Bedeutet der große Rücktritt, dass man sich mit weniger Cybersicherheit abfinden muss?

Die Pandemie hat gezeigt, wie schnell sich Unternehmen an die Telearbeit angepasst haben. In dem, was die Medien als "the Great Resignation" bezeichnet haben, haben sich auch die Arbeitnehmer schnell angepasst, so dass sie die Telearbeit eher als neue Chance denn als vorübergehenden Notfall betrachten. In einer kürzlich durchgeführten LinkedIn-Umfrage nannte die Hälfte der Befragten die Flexibilität des Arbeitsortes und nicht die Bezahlung als wichtigstes Kriterium für den Arbeitsplatz nach dem COVID-19, noch vor der Vereinbarkeit von Beruf und Privatleben, dem Gesundheitsschutz und der Abdeckung der Belegschaft.

Francis Gaffney, Director of Labs bei Mimecast & Threat Intelligence: "Die COVID-19-Pandemie hat vielen Mitarbeitern mehr Flexibilität und Zeit für die Familie verschafft und vor allem gezeigt, dass die traditionelle Büroumgebung für eine hohe und anhaltende Produktivität nicht notwendig ist."

Wenn die Arbeitgeber also nicht weiterhin die Möglichkeit der Fernarbeit anbieten, neigen die Arbeitnehmer immer mehr dazu, zu kündigen und woanders hinzugehen. Daher die "große Resignation". Welche Auswirkungen hat dies auf die Cybersicherheit für Unternehmen, die wollen, dass ihre Mitarbeiter ins Büro zurückkehren, auch wenn dies eine höhere Mitarbeiterfluktuation bedeutet?

Gaffney rät der Unternehmensführung, die neuen Probleme und Herausforderungen anzuerkennen und anzugehen, die sich aus der Pandemie und der Telearbeit ergeben und die zu einer erheblichen Personalfluktuation führen können. Trainiere die Leute, damit sie gehen können, behandle die Leute, damit sie nicht gehen" ist eine oft zitierte Maxime, die sich bewahrheitet und besonders auf die Cybersicherheit zutrifft. Wer in seine Mitarbeiter investiert, investiert auch in ihre Loyalität gegenüber dem Unternehmen und seinen Kunden", sagt Gaffney.

Eine gute Behandlung der Mitarbeiter ist entscheidend für die Stabilität der Belegschaft. Nach der Pandemie erwägen Unternehmen, die ihre Mitarbeiter wieder im Büro haben wollen, hybride Arbeitsregelungen anzubieten, um Mitarbeitern entgegenzukommen, die zwei oder drei Tage von zu Hause aus und die restlichen Tage im Büro arbeiten möchten. Für bestimmte Mitarbeiter mit speziellen Fähigkeiten und/oder von hohem Wert für das Unternehmen könnte es besser sein, Fernarbeit anzubieten, als zu riskieren, sie zu verlieren. Die Kehrseite der Medaille ist natürlich, dass das Angebot einer vollständigen Fernarbeit für bestimmte Mitarbeiter, nicht aber für andere, auch dazu führen könnte, dass Mitarbeiter verloren gehen, die sich unterschätzt oder ungerecht behandelt fühlen, wenn ihnen nicht die gleichen Möglichkeiten geboten werden.

Vorbereitung auf potenzielle Bedrohungen durch hohe Personalfluktuation

Diejenigen Unternehmen, die glauben, dass geschäftliche Gründe eine vollständige Rückkehr ins Büro rechtfertigen, müssen sich auf eine höhere Personalfluktuation als üblich einstellen. Aus der Perspektive der Cybersicherheit weist Gaffney darauf hin, dass das Ausscheiden von Mitarbeitern ein hohes und lang anhaltendes Bedrohungspotenzial darstellen kann, wenn es falsch gehandhabt wird. Dazu gehören die zusätzlichen Kosten für die Schulung des neuen Mitarbeiters und die Tatsache, dass es eine gewisse Zeit dauern kann, bis er sich mit den Richtlinien, Prozessen und Praktiken des neuen Unternehmens (d. h. Netzwerke, Hardware und maßgeschneiderte Software) vertraut gemacht hat, was von einem böswilligen Bedrohungsakteur ausgenutzt werden könnte.

"Stellen Sie diejenigen, die zu einem konkurrierenden Unternehmen wechseln, bei Einreichung und Annahme ihrer Kündigung in den 'Gartenurlaub'", rät Gaffney. "Das bedeutet, dass der Systemzugriff nur auf Funktionen beschränkt werden sollte, die für die betreffende Stelle unerlässlich sind. Am wichtigsten ist es, den Zugang zu sensiblen Informationen und geistigem Eigentum zu unterbinden. Dazu gehört auch der Zugang zu physischen Vermögenswerten und zu Netzwerksystemen.

Organisationen, die zu einer vollständigen Rückkehr ins Büro übergehen, sind besonders anfällig für verärgerte Mitarbeiter, die kurz vor dem Ausscheiden stehen und sich ungerecht behandelt fühlen. Bei einer schrittweisen Rückkehr ins Büro sind weniger Personen täglich im Büro, was bedeutet, dass weniger Personen beim Betreten und Verlassen von Büroräumen, insbesondere von Sicherheitsbereichen, überwacht werden. Während der Pandemie konzentrierten sich Unternehmen auf die Verbesserung der Cybersicherheit im Hinblick auf externe Bedrohungen von Netzwerken und Diensten, die mit externen Mitarbeitern verbunden sind. Dies ging häufig auf Kosten der Cybersicherheit gegen interne Bedrohungen.

