Die Entwicklung einer Compliance-Kultur ist ebenso wichtig wie die Schaffung einer Arbeitskultur innerhalb von Unternehmen. Unternehmen wie Equifax und Capital One sorgen für einen Medienrummel, wenn Daten, für die sie verantwortlich sind, offengelegt werden; Datenlecks gibt es jedoch in vielen Formen und Größenordnungen. Zu den schädlichsten zählt ein versehentlicher Datenverlust durch einen Mitarbeiter. Die Folgen einer solchen Datenoffenlegung können für ein Unternehmen enorme Auswirkungen haben, da der Verlust sensibler Daten nicht nur peinlich ist und den Ruf schädigt, sondern auch Ihre Compliance-Situation beeinträchtigen und zu hohen Geldstrafen führen kann.
Der Aufbau einer „Kultur der Cybersicherheits-Compliance“ kann dazu beitragen, dass Ihr Unternehmen nicht zu einer weiteren Zahl in der Compliance-Statistik wird; hier erfahren Sie, wie und warum.
Wenn gute Insider versehentlich zu schlechten werden
Viele Branchen haben mit dem einfachen Problem von durch Menschen verursachten Unfällen und Fehlern zu kämpfen, wie beispielsweise der fehlerhaften Konfiguration einer Datenbank oder der versehentlichen Zustellung einer vertraulichen E-Mail. Solche Cybersicherheitsvorfälle sind leider nur allzu häufig; der „Verizon Data Breach Investigations Report 2021 “ kam zu dem Ergebnis, dass 22 % der Sicherheitsvorfälle auf Insider zurückzuführen waren.
Manche Insider-Bedrohungen mögen durchaus böswillig sein, doch auch unbeabsichtigte Vorfälle können erhebliche Auswirkungen auf die Compliance-Situation eines Unternehmens haben – wie das Beispiel der Australian National University zeigt. Ein leitender Mitarbeiter der Universität gab versehentlich 700 MB an Daten preis, darunter Namen, Adressen, Steuernummern, Bankkontodaten usw. Der Vorfall ereignete sich, als eine erfolgreiche Spear-Phishing-Kampagne, die auf Dutzende von E-Mail-Konten von ANU-Mitarbeitern abzielte, dazu führte, dass Hacker über einen privilegierten Benutzernamen und ein Passwort Zugriff auf das Netzwerk erlangten.
Falsch adressierte E-Mails sind eine weitere häufige Ursache für Datenlecks. Eine falsche Adressierung oder Zustellung von E-Mails kann leicht passieren, wobei die Verwendung des Feldes „cc“ anstelle von „bcc“ eine häufige Ursache für die versehentliche Weitergabe sensibler Informationen ist. Dies geschah im Jahr 2020 bei Sonos, als ein Mitarbeiter versehentlich mehr als 450 E-Mail-Adressen offenlegte, indem er bei der Beantwortung von Kundenbeschwerden die Adressen der Kunden in das „cc“-Feld statt in das „bcc“-Feld eintrug. Der Vorfall wurde der ICO von einem betroffenen Kunden aus der „cc“-Liste gemeldet.
Eine wirksame Methode, diesem Verhalten entgegenzuwirken, besteht darin, den Mitarbeitern bewusst zu machen, welche Auswirkungen einfache Unfälle oder Phishing-E-Mails auf die Compliance-Situation eines Unternehmens haben. Wenn dies gut umgesetzt wird, führt diese Einbindung der Mitarbeiter in Compliance-Fragen zu einer einheitlichen Kultur der Cybersicherheits-Compliance.
So schaffen Sie eine Kultur der Einhaltung von Cybersicherheitsvorschriften
Compliance-Schulungen setzen ein Verständnis der Gesetze und Vorschriften voraus, die für Ihr Unternehmen relevant sind. Die Vorschriften gehen Hand in Hand mit der Cybersicherheit, wenn es um Datenschutzgesetze wie die britische Datenschutzverordnung (DPA2018) und die Datenschutz-Grundverordnung der EU (DSGVO) geht. Die Sensibilisierung der Mitarbeiter für Compliance-Themen ist der Weg zu einer Kultur der Cybersicherheits-Compliance.
