Cyber ​​Security Awareness: Was genau soll man Mitarbeitern beibringen?

Beim Bewusstsein für Cybersicherheit geht es im Wesentlichen um Ihre Einstellung zu Sicherheit, Datenschutz und Cyberbedrohungen am Arbeitsplatz und zu Hause. Es handelt sich also um eine erlernte Fähigkeit, die im Laufe der Zeit verbessert werden kann.

Das Sicherheitsbewustsein in Unternehmen

In jedem Unternehmen ist das Sicherheitsbewusstsein ein fortlaufender Prozess, der mit der Schulung der Mitarbeiter in grundlegenden Sicherheitsprinzipien und -bedrohungen beginnt und mit praktischen Übungen zu diesem Thema fortgesetzt wird. Ziel ist es, ein Umfeld zu schaffen, in dem sich die Menschen befähigt fühlen, aktiv an ihrer eigenen Sicherheit mitzuwirken, und das Stigma der leichten Opfer angesichts ausgeklügelter Cyberkriminalität beiseite lassen.

In diesem Zusammenhang beginnt ein gut geplantes Sicherheitsbewusstseinsprogramm mit einem klaren Verständnis von Bedrohungen, Zielen, Zielgruppen und verfügbaren Ressourcen. Auch die Organisationskultur spielt eine wichtige Rolle bei der Bestimmung dessen, was für das Unternehmen sinnvoll und realistisch ist, unter Berücksichtigung der Mitarbeiterprofile und ihres Bildungsniveaus.

Da sich Gesetze wie das LGPD immer weiter durchsetzen, suchen viele Unternehmen nach Schulungen zur Sensibilisierung für Cybersicherheit, um sicherzustellen, dass ihre Mitarbeiter das richtige Maß an Datenschutzwissen haben, um diese Vorschriften einzuhalten.

Wirksamkeit des Bewusstseins für digitale Sicherheit

Schon jetzt ist klar, dass Schulungen zur Sensibilisierung für Cybersicherheit sehr effektiv sind. Schließlich ist es eine große Hilfe bei der Ausfallsicherheit und der Reaktion auf Angriffe. Verstehen Sie einfach, dass es einen großen Unterschied gibt, wie Sie auf einen Hack reagieren, wenn nur eine Person auf einen Phishing- Link klickt, im Vergleich zu 100 Personen. Mit anderen Worten, das kleinere Übel.

Und es geht nicht nur ums Klicken; Es geht auch um Berichterstattung. Mitarbeiter können die erste Verteidigungslinie sein, und gut geschultes Personal wird eine potenzielle Bedrohung schnell melden. Je früher Sie Gefahren erkennen, desto besser können Sie damit umgehen. Denn digitale Sicherheit geht über die Technologie hinaus und umfasst Menschen und Prozesse.

Allerdings ist es wichtig, klare Erwartungen und Ziele festzulegen und die Effektivität des Programms kontinuierlich zu messen – was auch die Messung des Engagements und der Zufriedenheit der Mitarbeiter insgesamt einschließt.

Frequenz der Trainings in Unternehmen

Debatten darüber, wie oft man trainieren sollte, sind endlos. Grund: Es ist keine exakte Wissenschaft, da es auf die Bedingungen des jeweiligen Unternehmens ankommt. Eine gute Lösung ist jedoch die Durchführung kleiner kontinuierlicher Trainingseinheiten. Auf diese Weise ist es möglich, die Informationen in den Köpfen der Mitarbeiter „frisch“ zu machen, ohne sie mit zu vielen Daten auf einmal zu überfrachten.

Es gibt auch Raum für intensivere Schulungen mit längeren Intervallen, mindestens einmal im Jahr, vorzugsweise in den ersten drei Monaten, um die Mitarbeiter über die neuesten Cyber-Bedrohungen zu informieren. Neben didaktischen Inhalten ist es wichtig, über Mechanismen zur Bewertung des Lernens und der Entwicklung des Teams zu verfügen. Es gibt Plattformen, die während des gesamten Schulungsprozesses helfen, von der Erstellung einer Chronologie bis zur Bewertung des Lernens.

Die Implementierung einer Sicherheitskultur in einem Unternehmen ist eine Initiative, die normalerweise mit dem Technologieteam beginnt, es ist jedoch wichtig, andere Bereiche wie HR und Marketing einzubeziehen, um den Prozess zu unterstützen. Schließlich geht es bei vielen Schulungen um Kommunikation und Engagement. Diese zusätzlichen Teams können mit zusätzlichen Materialien helfen, die bei der Einhaltung helfen.

Was sollte man bei einem Cyber ​​Security Awareness Training ansprechen?

1. Phishing, Spear Phishing und Engenharia Social

Phishing taucht nicht nur in E-Mails auf, es ist überall – Textnachrichten, SMS, Anzeigen, Google Maps , soziale Medien, Spiele, der App Store und sogar auf kollaborativen Websites. Daher ist Phishing ein zentrales Thema in jedem Security Awareness Training. Der beste Weg, solche Betrügereien zu vermeiden, besteht darin, zu wissen, was diese Betrügereien sind, wie sie funktionieren und wie man sie stoppt. Denken Sie daran: Phishing ist sehr hinterhältig und verändert sich ständig, um in neuen Verkleidungen aufzutauchen. Ihr Ziel ist es, unbemerkt anzugreifen.

2. Multifaktor-Authentifizierung

Jeder – buchstäblich jeder – muss über Multi-Faktor-Authentifizierung (MFA) Bescheid wissen. Der Grund ist, dass es ohne Übertreibung ein Unternehmen vor dem Bankrott retten kann. Wenn Sie MFA nicht aktiviert haben und Ihr Konto gehackt wurde, können Cyberkriminelle es aktivieren, um Sie daran zu hindern, Ihr Passwort zurückzusetzen und Ihr Konto wiederherzustellen. Dennoch gibt es immer diejenigen, die diese Ressource noch nicht nutzen, und diese Menschen brauchen am meisten Aufmerksamkeit.

