Starke Sicherheitskultur in Ihrer Organisation aufbauen

Oktober ist der National Cybersecurity Awareness Month.

Es ist auch (unter anderem) Brustkrebs-Awareness-Monat, Zahnhygiene-Monat, National Bullying Prevention Month und mein persönlicher Favorit, National Pizza Month. Plus, es ist Halloween! Aber ich schweife ab… wir sind hier, um über Cybersicherheit zu sprechen.

Jeder Hersteller sollte mindestens einmal jährlich Cybersicherheits-Bewusstseinsschulungen für alle Mitarbeiter durchführen. Viele Menschen schrecken schon bei der bloßen Erwähnung der Wörter „Cybersicherheit“ und „Schulung“ zurück, daher scheint Oktober ein passender Zeitpunkt dafür. Ihre Schulung sollte mindestens relevante Unternehmensrichtlinien abdecken wie Ihre IT-Sicherheit, Informationssicherheit und physische Sicherheit.

Über die Jahre haben viele von uns solche Schulungen absolviert und gelernt, sie zu fürchten. Schulungen, bei denen jemand die exakt gleiche Cybersicherheitsrede hält wie im Vorjahr und dann einen Zettel aushändigt, den man unterschreibt, dass man anwesend war. Ein echtes Einschlafmittel. Diese Art von Schulung erfüllt ihren Zweck, was das bloße Erfüllen der Mindestanforderungen angeht, hat aber wenig Einfluss auf die tatsächliche Formung des Mitarbeiterverhaltens.

Der wahre Zweck von Cybersicherheits-Bewusstseins- und Schulungsbemühungen sollte sein, eine Sicherheitskultur zu schaffen – was bedeutet, dass Mitarbeiter gute Cybersicherheitspraktiken als gute Geschäftspraxis und als Teil von „wie wir hier Geschäfte machen“ betrachten sollten. Mitarbeiter sollten sich befähigt fühlen, gute Cybersicherheitsentscheidungen zu treffen und zu verstehen, was eine gute Entscheidung ausmacht. Bewusstsein und Schulung sollten fokussieren auf:

• Riskantes Verhalten stoppen: Helfen Sie Mitarbeitern zu erkennen, welche Entscheidungen zu schlechten Ergebnissen führen können. Beispiel: Öffnen von E-Mail-Anhängen unbekannter Quellen.
• Weniger riskantes Verhalten fördern: Helfen Sie Mitarbeitern zu verstehen und sich dafür einzusetzen, Prozesse umzusetzen, die Sicherheit erhöhen. Beispiel: Wie man starke Passwörter erstellt.
• Mitarbeiter zu Wächtern machen: Helfen Sie Mitarbeitern, Cybersicherheitsereignisse zu erkennen und darauf zu reagieren. Beispiel: Was zu tun ist, wenn ein Gast einen unautorisierten USB-Stick in einen Rechner steckt.

Idealerweise sollte Schulung ein kontinuierlicher Prozess sein. Einige Ideen, wie man Cybersicherheitsschulung in den täglichen Arbeitsablauf integrieren kann:

• Regelmäßig Cybersicherheit als wichtiges Unternehmensziel betonen.
• Einen Cybersicherheitstipp, Trick oder Erinnerung in jedes Meeting einbauen.
• Erinnerungen an angemessene Sicherheitspraktiken am Arbeitsplatz aufhängen.
• Regelmäßige Meetings abhalten, um mögliche Prozessverbesserungen zu besprechen, die es Mitarbeitern erleichtern, bessere Sicherheitsentscheidungen zu treffen.

Es gibt viel Forschung dazu, wie gute Mitarbeiter-Cybersicherheitsschulung aussieht. Zusammengefasst lässt es sich mit dem Akronym „RAINSTORMS“ beschreiben. Ja, ich habe das gerade erfunden.