Die Verwendung des Begriffs „Kultur“ ist von Bedeutung. Eine Unternehmenskultur umfasst Ideen, Gepflogenheiten und – was besonders wichtig ist – Verhaltensweisen. Menschliches Verhalten ist die Ursache für viele versehentliche Datenlecks, insbesondere im Zusammenhang mit Phishing. Der Drang zum Anklicken ist beim Menschen stark ausgeprägt, da wir darauf konditioniert wurden, Computer sowohl zu Hause als auch am Arbeitsplatz auf eine bestimmte Art und Weise zu nutzen. Diese Gewohnheiten aufzubrechen und stattdessen eine Unternehmenskultur zu etablieren, die von Wissen und Verständnis dafür geprägt ist, wie Cybersicherheit und Compliance zusammenwirken, beginnt an der Spitze und breitet sich über die gesamte Organisation aus.
5 Schritte zum Aufbau einer Compliance-Kultur, die Cybersicherheit in den Mittelpunkt stellt:
- Investieren Sie in Sicherheit und Compliance: Setzen Sie sich für die notwendigen Veränderungen ein und fördern Sie diese, um das Bewusstsein für die Compliance-Anforderungen zu schärfen. Dies erfordert Investitionen in Zeit, Ressourcen und Finanzen; ein Engagement auf Vorstandsebene für den Aufbau dieser Compliance-Kultur ist erforderlich.
- Entwickeln Sie ein motivierendes Compliance-Programm für einen Kulturwandel: Eine Compliance-Kultur im Bereich Cybersicherheit überwindet Grenzen und festgefahrene Verhaltensmuster. Diese Verhaltensmuster müssen auf unterhaltsame und motivierende Weise durchbrochen werden. Setzen Sie Schulungsmaßnahmen ein, die Mitarbeiter und die Führungsetage aktiv einbeziehen.
- Schaffen Sie Verständnis und Wissen rund um das Thema Compliance: Menschen können sich nicht ändern oder eine Richtlinie befolgen, wenn sie nicht verstehen, warum von ihnen etwas verlangt wird. Klären Sie Ihre Mitarbeiter über die Hintergründe und Gründe der Compliance-Anforderungen auf. Erstellen Sie ein wirksames Compliance-Programm, das die Rolle Ihrer Mitarbeiter bei der Gewährleistung der Datensicherheit und der Einhaltung von Vorschriften definiert.
- Sicherheit und Compliance gehen alle an: Der Aufbau einer neuen Compliance-Kultur ist eine gemeinsame Aufgabe. Ihr Programm muss dies widerspiegeln. Alle Bereiche Ihres Unternehmens sind gleichberechtigte Partner beim Aufbau Ihrer Cybersicherheits-Compliance-Kultur. Allerdings sind nicht alle Aspekte der Compliance-Kultur gleichrangig, und Programme sollten auf bestimmte Abteilungen zugeschnitten sein. So muss beispielsweise in der Personalabteilung der Schwerpunkt auf der fehlerhaften Zustellung von E-Mails liegen, während in der IT-Abteilung der Fokus stärker auf der fehlerhaften Konfiguration von Datenbanken und Servern liegen sollte. Alle sollten über die Anforderungen der Vorschriften und Compliance-Richtlinien informiert werden, die für Ihre Branche und Ihre Region gelten.
- Feedback und kontinuierliche Verbesserung der Kultur: Vorschriften ändern sich, Mitarbeiter vergessen Schulungsinhalte und Systeme werden aktualisiert. Der Aufbau einer Compliance-Kultur, die Cybersicherheit und Compliance-Maßnahmen umfasst, ist keine einmalige Aufgabe. Das Programm muss regelmäßig aktualisiert und umgesetzt werden. Eine Möglichkeit, Ihre Cybersicherheits- und Compliance-Kultur zu überprüfen, besteht darin, Ihren Mitarbeitern zuzuhören. Dies trägt auch dazu bei, deren Engagement beim Aufbau dieser Kultur zu festigen und die Einhaltung der Vorschriften sicherzustellen.
Unsere Mitarbeiter sind letztendlich die Verantwortlichen für die Daten, die unsere Unternehmen generieren, weitergeben, speichern und entsorgen. Ihre Belegschaft muss sich der Auswirkungen ihres Handelns auf die Compliance-Situation eines Unternehmens sowie der Rolle, die sie bei der Aufrechterhaltung dieser Situation spielt, bewusst sein. Es reicht jedoch nicht aus, diese Botschaft lediglich zu vermitteln!
Um tief verwurzelte Verhaltensweisen und Überzeugungen zu ändern, muss eine Compliance-Kultur einen Kernwert darstellen, der den Anforderungen moderner Cybersicherheitsbedrohungen und den Vorschriften zur Datensicherheit gerecht wird; und wie alle kulturellen Veränderungen kann auch diese nur dann wirksam sein, wenn die von dieser Veränderung Betroffenen sie mittragen.