IT-Security aktiver in Arbeitsprozesse einbinden

Die IT-Sicherheit ist quasi ein Dauerbrenner auf der Prioritätenliste von Unternehmen. Laut Angaben von Statista sollen sich die Ausgaben hierfür im Jahr 2021 auf rund 5,7 Milliarden Euro belaufen. Doch obwohl 70 Prozent der IT-Sicherheitsverantwortlichen in Deutschland bewusst ist, dass der Faktor Mensch und mangelndes Sicherheitsbewusstsein eines der größten Risiken für Unternehmen darstellt, sparen 77 Prozent genau hier an Schulungen. 

Dabei bergen unsichere IT-Systeme das Risiko eines massiven Verlusts an Kapital, Markenwert und Kundenvertrauen. Corporate Learning Spezialist Skillsoft hat sechs Ansätze zusammengefasst, die Unternehmen zusätzlich zu Sicherheitsschulungen umsetzen können, um das Sicherheitsbewusstsein zu fördern und präventive Maßnahmen stärker in ihre Geschäftsprozesse und -strukturen einzubinden.

„Sicherheitstools allein können die IT-Sicherheit nicht garantieren. Jeder Mitarbeiter sollte informiert und für das Praktizieren von Sicherheitsrichtlinien und -verfahren mit verantwortlich sein,“ erklärt Andreas Rothkamp, VP DACH-Region bei Skillsoft. „Neben klassischen Schulungen bieten Übungsumgebungen und sogenannte Cyber Ranges heute bereits die Möglichkeit, praktische Erfahrung bei der Identifizierung von Sicherheitsbedrohungen in der jeweiligen Branche und Jobrolle zu gewinnen.“

Neben solchen gezielten Trainings gibt es jedoch auch Ansatzpunkte mit denen Organisationen die IT-Sicherheit auch durch strukturelle Maßnahmen unterstützen können:

# 1 Sicherheitsaffinitäten nutzen

Einige Dev- und DevOps-Teams sehen Sicherheit bereits als eine ihrer Hauptverantwortungen. Daher bietet es sich an mehr Sicherheitsverantwortung in die Entwicklung und in den Bereich DevOps zu verlagern statt in losgelösten Sicherheitsrollen.

# 2 Förderprogramme einrichten

Sicherheits-„Champions“ oder -„Paten“ sind keine ausgebildeten Sicherheitsfachkräfte. Es sind vielmehr Mitarbeiter, die die Integration von Sicherheitsprinzipien aktiv in ihre primären Aufgabenbereiche eingebunden haben. Wenn solche Vorbildfunktionen durch ein dezidiertes Programm unterstützt werden, können mehr motivierte Sicherheitsbefürworter gewonnen und aufgebaut werden. Sie fördern die Sicherheitskompetenz, quantifizieren Risiken und modellieren bewährte Verfahren.

# 3 Aktiv potenzielle Angriffe identifizieren

Internationale Informationsplattformen lassen sich einsetzen, um mehr über das Verhalten von potenziellen Angreifern zu erfahren, da diese häufig bekannte und erfolgreiche Angriffe wiederholen. So können Unternehmen proaktiv Sicherheitsmaßnahmen einleiten, statt nur auf Angriffe zu reagieren.

# 4 Entwicklungsprozesse modernisieren

Anwendungen werden heute viel schneller und auch häufiger ohne Codierung (Low-Code oder No-Code) entwickelt. Daher sollten Unternehmen Sicherheitsabnahmetests in den Entwicklungsprozess integrieren. Hierzu können beispielsweise Sicherheitsroutinen aus Open-Source-Bibliotheken oder GitHub-Repositorys genutzt und Machine Learning (ML) als Bewertungsinstrument eingesetzt werden.

# 5 Hybride Infrastrukturumgebungen einbeziehen

Der ungeplante Schub in Richtung Remote-Arbeit und Home Office in den letzten 12 Monaten hat IT-Verantwortliche vor neue Herausforderungen gestellt. Mithilfe von Cloud-Lösungen und Remote-Zugriff musste in kürzester Zeit die Geschäftskontinuität sichergestellt werden. Die Tools und Nutzungsrichtlinien für die Zusammenarbeit in Punkto Sicherheit zu optimieren, kam dabei häufig erst an zweiter Stelle. Spätestens seit sich gezeigt hat, dass dies jedoch kein vorübergehender Zustand ist, sondern die Remote Arbeit sicher auch in Zukunft eine wichtige Rolle spielt, sollten die Sicherheitsrichtlinien und -verfahren für hybride Infrastrukturumgebungen optimiert werden.

# 6 Messbarkeit sicherstellen

Man kann keine Verbesserung für etwas aufzeigen, das nicht gemessen wird. Daher ist es wichtig, die unternehmensweiten Kenntnisse bei der Bewertung von Schwachstellen und der Minderung von Risiken regelmäßig zu bewerten.

„Die Bewertung von Risiken auf allen Ebenen ist wichtig, um zu zeigen, welche Folgen ein Sicherheitsvorfall haben könnte und welche Investitionen erforderlich sind, um eine echte Wirkung zu erzielen,“ erklärt Andreas Rothkamp.

Fragen, die sich Unternehmen in diesem Zusammenhang stellen sollten, sind beispielsweise:

• Können Sie den Wert Ihrer gefährdeten Assets und Ihres geistigen Eigentums beurteilen?
• Weiß jeder in Ihrer Organisation, dass er/sie für die Cybersicherheit mitverantwortlich ist?
• Sind Sie in der Lage, Ihre Belegschaft zu mobilisieren, um Sicherheitsangriffe abzuwehren?
• Sind Sie vor finanziellen Auswirkungen von Ransomware geschützt?
• Welche Auswirkungen hätte ein Sicherheitsvorfall, bei dem z.B. Daten kompromittiert werden, auf das Kundenvertrauen und Ihre Positionierung?

www.skillsoft.com