Was ist Security Awareness Training und sollten Sie es in Ihrem Arbeitsbereich anwenden?

Forschungsberichte legen nahe, dass bis zu 90% aller Datenschutzverletzungen auf die eine oder andere Weise mit menschlichem Versagen zusammenhängen. Es ist schwer zu sagen, wie genau diese Schätzung ist, aber nachdem wir bis jetzt einige Cybersicherheitsvorfälle behandelt haben, können wir mit Sicherheit sagen, dass die Daten in den meisten Fällen kompromittiert werden, nicht weil die Hacker zu schlau sind, sondern weil die Verantwortlichen dafür verantwortlich sind Sicherstellen, dass es nicht genug getan hat. Schwache Passwörter und andere Konfigurationsfehler sind an der Tagesordnung, und Unternehmen scheinen nicht besonders sicher zu sein, wie sie dies ändern können. Noch einmal, es ist alles andere als einfach, auf die Gründe hinzuweisen, warum es sich als so schwierig erweist, das Problem zu lösen. Wenige Menschen sind jedoch bereit zu argumentieren, dass der Mangel an Bewusstsein kein Teil des Problems ist.

Die Arbeiter wissen einfach nicht genug über die Bedrohungslandschaft

Es ist leicht, die meisten Cybersicherheitsfehler auf Rücksichtslosigkeit zurückzuführen, und es ist fair zu sagen, dass eine nicht unerhebliche Anzahl von Experten dies häufig tut. Wir gehen jedoch davon aus, dass Fehler häufig das Ergebnis einer alten Unwissenheit sind.

Benutzer schützen vertrauliche Konten nicht mit Kennwörtern wie "P @ ssword123!" weil sie wollen, dass Daten in die falschen Hände geraten. Sie tun es, weil sie nicht wissen, wie leicht moderne Brute-Force-Angriffe solche Passwörter knacken können.

Sie speichern vertrauliche Informationen auf schlecht gesicherten Servern, nicht weil sie sehen möchten, dass das Unternehmen, für das sie arbeiten, aus den falschen Gründen Schlagzeilen macht, sondern weil sie nicht wissen, wie schnell Cyberkriminelle die anfälligen Daten finden können.

Kurz gesagt, wenn die Menschen wissen, mit welcher Gefahr sie konfrontiert sind, sind sie besser vorbereitet, sich davor zu schützen.

Benötigt Ihr Unternehmen ein Schulungsprogramm für Sicherheitsbewusstsein?

Es ist keine Frage, ob es nötig ist. Es ist eine Frage, welche Art von Training es braucht. Leider ist die Beantwortung nicht so einfach, wie Sie vielleicht hoffen, da keine zwei Organisationen gleich sind. Wenn Ihre Mitarbeiter die meisten Daten beispielsweise in einer Offline-Umgebung verarbeiten, hilft es ihnen nicht viel, ihnen die richtige Konfiguration der Firewall eines Servers beizubringen.

Ein gutes Sicherheitsbewusstseinsprogramm hängt von umfassenden Kenntnissen der Tools und Mechanismen ab, mit denen Ihre Mitarbeiter ihre Arbeit erledigen. Entweder Sie oder ein angestellter Experte müssen jedes einzelne Detail berücksichtigen, wenn Sie die Sicherheit Ihres Unternehmens wirklich verbessern möchten. Dies ist zwar zeit- und (potenziell) kostenintensiv, doch die Vorteile dieser Art von Schulung können den Aufwand bei weitem überwiegen. Bevor Sie jedoch zu all dem gelangen, müssen Sie Ihren Mitarbeitern einige grundlegende Wahrheiten über die Sicherheit des 21. Jahrhunderts sowohl in der realen Welt als auch im Internet beibringen.

