Tipps von Blue Coat: Wie können Mitarbeiter zur IT-Sicherheit im Unternehmen beitragen?
57 Prozent der Angestellten in deutschen Unternehmen, die das Internet nutzen, würden sich mit Fremden in sozialen Netzwerken verbinden, 60 Prozent haben keine Zugriffsbeschränkungen auf ihren Social-Media-Profilen. Das ergab eine aktuelle Yougov-Studie, online durchgeführt im Auftrag von Blue Coat Systems, Inc., einem der weltweit führenden Anbieter im Bereich Enterprise Security. Erkenntnisse aus Sozialen Netzwerken wurden in der Vergangenheit vermehrt genutzt, um Passwörter zu manipulieren oder Nutzer dazu zu verleiten, sensible Geschäftsinformationen preis zu geben. Das Verhalten von Arbeitnehmern im Internet stellt folglich eine große Angriffsfläche für Cyberattacken dar, sei es durch Hacker oder andere kriminelle Akteure
Robert Arandjelovic, Director Product Marketing EMEA, Blue Coat Systems GmbH erläutert, wie sich Unternehmen besser gegen zunehmend ausgeklügelte Cyber-Attacken rüsten können und dabei ihre Mitarbeiter effizient einbinden. Um Advanced Threats, die mittels Social Engineering-Methoden in Unternehmensnetzwerke eingeschleust werden, zu begegnen, rät Arandjelovic Geschäftsführern und IT-Verantwortlichen folgende Tipps zu beherzigen und Arbeitnehmer entsprechend zu informieren:
Zugriffsbeschränkungen: Mitarbeiter sollten darauf hingewiesen werden, ihre Privacy-Einstellungen auf allen Social Media-Kanälen zu kontrollieren, um den vollen Zugriff auf ihr Profil nur für Personen zuzulassen, denen sie vertrauen und über deren Identität sie sich sicher sind.
Passwörter: Die Blue Coat-Studie zeigte, dass viele Arbeitnehmer in Deutschland Namen von Familienmitgliedern (2%), Haustieren (6%), Geburtsdaten (3%) oder Geburtsorte (2%) als Passwörter wählen und nur 25 Prozent diese regelmäßig abändern. Deutlich sicherere Passwörter bestehen aus willkürlich kombinierten Zahlen und Buchstaben und sollten alle drei bis sechs Monate neu erstellt werden.
Teilen von Informationen: Geschäftsführer und IT-Verantwortliche sollten ihre Mitarbeiter zudem dazu aufrufen, arbeitsrelevante und berufliche Informationen gar nicht oder nur unter großer Zurückhaltung auf den Social Media-Kanälen zu teilen. Dazu gehören auch Kontaktdaten von Kollegen. Cyber-Kriminelle nutzen dieses Wissen, um sich Zugang zum Unternehmen und dessen Netzwerken zu verschaffen. Deshalb sollte die Identität von Fremden grundsätzlich überprüft werden, bevor man einer Anfrage nach Vernetzung zustimmt. Dies gilt insbesondere für die Gruppe der 45 bis 54-Jährigen, die aufgrund ihres Alters zumeist eine höhere Position einnehmen und somit präferiertes Ziel der Angreifer sind: Aktuell kontrollieren nur 29 Prozent dieser Arbeitnehmer, wer hinter einer Kontaktanfrage über ein soziales Netzwerk steckt.
Sicherheitstrainings: Ein IT-Sicherheitstraining zu den genannten Aspekten sowie zu weiteren, wie beispielsweise der Umgang mit Phishing-Versuchen, sollte ein fester Bestandteil der Einarbeitungszeit jedes Mitarbeiter sein. Zusätzlich sollten alle sechs bis zwölf Monate Auffrischungskurse und Informationen zu neuen Bedrohungen allen Mitgliedern eines Unternehmens zur Verfügung gestellt werden. Bisher erhielten lediglich sechs Prozent der Befragten ein IT-Security-Training von ihrem Arbeitgeber und nur sieben Prozent bekommen regelmäßig eine Auffrischungsschulung. Obwohl Social Engineering zu einem immer bedeutenderen Angriffsvektor wird, wurden nur vier Prozent der Arbeitnehmer im Umgang mit Phishing-Versuchen unterwiesen.
“Leider sind diese Maßnahmen zwar vorbeugend wichtig, aber alleine nicht ausreichend“, erklärt Arandjelovic. „Unternehmen müssen sich darüber im Klaren sein, dass trotz Schulungen und erhöhter Achtsamkeit der Nutzer, menschliche Fehler nicht ganz ausgeschlossen werden können. Deshalb sollten in jedem Fall formelle Abläufe und technologische Lösungen implementiert werden, die bei einem menschlichen Versagen, die Auswirkungen potentieller Einbrüche in das Unternehmensnetzwerk schnell eindämmen.”
Um der heute sehr dynamischen Bedrohungslandschaft gerecht zu werden, sollte ein Unternehmen über die Mitarbeiterinformation hinaus neuartige, grundlegende Sicherheitstechnologien einsetzen. Dazu zählt etwa der Ansatz der Advanced Threat Defense (ATD). Er umfasst unter anderem Content- und Malware-Analyse, SSL Visibility, dynamisches Sandboxing und Security Analytics. Diese intelligenten Lösungen stärken die Effektivität und Effizienz der Security-Infrastruktur deutlich, insbesondere gegen unbekannte Bedrohungen und solche die schon im Netzwerk sind. Sie sollten mit den klassischen Sicherheitstechnologien wie Virenschutz, Firewall oder strenger Authentifizierung zu einem Gesamtkonzept integriert werden, um den Geschäftserfolg nachhaltig zu unterstützen und abzusichern.
