SCHRITT 1

Evaluieren Sie Ihre Bedürfnisse

Die Evaluierung ist ein wesentlicher erster Schritt bei der Entwicklung eines umfassenden Sicherheitsprogramms und gilt auch für das Sicherheitsbewusstseins-Training. Listen Sie die Hauptrisiken auf, die Sie angehen wollen. Wenn Sie sich in einer regulierten Branche befinden, schließen Sie die Compliance-Anforderungen mit ein. Ermitteln Sie genau, welche Schulungen erforderlich sind, um diese Anforderungen zu erfüllen.

SCHRITT 2

Bewertung Ihrer Sicherheitskultur

Eine solide Sicherheitskultur beginnt an der Spitze undsollte die Überzeugung fördern, dass Sicherheit ein Problem ist und in derVerantwortung aller liegt. Wenn diese Sicherheitskultur besagt, dass Sicherheit alle betrifft, kämpft die IT-Abteilung nicht mehr allein auf weiter Flur. Bevor ein Programm gestartet wird, müssen zunächst die Anforderungen abgeschätzt und erst dann die Inhalte erstellt werden.

SCHRITT 3

Festlegung der Richtlinien

Alle Regelungen, Richtlinien und Standards, die sich auf die Mitarbeiter (Benutzer) beziehen, müssen analysiert werden. Diese Richtlinien müssen später zur Bewusstseinsbildung in die Schulungsinhalte einfließen.

SCHRITT 4

Ermittlung der betreffenden Zielgruppen

Die Phishing-Simulation kann mit diversen Diensten kombiniert werden. Diese Dienste helfen dem Unternehmen, das Risiko besser einzuschätzen. Hier einige Beispiele:

• Firmenvorstand:Die Mitglieder des Vorstands können jährlich zu einer solchen Schulung zur Bewusstseinsbildung eingeladen werden, um den Vorstand über die Bedeutung der Datensicherheit zu informieren (sowie über die Art derSchulungen für die Mitarbeiter).
• Management: Die Schulungen sollten das Managementteam bei der Ausführung verschiedener Aufgaben unterstützen (Zugangsberechtigung, Datenklassifizierung, usw.).
• Technisches Personal: Da das technische Personal sowohl für die Sicherung der Informationsressourcen als auch für die Durchsetzung von Richtlinien und die Konfiguration der Systeme zu deren Durchsetzung von entscheidender Bedeutung ist, muss unbedingt ein Schulungsprogramm entwickelt werden, um das technische Personal über die entsprechenden Richtlinien, Verfahren und Tools zu informieren, welche Normen und Richtlinien sie befolgen müssen. Jährliche Schulungen sollten durch Wissenstests und praktische Ausbildung ergänzt werden. Die besten Praktiken umfassen:
  • Ein „Due Diligence-Quiz“ dokumentiert, dass der Benutzer nicht nur die Schulung absolviert hat, sondern auch die Inhalte dieser Richtlinien verstanden hat.
  • Eine monatliche Erinnerungsnachricht: Einmal pro Monat wird eine E-Mail zu einem bestimmten aktuellen Thema gesendet. Bewusstseins-Informationen bei Bedarf: Wenn Probleme oder Schwachstellen auftreten oder neue Richtlinien gelten, wird in geeigneter Weise eine diesbezügliche Information gesendet.
  • Laufende Bewusstseins-Schulungen:  Während des gesamten Jahres sowie vor der jährlichen Schulung können verschiedene Bewusstseinsübungen wie Phishing-Simulationen durchgeführt werden.
• Schulungen für Kundenbewusstsein: Wir arbeiten bei Bedarf auch mit Marketingmitarbeitern und Webentwicklern zusammen, um sicherzustellen, dass eine adäquate Mischung von Flyern, Website-Elementen und öffentlichen Bekanntmachungen an die Kunden zur Prävention von Identitätsdiebstahl beitragen.

SCHRITT 5

Entwickeln Sie abteilungsübergreifende Partnerschaften

Die Bewusstseins-Schulungen werden wahrscheinlich von der IT-Abteilung zusammen mit Risiko oder Compliance entwickelt. Die Implementierung erfordert jedoch Partner in anderen Abteilungen. Diese Partner könnten bei einigen wichtigen Anforderungen helfen: bei der Abwicklung (von Sitzungen, persönlichenGesprächen) und der Verbreitung von Infos. Die Personalabteilung könnte dazu beitragen, Richtlinien zu erstellen, welche die Schulungenverpflichtend machen und die Teilnahme protokollieren. Ein Kommunikationstalent oder ein anderer professioneller Kommunikator könnten für die Erstellung der Schulungsinhalte eingestellt werden. Wenn die Compliance-Abteilung regelmäßig einen Newsletter versendet, kann durch eine Zusammenarbeit der Inhalt für Sicherheitsbewusstsein besser transportiert werden.

