Warum Ihr Dashboard für Personalrisiken Ihnen nicht weiterhilft

Inhaltsverzeichnis

• Was misst ein typisches Dashboard für Personalrisiken?
• Warum Aktivitätskennzahlen nur einen Teil des Gesamtbildes widerspiegeln
• Das Problem, wenn man sich auf Phishing-Klickraten verlässt
• Was CISOs tatsächlich von der Berichterstattung über menschliche Risiken benötigen
• Vom reinen Aktivitätsmonitoring zur Risikominderung
• Überdenken Sie, wie Sie menschliche Cyberrisiken messen

Sicherheitsteams verfügen über mehr Daten als je zuvor. Abschlussquoten von Schulungen, Ergebnisse von Phishing-Simulationen, Meldequoten, Interaktionen mit Richtlinien und eine wachsende Liste weiterer Kennzahlen lassen sich alle in Dashboards einbinden und dem Unternehmen präsentieren.

Das Problem besteht darin, dass mehr Daten nicht zwangsläufig ein klareres Bild der durch Menschen verursachten Cyberrisiken liefern.

Unser Studie „Rethinking Human Cyber Risk“ ergab, dass 74 % der CISOs angeben, ihre derzeitige Berichterstattung zu menschlichen Cyberrisiken erzeuge zwar Dashboards, biete jedoch kein ausreichend klares Verständnis, um bessere Entscheidungen zu treffen. Noch aufschlussreicher ist, dass 89 % nicht mit Sicherheit einen Zusammenhang zwischen Maßnahmen zur Sensibilisierung für Sicherheitsfragen und einem Rückgang von Vorfällen oder Beinahevorfällen herstellen können.

Dies stellt die Sicherheitsverantwortlichen vor eine schwierige Situation. Einerseits erheben sie Daten und erstatten Bericht über ihre Sensibilisierungsprogramme, andererseits stehen sie unter zunehmendem Druck, nachzuweisen, dass diese Programme das Risiko verringern.

Was fehlt also?

Was misst ein typisches Dashboard für Personalrisiken?

Die meisten Dashboards zur Sensibilisierung für Sicherheitsfragen sind gut darin, Aktivitäten darzustellen. Sie können Ihnen Aufschluss darüber geben, wie viele Mitarbeiter eine Schulung absolviert haben, wer eine simulierte Phishing-E-Mail geöffnet hat, wer auf einen Link geklickt hat, wie viele verdächtige E-Mails gemeldet wurden oder ob eine bestimmte Kampagne ihre Zielgruppe erreicht hat.

Jede dieser Kennzahlen erfüllt einen bestimmten Zweck. Abschlussquoten können dazu beitragen, die Einhaltung von Vorschriften nachzuweisen, während Daten aus Phishing-Simulationen Verhaltensweisen aufzeigen können, die möglicherweise weitere Aufmerksamkeit erfordern. Das Problem entsteht, wenn die Aktivität zum Hauptkriterium für die Beurteilung des Erfolgs wird.

Unseren Untersuchungen zufolge geben 70 % der CISOs an, dass sich ihre derzeitige Berichterstattung zum Sicherheitsbewusstsein auf Aktivitätskennzahlen wie den Abschluss von Schulungen oder die Klickraten bei Phishing-Angriffen stützt. Diese Zahlen lassen sich leicht erfassen, einfach in ein Dashboard integrieren und den Führungskräften problemlos präsentieren.

Was sie jedoch weniger gut beantworten können, ist die Frage, die CISOs zunehmend beantworten müssen: Nimmt das durch Menschen verursachte Cyberrisiko ab?

Warum Aktivitätskennzahlen nur einen Teil der Gesamtlage widerspiegeln

Stellen Sie sich vor, 98 % der Mitarbeiter absolvieren ihre jährliche Cybersicherheitsschulung. Auf dem Papier sieht das hervorragend aus, aber was sagt Ihnen das darüber aus, wie diese Mitarbeiter reagieren werden, wenn drei Monate später eine überzeugende Phishing-E-Mail in ihrem Posteingang landet? Erkennen sie die Warnzeichen? Wissen sie, was zu tun ist? Zeigen bestimmte Teams, Funktionen oder Standorte durchweg risikoreicheres Verhalten als andere?

Eine Abschlussquote allein gibt darüber keinen Aufschluss. Das gleiche Problem gilt für viele der Kennzahlen, auf die sich Sicherheitsteams traditionell verlassen haben. Sie bestätigen zwar, dass eine Aktivität stattgefunden hat, liefern jedoch oft kaum Aufschluss darüber, ob sich das Verhalten infolgedessen geändert hat.

