Blog

Die Sicherheitskultur spielt eine zentrale Rolle, wenn es darum geht, die Anfälligkeit für Sicherheitsvorfälle eines Unternehmens zu senken. Um eine starke Sicherheitskultur zu erreichen, sind allerdings Massnahmen an vielen Fronten notwendig: bei den Menschen, den Prozessen, bei der Technologie und bei externen Partnern. Denn Kultur setzt sich zusammen aus Menschen, Prozessen und der Technologie, die sie unterstützt. Beispielsweise können Programme zur Sensibilisierung der Benutzer das Risiko verringern und, wenn sie entsprechend ausgerichtet sind, die Benutzererfahrung und die Produktivität erhöhen, indem sie die sicherheitsrelevanten Verhaltensweisen und die allgemeine Sicherheitskultur in einem Unternehmen verbessern. Vor allem die Menschen sollen ein klares Verständnis von der Bedeutung der Cybersicherheit haben und sich als wichtigen Teil davon sehen. So kann sichergestellt werden, dass die Mitarbeitenden sich potenzieller Bedrohungen bewusst sind und wissen, wie sie damit umgehen oder wo sie sie melden können.

Charakteristika einer starken Sicherheitskultur

Die Fähigkeit einer Organisation, sich wirksam gegen Cyberangriffe zu verteidigen, wird erheblich verbessert, wenn ihre Sicherheitskultur gut etabliert ist und alle Beteiligten auf ein gemeinsames Ziel hinarbeiten. Insofern zeichnet sich eine starke Sicherheitskultur durch mehrere Merkmale aus:

• Das wichtigste Ziel ist der Schutz der Unternehmenswerte mit klarem Fokus auf die „Kronjuwelen“ des Unternehmens.
• Cybersicherheits-Tools werden zielgerichtet eingeführt und sind auf eine hohe Benutzer-Akzeptanz ausgerichtet.
• Potenzielle Risiken, denen die Mitarbeitenden und das Unternehmen ausgesetzt sind, wurden erhoben und bewertet.
• Die Einführung von Sicherheitsrichtlinien wird flankiert durch Trainings, Coachings und adäquate Massnahmen, um deren Akzeptanz sicherzustellen. Das Unternehmen braucht nicht viel Zeit, um sich von schwerwiegenden Sicherheitsvorfällen zu erholen, weil erforderliche Massnahmen und Abläufe bereits bekannt, dokumentiert und eingeübt sind.

Die Sicherheitskultur muss zudem Teil einer umfassenderen Unternehmenskultur sein, die die Mitarbeitenden dazu ermutigt, durchdachte Entscheidungen zu treffen, die mit den Sicherheitsrichtlinien in Einklang stehen. Sie setzt voraus, dass die Mitarbeitenden die Sicherheitsrisiken kennen und wissen, wie sie diese Risiken vermeiden können. Es geht um den Aufbau und die Durchsetzung eines Rahmenwerks mit Aufgaben, die die Sicherheit des Unternehmens gewährleisten. Die meisten Unternehmen haben Jahre und zahllose Ressourcen in den Erwerb und die Erstellung ihrer Datenbestände investiert. Wenn diese verloren gehen, gestohlen oder beschädigt werden, kann sich dies auf Jahre hinaus negativ auf das Geschäftsergebnis und die Reputation auswirken. Umgekehrt jedoch kann eine unternehmensweite Sicherheitskultur viel Geld sparen, den Ruf verbessern und jahrelange Probleme beseitigen.

Von den Vorteilen profitieren

Die Vorteile einer gesunden Sicherheitskultur liegen auf der Hand: weniger Zwischenfälle, wie z. B. Klicks auf schädliche Phishing-Links, und weniger Zeitaufwand für die Wiederherstellung von Geräten und Diensten. All dies bedeutet Zeit- und Geldersparnis für das Unternehmen. Aber es gibt auch andere, weniger vordergründige Vorteile, wie z. B. die einfachere Einführung neuer Technologien und Prozesse und die Tatsache, dass Mitarbeitende proaktiv mitteilen, wenn etwas nicht in Ordnung ist, so dass die IT schneller handeln kann. Die Mitarbeitenden sind jedoch immer die erste Verteidigungslinie gegen einen Cyberangriff.

