Wie Sie Cybersecurity Burnout bekämpfen - und Ihr Unternehmen sicher halten

Seit Mai 2021 haben rund 4 Millionen Amerikaner pro Monat ihren Job gekündigt.[1] Weltweit gaben etwa 20 % der Arbeitnehmer an, dass sie im Jahr 2022 ihren Arbeitsplatz aufgeben wollen.[2] Während das Gehalt der Hauptgrund für die so genannte Große Kündigung ist, ist Burnout - verursacht durch mangelnde Unterstützung am Arbeitsplatz und unzureichende Work-Life-Balance - nicht weit dahinter.[3] ^, [4]

Dieser Trend trifft die Cybersicherheitsbranche besonders hart. Nicht weniger als 84 % der Cybersicherheitsexperten in Nordamerika gaben an, dass sie unter Burnout leiden, was sich negativ auf ihre Motivation auswirkt, ihre Arbeit zu erledigen.[5]

Drei sich überschneidende Faktoren tragen zum Burnout bei Cybersicherheitsexperten bei. 

Mehr Bedrohungen. Laut dem Bericht von Mimecast State of Email Security 2022 (SOES) haben 72 % der Unternehmen im vergangenen Jahr einen deutlichen Anstieg der E-Mail-Bedrohungen festgestellt. Achtunddreißig Prozent gaben außerdem an, dass sie einen signifikanten Anstieg von Ransomware-Angriffen beobachtet haben, verglichen mit 19 Prozent im Jahr 2018. Weitere Untersuchungen haben ergeben, dass die Zahl der Cyberangriffe insgesamt von 2020 bis 2021 um 50 % gestiegen ist, was vor allem auf das Auftreten der Log4j-Schwachstelle im vergangenen Dezember zurückzuführen ist.[6] Es genügt zu sagen, dass all dies und noch mehr es den Mitarbeitern im Bereich der Cybersicherheit schwer macht, mit der Arbeit aufzuhören. Tatsächlich gaben 87 % an, dass ihre Arbeitgeber von ihnen erwarten, dass sie Überstunden machen. Diejenigen, die eine Führungsrolle innehaben, arbeiten im Durchschnitt 10 Stunden mehr pro Woche - und dennoch sagen die Führungskräfte in den Unternehmen, dass die Sicherheitsteams für die ihnen zur Verfügung gestellten Budgets noch mehr leisten könnten.[7]

Kleinerer Personalbestand. Die große Resignation hat zu einem Mangel an Cybersecurity-Fachkräften beigetragen . Mehr als 60 % der Unternehmen geben an, dass sie unbesetzte Stellen im Bereich Cybersicherheit und unterbesetzte Teams haben.[8] Dies erschwert es den Cybersecurity-Teams, kritische Aufgaben wie Systemkonfigurationen, Risikobewertungen und Software-Patches zu erledigen, da sie damit beschäftigt sind, auf eine ständig wachsende Zahl von Vorfallsmeldungen zu reagieren. Eines von drei Unternehmen gab an, dass unzureichendes Sicherheitspersonal eine der größten Herausforderungen für die E-Mail-Sicherheit darstellt, so der Mimecast SOES-Bericht.

Burnout bei anderen Mitarbeitern. Laut dem Mimecast-Bericht sind Unternehmen erheblichen Sicherheitsrisiken ausgesetzt, die auf eine Reihe von Mitarbeiterfehlern zurückzuführen sind, wie das Anklicken von Phishing-Links, die Weitergabe von Daten auf unsichere Weise oder die Verwendung schwacher Passwörter. Natürlich steigt die Wahrscheinlichkeit solcher Fehler, wenn die Mitarbeiter gestresst oder müde sind. Die Angreifer nutzen dieses Gefühl des Ausgebranntseins aus. So werden beispielsweise die Spear-Phishing-Kampagnen immer ausgefeilter und am Nachmittag verschickt, wenn die Mitarbeiter am ehesten abgelenkt sind.[9]

