Interview mit Michael Helisch von HECOM Security Awareness Consulting Security Awareness wird selten nachhaltig umgesetzt

Anbieter zum Thema

Arvato Systems

Vogel IT-Akademie

Insider Research

Hinsichtlich der Security Awareness genügt es nicht, die IT-Anwender im Unternehmen einmal zu schulen. Das Wissen muss immer wieder aufgefrischt werden. Michael Helisch von HECOM Security Awareness Consulting hat sich mit Security-Insider über das Thema nachhaltiges Sicherheitsbewusstsein unterhalten.

Security-Insider: Offenbar genießt Security Awareness heute nicht mehr den Stellenwert, wie noch vor einigen Jahren. Was sind nach Ihrer Meinung die Ursachen, Budgeteinsparungen oder eine fehlende Wirksamkeit (ROSI) von Security Awareness?

Michael Helisch: Den Trend, dass Security Awareness Maßnahmen immer mehr unter den Tisch fallen, kann ich so nicht bestätigen. Im Gegenteil: der Druck zur nachhaltigen Sensibilisierung nimmt aus meiner Sicht zu – nicht zuletzt aufgrund der Tatsache, dass das rechtliche bzw. regulatorische Umfeld immer restriktiver wird.

Meiner Meinung nach ist allerdings festzustellen, dass Security Awareness nicht nachhaltig umgesetzt wird. Dies liegt unter anderem daran, dass viele Unternehmen das Thema methodisch falsch angehen. Security Awareness ist eben nicht nur ein Problem mangelnden Wissens und/oder mangelnder Begeisterung für das Thema Sicherheit.

Wenn aus Awareness dauerhafte Compliance im eigentlichen Sinn des Wortes werden soll, ist an weiteren (methodischen) Stellschrauben zu drehen, vor allem in den Bereichen Organisation und Personal. Unternehmenskultur, Identifikation mit dem Unternehmen seien hier beispielsweise als Stichworte genannt. Im Security-Fachblatt Hakin9 habe ich mich insbesondere mit dem Thema Sicherheitskultur im Unternehmen beschäftigt.

Awareness wird immer ein „weiches Thema“ bleiben, was insbesondere in puncto Erfolgsmessung gerne Anlass zu Diskussionen gibt. Auch damit wird man leben müssen.

Security-Insider: Befindet sich der Mitarbeiter heute womöglich in einer Komfortzone, in der er erwartet, dass die Technik ihn vor allen Problemen zuverlässig schützt?

Michael Helisch: Aus Sicht des Anwenders wird Sicherheit, gerade im beruflichen Umfeld, einer ständigen Kosten-Nutzen-Abwägung unterzogen. Für das meist mit einem Mehraufwand verbundene, dauerhaft sicherheitskonforme Verhalten, braucht es aus seiner Perspektive eine geeignete (subjektive) Rechtfertigung.

Wissen um die Risiken und Folgen ist eine notwendige aber nicht ausreichende Rahmenbedingung. Der Mitarbeiter muss das Unternehmen schützen wollen – und zwar nicht nur, weil gerade ein wenig Marketing für Sicherheit gemacht wird. Er/sie wird dies auch ohne Marketing tun, wenn ihm/ihr das Unternehmen oder das Team in der er/sie arbeitet „lieb und teuer sind“. Auch hier sind wir wieder beim Thema Identifikation mit dem eigenen Unternehmen als dem für den Erfolg der Awareness-Arbeit wichtigsten Faktor.

Security Awareness ist ein steter Prozess

Security-Insider: Trotz technischer Maßnahmen, braucht es den Mitarbeiter, der z.B. wie eine Phishing-Attacke auf seine Identität erkennt. Auf welche Schwerpunkte sollte heutzutage Security Awareness besonderen Wert legen, um einen maximalen Nutzen zu bieten? Was können Sie empfehlen?

Michael Helisch: Erfolgreiche Sicherheitsmaßnahmen umsetzen heißt dafür zu sorgen, dass die drei wichtigsten Elemente der Sicherheitskette – ich nenne sie „die 3Ps der Sicherheit“, nämlich Produkte, Personen und Prozesse – vernünftig ineinander greifen.

Dabei ist der Mensch das zentrale Kettenglied, da er die ihm zur Verfügung gestellten Sicherheitsprodukte adäquat bedienen muss und die definierten Sicherheitsprozesse mit Leben füllt. Ein Sicherheitsbewusstsein zu schaffen, um Compliance zu erreichen, ist ein ständiger und weit verzweigter (Veränderungs-)Prozess.

Wenn diese Einsicht bei allen Beteiligten vorhanden ist – insbesondere bei denen, die das Budget dafür zur Verfügung stellen – ist schon viel erreicht. Desweiteren gehören für mich die Punkte „Relevanz“ der angesprochenen Themen für den Einzelnen und „Glaubwürdigkeit“ im Sinne von aktivem Vorleben durch die Führungskraft zu den Top 3 der Erfolgsfaktoren.

Security-Insider: Wie sehen Sie die Zukunft von IT Sicherheit. Wird man auf Security Awareness irgendwann verzichten können oder muss man immer die menschlichen und technischen Aspekte berücksichtigen?

Michael Helisch: Um auf den ersten Teil der Frage zu antworten: Nein, sicher nicht, allein schon aufgrund der Tatsache, dass sich die Bedrohungsszenarien immer weiterentwickeln werden. Die entscheidende Frage ist: Was muss ich dafür an Aufwand betreiben?

Nachhaltig erfolgreich wird man dabei nur mit einen ganzheitlichen Ansatz, der deutlich über das Thema Sicherheit als solches hinaus geht und beispielsweise organisatorische wie auch personelle Themen integriert. Das macht es für den Awareness-Verantwortlichen nicht unbedingt leichter, es spiegelt aber die Komplexität wider, in der wir uns bei diesem Thema nun mal bewegen.

Michael Helisch ist Gründer und Inhaber von HECOM Security Awareness Consulting. Das Interview führte Ralph Dombach.

(ID:36071540)