Security Awareness Training
Ein Security Awareness Training, oder eine Schulung des Sicherheitsbewusstseins, ist ein formeller Prozess, bei dem Mitarbeiter und Dritte, wie Auftragnehmer und Geschäftspartner, darüber informiert werden, wie die Computersysteme eines Unternehmens, seine Daten, Mitarbeiter und andere Vermögenswerte vor Cyberbedrohungen oder Kriminellen geschützt werden können.
Bei der Ausarbeitung eines guten Schulungsprogramms für das Sicherheitsbewusstsein sollten Unternehmen ihren Mitarbeitern die Wichtigkeit des Schutzes des Unternehmens verdeutlichen und einen Überblick über die entsprechenden Unternehmensrichtlinien und -verfahren geben, in denen festgelegt ist, wie sie sicher arbeiten und an wen sie sich wenden können, wenn sie eine potenzielle Bedrohung entdecken.
Das Training sollte so gestaltet sein, dass es alle Mitarbeiter inklusive der Geschäftsführung in verschiedenen Phasen ihre jeweiligen Tätigkeit, adressiert. So lernen alle, Cybersicherheit standardmäßig ganz selbstverständlich zu einer wichtigen Priorität zu machen. Dies ist für die Gesamtsicherheit eines Unternehmens ein wichtiger Aktivposten.
Die Schulung des Sicherheitsbewusstseins ist wichtig für die Gesamtsicherheit
Der Hauptnutzen von Schulungen zum Thema Cybersicherheit ist der Schutz vor Angriffen auf digitale Systeme oder vor einem Datendiebstahl.
Die Verhinderung solcher Vorfälle ist von entscheidender Bedeutung, denn ein erfolgreicher Cyberangriff kann einem Unternehmen erheblichen Schaden zufügen, den Geschäftsbetrieb beeinträchtigen oder gar lahmlegen sowie den Ruf des Unternehmens beeinflussen.
Trotz der zahlreichen Risiken können Unternehmen dazu beitragen, Vorfälle zu verhindern oder die Auswirkungen erfolgreicher Angriffe zu mindern, indem sie ihre Mitarbeiter darin schulen, wie sie Cybersicherheitsrisiken erkennen, potenzielle Angriffe vermeiden und im Falle eines tatsächlichen Cybervorfalls richtig reagieren.
Was sollte eine gute Security-Schulung beinhalten?
Ein effektives Schulungsprogramm für das Bewusstsein für Cybersicherheit sollte Mitarbeiter mit unterschiedlichem Grad an technischer Begabung und Security-Kenntnissen mit verschiedenen Lernstilen erreichen.
Das Training sollte vielseitig sein, mit einer Sammlung von Lektionen und Lernmöglichkeiten, so dass es jeden im Unternehmen einbezieht, unabhängig von seinem Wissensstand und Lernstil. Darüber hinaus verfügt ein umfassendes Programm über rollenbasierte Inhalte, das heißt, es liefert Lehrmaterial, das auf die Anforderungen der jeweiligen Rolle eines Mitarbeiters zugeschnitten ist, und sogar Material, das auf Drittparteien wie Geschäftspartner und Vertragsarbeiter zugeschnitten ist, um sicherzustellen, dass diese Personen das Unternehmen nicht gefährden.
Folgende Komponenten sollte effektive Schulungen beinhalten:
- Die Bildungsinhalte sollten von schriftlichem Material über interaktives Online-Lernen bis hin zu Gamification-Sitzungen reichen, damit die Mitarbeiter Zugang zu Informationen in den Formaten haben, in denen sie am besten lernen, sei es Audio, visuell oder anderen Darreichungsformen. Die Inhalte sollten Lektionen mit unterschiedlichem Schwierigkeitsgrad umfassen, damit die Mitarbeiter je nach ihren Aufgaben Zugang zu den wichtigsten Informationen haben.
- Nachfassaktionen und fortlaufende Mitteilungen erinnern die Mitarbeiter an die Security-Richtlinien des Unternehmens, bieten kurze Auffrischungen zur Erkennung und Vermeidung von Sicherheitsrisiken und -verstößen sowie zum Umgang mit möglichen Sicherheitsproblemen und warnen sie vor neuen Bedrohungen.
- Durch Tests mit simulierten Angriffen, wie zum Beispiel Phishing-Tests, Umfragen und anderen Beurteilungen, wird bewertet, wie gut sich die Mitarbeiter des Unternehmens an die Sicherheitsrichtlinien halten, und es werden Personen identifiziert, die sich nicht an die bewährten Vorgehensweisen halten.
- Die Erfassung und Berichterstattung über die Beteiligung der Arbeitnehmer an Schulungsprogrammen sowie die Wirksamkeit der Sensibilisierungsmaßnahmen des Unternehmens helfen dabei, etwaige Schwachstellen im Programm und Bereiche, die gestärkt werden müssen, zu ermitteln.