Die Grundlagen des Sicherheitsbewusstseins

Ein umfassendes Schulungsprogramm, das auf die Bedürfnisse Ihres Unternehmens zugeschnitten ist, ist der beste Weg, um die Datensicherheit zu verbessern. Bevor Sie sich jedoch damit befassen, müssen Sie sicherstellen, dass jeder über einige universelle Bedrohungen informiert ist, die sowohl zu Hause als auch im Büro berücksichtigt werden müssen. Wir werden sie uns jetzt ansehen und Ihren Mitarbeitern hoffentlich helfen, sicherer zu bleiben.

• Schlechte Passworthygiene

• Wir haben das Problem der Passwörter auf diesen Seiten ziemlich ausführlich besprochen, und es ist wahrscheinlich an der Zeit, dass Sie es auch mit Ihren Mitarbeitern besprechen. Anstatt sich an theoretische Möglichkeiten zu halten, geben Sie ihnen Beispiele für Bedrohungen wie

Zeugnisfüllung

• und

Passwort sprühen

• Angriffe, und versuchen, ihnen zu zeigen, wie Hinzufügen von "123!" Bis zum Ende eines einfachen Wörterbuchworts wird nicht viel dazu beitragen, die Stärke des Kennworts zu erhöhen. Zeigen Sie ihnen ganz entscheidend, wie spezielle Tools zur Passwortverwaltung wie das

Cyclonis Password Manager

• können ihnen helfen, ihre Anmeldedaten zu generieren, zu organisieren und zu speichern.

• • Phishing-Angriffe

Phishing ist wohl der einfachste Cyberangriff, den es gibt. Zum einen wird in den meisten Fällen die älteste und bekannteste Methode für die Online-Kommunikation (E-Mail) verwendet, und obwohl die von den Betrügern angewendeten Vertrauens-Tricks häufig sehr klug sind, ist die technische Arbeit, mit der die Betrugsmaschine in Gang gesetzt wird, sehr umfangreich nicht sehr viel. Dies sind, ob Sie es glauben oder nicht, genau die Gründe, warum Phishing-Angriffe in der Regel so effektiv sind. Das Versenden einer großen Anzahl von E-Mails ist billig, und es ist gar nicht so schwierig, einen Trick zu finden, der die Benutzer dazu bringt, auf den falschen Link zu klicken oder die falsche Datei zu öffnen. Wenn sich Ihre Mitarbeiter dessen bewusst sind, werden sie mit größerer Wahrscheinlichkeit die Werkzeuge verwenden, die ihnen zur Verfügung stehen, um sich selbst zu schützen.

• • Fehlende Zwei-Faktor-Authentifizierung

Indem Sie die Zwei-Faktor-Authentifizierung (oder 2FA) aktivieren, stellen Sie den Hackern ein weiteres Hindernis in den Weg. Dies bedeutet, dass sie nicht nur Ihren Benutzernamen und Ihr Passwort benötigen, sondern auch Zugriff auf Ihre E-Mail-Adresse, Ihr Telefon oder ein physisches Token, das Sie besitzen. Diese sind der zweite Faktor, der die Wahrscheinlichkeit eines unbefugten Zugriffs begrenzt.

2FA ist nicht ausfallsicher. Weit davon , in der Tat, aber es ist immer noch der einfachste Weg , eine weitere Sicherheitsebene hinzuzufügen, und Ihre Mitarbeiter sollen es auf jeden Fall , wann immer möglich verwenden.

• • Veraltete und anfällige Software

Erneut ist es unwahrscheinlich, dass die theoretische Erklärung der Gefahren, die mit alter Software verbunden sind, bei Ihren Mitarbeitern Anklang findet. Wenn Sie ihnen hingegen zeigen, wie Benutzer aufgrund einer Sicherheitsanfälligkeit, die vor zwei Jahren hätte behoben werden müssen, weiterhin mit Malware infiziert werden, ist die Wahrscheinlichkeit höher, dass sie abhören. Die rechtzeitige Installation aller Sicherheitspatches kann sowohl für einzelne Benutzer als auch für ganze Unternehmen eine Menge Kopfschmerzen ersparen. Dies kann zwar manchmal zu Problemen führen, insbesondere wenn die verwendete Software komplexer ist, kann aber keine Entschuldigung dafür sein, Systeme anfällig zu machen. Schließlich kann ein potenzieller Datenverstoß nicht nur die Informationen von Personen gefährden. Es kann auch den Ruf eines Unternehmens massiv schädigen.

