Warum der menschliche Faktor für Cybersicherheitserfolg essenziell ist

Die Komplexität der Cybersicherheit ist exponentiell gewachsen mit der Zahl vernetzbarer digitaler Geräte. Da interdependente Computerinfrastrukturen fast jede Organisation heute stützen, ist der Schutz digitaler Daten entscheidend geworden.

37 % der befragten CEOs sagen, signifikantes Risiko liege im erweiterten Geschäft und bei Schlüsselunternehmenspartnern. Und Präventivmaßnahmen allein reichen nicht mehr. Die neue Umgebung fordert wachsames Monitoring und kreative Innovation. Sie erfordert All-Stakeholder-Partizipation.

Der menschliche Faktor ist der Schlüssel. Wie gut Sie Mitarbeiter prüfen, trainieren und ausstatten, wird Ihr Cybersicherheitssystem, Ihren Ruf bei Kunden und Partnern – und vielleicht sogar Ihr Business selbst – machen oder brechen.

Während 89 % der C-Suite glauben, Mitarbeiter würden Informationen verantwortungsvoll schützen, sagen 22 %, ihre Mitarbeiter seien sich Offsite-Datenrichtlinien nicht bewusst. Geräte mit höchstem Risiko: Firmenhandys (50 %), Firmenlaptops (45 %), USB-Speichergeräte (41 %).

In seinem Report 2018 Views From the C-Suite fand A.T. Kearney: 85 % der Unternehmen erlebten Sicherheitsverletzungen im letzten Jahr. Nur 40 % entwarfen und implementierten Cybersicherheitsstrategien als Reaktion.

Zusätzlich zum Fokus auf Mitarbeiter ist es wichtig, die gesamte Supply Chain an Bord zu holen. Unternehmensführer nennen vier Top-Taktiken für tragfähige Cybersicherheit:

• Umfassende Informationssicherheitsmaßnahmen,
• Hochqualifizierte IT-Profis einstellen,
• Cybersicherheits-Verhaltensanalyse, und
• Mitarbeiter-Trainingsprogramme.

Neues Paradigma: Involvieren, Überzeugen, Bilden, Konvertieren, Belohnen

Endnutzer werden oft unfair als unkooperativ, kontrollaverse und verhaltensänderungsunwillig stereotypisiert. Gleichzeitig sind sie das schwächste Glied in der Cybersicherheit. Selbst tiefe technische Experten können so verletzlich sein wie weniger trainierte reguläre Nutzer.

Praxisbeispiel: Datenschutz in Südamerika

Vor Jahren, als CISO eines Mobilfunkbetreibers in Südamerika, war ich beauftragt, die steigende Zahl von Datenlecks zu reduzieren. Ein Senior Executive empfahl harte Durchsetzung von Sicherheitsrichtlinien. Endnutzer, sagte er, seien nicht kommittiert zur Sicherheit und unansprechbar für Kampagnen zur Verbesserung interner Kontrollen.

Ich entschied mich für einen konträren Standpunkt. Erfahrung hatte mich überzeugt: Um tragfähige Lösungen zu gestalten, mussten wir alle Stakeholder einbinden – jedes Individuum, das von Richtlinien, Technologien und Entscheidungen betroffen ist – nicht nur die in Vorstandsetagen sitzenden.

Statt Endnutzer zu bestrafen und ausschließlich auf Kontrolldurchsetzung zu fokussieren, hielten wir eine Reihe von Meetings mit Mitarbeitern ab, um Best Practices zu teilen, Pain Points zu ermitteln und Schritt-für-Schritt-Anleitung zur korrekten Nutzung von Sicherheitstools zu geben.

Es stellte sich heraus: Viele Sicherheitsrichtlinien waren veraltet durch eine Serie von Fusionen. Zudem dealten Nutzer mit einer umständlichen 30-Tage-Passwortablauf-Praxis, indem sie Zugangscodes auf Post-It-Zettel schrieben. Böswillige Personen hatten so unbefugten Zugang erlangt.

Basierend auf Mitarbeiterfeedback aktualisierten wir Richtlinien und schrieben Verfahren und Standards neu – relevant und klar. Scorecards trackten Fortschritt, ein Belohnungssystem wurde eingeführt. Datenlecks sanken, und ein Feedback-Loop zwischen Nutzern und Sicherheitsabteilung wurde etabliert, um das Programm relevant zu halten. Endnutzer wurden in den Prozess eingebunden, mit Bildungsschleifen, um potenzielle Probleme zu erkennen.

Die Erfahrung bestätigte: Ein Designprozess, der stakeholder- und menschenzentriert ist, der auf Einbinden, Bilden, Konvertieren und Belohnen statt Bestrafen setzt, produziert die umfassendsten und nachhaltigsten Cybersicherheitslösungen.

J. Eduardo Campos leitet die Beratungsfirma Embedded-Knowledge Inc.