Cybersecurity-Teams bei der Aufrechterhaltung ihrer geistigen Gesundheit unterstützen

Die scheinbar endlose Flut von Ransomware, Phishing und anderen Cyberangriffen fordert von den Fachleuten für Cybersicherheit einen hohen psychischen Tribut. 

Nach Angaben eines australischen gemeinnützigen Unterstützungsnetzwerks für die in diesem Bereich Tätigen ist die Situation so schlimm, dass die Burnout-Rate bei Cybersecurity-Fachleuten sogar höher ist als bei Beschäftigten im Gesundheitswesen.[1] Die Mimecast-Umfrage State of Ransomware ergab, dass 56 % der Mitarbeiter im Bereich Cybersicherheit jedes Jahr unter erhöhtem Arbeitsstress leiden, und 54 % der Befragten gaben an, dass Ransomware-Bedrohungen negative Auswirkungen auf ihre psychische Gesundheit haben. 

Der Umgang mit psychischer Gesundheit im Bereich der Cybersicherheit erfordert einen mehrgleisigen Ansatz. Die Einstellung von zusätzlichem Cybersecurity-Personal kann dazu beitragen, die Arbeitsbelastung für Teams mit wenig Talent zu verringern, während die Einführung von Technologie-Tools wie integrierte Erkennung und orchestrierte Reaktion die Zeit reduzieren kann, die Cybersecurity-Fachleute damit verbringen, zu entscheiden, wann und wie sie auf Vorfälle reagieren sollen. Der Schlüssel liegt vor allem in den unternehmensweiten Bemühungen, die Probleme der Teammitglieder zu verstehen und gemeinsam die richtigen Lösungen zu finden.

Was die psychische Gesundheit in der Cybersicherheit beeinflusst 

Der Stress bei der Arbeit im Bereich der Cybersicherheit mit der Kombination aus langen Arbeitszeiten und wenig Zeit, um sich zwischen Sicherheitsvorfällen zu erholen, hat viele Sicherheitsexperten an ihre Belastungsgrenze gebracht. Laut der Umfrage von Mimecast State of Ransomware erwägen 42 % der Cybersicherheitsexperten, ihre Stelle in den nächsten zwei Jahren aufgrund von Stress oder Burnout aufzugeben. Getrennte Umfragen haben die Zahl sogar noch höher angesetzt und ergeben, dass fast zwei Drittel der Cybersicherheitsexperten darüber nachdenken, ihren Arbeitsplatz zu verlassen.[2] 

Warum haben so viele Cybersicherheitsexperten dieses Gefühl? Ein aktueller Bericht von Tines mit dem Titel Voice of the SOC Analystbietet einige Anhaltspunkte.[3]

• Personalausstattung: Weniger als ein Drittel der Cybersicherheitsexperten geben an, dass ihre Teams vollständig besetzt sind.
• Arbeitsbelastung: Sechs von zehn Berufstätigen geben an, "mehr Arbeit als je zuvor" zu haben, während nur 14 % sagen, dass sie weniger arbeiten.
• Lästige Aufgaben: Fast zwei Drittel der Cybersicherheitsexperten geben an, dass sie mindestens die Hälfte ihrer Zeit mit manuellen Aufgaben verbringen. Umgekehrt gab etwa die gleiche Anzahl an, dass mindestens die Hälfte ihrer Arbeit vollständig automatisiert werden könnte.
• Arbeitsabläufe: Während eine geringe Personalausstattung und eine hohe Arbeitsbelastung die größten Herausforderungen im Alltag darstellten, behinderten auch ein begrenzter Überblick über die gesamte Bedrohungslandschaft und schlechte Prozesse die Arbeitszufriedenheit.

Es ist bezeichnend, dass Fachleute für Cybersicherheit, die bei ihrer Arbeit unter Stress leiden, nicht immer die Hilfe bekommen, die sie brauchen. Laut einem zweiten Bericht von Tines, State of Mental Health in Cybersecurity, geben nur 57 % der Cybersecurity-Fachleute an, dass ihr Arbeitsplatz Unterstützung für psychische Gesundheit bietet, und nur 54 % sagen, dass ihr Arbeitgeber der psychischen Gesundheit Priorität einräumt. [4] (Es ist erwähnenswert, dass Arbeitnehmer in den Vereinigten Staaten eher Unterstützung von ihrem Arbeitgeber erhalten als Arbeitnehmer in Europa).

