Secu­ri­ty Awareness

SECURITY AWARENESS — DIE MENSCHLICHE FIREWALL

Aktu­el­le Sicher­heits­zwi­schen­fäl­le zei­gen deut­lich, dass tech­ni­sche Maß­nah­men und Sicher­heits­richt­li­ni­en allei­ne nicht aus­rei­chen, um die Sicher­heit von Infor­ma­tio­nen und infor­ma­ti­ons­ver­ar­bei­ten­den IT-Sys­te­men zu gewähr­leis­ten. Der Fak­tor „Mensch“ gerät als schwächs­tes Glied in der Ket­te immer mehr in den Fokus und stellt ein belieb­tes Angriffs­ziel dar.

In der Pra­xis zeigt sich, dass die Mit­ar­bei­ter und Mit­ar­bei­te­rin­nen in Unter­neh­men sehr häu­fig nicht ent­spre­chend dar­auf vor­be­rei­tet sind und die mensch­li­che „Fire­wall“ versagt.

Sen­si­bi­li­sie­rungs- und Schulungensveranstaltungen 

In kun­den­spe­zi­fi­schen SEC4YOU Semi­na­ren wer­den die not­wen­di­gen Ele­men­te erfolg­rei­cher Secu­ri­ty Awa­re­ness Kam­pa­gnen ver­mit­telt. Aus­ge­hend von psy­cho­lo­gi­schen Aspek­ten und den typi­schen Her­aus­for­de­run­gen wer­den die erfor­der­li­chen Maß­nah­men zur Sen­si­bi­li­sie­rung, zur Schu­lung und zum regel­mä­ßi­gen Trai­ning behan­delt. Im Rah­men im Semi­nar inte­grier­ter Live-Demos wird gezeigt, wie die Pla­nung eines Socials Engi­nee­ring Angriffs durch­ge­führt wird und wel­che Werk­zeu­ge typi­scher­wei­se hier­zu ange­wen­det wer­den (Phis­hing Emails, USB-Sticks, etc.).

Unser Ansatz bei der Ent­wick­lung von Secu­ri­ty Awa­re­ness Pro­gram­men ist eine stu­fen­wei­se Erhö­hung des Rei­fe­gra­des der Mit­ar­bei­ter Secu­ri­ty Awa­re­ness, die opti­mal in der fol­gen­den Rei­hen­fol­ge umge­setzt werden:

1. Secu­ri­ty Awa­re­ness Sen­si­bi­li­sie­rung — in Bezug auf die poten­ti­el­len Gefahren
2. Secu­ri­ty Awa­re­ness Schu­lung – Schu­lung der erfor­der­li­chen Handlungsweisen
3. Secu­ri­ty Awa­re­ness Trai­ning — Prak­ti­sches Trai­ning in Beispielen

Unse­re Semi­nar­in­hal­te sind modul­wei­se buchbar:

• Aktu­el­le Bedro­hungs­la­ge (Wovor müs­sen wir uns schützen?)
• Grund­be­grif­fe der Informationssicherheit
• Psy­cho­lo­gi­sche Aspekte
• Ver­än­de­rung der Arbeits­welt (Wir arbei­ten immer und überall)
• Gefah­ren mobi­ler Gerä­te und Datenträger
• Das Pass­wort und sei­ne Herausforderungen
• Inter­net-Nut­zung als poten­zi­el­les Risiko
• WLAN sicher nut­zen (VPN)
• Risi­ken sozia­ler Medi­en (Face­book, XING, Link­eIn, etc.)
• Phis­hing Emails
• Erken­nen und Abweh­ren von Social Engi­nee­ring Angriffen
• Auf­bau und Ein­füh­rung von Secu­ri­ty Awa­re­ness Kampagnen
• Der Vor­ge­setz­te als Vorbild?
• Sen­si­bi­li­sie­rung des Managements
• Schu­lung durch eLear­ning / Vorträge
• Fly­er und Pos­ter als Mit­tel zu Sensibilisierung
• Live Demo (Phis­hing Emails, USB-Stick (Rub­ber Ducky), etc.)
• Mes­sung des Erfol­ges (KPI)

Stan­dar­di­sier­te und indi­vi­dua­li­sier­te Online-Schulungen

Kos­ten­güns­tig kön­nen Mit­ar­bei­ter in indi­vi­du­ell abruf­ba­re Online-Schu­lun­gen zu Secu­ri­ty Awa­re­ness sen­si­bi­li­siert und geschult wer­den. Die­se Online-Kur­se wer­den vom Unter­neh­men für eine defi­nier­te Mit­ar­bei­ter­an­zahl abge­ru­fen und kön­nen über einen belie­bi­gen Zeit­raum von Mit­ar­bei­ter kon­su­miert wer­den. Zum Ende eines Kurs­in­hal­tes kön­nen Fra­gen zum Inhalt die Teil­nah­me nach­voll­zieh­bar dokumentieren.

Social Engi­nee­ring als Einstieg?

In der Pra­xis hat sich gezeigt, dass IT-Audits spe­zi­ell Social Engi­nee­ring erst plat­ziert wer­den sol­len, sobald vor­be­rei­ten­de Secu­ri­ty Awa­re­ness Pro­gram­me für die Mit­ar­bei­ter ange­bo­ten wur­den, da ohne Vor­be­rei­tung der Soll-Zustand nicht klar defi­niert und geschult wur­de. Hier­zu sie­he auch unse­ren Bei­trag Cyber­crime-Blind­heit hei­len: Die Kon­trol­le zurück­ge­win­nen.

Zur Über­prü­fung der Wirk­sam­keit der Secu­ri­ty Awa­re­ness bie­tet SEC4YOU fol­gen­de Social Engi­nee­ring Prü­fun­gen an:

• Ana­ly­se der Bedro­hungs­la­ge durch ver­öf­fent­lich­te Informationen
• Direk­ter nicht phy­si­scher Kon­takt, z.B. durch Phis­hing Emails und mani­pu­lier­ten Webseiten
• Ohne per­sön­li­chen Kon­takt durch Aus­le­gen von Daten­trä­gern mit spe­zi­el­ler Software
• Direk­ter phy­si­scher Kon­takt um sen­si­ble Infor­ma­tio­nen zu erhalten

Schu­lun­gen zur Erken­nung ab Abwehr von Social Engi­nee­ring Angriffen

Ent­wick­lung inter­ne Secu­ri­ty Awa­re­ness Kampagnen

Zur Sen­si­bi­li­sie­rung eig­nen sich inter­ne Kam­pa­gnen die durch Mate­ria­len, Give-Aways und visu­el­len Maß­nah­men beglei­tet wer­den.  Häu­fig wer­den die­se Kam­pa­gnen mit fol­gen­den Werk­zeu­gen umgesetzt:

• News­let­ter
• Pos­ter
• Haft­no­ti­zen
• Comics
• Intra­net Banner
• Auf­stel­ler
• Design von Screensaver
• Maus­pads