"Je weniger Mitarbeiter im Büro sind, desto größer ist das Risiko von Insider-Bedrohungen in einem Büro, das den Zugang zu den Gebäuden und zum Netzwerk nicht richtig gesichert und geregelt hat", sagt Gaffney. "Unzufriedene Mitarbeiter könnten versucht sein, sich mit einem böswilligen Angriff an dem Unternehmen zu rächen. In manchen Fällen bietet ein Konkurrent einen finanziellen Anreiz, um den Zugang zu vertraulichen Informationen zu erleichtern. Oder, und das ist eine zunehmend besorgniserregende Angriffsmethode, der Insider zeigt einem fremden Hacker eine Schwachstelle beim Netzwerkzugang auf."

Verwirrung beim Übergang erhöht die Anfälligkeit

Darüber hinaus birgt der Übergang von der Telearbeit zurück ins Büro, insbesondere bei hybriden Arbeitsformen, zahlreiche Schwachstellen in der Cybersicherheit. "Der Übergang kann verwirrend sein, da die Mitarbeiter nicht wissen, wer im Büro ist und wer nicht. Wenn das Unternehmen keinen spezifischen Plan für die Rückkehr ins Büro entwickelt hat, trägt die Aufforderung 'Bringen Sie Ihren Laptop bis zu einem bestimmten Datum zurück' zu dieser potenziellen Verwirrung noch bei. Mitarbeiter, die abgelenkt sind, sind besonders anfällig für Phishing- und Imitationsangriffe, die die Unternehmenssysteme gefährden."

Unternehmen müssen genau festlegen, welche Abteilungen und Mitarbeiter wieder im Büro sind und welche Protokolle zu befolgen sind, um die Netzwerkintegrität zu gewährleisten. Darüber hinaus sind regelmäßige Erinnerungen an das Potenzial für gefälschte URLs und andere Nachahmungsversuche immer eine gute Praxis, besonders aber beim Übergang zurück ins Büro.

Mitarbeiter schulen, auch wenn sie gehen

In Anlehnung an Gaffneys frühere Bemerkung, "die Leute zu schulen, damit sie gehen können", ist Schulungen zum Bewusstsein für Cybersicherheit von entscheidender Bedeutung, insbesondere für Organisationen, die sich in einer Übergangsphase befinden. Denken Sie daran, dass viele Angriffe auf die Verwirrung und Ablenkung der Benutzer abzielen, die während der Pandemie zugenommen hat und auch in der Zeit nach der Pandemie anhält.

Tatsächlich sind vermeidbare menschliche Fehler für 90 % aller Verstöße gegen die Cybersicherheit verantwortlich. Unabhängig davon, wo Mitarbeiter arbeiten und wie lange sie für ein Unternehmen tätig sind, ist eine wirksame Sicherheitsstrategie eine Strategie, die Mitarbeitern hilft, gute Entscheidungen zu treffen und häufige Fallen zu vermeiden, die unwissentlich Ihre Netzwerke und die Geschäftskontinuität gefährden.

Ebenso wichtig sind natürlich kosteneffiziente Sicherheitskontrollen die Angriffe erkennen, bevor sie Ihre Mitarbeiter überhaupt erreichen. Mimecast kombiniert Benutzerschulungen, um Mitarbeiter für Cyber-Bedrohungen zu sensibilisieren und sie vorsichtiger zu machen, mit führenden Technologien und Best Practices zum Schutz vor Kompromittierung und hilft Ihrem Unternehmen, sich an eine sich ständig verändernde Bedrohungslandschaft anzupassen.

Die Quintessenz

Angesichts der heutigen Bedrohungslage muss die Cybersicherheit für jedes Unternehmen an erster Stelle stehen, insbesondere aber für Unternehmen, die auf Büroarbeit und/oder hybride Arbeitsformen umstellen, um eine große Resignation unter ihren Mitarbeitern zu vermeiden. Gaffney rät dringend zu einem "Null-Vertrauens"-Ansatz.

"Gehen Sie davon aus, dass eine Kompromittierung immer möglich ist", sagt er. "Die meisten Mitarbeiter sind zwar verantwortungsbewusst und professionell und werden wahrscheinlich nicht böswillig handeln, wenn sie das Unternehmen verlassen, aber in Zeiten des Übergangs und der Unsicherheit sind sie ein ideales Ziel für böswillige Akteure. Aufklärungsprogramme sind von entscheidender Bedeutung, um das Bewusstsein zu schärfen und das Risiko von Phishing-, Impersonation- und anderen E-Mail-basierten Angriffen zu verringern. Und schließlich ist die beste Form der Cyberverteidigung bei dem Versuch, einen Angriff zu bekämpfen bzw. abzuschwächen, die Anwendung eines mehrschichtigen, getesteten und in die Tiefe gehenden Verteidigungsmodells.