Wie Cybersecurity Burnout Unternehmen schadet

Es überrascht nicht, dass die Organisationen als Ganzes unter diesen Situationen leiden. Wenn Cybersicherheitsexperten psychische Probleme haben, kann ihre Motivation sinken. Das macht es unwahrscheinlicher, dass sie sich an Sicherheitsprotokolle und bewährte Verfahren halten.[5] Im Gegenzug werden ihre Unternehmen anfälliger für Cyberangriffe - insbesondere Speer-Phishing-Angriffe , die jetzt speziell auf Arbeitnehmer während der so genannten "Nachmittagsflaute" abzielen, wenn die Menschen eher abgelenkt sind.[6] Je mehr Angriffe, desto größer der Druck auf das Cybersicherheitsteam. Es ist ein Teufelskreis.

Selbst wenn Unternehmen die Bedrohungen erfolgreich abwehren können, kann die Überlastung der Mitarbeiter im Bereich der Cybersicherheit bis zur Erschöpfung führen oder die Arbeit auf andere Weise beeinträchtigen. Im August 2022 machte der ehemalige Sicherheitschef von Twitter Schlagzeilen mit einer Whistleblower-Klage gegen das Unternehmen wegen "extremer, ungeheuerlicher Mängel" in seinem Cybersicherheitsprogramm und wegen Irreführung des Vorstands und der Aufsichtsbehörden über Cybersicherheitsschwachstellen.[7] 

Zugegeben, Twitter ist ein einzigartiges Unternehmen, aber laut einem Forrester-Blog gibt es hier dennoch ein abschreckendes Beispiel für andere Organisationen.[8] Fachleute für Cybersicherheit werden oft mit einem Ziel eingestellt: die allgemeine Sicherheitslage eines Unternehmens zu verbessern. Wenn sie das Gefühl haben, dass sie dazu nicht in der Lage sind - sei es, weil der Arbeitsalltag ihnen keine Freude mehr bereitet, sei es, weil ihre Bemühungen um Verbesserungen im Keim erstickt werden -, werden sie wahrscheinlich nicht mehr ruhig bleiben. Unternehmen können davon ausgehen, dass diese Mitarbeiter ihre Talente woanders einsetzen und sich nicht scheuen, die Gründe für ihr Ausscheiden mitzuteilen, so die Forrester-Analysten. 

5 Schritte zur Wiederherstellung der psychischen Gesundheit

Der Umgang mit der psychischen Gesundheit von Cybersecurity-Fachleuten kann für die Arbeitnehmer und ihre Arbeitgeber tiefgreifende Auswirkungen haben. Untersuchungen des Anbieters von Ressourcen für psychische Gesundheit am Arbeitsplatz, Mind Share Partners, haben ergeben, dass Mitarbeiter, die sich von ihrem Arbeitgeber unterstützt fühlen, mehr als doppelt so häufig länger als zwei Jahre in ihrem Unternehmen bleiben, mehr als fünfmal so häufig Vertrauen in die Unternehmensführung haben und nur halb so häufig über negative psychische Gesundheitssymptome berichten, die fünf bis 12 Monate andauern.[9] 

Diese Unterstützung kann viele Formen annehmen und umfasst eine Kombination aus kulturellen Veränderungen, Einstellungsprozessen und umsichtigem Einsatz von Technologie. Im Folgenden finden Sie fünf Tipps, wie Unternehmen die psychische Gesundheit von Cybersicherheitsexperten verbessern können.

