Security Awareness-Experten sind gefragt! Das menschliche Risiko managen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Mimecast Germany GmbH

SANS Institute, EMEA

Jedes Jahr befragt das SANS Institute Tausende von Sicherheitsexperten auf der ganzen Welt, um zu vergleichen und besser zu verstehen, wie Unternehmen das Risiko des menschlichen Faktors managen. Anhand der Umfragedaten wird ein kostenloser Bericht erstellt, der Erkenntnisse und datengestützte Maßnahmen enthält, die wiederum Unternehmen für sich nutzen können.

Als Best Practices sollte jede Organisation einmal im Jahr eine Übung mit dem Security Awareness Maturity-Modell durchführen, um den Reifegrad ihres Security Awareness- bzw. Security Culture-Programms zu messen. Die Ergebnisse dieser Übung dienen dazu, die Faktoren zu identifizieren, die den größten Einfluss auf die Reife und den Erfolg Ihres Programms haben. Dreh- und Angelpunkt für den Reifegrad des Programms ist die Anzahl der Vollzeitbeschäftigten im Cybersecurity-Team, die sich mit Security Awareness beschäftigen.

Das Management menschlicher Risiken ist letztlich ein menschliches Problem, dass sich auch nur mit Menschen lösen lässt. IT-Security Verantwortliche können dieses Thema nicht einfach mit mehr Technologie bekämpfen und erwarten, dass diese die Risiken schon in den Griff bekommen. Je mehr Menschen in der IT-Sicherheitsabteilung arbeiten, desto effektiver können sie ihre Mitarbeiter einbinden, ihr Verhalten ändern und letztendlich eine starke Sicherheitskultur schaffen und diese bemessen.

Um ein Security Awareness-Team zu vergrößern, muss in der Führungsebene zunächst der Mehrwert vermittelt werden, den ein größeres Team tagtäglich für das Unternehmen erbringt. Der häufigste Fehler, den diese Teams aber machen, besteht darin, dass sie nur über die von ihnen durchgeführten Schulungsmaßnahmen sprechen. Stattdessen müssen Security Awareness-Teams kommunizieren, wie sie mit menschlichen Risiken umgehen und wie das Programm die strategischen Prioritäten der Unternehmensleitung unterstützt und darauf abgestimmt ist. Im Folgenden werden Maßnahmen beschrieben, wie dies gelingt.

Die vier größten menschlichen Risiken

1. Phishing/Smishing/Vishing

Diese Kategorie bezieht sich auf die drei häufigsten Social-Engineering-Angriffe: E-Mail-basiertes Phishing, SMS-basiertes Smishing und sprachbasiertes Vishing. Diese Risiken wurden von den Befragten bei weitem am häufigsten als menschliches Risiko eingestuft. Mit den Möglichkeiten der künstlichen Intelligenz wird es für Cyber-Bedrohungsakteure noch einfacher, maßgeschneiderte Phishing-Angriffe mit weniger Rechtschreib- oder Grammatikfehlern und in jeder beliebigen Sprache zu erstellen. Es sollte bedacht werden, dass dies nicht nur für E-Mails oder Messaging gilt: KI kann jetzt ebenso leicht jede menschliche Stimme synthetisieren, die ein Angreifer gebrauchen könnte. Sprachfetzen eines mitgeschnittenen Telefonats eines CEOs oder eines Familienangehörigen reichen in Zukunft wahrscheinlich schon aus. In vielerlei Hinsicht ist die KI damit der neue Treibstoff für Cyber-Bedrohungsakteure, so dass Unternehmen mit einer Zunahme sowohl der Raffinesse als auch des Umfangs dieser Arten von Angriffen rechnen können.

2. Passwörter & Authentifizierung

Überraschend war dieses Top-Risiko nicht, jedoch wäre zu erwarten gewesen, dass dieses Risiko viel höher eingestuft wird, gleichwertig mit Phishing. Ein Grund dafür, dass Passwörter vergleichsweise als ein viel geringeres Risiko wahrgenommen werden, ist der aktive Einsatz von Passwort-Managern, die starke Passwörter einfacher machen und die Einführung von stärkeren Authentifizierungskontrollen wie der Multi-Faktor-Authentifizierung (MFA).

