Security Awareness und Secure by Design Drei Tipps für bessere IT-Security im Unternehmen

Auch wenn viele Unternehmen mehr Geld als je zuvor in erweiterte Cybersicherheitstools und ‑technologien investieren, gehen Experten davon aus, dass die Kosten für Cyberangriffe in US-Unternehmen im Jahr 2023 drastisch steigen werden. Mehr Sicherheit gibt es aber auch für vergleichsweise wenig Geld. Mit diesen Tipps sorgen Sie für ein besseres Schulungsprogramm zur IT-Sicherheit in Ihrem Unternehmen.

Die Schlagzeilen sind voll von professionellen Cyberkriminellen und nationalstaatlichen Bedrohungsakteuren, die hochkomplexe Angriffe ausführen. Doch Trends zeigen, dass viele Sicherheitsvorfälle weiterhin aus hocheffektiven und schwer zu erkennenden Bedrohungen wie Phishing und Social Engineering-Angriffen entstehen.

Solche Angriffe benötigen zwar weniger technisches Können, aber überwinden dennoch oft die fortgeschrittensten modernen Cybersicherheitstechnologien. Der Grund: Sie funktionieren, weil Menschen Fehler machen – und menschliche Fehler sind einer Studie von IBM zufolge verantwortlich für 95 Prozent aller Cybersicherheitsverletzungen.

Um gegen diese Bedrohungen vorzugehen und die Wahrscheinlichkeit von Vorfällen durch menschliches Fehlverhalten zu reduzieren, ergänzen Unternehmen ihre Cybersicherheitstechnologien durch Schulungsprogramme für ihre Mitarbeitenden. Gut umgesetzt, können diese Programme das Cybersicherheitswissen der Angestellten erweitern und das Risiko senken, dass sie Opfer eines Angriffs werden. In Zeiten, in denen durchschnittliche Sicherheitsverletzungen Kosten in Millionenhöhe verursachen, sind diese Schulungen wichtiger als je zuvor.

Mit den folgenden drei Tipps sorgen Sie für ein besseres Cybersicherheitsschulungsprogramm in Ihrem Unternehmen.

Tipp 1: Angriffe simulieren, um das Verhalten zu verbessern

Das alte Sprichwort „Übung macht den Meister“ gilt auch beim Thema Cybersicherheit. Aber wie können Unternehmen es „üben“, verschiedene Arten von Cyberangriffen zu erkennen und zu verhindern? Durch Simulationen!

Es gibt kaum eine bessere Möglichkeit, um den Angestellten beizubringen, wie sie potenzielle Bedrohungen erkennen, vermeiden und melden, als genau diese Angriffe zu simulieren, die ihnen auch im Arbeitsalltag begegnen könnten.

Zum Glück gibt es heute Unternehmen und Programme, die Unternehmen dabei unterstützen, Phishing, Malware und andere häufige Cyberangriffe zu simulieren und so ihre Sicherheit zu erhöhen. Oft werden diese Tools in einem benutzerfreundlichen Software-as-a-Service-Modell angeboten. Diese Testangriffe zielen dann auf Personen aus der Belegschaft, die sie erkennen und verhindern müssen.

Solche Simulationen realistischer und relevanter Szenarien können die Wachsamkeit des Personals erhöhen und es besser auf Bedrohungen vorbereiten. Ein Arbeitsklima, in dem mit positiver Bestätigung reagiert wird, sorgt dafür, dass Angestellte mögliche Phishing- oder Smishing-Versuche eher melden, auch wenn ihr Verdacht vielleicht falsch war. So müssen zwar mehr Meldungen geprüft werden, aber dafür haben die Angestellten ein höheres Sicherheitsbewusstsein und sind aufmerksamer.