• Ermutigung zu Gesprächen auf höchster Ebene: Die Normalisierung von Gesprächen über psychische Gesundheit kann dazu beitragen, die natürliche Zurückhaltung der Mitarbeiter bei der Preisgabe von Schwachstellen zu überwinden. Shamla Naidoo, CISO beim Mimecast-Partner Netskope, stellte fest, dass Sicherheitsexperten nur selten über ihre psychische Gesundheit sprechen, weil sie "berufliche Konsequenzen" fürchten. [10] Sowohl der Vorstand als auch die Geschäftsführung müssen wissen, dass die Fachleute für Cybersicherheit unter Druck stehen, der das Unternehmen gefährdet.
• Effiziente Rekrutierung: Naidoo fügte hinzu, dass es sich Unternehmen angesichts des Fachkräftemangels im Bereich Cybersicherheit nicht leisten können, monatelang zu warten, um offene Stellen mit Kandidaten zu besetzen, die den perfekten Lebenslauf haben. Die Suche nach Möglichkeiten für nicht-traditionelle Kandidaten und die Schulung von Mitarbeitern in anderen Abteilungen mit Blick auf die Sicherheit sind zwei Möglichkeiten, um die Qualifikationslücke zu schließen, damit die Teams nicht unterbesetzt bleiben.
• Budgets aufstocken: Die Mimecast-Umfrage State of Ransomware ergab, dass 90 % der Unternehmen mehr Mittel zur Bekämpfung von Ransomware benötigen und von einer durchschnittlichen Budgeterhöhung von 28 % profitieren würden. Dies mag für Unternehmen, die ihre Ausgaben begrenzen wollen, ein schwieriges Argument sein, aber eine andere Zahl hilft den Cybersecurity-Teams bei der Argumentation: Für die Hälfte der Umfrageteilnehmer reicht ein einziger Ransomware-Angriff aus, um 20 % des gesamten jährlichen Cybersicherheitsbudgets zu verschlingen. Eine Unze Prävention kann ein Pfund Heilung wert sein.
• Alle Mitarbeiter in Cybersicherheit schulen: Der Bericht State of Email Security 2023 von Mimecast zeigt, dass Fehler von Mitarbeitern - wie die Verwendung von schwachen Passwörtern oder die unvorsichtige oder unangemessene Nutzung von Tools für die Zusammenarbeit - weiterhin zu den Cybersecurity-Risiken beitragen. Angriffe, die sich schnell von einem Mitarbeiter auf einen anderen ausbreiten, haben dem Bericht zufolge einen historischen Höchststand erreicht. Die Unterstützung von Mitarbeitern aller Funktionen und Führungsebenen bei der Erkennung und Vermeidung dieser Arten von Angriffen und die Kombination von Schulungen mit fortschrittlichen E-Mail-Sicherheits-Tools, die potenzielle Angriffe automatisch erkennen und isolieren, kann den Druck auf das Cybersecurity-Personal etwas verringern.
• Verringern Sie den Technologiewildwuchs im Bereich Cybersicherheit: Die meisten Unternehmen verwenden etwa 30 Sicherheitsüberwachungs-Tools, und Cybersicherheitsteams erhalten jeden Tag Tausende von Warnungen.[11] Da nur wenige dieser Tools integriert sind, müssen Cybersecurity-Experten manuelle Berichterstattungs-, Überwachungs- und Erkennungsarbeit leisten, die zum Burnout beiträgt. Hier sind integrierte Erkennungsfunktionen und abgestimmte Reaktionen gut geeignet, um die besten Produkte zusammenzubringen, um Aufgaben zu rationalisieren, vorhandene Ressourcen besser zu nutzen und einen stärkeren Schutz für das gesamte Unternehmen zu bieten. 

Die Quintessenz

Burnout und andere psychische Probleme wirken sich eindeutig auf Cybersicherheitsteams aus, was wiederum dazu führt, dass Unternehmen noch anfälliger für Cyberangriffe werden. Die Einstellung von zusätzlichem Personal und die Förderung einer Arbeitsplatzkultur, die die Mitarbeiter ermutigt, über ihre psychische Gesundheit zu sprechen, sind zwei wichtige Schritte, um das Problem anzugehen. Es ist auch wichtig, dass Unternehmen in Cybersecurity-Tools investieren, die miteinander arbeiten, um ihren Cybersecurity-Experten einen besseren Einblick in die Risiken zu geben, denen ihr Unternehmen ausgesetzt ist, und um die manuellen Aufgaben, die die Arbeit mühsam, ineffizient und schwierig machen, deutlich zu reduzieren. Lesen Sie mehr über , wie die Plattform von Mimecast mit ihren vollständig integrierten Diensten dazu beitragen kann, die Belastung Ihrer Mitarbeiter im Bereich Cybersicherheit zu verringern.

[1] "Cybersecurity-Fachleute brennen möglicherweise schneller aus als Mitarbeiter des Gesundheitswesens," Cybermindz

[2] "Sicherheitsexperten sind ausgebrannt. Hier sind 5 Möglichkeiten, ihnen zu helfen." Cybersecurity-Tauchgang

[3] "Stimme des SOC-Analysten," Tines

[4] "State of Mental Health in Cybersecurity," Tines

[5] "State of Access Report 2021," 1Password

[6] "Cybersecurity Burnout ist real. Und es wird ein Problem für uns alle sein," ZDNet 

[7] "Ehemaliger Sicherheitschef behauptet, Twitter habe "ungeheuerliche Mängel" verheimlicht,'" The Washington Post

[8] "Vergessen Sie das stille Verlassen - Tech-Whistleblower gehen mit einem Knall hinaus," Forrester

[9] "2021 Mental Health at Work Report," Mind Share Partners 

[10] "Strategien für den Umgang mit Burnout in der Cybersicherheit," Netskope

[11] "Cybersecurity Tool Sprawl Drives Plans to Outsource Detection and Response," Trend Micro