Ein gutes Schulungsprogramm besteht in der Regel aus einer Mischung der folgenden Elemente:
- formale Bildung, wie zum Beispiel strukturierte Lektionen und obligatorischer Unterricht;
- informative Lernangebote, wie beispielsweise wöchentliche E-Mails mit Tipps, aktualisierten Richtlinien und Neuigkeiten zur Cybersicherheit;
- Trainingseinheiten, eventuell mit Gamification-Elementen, bei denen die Mitarbeiter Simulationen und Szenarien durchspielen müssen, um ihr Verständnis zu testen und ihre Ausbildung zu vertiefen, damit sie besser auf reale Herausforderungen im Bereich der Cybersicherheit vorbereitet sind; und
- Security-Beauftragte, das heißt Arbeitnehmer, die über besondere Kenntnisse im Bereich der Cybersicherheit verfügen und bereit sind, ihren Kollegen bewährte Verfahren im Bereich der IT-Sicherheit zu vermitteln und zu fördern.
Ein erfolgreiches Security Awareness Training entwickeln und durchführen
Der Chief Information Security Officer (CISO) und das Security-Team des Unternehmens sollten bei der Ausarbeitung eines Schulungsprogramms für Cybersicherheit federführend sein und auch andere Führungskräfte einbeziehen, um Unterstützung zu erhalten und die wichtigsten Risiken zu verstehen, die das vorgeschlagene Programm angehen soll. Diese Risiken sollten mit der allgemeinen Cybersicherheitsstrategie des Unternehmens übereinstimmen, die die CISOs zusammen mit ihren Kollegen aus der Führungsebene entwickeln.
CISOs sollten Hand in Hand mit der Personalabteilung arbeiten, die in der Regel für die Ausbildung und Entwicklung am Arbeitsplatz zuständig ist, um sicherzustellen, dass das Unternehmen über ein gut ausgearbeitetes und effektives Programm verfügt.
Die mit der Entwicklung des Programms beauftragten Mitarbeiter sollten bei der Ausarbeitung eines Schulungsprogramms die spezifischen Bedrohungen berücksichtigen, denen ihre Branche und ihr Unternehmen ausgesetzt sind, da diese von Branche zu Branche unterschiedlich sein können.
Das Schulungsprogramm für das Sicherheitsbewusstsein sollte umfassend sein, das bedeutet, es sollte mit grundsätzlichen Lektionen beginnen und bis zu fortgeschrittenen Materialien gehen. Es sollte auch ein Bewertungsverfahren enthalten, mit dem Unternehmen den Kenntnisstand ihrer Mitarbeiter im Bereich der Cybersicherheit ermitteln und anschließend einen Lernpfad für sie erstellen können.
Darüber hinaus müssen die Verantwortlichen bei der Entwicklung des Schulungsprogramms berücksichtigen, dass die verschiedenen Rollen innerhalb des Unternehmens unterschiedlichen Risiken und Bedrohungen ausgesetzt sind. Ein Mitarbeiter der Einstiegsebene, der nur begrenzten Zugang zu sensiblen Daten und IT-Kernsystemen hat, ist wahrscheinlich mit weniger Risikoszenarien konfrontiert als eine Führungskraft auf höherer Ebene, die mit geschützten Informationen und Finanzsystemen des Unternehmens arbeitet, oder ein leitender IT-Mitarbeiter, der berechtigt ist, an den Kerntechnologien zu arbeiten, die das Unternehmen ermöglichen.
Größere Unternehmen mit entsprechenden Personalabteilungen sind möglicherweise in der Lage, ihr eigenes Awareness-Schulungsprogramm zu entwickeln und durchzuführen oder es zumindest mit externen Ressourcen zu ergänzen. Viele Unternehmen entscheiden sich jedoch dafür, den größten Teil oder die gesamte Ausbildung auszulagern, da sie dies für den effektivsten und effizientesten Weg halten, die notwendige Ausbildung für ihre Mitarbeiter zu realisieren.
In jedem Fall sollten die Verantwortlichen über Mechanismen verfügen, mit denen sie messen können, ob die Schulung sowohl auf Unternehmensebene als auch auf der Ebene der einzelnen Mitarbeiter effektiv ist.
Wie oft sollten Security Awareness Trainings stattfinden?
Security-Experten sind sich einig, dass das Bewusstsein für Cybersicherheit im Unternehmen ständig geschult werden sollte. Fortlaufende Schulungen helfen den Mitarbeitern, ein Sicherheitsbewusstsein zu entwickeln, und geben ihnen die Möglichkeit, sich über neue Richtlinien und Verfahren zu informieren und sie auf neue und sich entwickelnde Bedrohungen und Risiken aufmerksam zu machen, denen sie ausgesetzt sein könnten. Um dies zu erreichen, sollten die Unternehmen einen Zeitplan aufstellen, in dem festgelegt wird, welche Mitarbeiter wie oft geschult werden müssen.
Schulungen zum Sicherheitsbewusstsein sollten idealerweise bei Eintritt eines neuen Mitarbeiters in das Unternehmen im Rahmen eines obligatorischen Onboarding-Prozesses durchgeführt werden. Viele Experten plädieren auch für ein mindestens jährliches Zertifizierungsverfahren für Mitarbeiter, mit einer Kombination aus formellen und informellen Lektionen, die das ganze Jahr über angeboten werden, um die besten Sicherheitspraktiken im Gedächtnis der Mitarbeiter zu halten.
Wenn Beurteilungen, Bewertungen oder Tests auf einen Mangel an bewährten Vorgehensweisen hindeuten, sollten Organisationen eine obligatorische Schulung für das gesamte Unternehmen oder für einzelne Mitarbeiter in Betracht ziehen.
