Home » Technologie » Sicherheit » Mitarbeiter als Verteidigungslinie für Cybersicherheit

Mitarbeiter als Verteidigungslinie für Cybersicherheit

Tech Page One

Mitarbeiter als Verteidigungslinie für Cybersicherheit

 

Firewalls der nächsten Generation, Virenschutzsoftware und Datenverschlüsselung auf Endgeräten sind unabdingbar, um wertvolle und häufig sensible Daten zu schützen. Eine technologische Wunderwaffe gibt es jedoch nicht – gemäß manchen Statistiken sind über die Hälfte der Sicherheitsverstöße auf menschliches Versagen zurückzuführen. Um die Informationsbestände einer Organisation zu schützen, braucht es also wachsame Mitarbeiter. Oder wie mein Kollege John McClurg es einmal etwas überspitzt ausgedrückt hat: eine „Armee an Fußsoldaten“.

Der Schlüssel zum Aufbau einer wachsamen Belegschaft sind die Förderung des Sicherheitsbewusstseins und Sicherheitsschulungen. Geschulte und aufgeklärte Mitarbeiter sind die beste Verteidigung einer Organisation gegen die immer raffinierteren und gezielteren Angriffe von Cyberkriminellen.  Angesichts immer neuer Schlagzeilen über Sicherheitsverletzungen, die uns die Notwendigkeit eines starken Programms für Cybersicherheit vor Augen führen, hätte der Zeitpunkt für den US-amerikanischen National Cyber Security Awareness Month im Oktober nicht besser gewählt sein können. Mitarbeiter müssen jetzt größere Verantwortung für die Sicherheit der Informationen übernehmen, mit denen sie tagtäglich arbeiten.

Gemäß einer Studie ist bei Organisationen mit einem Programm zur Schärfung des Sicherheitsbewusstseins die Wahrscheinlichkeit eines durch Mitarbeiter verursachten Sicherheitsverstoßes um 50 % geringer als bei Organisationen, die keine entsprechenden Schulungen durchführen. Auch wenn es nahezu unmöglich ist, alle Risiken zu eliminieren, gibt es, wenn überhaupt, nur wenige Maßnahmen, die Risiken ebenso effektiv reduzieren wie Schulungen zur Schärfung des Sicherheitsbewusstseins – sie sind jeden Euro wert, den Sie investieren.

Verdächtiges melden

Mitarbeiter als Verteidigungslinie für CybersicherheitDie Schärfung des Bewusstseins von Mitarbeitern und die Förderung eines gemeinsamen Verantwortungsbewusstseins für den Schutz wichtiger Informationsbestände sind von kritischer Bedeutung, um eben diese vor den zwei häufigsten Gefahren zu bewahren: böswilligen internen Mitarbeitern und externen Cyberkriminellen.

Interne Bedrohungen sind durch Technologie allein nur schwer zu erkennen. Die Untersuchungen der Computer Emergency Response Teams der Carnegie Mellon University haben immer wieder bestätigt, dass die meisten internen Bedrohungen zuerst von anderen Benutzern erkannt werden, die verdächtige Aktivitäten melden. Im Cyberuniversum gilt also dasselbe wie in der realen Welt: Wenn Sie etwas Verdächtiges sehen, sollten Sie es melden. Damit Benutzer wissen, worauf sie achten und was sie melden sollten, müssen sie geschult und dazu aufgefordert werden, wachsam zu sein. Außerdem müssen sie für ihre Meldungen auch die Verantwortung übernehmen.

Noch schneller entwickeln sich jedoch die Bedrohungen von außerhalb der Organisation. Die Energie und Anstrengungen, die Cyberkriminelle aufwenden, um an sensible Daten zu gelangen, nehmen exponentiell zu. Die Social-Engineering-Methoden, die unsere Leichtgläubigkeit und unsere Gefühle ausnutzen, werden täglich raffinierter und ausgeklügelter. Ich bekam vor Kurzem eine E-Mail von der Krankenschwester der Schule meines Kindes, die mich über einen Unfall auf dem Spielplatz informierte und einen Link zum entsprechenden Bericht enthielt. Die E-Mail schien von der Schule zu kommen, enthielt den Namen meines Kindes und den richtigen Namen der Schulkrankenschwester. Trotzdem handelte es sich um einen klassischen Spear-Phishing-Versuch – und ich wurde nur deshalb nicht zum Opfer, weil ich wusste, dass laut Schulrichtlinie solche Informationen nicht per E-Mail versendet werden.

