Schulungen zur Sensibilisierung für Sicherheitsfragen bei Drittanbietern

Eine wirksame Methode zum Umgang mit Sicherheitslücken bei Drittanbietern besteht darin, Schulungen zur Sensibilisierung für Sicherheitsfragen bei diesen Drittanbietern durchzuführen.

Das Lieferanten-Ökosystem ist ein wesentlicher Bestandteil vieler Unternehmen und trägt zum Geschäftserfolg bei. Diese enge, oft komplexe Beziehung zwischen den Lieferanten hat Schwachstellen hervorgebracht, die von Hackern ausgenutzt werden. Sicherheitsschulungen mit Drittanbietern sind von größter Bedeutung.

Das Ausmaß dieser Sicherheitslücken bei Drittanbietern wurde in einer Umfrage von Opinion Matters aus dem Jahr 2020 erfasst: Die Umfrage untersuchte Sicherheitsprobleme im Ökosystem von Drittanbietern unter CIOs, CISOs und Chief Procurement Officers. Eines der besorgniserregendsten Ergebnisse des Berichts war, dass rund 82 % der britischen Unternehmen eine Sicherheitsverletzung erlitten hatten, deren Ursprung im weiteren Lieferanten-Ökosystem lag. Die Umfrage wies zudem darauf hin, dass Großbritannien den geringsten Überblick über Sicherheitslücken in der Lieferkette hat.

Umgang mit den sicherheitsrelevanten Auswirkungen des Einsatzes von Drittanbietern

Schulungen zur Sensibilisierung für Sicherheitsfragen bei Drittanbietern sind ein ganzheitlicher Prozess, der viele verschiedene Komponenten umfasst. Aufgrund der Komplexität dieser Systeme führen sowohl versehentliche Datenoffenlegungen als auch gezielte Cyberangriffe auf die Lieferkette zu schwerwiegenden Sicherheitsbedrohungen und einem erhöhten Unternehmensrisiko.

Unternehmen, die auf Lieferanten und andere Dritte zurückgreifen, sind in der Regel für die Folgen eines Cyberangriffs verantwortlich, selbst wenn das Verschulden bei einem Dritten liegt. Normen wie ISO 27001 und PCI DSS (Payment Card Industry Data Security Standard) enthalten Anforderungen, wonach alle mit Drittanbietern verbundenen Datenrisiken angemessen gesteuert werden müssen.

Eine aktuelle Studie der ENISA ergab, dass 58 % der Angriffe darauf abzielen, Zugriff auf Daten zu erlangen, wobei 62 % der Angriffe darauf beruhen, das Vertrauen der Kunden in die Lieferkette auszunutzen. In dem ENISA-Bericht heißt es:

„Ein starker Sicherheitsschutz reicht für Unternehmen nicht mehr aus, da Angreifer ihr Augenmerk bereits auf Zulieferer verlagert haben.“

In dem Bericht wurde zudem hervorgehoben, dass die Meldung von Vorfällen unzureichend sei, was sich wiederum auf die Erkennbarkeit von Schwachstellen auf den übergeordneten Ebenen auswirke.

Da Lieferketten für so viele Cyberangriffe verantwortlich sind, ist es von entscheidender Bedeutung, den Fokus auf die menschliche Seite der Cybersicherheit zu legen und sicherzustellen, dass sich alle Drittanbieter der Herausforderungen im Bereich der Sicherheit voll und ganz bewusst sind. Die Berücksichtigung des menschlichen Faktors bei der Bewältigung von Cybersicherheitsbedrohungen erfolgt in Form von Schulungen zur Sensibilisierung für Sicherheitsfragen. Doch wie gestaltet ein Unternehmen solche Schulungen zur Sensibilisierung für Sicherheitsfragen mit Drittanbietern?

Wichtige Fragen zur Durchführung von Schulungen zur Sicherheitssensibilisierung bei Drittanbietern

Der Umgang mit Sicherheitslücken in der Lieferkette hängt letztlich von der Schulung der Mitarbeiter entlang der gesamten Lieferkette ab. Die Durchführung von Schulungen zur Sensibilisierung für Sicherheitsfragen bei externen Lieferanten und Mitarbeitern wirft dabei mehrere wichtige Fragen auf:

Verfügt der Drittanbieter über Schulungen zur Sensibilisierung für Sicherheitsfragen?

