Die Entwicklung einer Compliance-Kultur ist ebenso wichtig wie die Schaffung einer Arbeitsplatzkultur in Unternehmen. Organisationen wie Equifax und Capital One lösen Medienstürme aus, wenn Daten unter ihrer Aufsicht aufgedeckt werden; Datenlecks gibt es jedoch in vielen Formen und allen Größen. Eines der schädlichsten ist ein versehentliches Datenleck durch einen Mitarbeiter. Die Folgen einer solchen Datenenthüllung können für ein Unternehmen enorme Auswirkungen haben, denn der Verlust sensibler Daten ist nicht nur peinlich und rufschädigend, sondern kann sich auch auf die Einhaltung von Vorschriften auswirken und zu hohen Geldstrafen führen.
Der Aufbau einer Compliance-Kultur im Bereich der Cybersicherheit kann verhindern, dass Ihr Unternehmen zu einer Statistik über die Einhaltung von Vorschriften wird; hier erfahren Sie, wie und warum.
Wenn gute Insider versehentlich böse werden
Viele Sektoren werden durch das einfache Problem der von Menschen verursachten Unfälle und Fehler geplagt, wie z. B. die falsche Konfiguration einer Datenbank oder die falsche Zustellung einer sensiblen E-Mail. Diese Cybersicherheitsvorfälle sind leider nur allzu häufig. Der Verizon 2021 Data breach Investigations Report stellt fest, dass 22 % der Sicherheitsvorfälle auf Insider zurückzuführen sind.
Einige Insider-Bedrohungen mögen zwar böswillig sein, aber auch unbeabsichtigte Bedrohungen können massive Auswirkungen auf die Compliance eines Unternehmens haben. Ein leitender Angestellter der Universität gab versehentlich 700 MB an Daten preis, darunter Namen, Adressen, Steuernummern, Bankkontodaten usw. Der Vorfall ereignete sich, als eine erfolgreiche Spear-Phishing-Kampagne, die auf Dutzende von E-Mails von ANU-Mitarbeitern abzielte, dazu führte, dass sich Hacker über einen privilegierten Benutzernamen und ein Passwort Zugang zum Netzwerk verschafften.
Fehlgeleitete E-Mails sind eine weitere häufige Ursache für Datenlecks. E-Mail-Fehlleitungen oder -Zustellungen sind leicht zu bewerkstelligen, wobei die Verwendung von "cc" anstelle von "bcc" eine gängige Methode ist, um versehentlich sensible Informationen weiterzugeben. Dies geschah im Jahr 2020 bei Sonos, als ein Mitarbeiter versehentlich mehr als 450 E-Mail-Adressen preisgab, indem er bei der Beantwortung von Kundenbeschwerden Kundenadressen in das cc-Feld statt in das bcc-Feld eintrug. Der Vorfall wurde dem ICO von einem verärgerten Kunden in der cc-Liste gemeldet.
Ein wirksames Mittel, um dieses Verhalten in Frage zu stellen, besteht darin, den Mitarbeitern bewusst zu machen, welche Auswirkungen einfache Unfälle oder Phishing-E-Mails auf die Compliance-Stellung eines Unternehmens haben. Wenn es gut gemacht ist, wird diese Einbeziehung der Mitarbeiter in Compliance-Fragen zu einer kohärenten Compliance-Kultur im Bereich der Cybersicherheit führen.
Aufbau einer Compliance-Kultur für Cybersicherheit
Compliance-Schulungen erfordern ein Verständnis der Gesetze und Vorschriften, die Ihr Unternehmen betreffen. Die Vorschriften verzahnen sich mit der Cybersicherheit, wenn es um Datenschutzgesetze wie die britische Datenschutzverordnung (DPA2018) und die allgemeine Datenschutzverordnung (GDPR) der EU geht. Der Aufbau eines Compliance-Bewusstseins unter den Mitarbeitern ist der Weg zu einer Compliance-Kultur im Bereich der Cybersicherheit.
Die Verwendung des Wortes "Kultur" ist wichtig. Eine Unternehmenskultur umfasst Ideen, Bräuche und vor allem Verhaltensweisen. Hinter vielen versehentlichen Datenschutzverletzungen, insbesondere bei Phishing, steckt menschliches Verhalten. Der Drang zum Klicken ist bei Menschen sehr stark, da wir darauf konditioniert wurden, Computer auf eine bestimmte Art und Weise zu benutzen, sowohl zu Hause als auch am Arbeitsplatz. Dies zu durchbrechen und durch eine Unternehmenskultur zu ersetzen, in der das Wissen und das Verständnis für die Wechselwirkungen zwischen Cybersicherheit und Compliance im Vordergrund stehen, beginnt an der Spitze des Unternehmens und breitet sich über die gesamte Organisation aus.
