Optimieren Sie die Erfolgsmessung Ihrer Schulungen zur Cyber Security

Es hat wenig Sinn, irgendetwas im Leben zu tun, wenn man nicht weiß, dass es sich lohnt und dass das, was man tut, auch funktioniert. Dieser Gedanke gilt für viele Aspekte eines Unternehmens, insbesondere für Cyber Security Trainings.

Wenn ein Unternehmen ein Programm zur Förderung des Sicherheitsbewusstseins einführt, sollte es immer im Hinterkopf haben, was es erreichen will. Ein Bericht von Verizon aus dem Jahr 2021 wird betont, dass 85 % der Datenschutzverletzungen auf das „menschliche Element“ zurückzuführen sind, weshalb der Schwerpunkt auf der Schaffung eines guten Sicherheitsverhaltens liegen sollte.

Aber wie genau kann man ein scheinbar nebulöses Element wie das Verhalten messen?

Eine Grundlage für ein großartiges Programm zur Sensibilisierung für Sicherheitsfragen schaffen

Um etwas zu messen, braucht man einen Ausgangspunkt, eine Basislinie. Ein Programm zur Förderung des Sicherheitsbewusstseins zielt darauf ab, das Verhalten und die Einstellung der Mitarbeiter zu ändern, um die allgemeine Sicherheit im Unternehmen zu verbessern.

Eine Reihe klar definierter Ziele ist ein wesentlicher Ausgangspunkt, auf dem Sie aufbauen können, wenn Sie den Erfolg Ihres Sicherheitsprogramms testen. Diese Ziele bilden die Grundlage für die Metriken Ihres Sicherheitsprogramms, das nach der Methode „Trainieren und Testen“ arbeitet.

Bei der Entwicklung eines Programms zur Förderung des Sicherheitsbewusstseins ist es ratsam, sich zu überlegen, wie der Erfolg der einzelnen Bereiche des Programms gemessen werden kann. Auf diese Weise können Sie testbare Elemente in das Programm einbauen. Typische Bestandteile eines ganzheitlichen Sicherheitsprogramms sollten sein:

• Sicherheitshygiene: Umfasst verschiedene Elemente wie die Wahl von Passwörtern und Gewohnheiten beim Surfen im Internet.
• Social Engineering: Was ist Social Engineering und welche Arten von Betrug gibt es, die eine Organisation und ihre Mitarbeiter betreffen?
• Sensibilisierung für Phishing: Schulung der Mitarbeiter in der Erkennung von Phishing-Taktiken.
• Computersicherheitsgewohnheiten: Wie man erkennt, ob ein Computer infiziert ist, und wie man sicherheitsfördernde Maßnahmen wie ein VPN für die Fernarbeit einsetzt.

Jeder dieser Aspekte eines Programms zur Förderung des Sicherheitsbewusstseins kann gemessen werden, und die Ergebnisse werden dann verwendet, um Feedback zu geben und den Erfolg des Programms zu optimieren.

Das Maß für den Erfolg (oder Misserfolg) eines Programms zur Sensibilisierung für Sicherheitsfragen

Die Messung der Ergebnisse eines Programms zur Förderung des Sicherheitsbewusstseins ist keine „bestanden/nicht bestanden“-Übung. Stattdessen bietet sie einen Einblick in die Wirksamkeit der verschiedenen Bereiche des Security Awareness Trainings.

Die Ergebnisse können als Feedback für die verschiedenen Teile des Sicherheitsprogramms genutzt werden, um die Schulung zu optimieren. Wenn etwas nicht funktioniert, geben die Messwerte und das Feedback einen Hinweis darauf, und einige Messwerte können sogar Schwachstellen in bestimmten Schulungsveranstaltungen aufzeigen. Diese Informationen können dann genutzt werden, um die Awareness-Schulung noch genauer zu gestalten.

