Minderung von Sicherheitsrisiken durch menschliches Versagen

Menschliches Versagen ist ein wachsendes Problem in der Cybersicherheit. In der Tat, VerizonDie jährliche Data Breach Investigation von 2022 ergab, dass menschliches Versagen die Hauptursache für Cybersicherheitsverletzungen war, Buchhaltung für 82 Prozent der Angriffe.

Organisationen werden sich des Ausmaßes dieser Bedrohung bewusst. Beispielsweise schätzt Gartner, dass Schulungen zur Sensibilisierung für Cybersicherheit bis 10 einen Wert von 2027 Milliarden US-Dollar haben werden, während eine GOV-Umfrage von 2021 ergab, dass 20 Prozent der britischen Unternehmen Mitarbeiter im Rahmen ihrer Schulungsprogramme zur Cybersicherheit getestet haben.

Doch reicht bessere Bildung? Da die Kosten der Cyberkriminalität bis 10.5 voraussichtlich 2025 Billionen US-Dollar erreichen werden, lautet die Antwort höchstwahrscheinlich „Nein“. Es muss mehr getan werden, um das wachsende Angriffsrisiko zu mindern.

Es ist an der Zeit, Identitäten zu verwalten

In der zunehmend digitalisierten Welt von heute umfassen die digitalen Fußabdrücke von Einzelpersonen zahlreiche Geräte, Anwendungen, Tools und Plattformen, wobei jede Instanz eine einzigartige digitale Identität generiert. In einer Arbeitsumgebung bedeutet dies, dass ein Mitarbeiter mit Dutzenden von Identitäten verknüpft sein kann. Dasselbe gilt für Nicht-Menschen, einschließlich Bots. Diese Ausbreitung im Auge zu behalten, ist ein enormes Unterfangen, aber wenn sie nicht angemessen gehandhabt wird, sind Unternehmen einem erhöhten Risiko von Angriffen oder Verstößen ausgesetzt.

Identitätszugriffsverwaltung (IAM) ermöglicht es Organisationen, diese Risiken zu mindern. Es gliedert sich in zwei miteinander verbundene Zweige, die zusammen steuern, wie Benutzer und Identitäten mit Informationen, Tools und Anwendungen über interne Systeme hinweg interagieren.

Der erste Zweig ist Identity Management. Eine „Identität“ kann alles sein, von einer Person, einem Objekt oder einem Code, der mit Informationen interagiert. Jedem sollte eine Berechtigungsstufe zugewiesen werden und eine Authentifizierung erforderlich sein, um sicherzustellen, dass die Person oder Maschine hinter der Identität diejenige ist, für die das Unternehmen sie hält. Eine robuste Identitätsverwaltungslösung sollte in der Lage sein, die Verbreitung von Identitäten innerhalb der Organisation zu bewältigen, und es Administratoren erleichtern, Identitäten hinzuzufügen und zu entfernen, wenn Personen in das Unternehmen eintreten oder es verlassen oder wenn Technologie bereitgestellt oder außer Betrieb genommen wird.

Darüber hinaus hängt jede Identität von festgelegten Ressourcen ab, um ihre Arbeit zu erledigen oder ihre Aufgaben zu erledigen. Das bedeutet, dass Unternehmen sicherstellen müssen, dass nur autorisierte Identitäten auf diese Dateien, Anwendungen oder Dienste zugreifen können. Dies ist der zweite Zweig von IAM: Zugriffsverwaltung.

Dieses Konzept lässt sich anhand der Infrastruktur einer Schule gut veranschaulichen. Schüler, Lehrer und Administratoren nutzen während des Schultages unterschiedliche Ressourcen. Anstatt jede eindeutige Identität einzeln zu autorisieren – ein mühsamer und fehleranfälliger Prozess – können sie nach ihren Rollen, den Ressourcen, auf die sie zugreifen müssen, und der Zugriffsebene, die sie für jede Ressource benötigen, gruppiert werden. Während beispielsweise Lehrer und Schüler Zugriff auf Unterrichtsmaterialien benötigen, müssen Administratoren und Lehrer Anwesenheitsdaten, Zeugnisse, Prüfungsergebnisse und mehr anzeigen und/oder bearbeiten. In diesem Setup ist es sinnvoll, dass bestimmte Rollen Zugriff auf vertrauliche Informationen verlangen, auf die andere keinen Zugriff haben sollten. Obwohl sich Identitäten überschneiden, sind die Zugriffsrechte eindeutig. 

