Menschliche Faktoren: Der Aufbau einer robusten Cybersicherheitskultur
In diesem Artikel erörtern wir, wie IT-Fachleute ihren Teams dabei helfen können, die Risiken zu mindern, die mit dem Faktor Mensch zusammenhängen. Lesen Sie unsere praktischen Tipps, wie Sie Ihre Kolleginnen und Kollegen motivieren können, als erste Verteidigungslinie gegen Cybersicherheitsbedrohungen zu agieren.
Gemäss dem Global Risks Report des Weltwirtschaftsforums waren 2022 95% aller Sicherheitsverstösse auf menschliche Fehler zurückzuführen.
Ihre Mitarbeitenden sind also das grösste Sicherheitsrisiko für Ihr Unternehmen. Aber können sie wirklich für etwas verantwortlich gemacht werden, das sie nicht wissen oder nicht verstehen?
Menschliche Fehler sind unbeabsichtigt und passieren oft aufgrund fehlender Kenntnisse. Der Faktor Mensch ist die Art und Weise, wie ein Unternehmen, eine Kultur, eine Stelle und eine Person zusammenwirken, um den Menschen dieses Wissen zu vermitteln und ihre Zuverlässigkeit am Arbeitsplatz zu verbessern. Es ist also wichtig, dass wir unsere Aufmerksamkeit insbesondere im Bereich der Cybersicherheit auf den Faktor Mensch legen.
Risiken für die Cybersicherheit im Homeoffice: Der Faktor Mensch
Viele Unternehmen mussten in den vergangenen Jahren auf Fernarbeit und hybrides Arbeiten umstellen. Diese Arbeitsweise bringt viele Vorteile wie eine grössere Flexibilität und eine verbesserte Produktivität mit sich. Jedoch ergeben sich daraus für die Mitarbeitenden auch neue Herausforderungen im Bereich der Cybersicherheit.
Homeoffice-Arbeit kann folgende Konsequenzen haben:
- Ein entspannteres Umfeld, in dem die Mitarbeitenden weniger wachsam sind
- Mehr Ablenkung und folglich weniger Aufmerksamkeit
- Ein Hin- und Herwechseln zwischen privaten und beruflichen Geräten, wobei die einen die andern infizieren können
- Eine unsichere Nutzung des Netzwerks
Mit der Berücksichtigung des Faktors Mensch können IT-Fachleute Möglichkeiten erkennen, mit denen sie Mitarbeitenden bei der Bewältigung von Bedrohungen helfen und eine widerstandsfähige Cybersicherheitskultur fördern können.
Was ist eine Cybersicherheitskultur?
Eine gute Cybersicherheitskultur entwickelt sich, wenn alle Mitarbeitenden wissen und verstehen, wie sie möglichst sicher arbeiten.
Der Faktor Mensch ist die beste Verteidigung gegen Cyberangriffe und gleichzeitig das schwächste Glied. Es sind Menschen, nicht Technologien, die eine effektive Cybersicherheitskultur schaffen. Die erste Verteidigungslinie sollte von Mitarbeitenden gebildet werden, die das Wissen, den Instinkt und das Bewusstsein haben, Sicherheitsprobleme anzugehen. IT-Abteilungen sollten dafür sorgen, dass die Mitarbeitenden über genügend Sicherheitskenntnisse verfügen, um die Widerstandsfähigkeit des Unternehmens zu gewährleisten.
6 Schritte für eine robuste Cybersicherheitskultur
Wenn die Unternehmenskultur nicht den Anforderungen entspricht, kann der Faktor Mensch für die Cybersicherheit zu einem erheblichen Risiko werden. Geben Sie Ihren Teams das nötige Selbstvertrauen, um in sechs einfachen Schritten eine widerstandsfähige Cybersicherheitskultur aufzubauen.
1. Technischen Jargon vermeiden
Die exzessive Verwendung von Fachbegriffen kann für diejenigen, die sie nicht verstehen, sehr mühsam sein. Es ist daher wichtig, dass die Mitarbeitenden möglichst einfach über bewährte Verfahren im Bereich der Cybersicherheit aufgeklärt werden.