Erkundigen Sie sich, ob Ihr Anbieter bereits über ein Schulungspaket zur Sensibilisierung für Sicherheitsfragen verfügt. Bedenken Sie jedoch, dass nicht alle Schulungspakete zur Sensibilisierung für Sicherheitsfragen gleichwertig sind. Das Schulungsniveau muss einem Standard entsprechen, der den Erwartungen Ihres Unternehmens gerecht wird. Vergewissern Sie sich, dass die Schulungen in regelmäßigen Abständen durchgeführt werden. Ein unzureichendes Schulungspaket, das keine interaktiven und ansprechenden Schulungsmaterialien verwendet, kann das mangelhafte Sicherheitsverhalten der Mitarbeiter möglicherweise nicht ändern.

Setzt der Lieferant Phishing-Simulationen und andere Maßnahmen zur Sensibilisierung für Phishing ein?

In einer Umfrage von Thales aus dem Jahr 2021 belegte Phishing Platz 3 unter den zehn größten Sorgen hinsichtlich Datenbedrohungen. Malware und Ransomware, die häufig durch Phishing ausgelöst werden, belegten die Plätze 1 und 2.

Bei Phishing-Simulationen durchlaufen die Mitarbeiter sorgfältig konfigurierte, automatisierte Phishing-Simulationsübungen. Im Laufe der Zeit stärkt dies das Selbstvertrauen der Mitarbeiter, sodass sie lernen, die typischen Anzeichen von Phishing zu erkennen und die Bedrohung anschließend zu melden. Erkundigen Sie sich bei Ihrem Anbieter, ob dieser Phishing-Simulationen einsetzt, und falls nicht, unterstützen Sie ihn bei der Entwicklung eines Programms, das typische Phishing-Betrugsversuche simuliert, von denen Ihre Branche betroffen ist.

Bewerten Sie alle bestehenden Schulungskampagnen zur Sensibilisierung für Sicherheitsfragen bei Drittanbietern

Sobald Sie festgestellt haben, dass der Lieferant über ein Schulungsprogramm zur Sensibilisierung für Sicherheitsfragen verfügt, können Sie dessen Wirksamkeit anhand folgender Punkte bewerten:

• Nachweise für Schulungen, z. B. die Teilnahme der Mitarbeiter an Schulungsveranstaltungen, die Art der von den Schulungsteilnehmern gestellten Fragen usw.
• Kennzahlen zur Wirksamkeit der Schulung, z. B.: Wie viele Mitarbeiter konnten eine Phishing-Nachricht erkennen und anschließend melden?

Kennzahlen tragen dazu bei, gezielte Änderungen an einem Programm vorzunehmen, die zu noch besseren Trainingsergebnissen führen.

Was ist, wenn Ihr Drittanbieter keine Schulungen zur Sensibilisierung für Sicherheitsfragen durchführt?

Es wird immer wichtiger, den menschlichen Faktor bei Cyberrisiken anzugehen. Ein weiterer Bericht der ENISA ergab , dass bei 95 % der Phishing-E-Mails menschliches Eingreifen erforderlich ist, um eine Malware-Infektion auszulösen. Darüber hinaus muss auch die Bedrohung durch unbeabsichtigte Insider berücksichtigt werden; der „Verizon Data Breach Investigations Report 2021“ kam zu dem Ergebnis, dass 22 % der Sicherheitsvorfälle Insider betrafen.

Die Mitarbeiter des Lieferanten müssen hinsichtlich des Sicherheitsbewusstseins auf genau demselben hohen Niveau geschult werden wie die Mitarbeiter Ihres eigenen Unternehmens. Um dies zu gewährleisten, muss die Service-Level-Vereinbarung (SLA) zwischen Ihrem Unternehmen und Ihrem Lieferanten das von Ihnen erwartete Schulungsniveau widerspiegeln. Diese rechtliche Vereinbarung sollte vorsehen, dass die Einzelheiten des Sicherheitsschulungsprogramms gemäß Ihren eigenen Standards genehmigt werden. Das Vorhandensein eines SLA, das eine Klausel zur Gewährleistung des Sicherheitsbewusstseins enthält, zeigt, dass der Lieferant sich sowohl für seine eigene Sicherheit als auch für die Ihres Unternehmens einsetzt.

Hervorragende Drittanbieter sichern einen Wettbewerbsvorteil, doch Sicherheitslücken können einen hervorragenden Anbieter zu einer Belastung machen.

Cyberkriminelle suchen nach dem schwächsten Glied in der Kette: dem Lieferanten und dessen Mitarbeitern. Um sicherzustellen, dass diese Schwachstellen in der Kette minimiert werden, sollten Sie darauf achten, dass die Schulungen zur Sicherheitssensibilisierung bei Drittanbietern sorgfältig durchgeführt werden, damit sie Ihren Erwartungen und Standards entsprechen.