3. Erkennung & Reporting

Überraschend ist, dass der Bereich Erkennung und Reporting in der Risikoeinstufung gleichauf mit Passwörtern und Authentifizierung liegt. Dass die Befragten die Erkennung und Berichterstattung als wichtigstes Anliegen identifiziert haben, ist eine positive Entwicklung. Sie bedeutet, dass die Unternehmen bei ihren Security Awareness-Programmen über die reine Prävention einer menschlichen Firewall hinausgehen. Sie setzen auf die Entwicklung eines menschlichen Sensors als Detection-Mechanismus, der den Unternehmen hilft, die Verweildauer der Angreifer im Netzwerk bzw. auf den kompromittierten Geräten zu reduzieren. Der Schlüssel zur Entwicklung eines menschlichen Sensornetzwerks liegt nicht nur darin, Mitarbeiter darin zu schulen, worauf sie achten müssen, sondern auch darum, die Meldung eines vermuteten Vorfalls so einfach wie möglich zu gestalten. Außerdem ist es wichtig, die bisherige Sicherheitskultur zu verstehen. Wie wahrscheinlich ist es, dass die Mitarbeiter einen Vorfall melden, selbst wenn sie wissen, dass sie ihn verursacht haben? In einer Sicherheitskultur, in der großes Vertrauen herrscht, ist die Wahrscheinlichkeit, dass die Mitarbeiter einen Vorfall melden, sehr viel größer. In einer toxischen Sicherheitskultur in der Fehlverhalten bestraft wird, ist eher das Gegenteil der Fall und es kommt eher dazu, dass Mitarbeiter einen Vorfall nicht melden oder sogar versuchen, ihn zu vertuschen.

4. Fehlkonfiguration in der IT-Administration

Diese Risikokategorie taucht immer häufiger als Problem auf. IT-Administratoren verwalten sensible Systeme und Daten immer häufiger in der Cloud. Das Problem ist, dass die Cloud eine sehr verwirrende Umgebung sein kann. In dem Moment, in dem sich die Administratoren endlich einen Überblick verschafft haben, entwickelt sich die Technologie weiter, die Funktionen ändern sich oder neue werden hinzugefügt. Mit anderen Worten: Es ist sehr leicht, einen Fehler zu machen. Sind IT-Administratoren verwirrt, sind die Auswirkungen eines Vorfalls weitaus größer zum Beispiel durch eine versehentliche Veröffentlichung eines hochsensiblen Datensatzes. Daraus leitet sich eine große Nachfrage nach speziellen Schulungen für IT-Administratoren und Entwicklern ab, um ihnen zu vermitteln, wie sie die Cloud sicher verwalten und nutzen können.

Überraschend ist nicht, dass Social Engineering die Liste der größten Risiken anführt, sondern dass es als viel größeres Risiko als alle anderen menschlichen Risiken wahrgenommen wird. Unabhängig von der Identität des Cyberangreifers, seinen Fähigkeiten, technischen Möglichkeiten oder seiner Motivation ist Social Engineering für die meisten Cyberangreifer der einfachste und effektivste Weg, um in einem Unternehmen Fuß zu fassen.

Gehalt & Karriere

Eine häufig gestellte Frage von angehenden Security Awareness-Beauftragten dreht sich um die Frage, wie viel Gehalt er verdienen wird. In den USA und Kanada verdienen Security Awareness-Manager das meiste, nämlich im Durschnitt 116.000 US-Dollar und in Ozeanien (Australien und Neuseeland) am zweitmeisten mit 112.000 US-Dollar Jahresgehalt. In Europe liegt das durchschnittliche Salär bei 79.000 US-Dollar.

Ein weiteres interessantes Ergebnis der diesjährigen Umfrage ist, dass Security Awareness-Experten, die sich auf menschliche Risiken spezialisieren (wie in ihrer Berufsbezeichnung definiert), zum ersten Mal mehr verdienen als diejenigen, deren Berufsbezeichnung nicht auf menschliche Risiken ausgerichtet ist. Weltweit liegt das Gehalt von Awareness-Experten, deren Titel einen Fokus auf menschliche Risiken widerspiegelt, bei durchschnittlich 104.000 US-Dollar, verglichen mit 97.000 US-Dollar für Experten mit allen anderen Rollen.

Fazit

Der Mensch ist zum Hauptangriffsvektor geworden. Für Cyber-Bedrohungsakteure auf der ganzen Welt ist der Mensch und nicht die Technologie der größte Schwach- und damit der erste Ansatzpunkt in den Unternehmen. Programme zur Förderung der Security Awareness und die Fachleute, die sie verwalten, sind der Schlüssel zur Abschwächung des Risikos des menschlichen Faktors. Der Reifegrad der Profession des Security Awareness-Beauftragten ist daher eine der wichtigsten Entwicklungen in der gesamte IT-Sicherheits-Community.

Über den Report: Die 8. Ausgabe des SANS Security Awareness Report 2023 enthält Daten von fast 2.000 Sicherheitsexperten aus über 80 Ländern.

Über den Autor: Lance Spitzner ist Senior Instructor und Security Awareness-Experte beim SANS Institute.

(ID:49651143)