CISOs stehen unter zunehmendem Druck, ihren Nutzen unter Beweis zu stellen. 77 % der von uns befragten CISOs gaben an, dass von ihnen erwartet wird, den ROI bei Initiativen zur Minderung menschlicher Cyberrisiken strenger nachzuweisen als bei technischen Kontrollmaßnahmen.

Wenn die ihnen zur Verfügung stehenden Daten in erster Linie die Aktivität messen, wird es wesentlich schwieriger, diesen Nutzen nachzuweisen. Sicherheitsverantwortliche können zwar belegen, dass Mitarbeiter geschult wurden oder Simulationen durchgeführt wurden, doch eine glaubwürdige Verbindung zwischen diesen Maßnahmen und einer spürbaren Risikominderung herzustellen, ist eine ganz andere Sache.

Das Problem beim Verlassen auf Klickraten bei Phishing-Angriffen

Die Klickraten bei Phishing-Simulationen gehören zu den bekanntesten Kennzahlen zur Bewertung des Sicherheitsbewusstseins und können durchaus nützlich sein. Eine hohe Klickrate kann auf einen Bereich hinweisen, der besondere Aufmerksamkeit verdient, während Veränderungen im Zeitverlauf weitere Aufschlüsse über das Verhalten der Mitarbeiter liefern können.

Man sollte jedoch nicht davon ausgehen, dass eine Klickrate allein das Cyberrisiko einer Person erklärt. Wenn jemand auf eine simulierte Phishing-E-Mail klickt, bedeutet dies nicht zwangsläufig, dass er oder sie dauerhaft ein Mitarbeiter mit hohem Risiko ist. Ebenso gilt: Jemand, der nicht auf eine Simulation klickt, stellt nicht automatisch ein geringes Risiko dar.

Hier spielt der Kontext eine wichtige Rolle. Um welche Art von Phishing-Angriff handelte es sich? War dieser für die Rolle des betreffenden Mitarbeiters relevant? Wie schwer war er zu erkennen? Hat der Mitarbeiter bereits zuvor ein ähnliches Verhalten gezeigt? Hat er die E-Mail anschließend gemeldet? Was geschah im Anschluss an die Simulation, und hat sich sein Verhalten verbessert, als er das nächste Mal mit einer ähnlichen Bedrohung konfrontiert wurde?

Die Betrachtung eines isolierten Prozentsatzes kann einen Großteil dieses Kontexts außer Acht lassen. Das menschliche Verhalten ändert sich im Laufe der Zeit und variiert je nach Rolle, Situation und den Bedrohungen, denen Mitarbeiter ausgesetzt sind. Eine effektive Messung erfordert daher mehr als nur eine Sammlung einzelner Aktivitätskennzahlen.

Was CISOs von der Berichterstattung über menschliche Risiken erwarten

Ein nützliches Dashboard für personelle Risiken sollte Sicherheitsteams dabei unterstützen, zu entscheiden, welche nächsten Schritte zu ergreifen sind. Das bedeutet, über Fragen wie „Wie viele Mitarbeiter haben die Schulung absolviert?“ hinauszugehen und sich stattdessen auf Fragen zu konzentrieren, die Aufschluss darüber geben, wie sich das Risiko im gesamten Unternehmen verändert.

Wo konzentrieren sich die durch Menschen verursachten Cyberrisiken? Welche Gruppen zeigen Verhaltensweisen, die das Risiko erhöhen könnten? Verbessern sich diese Verhaltensweisen nach einer Maßnahme? Welche Arten von Schulungen oder Phishing-Simulationen scheinen bei bestimmten Gruppen zu wirken? Worauf sollte das Sicherheitsteam als Nächstes sein Augenmerk richten?

Diese Fragen sind weitaus nützlicher, da sie die Messung mit konkreten Maßnahmen verknüpfen. Unsere Untersuchung zeigt jedoch, wie schwierig dies für viele Organisationen nach wie vor ist. 76 % der CISOs geben an, dass verschiedene Interessengruppen unterschiedliche Kennzahlen für menschliche Cyberrisiken erwarten, während CISOs in allen vier von uns befragten Ländern von Herausforderungen bei der Etablierung einheitlicher Messgrößen über Rollen, Regionen und Geschäftsbereiche hinweg berichteten.

