Der "Mensch in der Maschine" ist ein grundlegender Aspekt bei der Entwicklung einer wirksamen Strategie zur Minimierung von Cybersicherheitsrisiken. Diese Aussage hat jedoch viele Aspekte, denn unsere Mitarbeiter sind ein wesentlicher Bestandteil des Erfolgs unserer Organisation. Anstatt Schuldzuweisungen vorzunehmen, müssen wir das Bösartige vom Zufälligen unterscheiden, das Erstere erkennen und das Letztere verhindern.
Durch gezielte Schulungen zum Sicherheitsbewusstsein können die menschlichen Faktoren, die zu menschlichem Versagen führen, gemildert werden. Hier erfahren Sie, wie und warum das Risiko der Cybersicherheit durch Sicherheitsbewusstsein gemanagt werden kann.
Warum menschliche Faktoren zu Cybersicherheitsrisiken führen
Der menschliche Faktor bei Cybersicherheitsrisiken wird gewöhnlich als "Insider-Bedrohung" bezeichnet. Bei den "Insidern" handelt es sich um Mitarbeiter und Nicht-Mitarbeiter, wie z. B. Berater. Die einfache Tatsache, dass Insider ein integrierter Bestandteil der Prozesse eines Unternehmens sind und IT-Ressourcen mit Erlaubnis nutzen, macht es schwierig, die menschlichen Versäumnisse, die zu Cybersicherheitsrisiken führen, zu beseitigen.
Insider-bedingte Cybersicherheitsrisiken sind ein großes Problem: Der 2020 Insider Threat Report von Cyber Security Insiders zeigt, dass sich 68 % der Unternehmen "mäßig bis extrem anfällig" für Insider-Bedrohungen fühlen. Dies ist nicht überraschend, wenn man sich einige der Schlagzeilen über Cyberangriffe des letzten Jahres ansieht, wie z. B. den Twitter-Hack von 2020, bei dem auf hochkarätige Twitter-Konten, darunter auch das von Barack Obama, zugegriffen wurde und Twitter-Nutzer dazu gebracht wurden, illegale Bitcoin-Transaktionen durchzuführen. Der Schaden wird auf rund 180 Millionen Dollar (129 Millionen Pfund) geschätzt, und der Aktienkurs von Twitter wurde um 4 % gedrückt. Bei dem Hack wurden Twitter-Mitarbeiter durch Speerphishing angegriffen und privilegierte Anmeldedaten gestohlen.
Cyberkriminelle nutzen menschliche Faktoren, um sich unbefugt Zugang zu verschaffen, Anmeldedaten zu stehlen und IT-Systeme und Endgeräte mit Malware wie Ransomware zu infizieren. Ohne den Mensch-im-Maschine-Effekt wäre die Cyberkriminalität viel schwieriger.
Die menschlichen Faktoren, die zu menschlichem Versagen führen
Nach einer Untersuchung von IBM sind die drei wichtigsten Bereiche, auf die man sich bei der Entwicklung von Sicherheitsstrategien zur Minderung von Cybersicherheitsrisiken konzentrieren sollte:
- Phishing
- Scannen und ausnutzen
- Unbefugte Verwendung von Zugangsdaten
Bei allen drei Vektoren ist an irgendeinem Punkt der Angriffskette ein menschlicher Faktor beteiligt.
Phishing und Spear-Phishing - menschliche Faktoren: Hier muss ein menschliches Ziel auf einen Link klicken oder einen infizierten Anhang öffnen, um die Infektionskette in Gang zu setzen. Oft wird Phishing eingesetzt, um privilegierte Benutzer anzusprechen (Spear-Phishing), um deren Anmeldedaten abzugreifen. Privilegierte Benutzer haben Zugang zu wichtigeren Ressourcen - der Diebstahl von privilegierten Zugangsdaten ist der goldene Kelch des Hackings. Hier kommt ein menschlicher Faktor ins Spiel, z. B. die automatische Klickreaktion.
Scannen und Ausnutzen - menschliches Versagen: Hacker nutzen alles, was ihnen das Leben leicht macht, und die Möglichkeit, automatisch nach Schwachstellen zu suchen, ist ein nützlicher Vektor für die Infektion mit Malware. IT-Systemkomponenten wie Webserver, Datenbanken und Cloud-Anwendungen können falsch konfiguriert werden, wenn die Auswirkungen mangelnder Sicherheit nicht vollständig verstanden werden. Unsichere Anwendungen und Webkomponenten führen zu Sicherheitslücken, die von Hackern ausgenutzt werden können. In diesem Fall führt menschliches Versagen zu einem Cybersicherheitsrisiko.
Unbefugte Verwendung von Zugangsdaten - menschliches Versagen und menschliche Faktoren: Diebstahl von Zugangsdaten führt zu unbefugtem Zugriff auf IT-Systeme und -Ressourcen. Zu den Möglichkeiten der unbefugten Nutzung von Berechtigungsnachweisen gehören:
- Shoulder Surfing: Anmeldedaten werden gestohlen, wenn eine böswillige Person jemanden bei der Eingabe eines Passworts beobachtet.
- Phishing: Eine Person wird dazu verleitet, ihre Anmeldedaten auf einer gefälschten Anmeldeseite einzugeben.
