Einführung in das menschliche Risiko: Die nächste Generation des Sicherheitsbewusstseins

Ungelöst, aber allgegenwärtig 

Seit seiner ersten Veröffentlichung im Jahr 2008 hat der Verizon Data Breach Investigations Report (DBIR) immer wieder menschliches Versagen als Hauptursache für Datenschutzverletzungen hervorgehoben (74 Prozent im Jahr 2023). Diese Erkenntnis hat sich so weit durchgesetzt, dass die meisten Sicherheitsexperten sie einfach als gegeben hinnehmen, sie als unlösbares Problem abtun und sich auf den Schutz von Netzwerken, Geräten und Anwendungen konzentrieren. Dies war vor allem darauf zurückzuführen, dass es an datengestützter Transparenz des Problems und an verwertbaren Erkenntnissen darüber fehlte, ob Maßnahmen wie Schulungen oder Phishing-Simulationen das Risiko für den Menschen verringern konnten. Das Ergebnis? Programme mit einem pauschalen Ansatz, der kaum zu einer echten Risikominderung beiträgt. Es war Zeit für eine Veränderung. 

Mimecast erwirbt Elevate Security

In Anbetracht der Tatsache, dass menschliches Versagen bei Sicherheitsverletzungen weit verbreitet ist, muss die Schutzstrategie eines Unternehmens ein Verständnis für das menschliche Risiko und die Tools zur nachweislichen Minderung dieses Risikos beinhalten. Aus diesem Grund hat Mimecast im Januar 2024 Elevate Securityübernommen, den führenden Anbieter von Human Risk Management. Diese strategische Akquisition unterstreicht das kontinuierliche Engagement von Mimecast, den Schutz für Kunden zu verbessern und proaktive Einblicke und tiefere Einblicke in menschliche Verhaltensweisen und Risiken zu bieten, um Kunden zu helfen, ihren digitalen Arbeitsbereich besser zu schützen. Die Elevate-Plattform unterstützt Unternehmen bei der proaktiven Identifizierung von Benutzern mit hohem Risiko und der Automatisierung von Reaktionen und Schutzmaßnahmen. In Kombination mit dem Angebot von Mimecast’s Awareness Training! und den erstklassigen E-Mail- und Collaboration-Sicherheitssuites können diese Funktionen dazu beitragen, das Gesamtrisiko und die Gefährdung von Unternehmen wie nie zuvor zu reduzieren.

Was ist Humanrisikomanagement? 

Die meisten Sicherheitsvorfälle sind zwar auf das menschliche Element zurückzuführen, aber nur ein sehr geringer Prozentsatz der Benutzer verursacht diese Vorfälle tatsächlich. Der Leitgedanke hinter dem menschlichen Risikomanagement ist, dass Sicherheitsschulungen und -kontrollen keine Einheitsgröße für alle sein sollten. Vielmehr sollten sie auf der Grundlage des Risikos angewandt werden, das von den einzelnen Benutzern ausgeht, sei es aufgrund ihrer Handlungen, der Häufigkeit der Angriffe oder ihrer Rolle. Die Möglichkeit, maßgeschneiderte Sicherheitsschulungen oder -kontrollen durchzuführen, ermöglicht es Unternehmen, ein angemessenes Maß an Ressourcen und Aufmerksamkeit in die Benutzer mit dem höchsten Risiko zu investieren und gleichzeitig die Reibungsverluste für diejenigen zu verringern, die ein geringeres Risiko darstellen. 

Hier sind einige Anwendungsfälle: 

• Das menschliche Risikomanagement kann dazu beitragen, Sicherheitsmaßnahmen auf einzelne Benutzer zuzuschneiden, so dass Richtlinien und Kontrollen dynamisch Einzelpersonen oder Gruppen auf der Grundlage ihrer tatsächlichen Risiken zugewiesen werden können. Dies kann die Strategie für die Kunden intuitiver, effektiver und automatisierter machen. 
• Die Kombination der Elevate-Funktionen zur Risikoidentifizierung und der Mimecast’s Awareness Training! Roadmap verspricht den Kunden einen umfassenderen Überblick über die Risiken der Benutzer, wodurch sie in die Lage versetzt werden, dynamisch gezielte Schulungsstrategien zu entwickeln, die bei der Beeinflussung von Risikoverhaltensweisen effektiver sein können als ein allgemeines Schulungsprogramm.   
• Die Integration der Datenplattform von Elevate in die Produktpalette von Mimecast ermöglicht die Integration von mehr Daten aus einer größeren Vielfalt von Quellen und liefert bessere Erkenntnisse, die letztlich menschliche Risiken auf der Grundlage der Handlungen von Personen, der auf sie gerichteten Angriffe und ihrer Zugriffsebenen auf Unternehmenssysteme berücksichtigen können. Dies wird es den Kunden ermöglichen, viel fundiertere Entscheidungen über ihre Sicherheitsmaßnahmen zu treffen, da wir gemeinsam eine bessere Risikotransparenz und -minderung bieten. 

