Digitalen Wandel positiv und nachhaltig umsetzen Security Awareness und Digitalisierung

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Arctic Wolf Networks Germany GmbH

Digitale Transformation bringt einen fundamentalen Change innerhalb eines Unternehmens mit sich. Ein erfolgreicher Change zeichnet sich immer dadurch aus, dass dieser nachhaltig und mit den Menschen im Unternehmen zusammen umgesetzt wird. Ein Security Awareness Programm, das auf positiv verstärkende Interaktion mit den Mitarbeiterinnen und Mitarbeitern setzt, unterstützt eine Digitalisierung, die diese Kriterien erfüllt.

Eine positive und robuste Unternehmenskultur impliziert, dass Mitarbeiterinnen und Mitarbeiter über die täglichen Cyber-Bedrohungen Bescheid wissen und die entsprechenden Gegenmaßnahmen selbstständig in ihre tägliche Arbeit integrieren. Das kann vor allem durch ein positives und belohnungsorientiertes Security Awareness Programm erreicht und vorangetrieben werden. Kontinuierliche Interaktion mit den Mitarbeiterinnen und Mitarbeitern sowie zielgruppengerechte Kommunikation ist dabei unabdingbar. Positive Verhaltensweisen werden belohnt, da dieser Ansatz erfolgreicher ist als negative Verhaltensweisen zu bestrafen.

Im Ersten Artikel unserer Reihe haben wir sieben Erfolgsfaktoren für die digitale Transformation identifiziert, die wir im Detail besprechen möchten. Eine erfolgreiche digitale Transformation bedeutet gleichzeitig auch, dass diese nachhaltig umgesetzt werden muss. Das impliziert, dass der Schutz des Kerns der digitalen Transformation, die Daten eines Unternehmens, eine zentrale Rolle in der Digitalisierungsstrategie spielt.

IT-Security als Digitalisierungshebel

IT-Sicherheit als Erfolgskonzept für die digitale Transformation

Es liegt auf der Hand, dass Unternehmen in neueste Technologien zum Schutz ihrer Unternehmensdaten investieren sollten. Diese „hard factors“ sind offensichtlich. Der „people factor“ wird in diesem Zusammenhang jedoch oft vernachlässigt. Obwohl empirisch bestätigt ist, dass menschliche Unachtsamkeit und Uninformiertheit ein großes Risiko für eine Datenpanne darstellen (vgl. Lazic 2019: 123), wird diese Tatsache oft nur stiefmütterlich behandelt. Geld in Change Management und Mitarbeiterkommunikation zu stecken, ist im Gegensatz zum Kauf neuester Firewall-Technologien oder Anti-Virus-Software etwas, was einen nicht sofortigen oder messbaren Vorteil für das Unternehmen bietet. Aus diesem Grund wird an diesem Ende am ehesten gespart – allerdings ist diese Sparmaßnahme eine Milchmädchenrechnung. Eine positive und robuste Unternehmenskultur, die bezüglich der IT-Sicherheit sensibilisiert ist, ist essenziell um als Unternehmen in der digitalen Welt langfristig erfolgreich zu sein.

Diese impliziert, dass die Mitarbeiter eines Unternehmens über die täglichen Gefahren bestens informiert, sind, die von Cyber-Angriffen ausgehen und diese durch ihr eigenes, proaktives Verhalten abwenden. Dieser Idealzustand erfordert ein langfristig angelegtes und professionelles Change-Management und entsprechende Mitarbeiterkommunikation. Kurzfristige, punktuelle Maßnahmen führen hier nicht zum Ziel. Eine Sensibilisierung innerhalb der Mitarbeiterschaft kann nur erreicht werden, indem von Seiten der Unternehmensführung richtig investiert wird. Zum einen müssen die entsprechenden Experten und genügend monetäre Mittel zur Verfügung gestellt werden. Zum anderen muss sich das Top-Management dieses Thema selbst zur Aufgabe machen und als Vorbild für ihre Mitarbeiter agieren. Nur wenn das Commitment der Unternehmensführung für alle Mitarbeiter ersichtlich ist, kann der Change gelingen.

Wie kann dieser Wandel innerhalb einer Unternehmenskultur vollzogen werden? Und welche zentralen Aspekte sollte dieser Wandel beinhalten? Zunächst einmal ist es wichtig, dass die Change- und Kommunikationsmaßnahmen nicht nach dem „one size fits all“ Prinzip stattfinden. Eine Differenzierung nach den wichtigsten Stakeholdern im Unternehmen sollte auf jeden Fall stattfinden. Es empfiehlt sich, maßgeschneiderte Maßnahmen für Top-Management und Business und IT-Organisation sowie Grundlagen für alle Mitarbeiter zu vermitteln. Dabei sollte auch zwischen der Art der Ansprache unterschieden werden: Das Grundlagenwissen für alle Mitarbeiter sollte in Form eines Sets an Kernbotschaften kommuniziert werden. Im Gegensatz dazu sollte man bei Top-Management/Business und IT-Organisation genau die Details vermitteln, die für diese Zielgruppen relevant sind (vgl. Lazic 2019: 125). Die Klammer für all diese Maßnahmen sollte eine (Werbe-)kampagne sein, der alle Zielgruppen emotional anspricht. Ein Kampagne also, die nicht technisch formuliert sein sollte, sondern jedem einzelnen in Marketingsprache klarmacht, dass er eine tragende Rolle beim Schützen des Unternehmens spielt. In die Entwicklung der Inhalte sollte selbstverständlich die individuellen Rahmenbedingungen des Unternehmens einfließen, d.h. Unternehmenskultur, Branche etc.