Menschliche und technische Unterstützung 

Um dem Burnout im Bereich der Cybersicherheit wirksam zu begegnen, müssen Unternehmen ihre Unternehmenskultur überprüfen und herausfinden, wie sie ihre Cybersicherheitsexperten besser unterstützen können. Diese Unterstützung kann in zwei Formen erfolgen:

Menschliche Unterstützung: Für Cybersicherheitsexperten ist es oft schwierig, sich von ihrer Arbeit zu trennen, so Shamla Naidoo, CSO und Leiterin der Cloud-Strategie bei Netskope, in einem veröffentlichten Artikel.[10] Manchmal denken sie über die zahlreichen Bedrohungen nach, denen ihre Unternehmen ausgesetzt sind, und manchmal überlegen sie, wie sie diese Bedrohungen aufhalten können. Leider lässt dies nicht viel Raum für Selbstfürsorge, was nur allzu leicht zu Stress und Burnout in der Cybersicherheitsabteilung führen kann.

Auf der Führungsebene müssen Führungskräfte und Manager ein Arbeitsumfeld fördern, in dem sich die Mitarbeiter unterstützt fühlen. Diese Unterstützung kann in vielerlei Form erfolgen: Wellness-Programme, die die Selbstfürsorge fördern, Projektmanagement-Strategien, die das halsbrecherische Arbeitstempo vermindern, oder flexible Richtlinien für die Inanspruchnahme von Freizeit. 

Natürlich hilft auch die finanzielle Unterstützung. Laut der Information Systems Security Association (ISSA) ist die niedrige Bezahlung der größte Faktor, der zum Personalmangel im Bereich der Cybersicherheit beiträgt, und der Hauptgrund dafür, dass Führungskräfte im Bereich der Informationssicherheit ihre Stelle verlassen. Geld ist auch ein Faktor für die 48 % der Angestellten im Bereich Cybersicherheit, die aufgrund der Kosten nicht in der Lage sind, 40 Stunden Weiterbildung pro Jahr zu absolvieren[11] (Weiterbildungsmöglichkeiten wie CISSP- und CISA-Bootcamps können mit einem Preisschild von 3.000 Dollar oder mehr versehen werden). Unternehmen, die ihre Vergütung erhöhen und Stipendien und bezahlte Freistellungen für Schulungen anbieten, können Cybersecurity-Fachleuten zeigen, dass sie in ihre Zukunft investieren.

Technische Unterstützung: Die heutigen Cybersicherheitsteams können täglich Tausende von Warnmeldungen erhalten. Dies wirft drei Kernprobleme auf: 

Die schiere Anzahl potenzieller Vorfälle, die erkannt werden, kann in Verbindung mit der hohen Anzahl von Fehlalarmen zu einer Ermüdung der Alarmierung beitragen. Niemand möchte eine Warnung ignorieren, die sich als wichtig erweist, aber es kann sehr anstrengend sein, auf jede Warnung zu achten.

Warnungen von verschiedenen Sicherheitstools widersprechen sich wahrscheinlich, da sie Vorfälle auf ihre eigene Weise melden. So kann beispielsweise ein Produkt, das einen Endpunkt überwacht, etwas anderes über einen Vorfall aussagen als ein Produkt, das ein Netzwerk überwacht.

Das durchschnittliche Unternehmen verwendet 29 verschiedene Sicherheitsüberwachungs-Tools, wobei Unternehmen fast vier Dutzend verwenden - und in den meisten Fällen sind diese Tools nicht integriert. Das bedeutet, dass die Mitarbeiter der Cybersicherheit von einer Anwendung zur anderen wechseln müssen, um die Stichhaltigkeit von Vorfällen und den Schweregrad von Bedrohungen abzugleichen.[12]

Alles in allem müssen Cybersicherheitsteams viele manuelle Berichterstattungs-, Überwachungs- und Erkennungsarbeiten durchführen - allesamt mühsame Aufgaben, die zum Burnout beitragen. Dies hindert sie auch daran, sich auf die Arbeit auf höherer Ebene zu konzentrieren, z. B. auf die Erstellung fortgeschrittener Erkennungs- und Warnregeln, um Fehlalarme von vornherein zu vermeiden. 