• Real: Echte Fallstudien oder realistische Szenarien helfen, die Lektionen nachhaltig zu vermitteln.
• Actionable: Etwas einbeziehen, das Mitarbeiter sofort tun können. Dies kann das Ändern ihrer Passwörter, die Inventur ihrer IT-Assets oder das Sicherstellen beinhalten, dass sie Kontaktdaten für die Person oder Organisation haben, der sie einen Vorfall melden sollten, in ihrem Handy gespeichert haben. Manchmal ist auch eine langfristige Hausaufgabe angemessen, aber ein sofortiges Ziel ist immer hilfreich.
• Interaktiv: Rollenspiele, Kleingruppendiskussionen oder praktische Übungen sind großartige Wege, Schulung interaktiver zu gestalten. Idealweise sollten die Interaktionen bidirektionale Gespräche aller Managementebenen umfassen, um sicherzustellen, dass alle wissen, dass alle dieselben Verantwortlichkeiten haben und alle auf dem gleichen Stand sind.
• Neu: Etwas Wiederholung ist in Schulungen angemessen, besonders bei Richtlinien, aber es sollte nicht veralten. Verschiedene Schulungsformate (z. B. Vortrag, Rollenspiel, Videos) können helfen.
• Small: Häppchenweise Information ist viel leichter verdaulich als ein ganzes Informatikstudium, das Mitarbeitern aufgezwungen wird. Ein Thema pro Sitzung ist generell vorzuziehen.
• Testable: Es sollte ein messbares, testbares Ziel für die Cybersicherheitsschulung geben. Wenn es allgemeines Bewusstsein ist, kann vielleicht ein Quiz entwickelt werden. Wenn das Ziel ist, Phishing-Angriffe zu mindern, kann vielleicht eine gefälschte Phishing-E-Mail sowohl einige Wochen vor als auch nach dem Event versendet werden. Dies zeigt, wie effektiv die Schulung war.
• Owned: Mitarbeiter sollten die Schulung mit einem Gefühl von Verantwortung und Eigenverantwortung für Cybersicherheit verlassen; sie sollten sich befähigt fühlen, gute Cybersicherheitsentscheidungen zu treffen.
• Relevant: Die meisten Unternehmen haben unterschiedliche Nutzertypen. Schulung auf jeden Nutzertyp zuzuschneiden, macht sie realistischer. Dies kann bedeuten, unterschiedliche Schulungen für Shopfloor-Mitarbeiter versus Büro-Mitarbeiter zu haben.
• Memorable: Akronyme, prägnante Mnemoniken oder – mein persönlicher Favorit – Humor nutzen. Menschen erinnern sich an lustige Dinge – Wortspiele, schlechte Musikvideos, absurde Katzen-Memes – viel besser als an langweilige Vorträge. Scheuen Sie sich nicht, unkonventionell zu sein und Spaß zu haben.
• Simple: Über allem sollte Schulung einfach sein. Übermäßig technische Lektionen voller Fachjargon sind nur gut, um Leute einzuschläfern.

The National Initiative for Cybersecurity Education (NICE) hat eine kleine Liste kostenloser und kostengünstiger Ressourcen für Mitarbeiterschulungen. Es gibt auch viele zusätzliche Ressourcen online. Eine einfache Internetsuche wird Sie mit Optionen bombardieren. Bewerten Sie diese Optionen mit dem obigen RAINSTORMS-Template.

Während des gesamten Oktobers wird NIST MEP eine Serie von Blogs posten, die lose dem Thema und Outline folgen, das von der National Cybersecurity Alliance (NCSA) vorgegeben wird. Das diesjährige Thema lautet „Do Your Part. #BeCyberSmart.“ Persönlich war ich nie ein Fan von Selbstpromotion via Hashtag, aber wenn Sie im Oktober über Cybersicherheit twittern oder bloggen, erwägen Sie den #BeCyberSmart-Hashtag – wir werden sehen, wie weit er reicht.

Das von der NCSA vorgegebene Outline ist wie folgt:

• Woche ab 5. Oktober (Woche 1): If You Connect It, Protect It
• Woche ab 12. Oktober (Woche 2): Securing Devices at Home and Work
• Woche ab 19. Oktober (Woche 3): Securing Internet-Connected Devices in Healthcare
• Woche ab 26. Oktober (Woche 4): The Future of Connected Devices

Nicht sicher, wo Sie anfangen sollen? Sie können mehr darüber erfahren, wie Sie ein effektives Cybersicherheitsschulungsprogramm implementieren, indem Sie Ihr lokales MEP Center kontaktieren. Sie können auch Cybersicherheitsressourcen für Hersteller auf der NIST MEP Website abrufen.

Dieser Blog ist Teil einer Serie, die für den National Cybersecurity Awareness Month (NCSAM) veröffentlicht wurde. Andere Blogs der Serie umfassen If You Connect It, Protect It von Zane Patalive, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked von Pat Toth, Securing Internet-Connected Medical Devices von Jennifer Kurtz und The Future of Connected Devices von Erik Fogleman und Jeff Orszak.