3. Passwortsicherheit

Es klingt wie eine Lüge, aber „123456“ ist immer noch eines der häufigsten Passwörter. Ein Grund dafür ist, dass viele Menschen Bequemlichkeit der Sicherheit vorziehen. Ihnen zu zeigen, wie man starke Passwörter erstellt, die auch leicht zu merken oder zu verwalten sind, ist nach wie vor ein Kernthema des Sicherheitsbewusstseins.

4. Ransomware

Es gibt keine endgültige Lösung für Ransomware . Sie können das Risiko jedoch erheblich reduzieren, indem Sie Lehrkräfte einen potenziellen Angriff dieser Art identifizieren. Im Falle eines Angriffs durch Ransomware ist es ebenso wichtig, vorbereitet zu sein und einen Plan für das weitere Vorgehen zu haben, um sicherzustellen, dass die Mitarbeiter wissen, wie sie den Angriff so schnell wie möglich erkennen können – und keine Schlupflöcher zu schaffen, um den Schaden zu vergrößern.

5. Schatten-IT

Schatten-IT ist ein Begriff, der sich darauf bezieht, wie Mitarbeiter Technologie ohne Zustimmung des Technologieteams und des Managements nutzen. Shadow bedeutet auf Englisch „Schatten“, das heißt, wenn Mitarbeiter nicht autorisierte Ressourcen verwenden.

Allerdings gibt es viele Plugins, Widgets und andere Hilfstools, die uns unbemerkt ausspionieren. Zum Beispiel ein Grammatikprüfer – um die Rechtschreibung zu korrigieren, muss er alles wissen, was wir eingeben, um richtig zu handeln. Einige dieser Tools sind wie Keylogger, die alles, was Sie eingeben, an die Cloud senden. Ihr Team könnte sehr sensible Daten an Dritte senden, was nicht nur ein Sicherheitsrisiko, sondern auch ein Compliance-Risiko darstellt – etwas, das die LGPD im Auge behält.

6. Öffentliches WLAN

Öffentliches WLAN bedeutet im Grunde, dasselbe WLAN mit Fremden zu teilen. Schließlich ist es für jemand anderen einfacher, an Ihre persönlichen Daten zu gelangen, wenn er Zugriff auf dasselbe Netzwerk wie Sie hat. Das ist seit vielen Jahren ein beliebtes Thema. Heutzutage, wo so viele Menschen von zu Hause aus arbeiten, in Cafés arbeiten und auf Reisen sind, ist es sogar noch relevanter – und ein unverzichtbares Sicherheitsbewusstseinstraining.

7. Elektronischer Betrug

Wer dazu verleitet wird, Geld auf ein gefälschtes Bankkonto zu überweisen, kann sicher sein, dass die Bank möglicherweise überhaupt nicht helfen kann. Schließlich war es die Person selbst, die das Geld überwiesen hat; Es war kein Cyberkrimineller, der sich in das Konto gehackt und von dort genommen hat, was er konnte. Betrug wie dieser betrifft alle, nicht nur große Unternehmen. Jedes Jahr gehen mit dieser Art von Betrug Milliarden verloren. Leider tauchen ständig neue Möglichkeiten auf, Menschen online auszutricksen, also ist es natürlich ein Thema, das auf dem Kurs sein muss.

8. Mobile Sicherheit

Kann man dem App Store von Apple zu 100 % blind vertrauen? Oder bei Google Play? Leider befinden sich auch in diesen App-Stores schädliche Apps. Daher kann es zur Gewohnheit werden, zu wissen, was vor und nach dem Herunterladen einer App zu tun ist.

Cyberkriminelle versenden auch betrügerische Textnachrichten (auch bekannt als Smishing), weil es so effektiv ist. Diese Betrügereien sind ziemlich hinterhältig und handeln schlau – Internetbetrüger unternehmen große Anstrengungen, um Phishing zu starten. Schließlich ist dies ihr „Job“, und Urlaub nehmen sie nur sehr selten.

9. Externe Geräte und physische Sicherheit

Was hält einen Cyberkriminellen davon ab, vorübergehend als Hotelangestellter zu arbeiten und mit einem USB-Stick Malware auf seinem Laptop zu installieren? Es ist etwas, das weit entfernt von einer Filmszene ist und doch auf der Realität basiert. Gerade für Außendienstmitarbeiter und Installateure, die vielerorts im Außendienst tätig sind, ist ein Thema Pflege mobiler Geräte ohnehin unverzichtbar. Sie können einen Virus extern aufgreifen und ins Unternehmen einbringen, sobald sie in die Zentrale zurückkehren, oder sogar, wenn sie etwas per E-Mail an Mitarbeiter in der Zentrale senden.

10. Administratoren

Oft akzeptieren die Leute bei der Installation einfach die Standardeinstellungen und klicken auf die Schaltfläche „Weiter“ oder „OK“, ohne den Inhalt vollständig zu lesen. Einige der schlimmsten Angriffe resultieren aus der Verwendung von Standardeinstellungen, wie dem „admin“-Benutzernamen und den Passwörtern. Dies geschieht aufgrund mangelnden Bewusstseins oder nachlässiger Kommunikation zwischen dem Anwendungsentwickler, dem IT-Administrator und dem Sicherheitsteam. Wer ist für die Sicherung des Servers/der Anwendung verantwortlich? Cybersicherheit sollte in der Verantwortung aller liegen, und darum geht es beim Sicherheitsbewusstsein.