Tipp 2: In kleinen Schritten die Bedrohungsmüdigkeit reduzieren und Kontextinformationen rund um Bedrohungen geben

Fast jede Woche ist ein neuer Cyberangriff in den Schlagzeilen. Diese Überflutung mit schlechten Nachrichten führt zum gefährlichen Phänomen der „Bedrohungsmüdigkeit“, also der Desensibilisierung. Sie entsteht, wenn wir immer wieder derselben Nachricht ausgesetzt sind.

In einer Umfrage von Malwarebytes gaben 80 Prozent der Befragten eine mehr oder weniger starke „Bedrohungsmüdigkeit“ in Bezug auf Cybersicherheit an. Diese Entwicklung ist gefährlich und kann zu fahrlässigem Verhalten führen, das große Cybersicherheitslücken und ‑risiken nach sich zieht.

Um die Bedrohungsmüdigkeit zu bekämpfen und die Angestellten daran zu erinnern, dass ihr Handeln für die gesamte Sicherheit des Unternehmens entscheidend ist, können Unternehmen mit kleinen Schritten beginnen. Ein erster Schritt kann darin bestehen, unternehmensweite Kennwortprotokolle zu implementieren. Die Angestellten alle paar Monate zur Änderung ihrer Kennwörter zu verpflichten und eine zweistufige Authentifizierung einzuführen sind einfache, aber wirkungsvolle Erinnerungen daran, dass die Angestellten aktiv an der Sicherheit ihres Unternehmens mitwirken müssen.

Außerdem können Unternehmen Kontextinformationen rund um Mitteilungen zum Thema Cybersicherheit ergänzen, damit das Personal die realen Konsequenzen möglicher Vorfälle überblickt. Sie können beispielsweise darauf hinweisen, wie sich ein Cybersicherheitsvorfall finanziell auf die Vergütung und Boni von Angestellten auswirken kann.

Tipp 3: Eine Zero-Trust-Umgebung nach dem Prinzip der geringsten Rechte aufbauen und Secure by Design werden

Egal wie viel Mühe ein Unternehmen sich gibt, es wird nie eine absolut sichere Methode sein, sich auf die Angestellten zu verlassen, um Cyberangriffe zu verhindern. Daher sollte jedes Unternehmen zusätzlich Zero-Trust-Sicherheitsmethoden und das Prinzip der geringsten Rechte in seinen Umgebungen umsetzen.

Das Zero-Trust-Cybersicherheitsmodell schützt die Unternehmensressourcen engmaschig und geht dabei von der Grundannahme aus, dass eine Datensicherheitsverletzung fest zu erwarten ist. Das bedeutet, dass jede Zugriffsanfrage für Unternehmensinformationen oder ‑dienste verifiziert wird, um jeglichen nicht autorisierten Netzwerkzugriff zu verhindern.

Auf ähnliche Weise dient auch eine Umgebung der geringsten Rechte (Least Privilege) als Schutzschild gegen den unbefugten Zugriff auf Software, Dienste, Server, Hardware und mehr durch Konten, die keinen Zugriff benötigen. Sorgfältige Zugriffskontrollen mit regelmäßigen Prüfungen und Aktualisierungen reduzieren die Angriffsfläche enorm.

Besonders in den heutigen Zeiten, in denen immer mehr Unternehmen hybride Arbeitsmodelle umsetzen, sind Zero Trust und Least Privilege leistungsstarke Tools, um Schwachstellen vorzubeugen und sie zu mindern.

Zukünftig sollten Unternehmen Produkte und Softwaretools entwickeln, die Secure by Design sind und Sicherheitsfunktionen direkt integriert haben. Ein Secure by Design-Ansatz legt den Fokus auf die Menschen, die Infrastruktur und die Softwareentwicklung, um die Sicherheitsinfrastruktur eines Unternehmens zu verbessern. Indem sie dieses neue Modell umsetzen, tragen Unternehmen dazu bei, zukünftigen Cyberangriffen vorzubeugen und ihre Folgen zu reduzieren.

Über die Autorin: Chrystal Taylor ist Senior Technical Product Marketing Manager und Head Geek bei SolarWinds.

(ID:49532672)