Hemmschwellen auf dem Weg zur Sicherheitskultur

Der Weg zur Etablierung einer Sicherheitskultur kann jedoch schwierig sein. Eines der grössten Probleme ist häufig die fehlende Unterstützung durch das Management. Die Geschäftsleitung muss von der Sinnhaftigkeit der Ausgaben überzeugt sein und die Finanzierung gewährleisten. Oft scheitert die Einführung einer Sicherheitskultur aber auch an der Tatsache, dass die angeordneten Sicherheitsmassnahmen nicht immer akzeptiert oder verstanden werden. Auch Konflikte zwischen der IT und anderen Bereichen oder innerhalb der IT wirken sich negativ aus.

Best Practices

Verantwortliche für Informationssicherheit, die eine unternehmensweite Sicherheitskultur entwickeln wollen, sollten diese fünf Best Practices befolgen:

1. Alle auf ein gemeinsames Ziel einschwören
   Die Sicherheit eines Unternehmens ist nur so stark wie ihr schwächstes Glied. Schwachstellen in der Sicherheitskultur können zu einer Vielzahl von Sicherheitsvorfällen führen, z. B. Klicks in Phishing-E-Mails, die an Führungskräfte gesendet wurden, oder aus Malware, die auf den Computern von Mitarbeitenden installiert wurde. Es ist hilfreich, einen Schritt zurückzutreten und sich ein Gesamtbild der Cybersicherheitsziele zu verschaffen und zu sehen, wie eine Sicherheitskultur das Erreichen dieser Ziele ermöglicht. Mitarbeitende der Führungsebene sollten den Weg weisen, indem sie aufzeigen, wie das Ziel der Organisation in die Realität umgesetzt werden kann.
    
2. Stellen Sie den Menschen in den Mittelpunkt
   Oft wird diese Regel dahingehend missverstanden, dass alle Mitarbeitenden eine obligatorische Schulung zum Sicherheitsbewusstsein absolvieren müssen. Besser ist es, herauszufinden, wie sich die Menschen verhalten und mit welchen Hindernissen sie konfrontiert sind. Darauf aufbauend kann dann festgelegt werden, wie man diese Probleme angehen kann. Zudem sollten solche Schulungen inhaltlich interessant sein und Mitarbeitenden im Idealfall auch privat einen Nutzen bieten. Denn schliesslich sind Mitarbeitende nicht nur das schwächste Glied in der Sicherheitskette eines Unternehmens, sondern gleichzeitig auch die erste Front gegen Angriffe.
    
3. Investieren Sie in Schulungen zum Cyber-Bewusstsein
   Sich in der heutigen Welt der Cyberkriminalität zurechtzufinden, ist eine schwierige Aufgabe. Benutzerschulungen und -trainings, z. B. Security Awareness Trainings, können erfolgreich verhindern, dass Mitarbeitende zu einer Schwachstelle im Bereich der Cybersicherheit werden. Diese Schulungen sollten auch Aktivitäten wie die Teilnahme an Phishing-Kampagnen oder Live-Hacking Events beinhalten, um maximale Wirksamkeit zu erzielen.
    
4. In die richtigen Sicherheitstools investieren
   Eine gute Sicherheitskultur besteht aus dem optimalen Zusammenspiel von Menschen, Prozessen und Technologie. Cybersicherheits-Tools sind daher nicht ausser Acht zu lassen und sollen die Benutzer in der Anwendung und Befolgung der Cybersecurity-Prozesse gezielt unterstützen.
    
5. Mit einem zuverlässigen Security-Anbieter zusammenarbeiten
   Viele Unternehmen können die weitgreifenden Security-Aufgaben nicht intern durch eigenes Personal und Know-how abdecken. Spezialisierte Security-Anbieter wie ISPIN füllen diese Lücke durch kompetente und erfahrene Experten und durch individuelle Lösungen von der Awareness-Kampagne bis zur Implementierung von konkreten und auf die Bedürfnisse abgestimmten Sicherheitslösungen- und Services.

Ein hohes Sicherheitsbewusstsein schützt Ihr Unternehmen und verschafft Ihnen einen Wettbewerbsvorteil. Betrachten Sie die Mitarbeitenden nicht nur als Security-Problem, sondern als wesentlichen Teil der Lösung. Denn eine Belegschaft, die kompetent in Sachen Sicherheitskultur ist, kann mit den Bedrohungen umgehen und so Schaden vom Unternehmen abwenden.

Zusammen. Sicher.

Wie ist es um Ihre Sicherheitskultur bestellt? Sind Ihre Berechtigungen ein einziges Chaos? Blickt auf der Firewall keiner mehr durch? Dauern die Updates zu lang? Kontaktieren Sie uns, unsere Security-Experten beraten Sie gerne.

Sie haben einen Security-Notfall und brauchen Hilfe? Unser Incident Response Team ist 7x24 für Sie da.