Die Automatisierungstechnik kann dabei eine wertvolle Rolle spielen. Künstliche Intelligenz (KI) und maschinelles Lernen (ML) sind in der Lage, Bedrohungen weitaus schneller zu erkennen und darauf zu reagieren als menschliche Sicherheitsanalysten, so dass diese nicht mehr jeden Alarm überprüfen müssen. Dies ist besonders wertvoll für E-Mail-basierte Angriffe, die automatisch ausgelöst werden können, wenn ein Mitarbeiter beispielsweise auf einen Link klickt oder eine Datei herunterlädt. Solche Werkzeuge haben den zusätzlichen Vorteil, dass sie die Zahl der erfolgreichen Angriffe, die auf ehrliche Fehler der Mitarbeiter zurückzuführen sind, verringern.

Die Verknüpfung von Integration und Automatisierung bringt den Schutz noch einen Schritt weiter und vereint bisher getrennte Systeme zur Überwachung von Bedrohungen an einem Ort. Cybersecurity-Fachleute haben nicht nur einen einzigen Überblick über Vorfallsberichte, sondern die Sicherheitslösung kann auch automatisch auf Vorfälle zugreifen und Warnungen ausgeben, wenn sie wirklich notwendig sind.

Die Quintessenz

Burnout bei Cybersicherheitsexperten ist ein ernstes Problem, das weit über die IT- und Sicherheitsabteilungen hinausgeht. Denn wenn das Team, das ein Unternehmen vor Cyberangriffen schützen soll, nicht optimal arbeitet, ist das gesamte Unternehmen gefährdet. Ein wichtiger Schritt im Kampf gegen Burnout im Bereich der Cybersicherheit ist die Änderung der Unternehmenskultur, um Selbstfürsorge und Auszeiten zu fördern. Eine weitere Möglichkeit ist die Investition in integrierte Best-of-Breed-Cybersicherheitslösungen, wie das Mimecast-Netskope-CrowdStrike Triple Play. Dieser kombinierte Ansatz nutzt KI, um sich wiederholende Aufgaben zu automatisieren, und ermöglicht es Cybersicherheitsexperten, ihr Fachwissen besser einzusetzen.

[1] "Die große Resignation hat die Arbeitswelt für immer verändert. Wir gehen nicht zurück", sagt der Experte, der den Begriff geprägt hat", so CNBC

[2] "Was 52.000 Menschen heute über Arbeit denken," PwC

[3] "SHRM Research Highlights Lasting Impact of the 'Great Resignation' on Workers Who Choose to Stay," Society for Human Resource Management

[4] "Von der großen Resignation zum großen Reskilling: Einblicke in die nächsten Schritte für die "großen Rücktritte", Cengage Group

[5] "State of Access Report 2021," 1Password

[6] "Cybersecurity: Letztes Jahr war ein Rekordjahr für Angriffe, und Log4j machte es noch schlimmer," ZDNet

[7] "Nominet CISO Stress Report: Unternehmen erhalten 23.000 £ (30.000 $) "kostenlose" CISO-Zeit, während sich die Auswirkungen von Stress auf die psychische Gesundheit bis 2020 verdoppeln," Nominet

[8] "State of Cybersecurity 2022," ISACA

[9] "Cybersecurity Burnout ist real. Und es wird ein Problem für uns alle sein," ZDNet

[10] "Führungs- und Einstellungsänderungen erforderlich, um Burnout in der Cybersicherheit zu bekämpfen," Help Net Security

[11] "The Life and Times of Cybersecurity Professionals 2021," Information Systems Security Association

[12] "Cybersecurity-Tool-Wildwuchs führt zu Burnout, Fehlalarmen: Bericht," Cybersecurity Dive