Securitytools alleine garantieren keine Sicherheit 6 Tipps, um die IT-Sicherheit in Arbeitsprozesse einzubinden

IT-Sicherheit sollte für Firmen ganz oben auf der Prioritätenliste stehen. Nicht jedes Problem kann von technologischer Seite gelöst werden. Es gilt die Mitarbeiter entsprechen zu schulen. Sechs Ansätze für das aktive einbinden der IT-Security in die Arbeitsprozesse.

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Keeper Security EMEA Ltd.

SkillSoft Deutschland NETg GmbH

Laut Statista sollen sich die Ausgaben für IT-Sicherheit im Jahr 2021 auf rund 5,7 Milliarden Euro belaufen. Doch obwohl 70 Prozent der IT-Sicherheitsverantwortlichen hierzulande bewusst ist, dass der Faktor Mensch und mangelndes Sicherheitsbewusstsein eines der größten Risiken für Unternehmen darstellt, sparen 77 Prozent an dieser Stelle. Dabei bergen unsichere IT-Systeme das Risiko eines massiven Verlusts an Kapital, Markenwert und Kundenvertrauen.

Corporate Learning Spezialist Skillsoft gibt deshalb Tipps, die Unternehmen zusätzlich zu Sicherheitsschulungen umsetzen können, um das Bewusstsein für Risiken zu fördern und präventive Maßnahmen stärker in ihre Geschäftsprozesse und -strukturen einzubinden.

„Tools allein können die IT-Sicherheit nicht garantieren. Jeder Mitarbeiter sollte informiert und für das Praktizieren von Sicherheitsrichtlinien und -verfahren mit verantwortlich sein,“ empfiehlt Andreas Rothkamp, VP DACH-Region bei Skillsoft. „Neben klassischen Schulungen bieten Übungsumgebungen und sogenannte Cyber Ranges heute bereits die Möglichkeit, praktische Erfahrung bei der Identifizierung von Sicherheitsbedrohungen in der jeweiligen Branche und Jobrolle zu gewinnen.“

Abgesehen von diesen Trainings gibt es zudem Ansatzpunkte mit denen Organisationen die IT-Sicherheit auch durch strukturelle Maßnahmen unterstützen können:

• 1. Sicherheitsaffinitäten nutzen: Einige Dev- und DevOps-Teams sehen Sicherheit bereits als eine ihrer Hauptverantwortungen. Daher bietet es sich an mehr Sicherheitsverantwortung in die Entwicklung und in den Bereich DevOps zu verlagern statt in losgelösten Sicherheitsrollen.

• 2. Förderprogramme einrichten: Sicherheits-„Champions“ oder -„Paten“ sind keine ausgebildeten Sicherheitsfachkräfte. Es sind vielmehr Mitarbeiter, die die Integration von Sicherheitsprinzipien aktiv in ihre primären Aufgabenbereiche eingebunden haben. Wenn solche Vorbildfunktionen durch ein dezidiertes Programm unterstützt werden, können mehr motivierte Sicherheitsbefürworter gewonnen und aufgebaut werden. Sie fördern die Sicherheitskompetenz, quantifizieren Risiken und modellieren bewährte Verfahren.

• 3. Aktiv potenzielle Angriffe identifizieren: Internationale Informationsplattformen wie MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) lassen sich einsetzen, um mehr über das Verhalten von potenziellen Angreifern zu erfahren, da diese häufig bekannte und erfolgreiche Angriffe wiederholen. So können Unternehmen proaktiv Sicherheitsmaßnahmen einleiten, statt nur auf Angriffe zu reagieren.

• 4. Entwicklungsprozesse modernisieren: Anwendungen werden heute viel schneller und auch häufiger ohne Codierung (Low-Code oder No-Code) entwickelt. Daher sollten Unternehmen Sicherheitsabnahmetests in den Entwicklungsprozess integrieren. Hierzu können beispielsweise Sicherheitsroutinen aus Open-Source-Bibliotheken oder GitHub-Repositorys genutzt und Machine Learning (ML) als Bewertungsinstrument eingesetzt werden.

• 5. Hybride Infrastrukturumgebungen einbeziehen: Der ungeplante Schub in Richtung Remote-Arbeit und Homeoffice in den vergangenen zwölf Monaten hat IT-Verantwortliche vor neue Herausforderungen gestellt. Mithilfe von Cloud-Lösungen und Remote-Zugriff musste in kürzester Zeit die Geschäftskontinuität sichergestellt werden. Die Tools und Nutzungsrichtlinien für die Zusammenarbeit in punkto Sicherheit zu optimieren, kam dabei häufig erst an zweiter Stelle. Spätestens seit sich gezeigt hat, dass dies jedoch kein vorübergehender Zustand ist, sondern die Remote Arbeit sicher auch in Zukunft eine wichtige Rolle spielt, sollten die Sicherheitsrichtlinien und -verfahren für hybride Infrastrukturumgebungen optimiert werden.

• 6. Messbarkeit sicherstellen: Man kann keine Verbesserung für etwas aufzeigen, das nicht gemessen wird. Daher ist es wichtig, die unternehmensweiten Kenntnisse bei der Bewertung von Schwachstellen und der Minderung von Risiken regelmäßig zu bewerten.

Fragen zu Folgen einer Gefährdung

„Die Bewertung von Risiken auf allen Ebenen ist wichtig, um zu zeigen, welche Folgen ein Sicherheitsvorfall haben könnte und welche Investitionen erforderlich sind, um eine echte Wirkung zu erzielen,“ erklärt Andreas Rothkamp.

Fragen, die sich Unternehmen in diesem Zusammenhang stellen sollten, sind beispielsweise:

• Können Sie den Wert Ihrer gefährdeten Assets und Ihres geistigen Eigentums beurteilen?

• Weiß jeder in Ihrer Organisation, dass er/sie für die Cybersicherheit mitverantwortlich ist?

• Sind Sie in der Lage, Ihre Belegschaft zu mobilisieren, um Sicherheitsangriffe abzuwehren?

• Sind Sie vor finanziellen Auswirkungen von Ransomware geschützt?

• Welche Auswirkungen hätte ein Sicherheitsvorfall, bei dem zum Beispiel Daten kompromittiert werden, auf das Kundenvertrauen und Ihre Positionierung?

(ID:47333485)