Kurze Denkpausen einlegen

Bei einem effektiven Programm zur Schärfung des Sicherheitsbewusstseins lernen Benutzer, dass sie „eine kurze Denkpause einlegen“ sollen. Sie sollten E-Mails, die Links enthalten, zuerst auf verdächtige Anzeichen untersuchen, bevor sie darauf reagieren. Der Instinkt, innezuhalten und E-Mail-Nachrichten (oder Telefonanrufe von Unbekannten) genau zu überprüfen, ist die beste Verteidigung gegen Social Engineering. Dies muss für jeden Benutzer zum Reflex werden, nicht nur für diejenigen, die von Berufs wegen für die Cybersicherheit verantwortlich sind. Denn Bedrohungsakteure wissen genau, wie sie die leichtgläubigsten Personen ausfindig machen und für ihre Angriffe ausnutzen können.

Weitere wichtige Merkmale eines erfolgreichen Programms zur Stärkung des Sicherheitsbewusstseins sind:

Eine Bewertung des grundlegenden Sicherheitsbewusstseins in der Organisation, um Lücken zu identifizieren und einen Plan für ihre Behebung auszuarbeiten.

Tests auf kontinuierlicher Basis, um in Schulungen Gelerntes zu festigen und eine Sicherheitskultur zu schaffen, die von der gesamten Belegschaft getragen wird. Mit dem Muster „Test – Schulung – Test“ können Verbesserungen demonstriert werden, was ein guter Motivationsfaktor sein kann. Phishing-Turniere und andere Arten von Tests sind hervorragende Lehrmittel, da Mitarbeiter direkt erleben, auf welche Social-Engineering-Tricks sie hereingefallen wären.

Notfalltraining vermittelt den Mitarbeitern, die als Erstes mit Angriffen in Berührung kommen, die Fähigkeiten und Kenntnisse, die für eine effektive Abwehr nötig sind. Es ist essenziell, dass sie wissen, wie sie Spear-Phishing-E-Mails oder -Telefonanrufe analysieren müssen, um das Bewusstsein für gefährliche Situationen zu verbessern. Und dass sie wissen, wie sie mit einem infizierten System umgehen müssen. (Tipp: Viele Benutzer führen impulsiv einen Neustart des Computers durch. Dabei wird jedoch wertvolles Beweismaterial zerstört. Trennen Sie den Computer stattdessen vom Netzwerk, um den Eindringling vom Zugriff abzuschneiden.)

Bedrohungserkennung ist entscheidend, da eine Reduzierung der Risiken auf null unmöglich und menschliches Versagen unvermeidlich ist. Die schnelle Erkennung eines Sicherheitsverstoßes ist von grundlegender Bedeutung für die Schadensminderung und die Aufrechterhaltung der Geschäftskontinuität. Uns ist kein Unternehmen bekannt, in dem sich jeder Mitarbeiter zu 100 % aller Sicherheitsprobleme bewusst ist und das das Risiko auf 0 % reduzieren kann. Früher oder später wird also jemand Opfer eines Phishing-Angriffs werden.

Das umfassende Servicepaket von Dell SecureWorks hilft Organisationen, ihre Mitarbeiter in sicherem Verhalten zu schulen und Risiken zu reduzieren. Ihren Mitarbeitern wird vermittelt, dass jeder Einzelne für den Schutz der Informationsbestände Ihrer Organisation verantwortlich ist. So helfen wir Ihnen, eine Sicherheitskultur aufzubauen.

Wie werden Mitarbeiter in Ihrer Organisation in puncto Cybersicherheit geschult?

 

 

Jon Ramsey

Jon Ramsey

Jon Ramsey arbeitet zusammen mit der besten Sicherheitsexperten des Landes um die entstehenden Internetdrohungen zu identifizieren und zu analysieren und gleichzeitig entwickelnd rasante Gegenmaßnahmen zur Unterstützung der Kunden weltweit. Jon ist ein Experte in Informationsschutz mit mehr als 20 Jahren Erfahrung und mit einer Verantwortung Richtlinien festzulegen.

Neueste Beiträge:

 

Tags: Sicherheit, Technologie