Ergebnis von Mitarbeiter stress, der Notwendigkeit, die Arbeit zu erledigen, und sogar fehlgeleiteter Altruismus. Das geht aus einer Juni 2020 Studie von Posey und anderen hervor, die von der National Science Foundation veröffentlicht wurde, in der sein Team das Cyberverhalten neuer Remote-Mitarbeiter untersuchte. Sie stellten fest, dass Remote-Arbeit (die weiterhin der Standardarbeitsmodus für Millionen ist) mehr Möglichkeiten für diese Sicherheitskompromisse geschaffen hat.
Scott Shackelford, Vorsitzender des Cybersicherheitsrisikomanagementprogramms von IU-Bloomington, der nicht an der Studie beteiligt war, sagt: „Im Allgemeinen sind diese Probleme auf ein mangelndes Verständnis, Bedenken oder Stress und Eile zurückzuführen. Und das ist eine offene Backdoor-Einladung für die Bösewichte. „Es ist beispielsweise nicht ungewöhnlich, dass Betrüger Mitarbeiter spät am Freitagnachmittag oder während einer Feiertagspause kontaktieren, wenn sie wissen, dass die Aufmerksamkeit der Arbeiter abgelenkt wird“, sagt er.
Es ist ein wichtiges Cybersicherheitsrisiko, das nicht mit Technologie gelöst werden kann. Sie kann nur durch Adressierung der Menschen im System gelöst werden. IT-Teams können bessere Mousetraps entwerfen, aber wenn sie dies im Vakuum tun – ohne den Arbeiter an der Tastatur zu berücksichtigen, der jetzt Teil eines verteilten Netzwerkökosystems außerhalb des schützenden Unternehmensperimeters ist – ist es mit dem Verlust von Käse verbunden.
Wie Remote-Mitarbeiter Cybersicherheitsprotokolle wirklich behandeln
Die Studie von Posey mit mehr als 330 Remote-Mitarbeitern aus einer Vielzahl von Branchen ergab, dass IT-Abteilungen oft ein begrenztes Verständnis davon haben, wie ihre Regeln die Arbeitsabläufe der Menschen beeinträchtigen oder neue Stressquellen schaffen können. Die Studie, die sich über einen Zeitraum von zwei Wochen auf Selbstberichte stützte, ergab, dass 18 % der Verstöße gegen Cybersicherheitsrichtlinien durch den Wunsch eines oder mehrerer Arbeiter motiviert wurden, sich gegenseitig zu helfen. Insgesamt geben 67 % an, dass sie die Cybersicherheitsrichtlinien mindestens einmal nicht eingehalten haben, mit einer durchschnittlichen Ausfallquote von einmal von 20 Arbeitsaufgaben.
„Es ist nicht ungewöhnlich, dass Betrüger Mitarbeiter zu spät an einem Freitag oder über einen Feiertag kontaktieren, wenn sie wissen, dass [Mitarbeiter] abgelenkt werden.“Scott Shackelford, Vorsitzender, Cybersecurity Risk Management Program, IU-Bloomington
Die Gründe für diese Verstöße sind aussagekräftig. Zu den drei wichtigsten gehörten „um Aufgaben für meine Arbeit besser zu erledigen“, „um etwas zu bekommen, das ich benötigte“ und „um anderen zu helfen, ihre Arbeit zu erledigen“. Zusammen machten sie 85 % der gemeldeten vorsätzlichen Sicherheitsregelverletzungen aus.
Tatsächlich scheint Remote-Arbeit das Risiko für nicht-böswillige Nichteinhaltung bei Mitarbeitern zu erhöhen. Dies kann von Mitarbeitern reichen, die nicht genehmigte Software auf ihren Unternehmenslaptop herunterladen, bis hin zu der Möglichkeit für Familienmitglieder, Unternehmensgeräte zu verwenden. Menschen greifen auch häufiger auf sensible Daten auf ihren mobilen Geräten zu, wenn sie von zu Hause aus arbeiten.
Infolgedessen haben Unternehmen Probleme damit, die Cybersicherheits-Compliance zu stärken.
