Das entscheidende menschliche Element in der Cybersicherheitsstrategie

Die Komplexität der Cybersicherheit ist exponentiell gewachsen, da die Zahl der miteinander vernetzbaren digitalen Geräte zugenommen hat. Da heute nahezu jedes Unternehmen von voneinander abhängigen Computerinfrastrukturen unterstützt wird, ist der Schutz digitaler Daten von entscheidender Bedeutung.

37 Prozent der befragten CEOs geben an, dass das erhebliche Risiko im erweiterten Geschäft und in den wichtigsten Unternehmenspartnern liegt. Und vorbeugende Maßnahmen allein reichen nicht mehr aus. Die neue Umgebung erfordert eine aufmerksame Überwachung und kreative Innovation. Es erfordert die Beteiligung aller Beteiligten.

Das menschliche Element ist der Schlüssel. Wie gut Sie Ihre Mitarbeiter überprüfen, schulen und ausrüsten, wird Ihr Cybersicherheitssystem, Ihren Ruf bei Kunden und Partnern und vielleicht sogar Ihr Unternehmen selbst verbessern oder zerstören.

Während 89 Prozent der C-Suite der Meinung sind, dass ihre Mitarbeiter Informationen verantwortungsvoll schützen, sagen 22 Prozent, dass ihre Mitarbeiter die Richtlinien für externe Daten nicht kennen. Die am stärksten gefährdeten Geräte sind Firmenhandys (50 Prozent), Firmen-Laptops (45 Prozent) und USB-Speichergeräte (41 Prozent).

In seinem Bericht zu 2018 Views From the C-Suite , BEIM. Kearney fand heraus, dass 85 Prozent der Unternehmen im letzten Jahr Sicherheitsverletzungen erlebt haben. Nur 40 % haben als Reaktion darauf Cybersicherheitsstrategien entwickelt und implementiert.

Neben der Fokussierung auf die Mitarbeiter ist es wichtig, die gesamte Lieferkette ins Boot zu holen. Unternehmensführer nennen vier Top-Taktiken, um eine praktikable Cybersicherheit zu gewährleisten:

• Umfassende Informationssicherheitsmaßnahmen
• Hochqualifizierte IT-Experten einstellen
• Analyse des Cybersicherheitsverhaltens und
• Schulungsprogramme für Mitarbeiter.

Das neue Paradigma für Cybersicherheit lautet:einbeziehen, überzeugen, ausbilden, konvertieren und belohnen. Endbenutzer werden oft zu Unrecht als unkooperativ, kontrollscheu und nicht bereit, ihr Verhalten zu ändern, stereotypisiert. Gleichzeitig sind sie das schwächste Glied in der Cybersicherheit. Selbst tiefe technische Experten können genauso verwundbar sein wie weniger geschulte und vorbereitete normale Benutzer.

Ein Beispiel aus der Praxis:Vor Jahren hatte ich als CISO eines Mobilfunkanbieters in Südamerika die Aufgabe, die steigende Zahl von Datenlecks zu reduzieren. Ein leitender Angestellter empfahl die hartnäckige Durchsetzung von Sicherheitsrichtlinien. Endbenutzer, sagte er, seien in Bezug auf die Sicherheit unverbindlich gewesen und hätten nicht auf Kampagnen zur Verbesserung der internen Kontrollen reagiert.

Ich beschloss, eine konträre Haltung einzunehmen. Die Erfahrung hat mich davon überzeugt, dass wir alle Beteiligten einbeziehen müssen – jeden Einzelnen, der von Richtlinien, Technologien und Entscheidungen betroffen ist – und nicht nur diejenigen, die in den Vorstandsetagen sitzen, um tragfähige Lösungen zu entwickeln.

Anstatt Endbenutzer zu bestrafen und uns ausschließlich auf die Durchsetzung von Kontrollen zu konzentrieren, haben wir eine Reihe von Besprechungen mit Mitarbeitern einberufen, um bewährte Verfahren auszutauschen, ihre Schwachstellen zu ermitteln und Schritt-für-Schritt-Anleitungen zum richtigen Einsatz von Sicherheitstools zu geben.

Es stellte sich heraus, dass viele Sicherheitsrichtlinien aufgrund einer Reihe von Fusionen veraltet waren. Darüber hinaus mussten sich die Benutzer mit einer umständlichen 30-tägigen Passwort-Ablaufpraxis auseinandersetzen, indem sie ihre Zugangscodes auf Post-It-Notizen schrieben. Dadurch hatten sich böswillige Personen unbefugten Zugriff verschafft.

Basierend auf dem Feedback von Mitarbeitern haben wir Richtlinien aktualisiert und Verfahren und Standards neu geschrieben, damit sie relevant und klar sind. Scorecards wurden verwendet, um den Fortschritt zu verfolgen, und ein Belohnungssystem wurde eingeführt. Datenlecks wurden beseitigt, und es wurde eine Feedbackschleife zwischen Benutzern und der Sicherheitsabteilung eingerichtet, um das Programm relevant zu halten. Endbenutzer wurden in den Prozess einbezogen, mit Schulungsschleifen, um potenzielle Probleme zu erkennen.

Die Erfahrung hat erneut bestätigt, dass ein an Stakeholdern und Menschen ausgerichteter Designprozess, der auf Einbeziehung, Bildung, Umwandlung und Belohnung statt Bestrafung setzt, die umfassendsten und nachhaltigsten Cybersicherheitslösungen hervorbringt.

J. Eduardo Campos leitet das Beratungsunternehmen Embedded-Knowledge Inc.