So entgiften Sie Ihre Sicherheitskultur

ON-Photography Germany | shutterstock.com

Eine positive Cybersecurity-Kultur trägt zur allgemeinen Awareness bei, ist Best Practices förderlich und kann die interne Zusammenarbeit stärken. Auf der anderen Seite sorgt eine vergiftete Sicherheitskultur dafür, dass:

• Team-Moral und -Produktivität sinken,
• die Mitarbeiterfluktuation steigt, und
• Systeme sowie Daten erhöhten Risiken ausgesetzt sind.

„Toxische Cybersicherheitskulturen zeichnen sich dadurch aus, dass jeder glaubt, Security wäre die Aufgabe des anderen. Dazu beizutragen, das eigene Unternehmen abzusichern, wird nicht als wertvoll angesehen“, definiert Keri Pearlson, Executive Director for Cybersecurity beim Research-Konsortium MIT Sloan, solche Zustände.

Wir haben die Managerin und weitere Experten für diesen Beitrag dazu befragt:

• was darauf hindeutet, dass Ihre Security-Kultur entgiftet werden sollte, und
• welche Maßnahmen Sie ergreifen können, um Ihre Organisation wieder auf den richtigen Weg zu bringen.

Warnsignale

Wenn die IT-Sicherheit von der Belegschaft als notwendiges Übel statt als strategische Priorität betrachtet wird, ist das selten ein gutes Zeichen. Für Rob T. Lee, Head of Research beim SANS Institute, ist es ein klares Signal dafür, dass ein Kurswechsel in Sachen Cybersicherheitskultur dringend nötig ist: „In solchen Umgebungen kommt es regelmäßig dazu, dass Technologien vorschnell eingekauft und ausgerollt werden – ohne angemessene Zugangskontrollen zu implementieren.“

Damit Führungskräfte beurteilen können, ob Sicherheit in einer Organisation tatsächlich priorisiert wird, empfiehlt Chris Reffkin, Chief Security and Risk Officer beim Sicherheitsanbieter Fortra, genauer hinzuschauen: „Ein eindeutiges Warnsignal ist es, wenn Dinge wie eine schlechte Performance bei Phishing-Simulationen oder versehentliche Fehlkonfigurationen direkt abgestraft werden.“

Das sieht Wolfgang Goerlich, Fakultätsmitglied bei IANS Research, ähnlich: „Wenn sich eine Mentalität einschleicht und festsetzt, die darauf fußt, die Schuld für Probleme zuerst bei anderen zu suchen, läuft die Kultur in die falsche Richtung.“

Weitere Anzeichen für eine vergiftete Sicherheitskultur sind laut dem Research-Experten Mitarbeiter, die:

• Fehler verheimlichen, um Konsequenzen zu vermeiden,
• sich an öffentlichen Bloßstellungen beteiligen, oder
• Schatten-Lösungen finden, um das Security-Team nicht kontaktieren zu müssen.

Dan Glass, CISO beim IT-Dienstleister NTT DATA, empfiehlt, Verfehlungen – wenn überhaupt – auf faire und angemessene Weise zu ahnden. Alles andere hält der Sicherheitsentscheider für kontraproduktiv: „Müssen Mitarbeiter bei Fehlern mit harten Konsequenzen rechnen, sinkt die Wahrscheinlichkeit, dass Vorfälle gemeldet werden. Das kann wiederum in unentdeckten Sicherheitslücken und einem allgemeinen Mangel an Transparenz resultieren.“

Gleiches gilt jedoch auch mit Blick auf die Sicherheitsprofis selbst, warnt Fortra-Manager Reffkin: „Ein Security-Team, das Angst hat, Fehler zu machen, wird sich wahrscheinlich irgendwann negativ auf das Business auswirken.“

MIT-Direktorin Pearlson sieht nicht nur deshalb vor allem die Unternehmensleitung in der Pflicht, wenn es darum geht, eine gesunde Sicherheitskultur zu verankern: „Auch hier greift das Sprichwort ‚Der Fisch stinkt vom Kopf‘. Wenn die oberste Ebene im Unternehmen Security nicht als Priorität anerkennt, das lebt und nach außen kommuniziert, werden auch die Mitarbeiter keinen Anlass dazu sehen, Richtlinien und Best Practices zu befolgen.“

Korrekturmaßnahmen

Eine starke Cybersecurity-Kultur zu etablieren, ist deshalb nicht nur eine Aufgabe für den CISO. Allerdings könnten Sicherheitsentscheider mit gutem Beispiel vorangehen, meint Pearlson. Sie rät CISOs dazu:

• positives Verhalten zu belohnen,
• Security-Champions zu ernennen,
• einen freundschaftlichen Wettbewerb zwischen Teams zu schaffen, um Worst Practices „sanft“ zu unterbinden, sowie
• andere Motivatoren einzusetzen, um sicherheitskonforme Verhaltensweisen zu fördern.

„Das Beste, was sie tun können, ist jedoch, ihre C-Level-Kollegen dabei zu unterstützen, Cybersicherheit zu priorisieren. Das macht der gesamten Belegschaft klar, dass die Unternehmensleitung diesbezüglich an einem Strang zieht“, konstatiert die MIT-Expertin. Auch Research-Experte Goerlich rät Sicherheitsentscheidern dazu, das Thema Sicherheitskultur nicht in einem Vakuum anzugehen: „Bilden Sie mit der Personalabteilung ein funktionsübergreifendes Team.“

NTT-CISO Glass sieht in Awareness-Kampagnen ein weitere Möglichkeit, um toxischen Sicherheitskulturen entgegenzuwirken: „Eine solide Sensibilisierungsinitiative, die insbesondere über den Sinn und Zweck von drakonischeren Sicherheitsmaßnahmen aufklärt, kann dazu beitragen, dass die Unternehmenssicherheit von den Mitarbeitern als gemeinsames Ziel betrachtet wird.“

Worin sich alle Experten einig sind: Eine Sicherheitskultur zu entgiften, respektive zu entwickeln, stellt keine einmalige, sondern eine kontinuierliche Anstrengung dar – alleine schon deshalb, weil sich auch die Belegschaft mit der Zeit verändern wird. SANS-Chefforscher Lee konkretisiert: „Es ist von entscheidender Bedeutung, sich kontinuierlich weiterzubilden und ein gemeinsames Verständnis dafür zu fördern, wie sich Sicherheit auf das Unternehmen als Ganzes auswirkt. Indem Unternehmen ihre Mitarbeiter befähigen und sie als aktive Teilnehmer in Sicherheitsfragen einbinden, können sie eine widerstandsfähige Kultur aufbauen, die sich parallel zur Bedrohungslandschaft weiterentwickelt.“

Um zu gewährleisten, dass eine vergiftete Sicherheitskultur gar nicht erst entsteht, empfiehlt NTT-Sicherheitsentscheider Glass, organisatorische Sicherheitskontrollen einzuziehen, die wirksam und transparent sind: „Eine gut durchdachte Zero-Trust-Strategie mit Single Sign-on für alle Anwendungen und benutzerfreundlichen Authentifizierungs-Token ist dazu geeignet, die Reibungsverluste bei den täglichen Sicherheitsinteraktionen erheblich zu reduzieren.“

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.