- Social Engineering: eine Person dazu bringen, ihre Anmeldedaten per Telefon, über soziale Medien oder andere Kommunikationsmethoden wie E-Mails, Helpdesks und SMS zu übermitteln.
Bei allen drei erfolgreichsten Hacking-Vektoren spielen sowohl der menschliche Faktor als auch menschliches Versagen eine große Rolle. Das Cybersicherheitsrisiko konzentriert sich auf unsere Mitarbeiter und Nicht-Mitarbeiter, aber wie können wir dieses Risiko verringern?
Bewährte Praktiken, die verhindern, dass menschliche Faktoren zu menschlichem Versagen werden?
Eine Studie von Kaspersky, die sich mit der Rolle menschlicher Faktoren bei Cybersicherheitsrisiken befasste, ergab, dass "unvorsichtiges oder uninformiertes Personal" die zweitwahrscheinlichste Ursache für eine schwerwiegende Sicherheitsverletzung ist; die Infektion mit Malware steht an erster Stelle, wird aber oft selbst durch unvorsichtiges oder uninformiertes Personal verursacht. Angesichts des hohen Risikos, das mit menschlichen Faktoren verbunden ist, ist die Verringerung von Fehlern von entscheidender Bedeutung für die Minderung des Sicherheitsrisikos.
Zwei Bereiche fallen auf, die sowohl nachlässiges als auch uninformiertes Personal betreffen:
Unvorsichtige Entscheidungen, die zu Sicherheitsmängeln führen: Schlechte Sicherheitsentscheidungen wie die Fehlkonfiguration von IT-Systemen und -Komponenten oder das Klicken auf einen Phishing-Link, ohne darüber nachzudenken, sind menschliche Fehler, die zu einem erhöhten Cybersicherheitsrisiko führen. Die Fehlkonfiguration von IT-Systemen und -Komponenten ist ein Beispiel für eine unbedachte Sicherheitsentscheidung. Das Anklicken eines Phishing-Links ist ein weiteres. Sowohl IT- als auch Nicht-IT-Mitarbeiter sind zu unbedachten Entscheidungen fähig, die zu Sicherheitsmängeln führen. Eine grundlegende Maßnahme zur Minderung des Cybersicherheitsrisikos besteht darin, sicherzustellen, dass alle Mitarbeiter, sowohl technische als auch nicht-technische, sich der Auswirkungen ihrer Entscheidungen bewusst sind.
Uninformiertes Personal führt zu Sicherheitsmängeln: Wenn sich die Mitarbeiter nicht über ihre Handlungen im Klaren sind, wie können sie dann die Konsequenzen für die Sicherheit erkennen? Unternehmen schulen ihre Mitarbeiter routinemäßig in anderen Bereichen des Unternehmens, und dies sollte auch auf die Schulung des Sicherheitsbewusstseins ausgedehnt werden. Die Sicherheitsschulung des Personals umfasst auch das Verständnis der Funktionsweise von Phishing sowie anderer gängiger Sicherheitsfehler, wie die gemeinsame Nutzung von Passwörtern und die falsche Zustellung von E-Mails. Laut dem Verizon Data Breach Investigation Report (DBIR) steigt die Zahl der Falschzustellungen als eine Form menschlichen Versagens weiter an.
Abmilderung des menschlichen Faktors bei Cybersicherheitsrisiken
Die Kaspersky-Studie hat ein entscheidendes Element menschlichen Versagens im Sicherheitsbereich identifiziert - den Drang, Fehler zu verbergen. Die Umfrage ergab, dass in 40 % der Unternehmen die Mitarbeiter Sicherheitsvorfälle verheimlichen. Diese Zahl sollte die Alarmglocken läuten lassen und die Mitarbeiter veranlassen, ihre Sicherheitsschulungen zu intensivieren. Selbst wenn die Mitarbeiter die Tragweite eines Sicherheitsvorfalls verstanden haben, sahen sie sich gezwungen, die Informationen zu verbergen. Dies wirft die Frage nach dem Warum auf, auf die es eine zweiteilige Antwort gibt:
Machen Sie Sicherheit zu einer Kultur: Es mag wie ein Klischee klingen, aber wenn der Sicherheitsgedanke in Ihrer Unternehmenskultur verankert ist, ist es weniger wahrscheinlich, dass die Mitarbeiter überfordert sind und Angst haben, wenn etwas passiert. Eine Sicherheitskultur wird durch Sicherheitsschulungen geschaffen, die dazu beitragen, bei den Mitarbeitern positive Sicherheitsgewohnheiten zu entwickeln.
Erleichtern Sie die Meldung von Sicherheitsvorfällen: Vorfälle müssen gemeldet werden, damit das richtige Fachpersonal entsprechend dem Risiko auf sie reagieren kann. Ein Meldesystem, das so konzipiert ist, dass die Meldung für die Mitarbeiter sehr einfach ist, macht die Meldung von Vorfällen weniger mühsam und erhöht die Wahrscheinlichkeit, dass sie erfolgt.
Menschliche Faktoren führen zu menschlichem Versagen. Indem ein Unternehmen das menschliche Verhalten, das zu unbedachten Fehlern und schlechten Entscheidungen führt, in den Griff bekommt, kann es das Cybersicherheitsrisiko verringern.