Verständnis der psychologischen Belastung durch Sicherheit von zu Hause aus
Zu den perniziössten Cybersicherheitsproblemen, mit denen Unternehmen mit den heutigen Remote-Mitarbeitern konfrontiert sind, gehören E-Mail- Phishing -Betrug, auch bekannt als geschäftliche E-Mail-Kompromittierung (Business Email Compromise, BEC). So kann es funktionieren: Ein Angreifer, der sich als Vorgesetzter oder enger Kollege ausgibt, sendet einem Mitarbeiter eine dringende Anfrage, Geld zu überweisen. Der Zeitdruck und der Wunsch, zu helfen, können die Arbeiter dazu zwingen, das Protokoll zu brechen und diese Übertragungen durchzuführen, ohne die Anfrage zu überprüfen.
Der Schutz einer Organisation vor Cyberangriffen bedeutet nicht nur die Einführung einer Verifizierungsrichtlinie für große Transaktionen, sondern auch die Schulung der Mitarbeiter darüber, warum Sicherheitsprotokolle wichtig sind, die Minimierung des Ausmaßes, in dem sie die tägliche Arbeit behindern, und die Bereitstellung von Anleitungen, was zu tun ist, wenn Protokolle mit der Erledigung der Arbeit in Konflikt stehen.
Während Remote-Arbeit für Millionen von Mitarbeitern andauert, sagen Cybersicherheitsexperten, dass Manager auf die potenzielle psychologische Belastung achten sollten, der Mitarbeiter bei der Arbeit unter den Systemen, die sie überwachen, ausgesetzt sind. Überwachungssysteme wie Tracking-
Tools und Tastenanschlagüberwachung können sich zu Hause besonders aufdringlich anfühlen. Auch wenn es keine direkten Auswirkungen gibt, deuten Untersuchungen darauf hin, dass der zusätzliche Stress die Wahrscheinlichkeit erhöhen könnte, dass Menschen gegen Sicherheitsprotokolle verstoßen.
[Lesen Sie auch: Remote-Arbeit erhöht Datenschutzbedenken]
Business- und Tech-Führungskräfte sollten sicherstellen, dass sie ihre Mitarbeiter in die Erstellung neuer Sicherheitsmaßnahmen, die Bewertung und die Implementierung einbeziehen. Posey sagt, IT-Teams müssen ein Gleichgewicht zwischen dem finden, was er „Vermeidungsdenken und Toleranz“ nennt. Anstatt Strafen für einen Sicherheitsverstoß zu verwenden, sollten Manager akzeptieren, dass Mitarbeiter Fehler machen.
„Es wird etwas geben, und Manager sollten sich gemeinsam bemühen, die Grundursache dafür zu verstehen“, sagt er.
Mehr Karotten verwenden und weniger an Cybersicherheitsschulungen für Mitarbeiter festhalten
Tatsächlich können IT- und Sicherheitsteams von Mitarbeitern profitieren , die natürlich neugierig sind und die Gründe für ihre umständlichen Sicherheitsrichtlinien verstehen möchten, sagt Posey. Teams sollten verstehen, dass – im Gegensatz zu bösartigen Angriffen und unerwarteten Schwachstellen in der Lieferkette – viele mitarbeitergesteuerte Verstöße auf einen Versuch zurückzuführen sind, Sicherheit und Produktivität in Einklang zu bringen, und sie oft auf vollständig vorhersehbares menschliches Verhalten zurückzuführen sind.
[Lesen Sie auch: Die Verwaltung des Software-Lieferkettenrisikos beginnt mit der Visibilität]
Sicherheitsteams müssen Arbeiter über die Prävalenz von nicht-bösartigen Verstößen aufklären. Aber es muss (und sollte) dort nicht aufhören. Das Verständnis, was Mitarbeiter motiviert und sie in den Prozess der Entwicklung und Benutzerprüfung von Sicherheitsrichtlinien einbezieht, kann einen großen Beitrag dazu leisten, sie dazu zu bringen, sich zu engagieren und zu helfen. Und am wichtigsten ist, dass Führungskräfte in Unternehmen und Technologie daran arbeiten müssen, sicherzustellen, dass Cybersicherheitsprotokolle die Produktivität der Mitarbeiter nicht beeinträchtigen.
„Die Mehrheit der Menschen möchte nur ihre Arbeit erledigen“, sagt Posey. „Sie gehen nicht jeden Tag zur Arbeit und sagen: „Hey, wie kann ich Sachen verschrauben?“