Wer glaubt, dass diese Aktivitäten irgendwann ein Ende haben, der irrt. Bei richtiger Investition und professioneller Durchführung, sollte irgendwann der Reifegrad der Sensibilisierung erreicht sein, bei dem Security Awareness ein integraler Bestandteil der Unternehmenskultur ist – dennoch müssen die Mitarbeiter stetig weiter über die Cyber-Bedrohungen informiert werden, die sich durch den kontinuierlichen digitalen Wandel weiterentwickeln.

Optimierung der Digitalen Transformation

Das Konzept der Agile Security

Es gibt jedoch zentrale Aspekte dieses Wandels, die eine Konstante bilden sollten: Die sensibilisierte Unternehmenskultur sollte auf einem positiven Mindset aufbauen. Im Detail heißt das, dass positives, proaktives Verhalten von Mitarbeitern belohnt werden sollte. Dieser Ansatz ist im Gegensatz zur Bestrafung von negativem Verhalten von größerem Erfolg gekrönt. Was genau ist darunter zu verstehen? Betrachten wir einmal zur Anschauung die Einführung eines unternehmensweiten Anti-Phishing-Trainings. Hier gäbe es zur Umsetzung zwei Möglichkeiten. Die eine Variante setzt darauf, Mitarbeiter, die durch ihr Verhalten das Unternehmen in Gefahr bringen, mit Nachteilen zu belegen. Die andere Variante setzt darauf, zuträgliches Verhalten von Mitarbeitern als lohnenswert zu gestalten. Dafür sollte ein Incentive- bzw. Belohnungssystem entwickelt werden, das je nach Art Frequenz/Umfang der positiven Aktivität eine entsprechende Anerkennung erfolgt. Diese Anerkennung kann beispielsweise eine Nennung im Intranet sein oder ein unternehmensinternes Zertifikat oder eine Urkunde. Insoweit es die Compliance-Regeln des Unternehmens zulassen, sind auch Sachpreise ein wirkungsvolles Mittel, um wünschenswertes Verhalten zu verstärken. Wenn ein Mitarbeiter also oft potentielle Phishing E-Mails dem Security-Team meldet und so aktiv Schaden vom Unternehmen abwendet.

Last but not least sollten alle Awareness-Aktivitäten auch vom Business unterstützt werden. Eine enge Kooperation zwischen der IT-Sicherheit und dem Business ist auch hier unabdingbar. Es muss verstanden werden, warum genau es wichtig ist, die Mitarbeiter für die IT-Sicherheit zu sensibilisieren. Dazu müssen zwischen beiden Seiten Vertrauen und Transparenz herrschen. Auch hier bewahrheitet sich einmal wieder: eine fruchtbare und auf Austausch basierende Beziehung zwischen IT-Security und dem Business ist die Basis für jedwede erfolgreiche Digitalisierungsmaßnahmen.

Verwendete Literatur: Lazic, Vladimir (2019): „Information Security starts with me“ – Mit Information Security Awareness digitale Transformation nachhaltig umsetzen. In: Aengenheyster, Sandra; Dörr, Kim Miriam (Hg.): Praxishandbuch IT-Kommunikation. Springer Verlag. S. 121-130.

Über die Autorinnen

Dr. Kim Miriam Dörr: Als Expertin für IT-Kommunikation mit dem Schwerpunkt auf Information Security berät Dr. Kim Miriam Dörr seit 10 Jahren Führungskräfte in DAX30 Unternehmen verschiedenster Branchen. In internationalen IT-Projekten setzt sie ihre Expertise ein, um Unternehmen bei ihrem erfolgreichen digitalen Wandel zu unterstützen. Frau Dr. Dörr besitzt einschlägige Erfahrung mit den internen Information Security Standards deutscher Top-Unternehmen.

Ema Rimeike: Ema Rimeike besitzt einen Master in Cybersicherheit und ist eine erfahrene C-Level Cybersecurity Sales Executive mit großen weltweiten Kunden, insbesondere in der DACH-Region. Zusammen mit anderen Sicherheitsexperten hat sie Quantum Cybersecurity Skills gegründet, um Unternehmen bei der Transformation ihres Risikomanagements und der Verbesserung der Sicherheitseffizienz zu unterstützen. Quantum Cybersecurity Skills bietet Unternehmen die Lösungen und Beratung, die erforderlich sind, um frühzeitige Geschäftsrisikoindikatoren zu generieren und die Eindämmung von Schwachstellen zu beschleunigen, indem die wichtigsten Bedrohungen für kritische Prozesse identifiziert werden.

(ID:47731757)