Verwenden Sie bei der Kommunikation mit Ihren Kolleginnen und Kollegen ausserhalb der IT-Abteilung eine leicht verständliche Sprache. Buchhalter, Designer und Catering-Teams verstehen vielleicht das Konzept von Ransomware, Trojanern, Computerwürmern und Malware nicht. Aber sie werden verstehen, dass Schadsoftware oft durch gefälschte E-Mails verbreitet wird, um Computersysteme zu infizieren.
Verkomplizieren Sie Ihre Botschaften nicht zu sehr. Das Wissen über Blockchiffrieralgorithmen oder Egress-Filtering wird Ihren Teams nicht helfen, eine positive Kultur der Cybersicherheit zu fördern. Es wird Ihre Mitarbeitenden nur verwirren und sie in Zusammenhang mit der Cybersicherheit unsicher machen.
Erklären Sie Ihren Teams, was sie wissen müssen, um sicher zu arbeiten und bei Bedarf Massnahmen zur Verhinderung eines Cyberangriffs zu ergreifen.
2. Eine Cybersicherheits-Checkliste zur Verfügung stellen
Eine Checkliste, auf die jede Person in Ihrem Unternehmen Zugriff hat, sorgt für gute Gewohnheiten im Bereich Cybersicherheit.
Erläutern Sie in einem leicht verständlichen Dokument, welche Massnahmen jede einzelne Person wann und wie ergreifen sollte, um das Risiko eines Cyberangriffs zu verringern.
Hier sind einige Beispiele dafür, was Sie in eine Checkliste für Cybersicherheit aufnehmen könnten.
- Virenschutz installieren und alle zwei Wochen auf Updates überprüfen
- Dateien wöchentlich in der Cloud sichern
- Alle Bildschirme von Laptops und anderen Geräten sperren, wenn man in einem Co-Working-Office arbeitet
- Immer ein VPN verwenden
- Für jedes Konto und jedes Gerät ein eindeutiges, sicheres Passwort verwenden
- Passwörter monatlich ändern
- Bei allen E-Mails das Prinzip «Vertraue niemandem, verifiziere jeden» anwenden (Zero-Trust-Ansatz)
- Virtuelle Meetings mit einem Passwort und Warteräumen schützen
- Bluetooth und die gemeinsame Nutzung von Dateien deaktivieren, wenn diese Funktionen nicht benötigt werden
Es ist wichtig, sich der Bedrohungen auf Netzwerk-, Geräte- und Output-Ebene bewusst zu sein. Die Verwendung einer Checkliste kann diesen dreistufigen Sicherheits-Ansatz gewährleisten und Ihre Daten und Geräte schützen.
Fügen Sie Screenshots, Links oder Videos hinzu, um aufzuzeigen, wie jede Massnahme effizient durchgeführt werden kann. Dieses visuelle Element fungiert als Schritt-für-Schritt-Anleitung und Nachschlagewerk. Einige Kolleginnen oder Kollegen bevorzugen vielleicht diesen selbstgesteuerten Ansatz
3. Das Bewusstsein für Notfallszenarien schärfen
Mit einer Checkliste kann sichergestellt werden, dass die Mitarbeitenden die besten Praktiken zur Cybersicherheit befolgen. Allerdings können auch die widerstandsfähigsten Unternehmen Opfer von Cyberangriffen werden. Daher ist es auch so wichtig, dass alle Teammitglieder wissen, was zu tun ist, wenn sie vermuten, dass etwas nicht stimmt.
Ein häufiges Beispiel, das die Einleitung von Notfallmassnahmen erfordert, ist eine verdächtige E-Mail, die im Posteingang eines Mitarbeitenden landet. Die Teams müssen wissen, was in einem solchen Fall zu tun ist. Wichtig ist auch, dass sie wissen, wer Teil des IT-Sicherheitsteams ist und dass sie sich im Zweifelsfall immer an diese Personen wenden können. Ihre Cybersicherheits-Checkliste könnte auch noch mit einem Leitfaden für Notfallmassnahmen ergänzt werden, damit alle Informationen an einem Ort sind.
Ein solcher Leitfaden sollte die folgenden Punkte enthalten:
- Wer ist der erste Ansprechpartner?
- Wie kann diese Person kontaktiert werden?
- Betriebszeiten
- Was muss ausserhalb dieser Betriebszeiten gemacht werden?