5 Schritte zur Schaffung einer Compliance-Kultur, die Cybersicherheit einbezieht:
- Investitionen in Sicherheit und Compliance: Setzen Sie sich für den Wandel ein, der notwendig ist, um das Bewusstsein für die Compliance-Erwartungen zu schärfen. Dies erfordert eine Investition in Zeit, Ressourcen und Finanzen; eine Verpflichtung auf Vorstandsebene zum Aufbau dieser Compliance-Kultur ist erforderlich.
- Aufbau eines ansprechenden Compliance-Programms für einen Kulturwandel: Eine Compliance-Kultur für Cybersicherheit durchbricht Grenzen und eingefahrene Verhaltensweisen. Das Durchbrechen dieser Verhaltensweisen muss auf unterhaltsame und ansprechende Weise geschehen. Nutzen Sie Schulungssitzungen, die Mitarbeiter und Führungskräfte aktiv einbeziehen.
- Schaffen Sie Verständnis und Wissen rund um die Einhaltung von Vorschriften: Menschen können eine Richtlinie nicht ändern oder befolgen, wenn sie nicht verstehen, warum sie zu etwas aufgefordert werden. Bringen Sie Ihren Mitarbeitern das Warum und Weshalb der Compliance-Anforderungen bei. Schaffen Sie ein effektives Compliance-Programm, das ihre Rolle bei der Aufrechterhaltung von Datensicherheit und Compliance definiert.
- Sicherheit und Einhaltung von Vorschriften sind für alle da: Der Aufbau einer neuen Compliance-Kultur ist eine gemeinsame Erfahrung. Ihr Programm muss dies widerspiegeln. Alle Teile Ihres Unternehmens sind gleichberechtigte Partner beim Aufbau Ihrer Compliance-Kultur im Bereich der Cybersicherheit. Allerdings sind nicht alle Teile der Compliance-Kultur gleich, und die Programme sollten auf die einzelnen Abteilungen zugeschnitten sein. So kann die Personalabteilung beispielsweise den Schwerpunkt auf die falsche Zustellung von E-Mails legen, während die IT-Abteilung sich mehr auf die falsche Konfiguration von Datenbanken und Servern konzentrieren muss. Alle sollten für die Anforderungen der Vorschriften und Compliance-Richtlinien sensibilisiert werden, die zu Ihrer Branche und Ihrem Standort passen.
- Feedback und kontinuierliche Verbesserung der Kultur: Vorschriften ändern sich, Menschen vergessen Schulungen, und Systeme werden aktualisiert. Der Aufbau einer Compliance-Kultur, die Cybersicherheit und Compliance-Bemühungen einschließt, ist keine einmalige Aufgabe. Das Programm muss regelmäßig aktualisiert und umgesetzt werden. Eine Möglichkeit, Ihre Cybersicherheits- und Compliance-Kultur zu überprüfen, besteht darin, Ihren Mitarbeitern zuzuhören. Dies trägt auch dazu bei, ihre Beteiligung am Aufbau dieser Kultur zu festigen und die Einhaltung der Vorschriften zu gewährleisten.
Unsere Mitarbeiter sind die eigentlichen Hüter der Daten, die unsere Organisationen erzeugen, weitergeben, speichern und entsorgen. Ihre Mitarbeiter müssen sich der Folgen ihres Handelns für die Compliance-Situation eines Unternehmens und der Rolle, die sie bei der Aufrechterhaltung dieser Situation spielen, bewusst sein. Es reicht jedoch nicht aus, die Botschaft nur zu übermitteln!
Um tief verwurzelte Verhaltensweisen und Überzeugungen zu ändern, muss eine Compliance-Kultur ein zentraler Wert sein, der die Anforderungen moderner Cybersicherheitsbedrohungen und Datensicherheitsvorschriften widerspiegelt; und wie alle kulturellen Veränderungen kann dies nur dann effektiv sein, wenn diejenigen, die von dieser Veränderung betroffen sind, sie mittragen.