SCHRITT 6

Inhalte erstellen

Der Inhalt muss individuell auf das Unternehmen und die Branche zugeschnitten sein. Das Programm muss sich auf jene Themen konzentrieren, die den Benutzern helfen, ihr Verhalten zu ändern. Einige gebräuchliche – die für jede Branche gelten – umfassen Social Engineering, Phishing und Mobile Security. Bei der Entwicklung von Schulungsinhalten sorgen wir dafür, dass einige klare Beispiele aus der Praxis den Benutzern zeigen, wie ein Angriff aussieht.

SCHRITT 7

Finden Sie das richtige Tool

Langatmige PowerPoint-Präsentationen gehören der Vergangenheit an – zumindest beim Sicherheitsbewusstseins-Training. Wenn Mitarbeiter 45 Minuten lang auf ihren Plätzen sitzen und nur zuhören, während jemand die ganze Zeit spricht, bringt keine Zuhörer, die den Inhalt auch verinnerlichen. Die besten Programme vermeiden dieses Problem, indem sie verschiedene andere Methoden verwenden – von Videos über interaktive Online-Module bis hin zu Gamification und simulierten Phishing-Angriffen. Es ist eine gute Idee, Ihre Schulungen auf unterschiedliche Art und Weise durchzuführen. E-Mail-Listen sind eine einfache Möglichkeit, Inhalte zu versenden. Wir stellen auch Inhalte auf externen Websites oder im Intranet bereit.

SCHRITT 8

Planung und Durchführung von Schulungen

Die meisten Unternehmen beginnen mit einem jährlichen Schulungsprogramm, und eine Schulung speziell für neue Mitarbeiter ist das erforderliche Minimum. Ein erfolgreiches Bewusstseinsprogramm ist keine einmalige Aktion oder eine 1-Mal-im-Jahr-Aktivität. Es erfordert einen fortlaufenden Zeitplan, der verschiedene Arten von Aktivitäten beinhaltet, die in geeigneten Intervallen durchgeführt werden – einige können monatlich, andere vierteljährlich oder jährlich stattfinden. Der Inhalt sollte durchmischt und gegebenenfalls für saisonale Bedrohungen relevant sein. Zum Beispiel könnten E-Cards vor dem Valentinstag ein verlockender Klick sein. Stellen Sie also sicher, dass Ihre Mitarbeiter wissen, wo nach verdächtigen Zeichen gesucht werden muss.

SCHRITT 9

Testen Sie die Effizienz der Schulungen

Wenn Sie ein neues Sicherheitssystem einrichten, sollten Sie es auch testen, um sicherzustellen, dass es ordnungsgemäß funktioniert. Sie sollten auf dieselbe Weise das Sicherheitsbewusstsein trainieren. Sie können relevante Fragen in den Schulungsinhalt aufnehmen. Wenn Sie jeden Abschnitt mit einem Test beenden, können Sie feststellen, ob Ihre Mitarbeiter die wichtigsten Informationen verarbeitet haben. Sie könnten beispielsweise einige Wochen nach dem Training eine Phishing-E-Mail senden, um herauszufinden, wer sich verleiten hat lassen.

SCHRITT 10

Entsprechend nachverfolgen und handeln

Es ist wichtig, die Resultate der Schulungenauszuwerten, aber Sie sollten auch überprüfen, wer die Schulung absolviert hat und wieviel Zeit dafür aufgewendet wurde. Gleichen Sie dann die Auswirkungen mit tatsächlichen Sicherheitsvorfällen ab. Wenn Mitarbeiter die Schulung nicht abschließen oder die Tests nicht bestehen, müssen sie zur weiteren Schulung verpflichtet werden. Wiederholte Fehlschläge sollten ein persönliches Gespräch auslösen. Wenn Ihr Programm wirklich effektiv ist, sollte die Anzahl der Sicherheitsvorfälle abnehmen. Wenn Sie dort keine Korrelation sehen, müssen Sie wahrscheinlich Ihr Schulungsmaterial überarbeiten und Ihren Ansatz optimieren. Wenn neue Bedrohungen auftauchen, müssen Sie bereit sein, diese einzuarbeiten und Ihr Training kontinuierlich zu aktualisieren. Schulen Sie Ihre Mitarbeiter richtig und statten Sie diese mit dem nötigen Wissen aus. Nur dann werden Sie eine deutliche Verbesserung Ihrer gesamten Cyber-Sicherheit feststellen.