Security Awareness Training

Die reinen Anwender-Themen sind, wie bei allen Anwendern, auch für Führungskräfte nur überschaubar lästig. Diese werden i.d.R. entsprechend tool-basiert geschult.

Es ist allerdings schon deutlich schwieriger, einer Führungskraft die Verantwortung als Information Owner zu vermitteln. Eine Risikoanalyse des eigenen Bereiches, regelmäßige Kontrollen der Berechtigungen... solche Themen lassen sich nicht nebenbei erledigen. Und da sich Führungskräfte i.d.R. auch nicht über mangelnde Auslastung beklagen können, sind solche Zusatzaufgaben emotional ziemlich unbeliebt.

Ein einfaches "Du bist verantwortlich" führt verständlicherweise oftmals zu einer "Ja, ja, rede Du nur" Reaktion. Entsprechend negativ wird Security assoziiert, was wiederum die Vorbildfunktion sehr negativ beeinflusst.  

Führungskräfte müssen persönliche Betroffenheit und Einsicht erfahren, um ihre Rolle und Verantwortung zu verstehen. Deshalb sind wir überzeugt, dass Security Awareness Trainings für Führungskräfte nur Face-to-Face (in Präsenz oder virtuell) funktionieren.

"Was? Für jedes System einen oder sogar mehrere Accounts, je nach Anwendungsfall? Und jeder Account ein eigenes Passwort? Und patchen innerhalb von Tagen? Habt Ihr eigentlich einen Vogel? Wisst Ihr denn überhaupt, wie ich arbeite?"

IT-Administratoren beeinflussen mit ihrem Verhalten massiv die Cyber Security eines Unternehmens, durch ihre privilegierten Accounts sogar deutlich mehr als Anwender. Ihnen ist aber der Zusammenhang zwischen erfolgreichen Cyber-Attacken und ihrem eigenen Verhalten meist gar nicht bewusst. Zusätzlich gibt es bei dieser Zielgruppe vermehrt "gefährliches Security-Halbwissen" aus IT-Foren und Communities, welches dieses Verhalten zementiert und einen Veränderungsimpuls deutlich erschwert.

Ein Änderung dieses Verhaltens hat aber einen sehr großen Einfluss auf den Arbeitsalltag. Er wird komplizierter. Security Awareness Trainings für IT-Administratoren müssen daher unbedingt erst einmal Verständnis und Einsicht für diese Verhaltensänderung schaffen, sonst werden die Appelle verpuffen. Cyber Security LAB E-Learnings schaffen exakt diese Basis.

Secure Development und Secure Coding bedeutet für Software-Entwickler eine erhebliche Umstellung. Entwickler wollen am liebsten Code schreiben und Security behindert sie dabei. Bereits die Design-Themen wie beispielsweise Risikoabschätzung und Threat-Modelling sind in deren Augen nicht gerade "sexy" und verlangsamen den Entwicklungsprozess. Ähnliches gilt für Codeanalysen und das Fixen von Pentest-Findings.

Auf der anderen Seite können Entwickler durch Fehler in ihrer Software schwerwiegende Schwachstellen erzeugen, die für weltweite Attacken ausgenutzt werden können (Solarwinds, Kaseya, Log4shell, die Liste ist lang).

Secure Development verändert den Arbeitsalltag für Entwickler ähnlich massiv wie Secure Administration für Administratoren. Da kommen Dinge hinzu, auf die man nicht gerade gewartet hat. Security Awareness Trainings für Software-Entwickler müssen daher unbedingt erst einmal Verständnis und Einsicht für eine Verhaltensänderung schaffen, sonst werden die Appelle verpuffen und die Schwachstellen bleiben. Cyber Security LAB E-Learnings schaffen exakt diese Basis.

Security Awareness Trainings für Entwickler