Menschliches Risikomanagement und Sicherheitsschulung zusammenbringen 

Wenn Unternehmen ihre Strategie zur Schulung des Sicherheitsbewusstseins weiterentwickeln, um alle Aspekte des menschlichen Risikos zu berücksichtigen, ist es wichtig, sich bewusst zu machen, dass Schulung des Sicherheitsbewusstseins und menschliches Risikomanagement keine Gegensätze sind, sondern besser zusammenpassen.

Das Sicherheitsbewusstsein konzentriert sich darauf, was die Mitarbeiter über Sicherheit wissen - ein wichtiger, aber unvollständiger Teil der Gleichung. Das menschliche Risikomanagement füllt die Lücken, liefert aber ein Verständnis dafür, was Mitarbeiter in Bezug auf die Sicherheit tun - welche guten und schlechten Sicherheitsentscheidungen treffen sie regelmäßig? Sind sie Wiederholungstäter? Wie häufig werden sie angegriffen? Mit diesem Wissen können sich Sicherheitsexperten ein Bild von der Verteilung der risikobehafteten Mitarbeiter in ihrem Unternehmen machen. Elevate-Analysen zeigen, dass acht Prozent der Benutzer 80 Prozent der Vorfälle verursachen. Nicht alle Benutzer sind in Bezug auf ihr Sicherheitsbewusstsein und das menschliche Risiko, das sie darstellen, gleich.

Diese Transparenz ermöglicht eine viel präzisere Anwendung von Sicherheitsmaßnahmen wie Schulungen, Feedback und Anregungen für die Mitarbeiter, so dass die richtige Schulung für die richtige Person zum richtigen Zeitpunkt durchgeführt werden kann. Dadurch wird die Fähigkeit eines Unternehmens, sich proaktiv zu schützen, maximiert und gleichzeitig werden unnötige Schulungsstunden oder Sicherheitsschwierigkeiten vermieden.

Auch wenn E-Mails nach wie vor der größte Bedrohungsvektor sind, erfordert eine effektive Strategie für das Risikomanagement von Menschen den Input einer breiteren Palette von Signalen, die Aufschluss über die wichtigsten Bereiche menschlichen Versagens geben können, wie z. B. das Klicken auf den Link Phishing, das Herunterladen von malware, die falsche Handhabung von Daten oder die Kompromittierung eines Kontos. Die Technologie von Elevate nimmt Daten aus mehr als 50 verschiedenen Quellen auf, um den Benutzerkontext zu erfassen, und verarbeitet dann mehr als zwei Milliarden Datenpunkte, um ein prädiktives Risiko zu bestimmen, das risikobehaftete Personen präzise kennzeichnet.

Die Produktpalette von Mimecast in Kombination mit den Fähigkeiten von Elevate bietet Praktikern die Möglichkeit, ihre Security Awareness Programme auf die nächste Stufe zu heben: 

• Risikobewertung auf der Grundlage von Verhaltensweisen und nicht auf der Grundlage von Selbsteinschätzungen oder Simulationen. 
• Fortgeschrittene Risikobewertung, die aus allen unterschiedlichen Benutzerdaten einen Sinn macht, um zu verstehen, was wirklich riskant ist und wo es sich innerhalb des Unternehmens befindet. 
• Nudging und Intervention, die es ermöglichen, auf das Verhalten mit anwendbarem und relevantem Training in dem Moment zu reagieren, in dem ein riskantes Verhalten gezeigt wird. 
• Kontextabhängige und anpassungsfähige Schulungen, die Sicherheits-, IT- und Awareness-Teams in die Lage versetzen, auf die spezifischen Risiken der Mitarbeiter einzugehen. 
• Empfehlungen zur Optimierung der E-Mail-Sicherheitskontrollen zum besseren Schutz der am meisten gefährdeten Mitarbeiter. 
• Echte Lösungen zur Verhaltensänderung, die über reine Phishing-Simulationen hinausgehen. 

Die Quintessenz

Untersuchungen zeigen, dass eine Minderheit von Benutzern die überwiegende Mehrheit der Sicherheitsvorfälle verursacht. Die Anpassung von Sicherheitsschulungen und -kontrollen an jeden einzelnen Mitarbeiter auf der Grundlage des individuellen Risikoniveaus kann zu großen Fortschritten bei der Verbesserung der Sicherheitslage beitragen. Mit der Integration der Elevate Security-Technologie in die Mimecast-Suite sind Mimecast-Kunden in der Lage, nicht nur ein Compliance-Kästchen anzukreuzen, sondern proaktiv Einblicke und tiefere Einblicke in menschliches Verhalten und Risiken zu gewinnen, was ihnen hilft, ihre Mitarbeiter zu stärken und geschützt zu arbeiten.