Obwohl dies ein einfacher Anwendungsfall ist, gelten die gleichen Prinzipien in jeder Organisation. Die Zugriffsverwaltung hilft beim Erstellen und Definieren von Gruppen, sodass Benutzer und Bots auf das zugreifen können, was sie benötigen, und nicht mehr.

Hüten Sie sich vor dem Kriechen von Privilegien

Während ihrer Beschäftigung in einem Unternehmen sammeln Benutzer häufig Privilegien an. Während sie ein Unternehmen durchlaufen oder in neue Projekte eingebunden werden, erhalten sie häufig kurzfristig Zugang zu neuen Anwendungen und Datensätzen. Das Problem hierbei ist, dass Organisationen leicht den Überblick darüber verlieren, wann dieser Zugriff widerrufen werden sollte, sodass Benutzern Zugriff auf weit mehr als nötig bleibt.

Privilegierte Zugriffsverwaltung (PAM) ermöglicht es Unternehmen, Benutzerrechte einzuschränken und sicherzustellen, dass die richtigen Personen für die richtige Zeit Zugriff auf die richtigen Ressourcen haben. Es schützt systematisch vertrauliche Informationen, Systeme und Anwendungen, indem es Just-in-Time-Zugriff (JIT) bereitstellt, Anmeldeinformationen rotiert und privilegierte Aktivitäten überwacht. Diese Tools erzwingen oft „geringste Privilegien“ – beschränken den Zugriff auf das Nötigste.

Sicherheitsbewusstsein schärfen

Während diese Technologie sicherlich dazu beitragen kann, böswillige sowie versehentliche identitätsbezogene Sicherheitsverletzungen zu verhindern, sollte die Schulung der Belegschaft dennoch eine Schlüsselkomponente in der Cyber-Sicherheitsstrategie jedes Unternehmens bleiben. Während Mitarbeiter sich um Unternehmensdaten kümmern, sind sie sich möglicherweise nicht bewusst, welche Schritte sie unternehmen müssen, um sie zu sichern und zu schützen.

Um dem entgegenzuwirken, müssen Unternehmen Bildungsprogramme anbieten, die Eigenverantwortung vermitteln. Es ist auch wichtig, die negativen Konnotationen rund um beliebte Cybersicherheitskonzepte wie „Zero Trust“ mit dem Slogan „Vertraue niemandem, verifiziere alles“ loszuwerden. Es ist ein schmaler Grat zwischen Benutzerfreundlichkeit, Sicherheit und Vertrauen, und es ist wichtig, mit Überwachungstechnologien nicht zu weit zu gehen.

Insider-Bedrohungsprogramme, die sich auf die Überwachung riskanter Verhaltensweisen konzentrieren, sind hier ein guter Kompromiss. Riskante Aktivitäten – oder Benutzer – können anhand mehrerer Faktoren identifiziert werden, und es können Schulungsprogramme erstellt werden, die sich mit diesen spezifischen Anwendungsfällen befassen.

Irren ist menschlich, aber es ist wichtig, sich daran zu erinnern, dass Mitarbeiter Unternehmen aufbauen und zu ihrem langfristigen Wachstum und Erfolg beitragen. Anstatt ihnen Cyberbewusstsein aufzubürden – und ihnen die Schuld zu geben, wenn die Dinge schiefgehen – müssen sie über die Risiken aufgeklärt werden, denen sie ausgesetzt sein könnten, und sie müssen in einem Rahmen arbeiten, in dem Identitäten zentral verwaltet und kontrolliert werden. Dann, selbst wenn sie Fehler machen, setzen ihre Fehler ihren Arbeitgeber keinem unnötigen Risiko aus.