Ohne eine gemeinsame Vorstellung davon, wie sinnvolle Fortschritte aussehen, können Dashboards schnell zu einer Ansammlung von Zahlen werden, die lediglich dazu dienen, verschiedene Berichtsanforderungen zu erfüllen, anstatt als Instrumente zu fungieren, die fundiertere Sicherheitsentscheidungen unterstützen.

Vom Handeln zur Risikominderung

Um das durch Menschen verursachte Cyberrisiko besser einschätzen zu können, müssen Sie nicht unbedingt auf die Kennzahlen verzichten, über die Sie bereits verfügen. Abschlussquoten, Ergebnisse von Phishing-Simulationen und das Meldeverhalten können allesamt nützliche Informationen liefern. Die Chance besteht darin, diese Signale zusammenzuführen und sie zu nutzen, um ein klareres Bild davon zu gewinnen, wie sich das durch Menschen verursachte Cyberrisiko verändert.

Anstatt beispielsweise isoliert zu betrachten, ob jemand eine Schulung absolviert hat, können Unternehmen untersuchen, ob sich das anschließende Verhalten geändert hat. Anstatt einen Klick auf einen Phishing-Link als Ende der Geschichte zu betrachten, können sie ihn als Anhaltspunkt nutzen, um festzustellen, ob ein Mitarbeiter oder eine Gruppe von einer entsprechenden Maßnahme profitieren würde.

Im Laufe der Zeit ergibt sich daraus ein wesentlich umfassenderes Bild der Risikosituation. Dies kann Sicherheitsteams dabei helfen, gruppenübergreifende Muster zu erkennen, zu verstehen, wo zusätzliche Unterstützung erforderlich ist, und festzustellen, ob Maßnahmen die beabsichtigte Wirkung erzielen. Zudem erhalten CISOs dadurch weitaus aussagekräftigere Argumente für Gespräche mit dem Vorstand.

Dies ist besonders wichtig, da derzeit nur 39 % der CISOs sich vollkommen sicher fühlen, wenn es darum geht, dem Vorstand oder der Führungsetage den Nutzen von Initiativen zur Sensibilisierung für Sicherheitsfragen zu erläutern.

Ein Dashboard, das anzeigt, dass 97 % der Mitarbeiter eine Schulung absolviert haben, vermittelt dem Vorstand lediglich, dass eine Maßnahme stattgefunden hat. Ein Ansatz zum Verhaltensmanagement, der aufzeigen kann, wo sich Risiken konzentrieren, welche Maßnahmen ergriffen wurden und ob sich das Verhalten verbessert, liefert dem Vorstand weitaus nützlichere Informationen.

Überdenken Sie Ihre Methoden zur Bewertung menschlicher Cyberrisiken

Eine bessere Einschätzung von Risiken im menschlichen Bereich lässt sich dadurch erreichen, dass Sie die Ihnen bereits vorliegenden Anhaltspunkte miteinander verknüpfen und anhand dieser erkennen, wo sich Risiken verändern und wo Handlungsbedarf besteht.

MetaCompliance unterstützt Unternehmen genau dabei. Unsere Plattform für das Personalrisikomanagement führt Daten aus Schulungen zur Sicherheitssensibilisierung, Phishing-Simulationen sowie dem Verhalten der Mitarbeiter zusammen, um Sicherheitsteams einen besseren Überblick über die Risiken innerhalb ihrer Belegschaft zu verschaffen.

Diese Erkenntnisse können dann genutzt werden, um Gruppen mit höherem Risiko vorrangig zu behandeln, gezieltere Maßnahmen zu ergreifen und zu verfolgen, ob sich das Verhalten im Laufe der Zeit verbessert. Sicherheitsteams erhalten ein klareres Bild davon, wo Handlungsbedarf besteht, während CISOs über aussagekräftigere Belege verfügen, um Entscheidungen zu untermauern und Gespräche mit dem Vorstand zu führen.

Das Ziel besteht darin, Messungen sinnvoll zu nutzen: Ihnen dabei zu helfen, zu verstehen, wo Risiken bestehen, wie sie sich verändern und welche nächsten Schritte zu ergreifen sind – anstatt lediglich über bereits stattgefundene Aktivitäten zu berichten.

Laden Sie die vollständige Version herunter Bericht „Rethinking Human Cyber Risk“ und erfahren Sie, was 200 CISOs aus Frankreich, Deutschland, Schweden und Großbritannien uns über die Herausforderungen bei der Messung berichtet haben und welche praktischen Veränderungen nach Ansicht von Sicherheitsverantwortlichen dazu beitragen können, das Management menschlicher Risiken voranzubringen.