• • Die Sicherheit persönlicher Geräte

Sie könnten argumentieren, dass dies eher eine Angelegenheit der Politik als des Trainings ist, aber in den Tagen der BYOD-Kultur (Bring Your Own Device) können wir dies nicht ignorieren. Die Forscher haben die Trends beobachtet und sind zu dem Schluss gekommen, dass sich Arbeitnehmer in der Tat wohler fühlen, wenn sie auf ihren eigenen Handys, Laptops oder Tablets arbeiten. Die Experten sind jedoch zu dem Schluss gekommen, dass viele Menschen nicht genug tun, um ihre Daten zu schützen, weil sie der Meinung sind, dass sie nichts zu verlieren haben. Wenn Sie Ihre Mitarbeiter ihre persönlichen Geräte für arbeitsbezogene Aufgaben verwenden lassen möchten, müssen Sie sicherstellen, dass sie genau wissen, wie hoch der Einsatz ist. Sie müssen auch Regeln durchsetzen, die festlegen, was auf einem persönlichen Gerät ausgeführt werden kann und was nicht. Außerdem sollten Sie über eine Investition in ein starkes Identity Access Management- System (IAM) nachdenken.

• • Physische Sicherheit

Wenn Ihre Mitarbeiter den größten Teil ihrer Arbeit mit Hilfe von Computern oder anderen elektronischen Geräten erledigen, ist dieser Punkt möglicherweise nicht besonders wichtig. Dies ist jedoch nicht ganz der Fall. Natürlich muss der Zugang zum Gebäude und zum Büro Ihres Unternehmens genau überwacht werden, aber es gibt auch andere, weniger offensichtliche Faktoren, die berücksichtigt werden müssen.

Im vergangenen Jahr machte die Hawaiian Emergency Management Agency beispielsweise Schlagzeilen, nachdem ein Journalist versehentlich einen Post-It-Zettel mit einem Passwort fotografiert hatte. Selbst wenn die Daten im digitalen Format vorliegen, können sie in der physischen Welt immer noch kompromittiert werden. Im Jahr 2017 verlor ein Mitarbeiter von Heathrow einen USB-Stick mit "sensiblen persönlichen Daten". Das Flash - Laufwerk wurde schließlich gefunden und zurückgegeben, aber die größte Flughafen der UK landete die Zahlung eine Geldstrafe von rund ₤ 120,000 (ca. $ 150,000 bei dem aktuellen Wechselkurs).

Es gibt viele andere Beispiele für die Gefährdung von Daten in der realen Welt. Deshalb ist es wichtig, Ihren Mitarbeitern beizubringen, dass die Sicherheit der Informationen, die Sie auf einem tragbaren Speichergerät ablegen, genauso wichtig ist wie die Sicherheit der Daten, die Sie online hochladen.

Der Rest des Schulungsprogramms sollte darauf abzielen, unternehmensspezifische Aufgaben sicherer zu machen, und sich wieder mehr auf Beispiele aus der Praxis als auf theoretisches Wissen konzentrieren. Bevor Sie jedoch dazu kommen können, müssen Sie die Grundlagen legen, und wir halten die oben aufgeführte Liste für einen guten Anfang. Das Tolle daran ist, dass Ihre Mitarbeiter, wenn sie wissen, worauf sie sich einstellen, mit größerer Wahrscheinlichkeit ihre eigenen Regeln und Grenzen festlegen und sich an diese halten. Dies erleichtert Ihnen die Arbeit erheblich.