Beispiele der wichtigsten Notfallmassnahmen:
- Nicht auf verdächtige Links klicken
- Keine verdächtigen Anlagen öffnen
- Keine verdächtigen Anlagen an andere weiterleiten
- Nicht auf verdächtige E-Mails antworten
- So schnell wie möglich das IT-Sicherheitsteam kontaktieren.
4. Beispielszenarien aufzeigenAuch wenn es trivial erscheinen mag, ist ein kurzes Training am Schreibtisch ein effektiver Weg, um den Mitarbeitenden zu helfen, über die menschlichen Schwachstellen in der Cybersicherheit nachzudenken. Ein solches unternehmensweit durchgeführtes Training testet das Verständnis Ihrer Mitarbeitenden für verschiedene Sicherheitsprobleme und erhöht ihr Bewusstsein.
Gut strukturierte Fragen werden Ihren Teams helfen:
- ihre Cybersicherheitsgewohnheiten selbst zu beurteilen
- motiviert zu bleiben, die Cybersicherheitsrichtlinien zu befolgen
- sich die Cybersicherheits-Checkliste in Erinnerung zu rufen
- Ihr Wissen über mögliche Cybersicherheits-Szenarien anzuwenden
Das Training kann so gestaltet werden, dass einzelne Aspekte der Cybersicherheit, z.B. die Arbeit im Homeoffice, getestet werden.
Motivieren Sie Ihre Kolleginnen und Kollegen mit «Sicherheitspunkten», die wöchentlich aktualisiert werden. Verknüpfen Sie diese mit Schulungen, Quizspielen und dem Aufspüren potenzieller Bedrohungen. Durch solche Anreize wird eine versierte Belegschaft aufgebaut, die die Cybersicherheit als einen wichtigen Teil der Sicherheit in Ihrem Unternehmen betrachtet.
Ein einfaches Poster am Schwarzen Brett im Büro, eine wöchentliche E-Mail im Stil eines Newsletters oder eine Update-Nachricht würdigt die Cyber-Helden Ihres Unternehmens, die das Unternehmen vor einer potenziellen Bedrohung oder einem kostspieligen Angriff bewahrt haben. Dies ermutigt andere, die Cybersicherheits-Prozesse zu befolgen und potenzielle Bedrohungen zu erkennen.
Sie könnten eine monatliche E-Mail erstellen, in der alle aktuellen Betrugsfälle aufgeführt sind, auf die man achten sollte. Diese regelmässigen Aktualisierungen sorgen dafür, dass das Thema Cybersicherheit auf der Tagesordnung bleibt.
Die Einführung einer Cybersicherheitskultur wird nicht alle Risiken beseitigen - es wird immer Bedrohungen geben, die selbst die am besten vorbereiteten Unternehmen austricksen. 2021 war Ransomware die wichtigste Angriffsart in Europa, was bedeutet, dass es auch weiterhin Cyberangriffe gibt.
Mit der Umsetzung eines menschenzentrierten Ansatzes für die Cybersicherheit und die Befolgung der sechs Schritte von Brother zum Aufbau einer robusten Cybersicherheitskultur können IT-Fachleute ihre Kolleginnen und Kollegen jedoch dazu befähigen, dieses Risiko zu verringern.
FAQ
Was ist der Unterschied zwischen einem menschlichen Fehler und dem Faktor Mensch?
Menschliche Fehler sind unbeabsichtigt und passieren oft aufgrund fehlender Kenntnisse. Der Faktor Mensch ist die Art und Weise, wie ein Unternehmen, eine Kultur, eine Stelle und eine Person zusammenwirken, um den Menschen dieses Wissen zu vermitteln und ihre Zuverlässigkeit am Arbeitsplatz zu verbessern.
Wie wichtig ist der Faktor Mensch in der Cybersicherheit?
Bei der Cybersicherheit kommt der Faktor Mensch ins Spiel, wenn Situationen, die zu einem unerlaubten Zugriff oder einer Datenverletzung führen, auf eine menschliche Handlung zurückzuführen sind.
Menschen sind fehlbar und machen Fehler. Ein Mitarbeitender kann abgelenkt, gestresst, beschäftigt, verärgert oder allzu selbstsicher sein. Diese Eigenschaften können zu Fehlern führen. Daher wird der Faktor Mensch immer das schwächste Glied in der Cybersicherheit sein.