Zu den Bereichen, die zur Erfassung von Daten über die Metriken der Sicherheitsschulung genutzt werden können, gehören:

Umfragen zur Sensibilisierung und Mitarbeiter-Feedback

Awareness-Umfragen sind Fragebögen, die von den Mitarbeitern ausgefüllt werden, um einen Einblick in die Wirksamkeit der Awareness-Schulung zu erhalten. Diese Methode ist zwar manuell, kann aber ein nützlicher Teil eines Portfolios von Messübungen sein, um den Erfolg Ihres Sicherheitsprogramms zu ermitteln. Die Fragebögen werden häufig von der Personalabteilung oder einem Sicherheitsberater bearbeitet und enthalten in der Regel Fragen oder Quizfragen, mit denen die Fähigkeit der Mitarbeiter getestet wird, eine Bedrohung zu erkennen.

Phishing-Simulationen und Metriken

Phishing-Simulationen werden mithilfe automatisierter Plattformen durchgeführt, die Test-Phishing-E-Mails an Mitarbeiter versenden. Die Simulationsplattform zeichnet auf, ob der Mitarbeiter erfolgreich erkennt, dass es sich bei der Testnachricht um eine Phishing-Nachricht handelt, oder nicht. Phishing-Simulationsplattformen und Ratschläge zu ihrer Verwendung sowie die von ihnen gelieferten Metriken sind bei spezialisierten Drittanbietern wie MetaCompliance erhältlich.

Social Engineering und Metriken

Wie Mitarbeiter auf Betrügereien reagieren, ist ein wichtiger Aspekt des Sicherheitsbewusstseins. Betrügereien wie Business Email Compromise (BEC) sind oft raffiniert und nutzen Social Engineering als Grundlage für den Betrug. Die Reaktion der Mitarbeiter auf ein simuliertes Social-Engineering-Ereignis kann sowohl quantitativ als auch qualitativ gemessen werden, je nachdem, wie die Simulationen durchgeführt werden. Drittunternehmen können bei der Erstellung von simulierten Social-Engineering-Tests beraten, die sich für Messungen eignen.

Erfassung von und Berichterstattung über Vorfälle

Der Beweis liegt im Pudding, und dieser Pudding hat die Form der Meldung von Sicherheitsvorfällen durch die Mitarbeiter. Ein System zur Meldung von Sicherheitsvorfällen, das es den Mitarbeitern ermöglicht, Sicherheitsvorfälle einfach einzugeben, bietet eine Möglichkeit, die Wirksamkeit eines Programms zur Förderung des Sicherheitsbewusstseins zu messen. Die Meldung von Vorfällen hat einen doppelten Nutzen: Sie dient als Triage- und Reaktionssystem für auftretende Sicherheitsprobleme und protokolliert und prüft die Sensibilisierung der Mitarbeiter. Die Mitarbeiter sollten darin geschult werden, das Vorfallsmeldesystem zu nutzen, um Sicherheitsereignisse zu erfassen, wie z. B.:

• Erhalt einer Phishing-Nachricht
• Unbeabsichtigte Preisgabe eines Passworts
• Verdacht auf Malware-Infektion
• Unbeabsichtigte Offenlegung von Informationen durch E-Mail-Fehlzustellung
• Verlorene oder gestohlene Geräte
• Social-Engineering-Versuche, z. B. ein Telefonbetrug

Messen, Zuhören, Optimieren

Programme zur Förderung des Sicherheitsbewusstseins sind bekannt dafür, dass sie schwer zu messen sind. Die Messung von Verhalten und Verständnis ist oft eher qualitativ als quantitativ. Durch die Verwendung einer Kombination von Faktoren, die Indikatoren für Verhaltensänderungen und Bewusstsein erfassen, kann ein Unternehmen jedoch sicherstellen, dass sein Programm effektiv ist.

Letztlich braucht ein Unternehmen ein wirksames Programm zur Förderung des Sicherheitsbewusstseins, um die Zahl der Cyberangriffe zu verringern und die allgemeine Cybersicherheit des Unternehmens zu verbessern. Da die Mitarbeiter immer besser verstehen, wie Cybersicherheitsbedrohungen funktionieren, wird die Optimierung der Wirksamkeit eines Programms zur Förderung des Security Awareness zu einer Sicherheitskultur führen, die sich durch eine verbesserte Sicherheit auszahlt.