56 Prozent der CISOs weltweit sehen menschliches Fehlverhalten als größte Schwachstelle

Voice of the CISO-Report von Proofpoint: Im vergangenen Jahr waren CISOs vor allem mit der Unterstützung und Absicherung der neuen Arbeitsweisen im Zuge der Pandemie beschäftig. Inzwischen haben viele von ihnen das Gefühl, ihre Umgebung besser im Griff zu haben: Im weltweiten Durchschnitt sind nur noch 48 Prozent der Meinung, dass ihr Unternehmen in den nächsten 12 Monaten dem Risiko eines schwerwiegenden Cyberangriffs ausgesetzt ist. Im letzten Jahr teilten noch 64 Prozent diese Ansicht. [...]

Nur die Hälfte der befragten deutschen CISOs haben im letzten Jahr die Frequenz ihrer Cybersicherheitsschulungen für Mitarbeiter erhöht. (c) Unsplash

Sich für einen Cyberangriff gewappnet zu fühlen und wirklich darauf vorbereitet zu sein, sind allerdings zwei Paar Schuhe. Die wachsende Zuversicht vieler CISOs hat wahrscheinlich eher mit der erfolgreichen Überwindung einer Ausnahmesituation – der Pandemie – zu tun als mit einer tatsächlichen Veränderung des Risikoniveaus bzw. der Sicherheitsmaßnahmen. Der vorliegende Bericht zeigt, dass 50 Prozent der CISOs weltweit immer noch das Gefühl haben, dass ihre Organisation nicht auf einen Cyberangriff vorbereitet ist. Zudem erachten 56 Prozent von ihnen menschliches Fehlverhalten als ihre größte Cybersicherheits-Schwachstelle.

Der diesjährige „Voice of the CISO“-Bericht berücksichtigt die Antworten von mehr als 1.400 CISOs mittlerer bis großer Unternehmen aus verschiedenen Branchen. Die Befragung fand im Auftrag von Proofpoint statt. Im Laufe des ersten Quartals 2022 wurden hierzu jeweils hundert CISOs aus 14 Ländern befragt: USA, Kanada, Großbritannien, Frankreich, Deutschland, Italien, Spanien, Schweden, die Niederlande, die Vereinigten Arabischen Emirate, Saudi-Arabien, Australien, Japan und Singapur.

Drei zentrale Fragen

Wie sehen die Risiken und Formen von Cyberangriffen aus, mit denen CISOs täglich konfrontiert sind?
Inwieweit sind Mitarbeiter und Organisationen auf Cybersicherheitsvorfälle vorbereitet?
Was sind die Folgen hybrider Arbeitsformen in Zeiten. In denen Mitarbeiter wieder zunehmend in den Büros der Unternehmen ihrer Arbeit nachgehen

Ferner befasst sich die Studie mit den Herausforderungen, mit denen CISOs in ihrem Tätigkeitsfeld konfrontiert sind, der Rolle, die sie in der Führungsetage einnehmen, und den Erwartungen des Unternehmens an ihre Teams.

„Das vergangene Jahr war für CISOs auf der ganzen Welt abermals eine große Herausforderung, weil aufsehenerregende Cyberangriffe Lieferketten unterbrachen, die Schlagzeilen dominierten und sogar zu neuen Gesetzen im Bereich der Cybersicherheit führten. Es ist jedoch erfreulich zu sehen, dass CISOs die neuen Arbeitsformen zusehends unter Kontrolle haben und die Sicherheitslage ihrer Unternehmen mit größerer Zuversicht bewerten“, erläutert Andrew Rose, Resident CISO EMEA bei Proofpoint. „Zwar klingen die Folgen der Pandemie für Sicherheitsteams nun allmählich ab, dennoch zeigt unser diesjähriger Bericht ein neues dringendes Problem auf: Weil Arbeitnehmer verstärkt ihren Arbeitsplatz wechseln oder sich für einen alternativen beruflichen Lebensweg entscheiden, müssen die Security-Teams nun einer Vielzahl von Schwachstellen in den Bereichen Datensicherheit und Insider-Bedrohungen begegnen.“

Proofpoints „Voice of the CISO“-Report 2022 zeigt allgemeine Trends sowie regionale Unterschiede in der weltweiten CISO-Community. Einige der wichtigsten Ergebnisse:

Deutsche CISOs sind nun viel zuversichtlicher: Nach zwei Jahren beispielloser Herausforderungen fühlen sich die deutschen CISOs jetzt viel besser in der Lage, ihre IT-Umgebung zu kontrollieren. Zwei von fünf Befragten (40 Prozent) sind der Meinung, dass ihr Unternehmen in den nächsten 12 Monaten von einem größeren Cyberangriff bedroht sein könnte. Im letzten Jahr äußerten noch 79 Prozent diese Ansicht. Der weltweite Durchschnitt lag dieses Jahr bei 48 Prozent (Vorjahr 64 Prozent).
CISOs sind sich uneinig, worin die größten Bedrohungen für ihr Unternehmen bestehen: In diesem Jahr führten Cloud Account Compromise (Microsoft 365, G Suite oder andere) und Ransomware-Angriffe die Liste der Antworten deutscher CISOs mit jeweils 34 Prozent an, dicht gefolgt von DDoS-Attacken (33 Prozent) und Insider-Bedrohungen (fahrlässig, versehentlich oder kriminell) mit 31 Prozent.
Die Bereitschaft von Unternehmen, sich auf Cyberbedrohungen vorzubereiten, hat sich verbessert, bleibt aber ein zentrales Anliegen: Weil Security-Teams nun immer besser mit den veränderten Arbeitsgewohnheiten im Zuge der Pandemie zurechtkommen, fühlen sich die CISOs vermehrt für den Umgang mit Cyberbedrohungen gerüstet. Während 79 Prozent der deutschen CISOs 2021 glaubten, dass sie nicht auf einen gezielten Angriff vorbereitet waren, sind es in diesem Jahr nur noch 64 Prozent. Dieser Wert liegt allerdings deutlich über dem weltweiten Durchschnitt von 50 Prozent.
Das Sicherheitsbewusstsein der Angestellten nimmt zu, aber deutsche Mitarbeiter sind nach wie vor noch nicht ausreichend für ihre Rolle in der Cyberverteidigung qualifiziert: Während drei von fünf Befragten glauben, dass die Mitarbeiter ihre Rolle beim Schutz ihres Unternehmens vor Cyberbedrohungen verstehen, halten 58 Prozent der deutschen CISOs menschliches Versagen immer noch für die größte Cyberschwachstelle ihres Unternehmens. Allerdings hat nur die Hälfte der befragten deutschen CISOs im letzten Jahr die Frequenz ihrer Cybersicherheitsschulungen für Mitarbeiter erhöht.
Dauerhaft hybride Arbeitsweisen machen den Schutz von Daten zu einer neuen Herausforderung für deutsche CISOs: 55 Prozent der deutschen CISOs stimmen der Aussage zu, dass sie in den letzten zwölf Monaten eine Zunahme gezielter Angriffe beobachtet haben. Und 47 Prozent geben an, dass die Zunahme der Mitarbeiterfluktuation den Schutz der Daten zu einer größeren Herausforderung macht. Auch darum stehen Investitionen in den Schutz vor Insider-Bedrohungen ganz oben auf der Prioritätenliste für die nächsten zwei Jahre. Auf die Frage, wie Mitarbeiter am wahrscheinlichsten eine Datenschutzverletzung verursachen, nannten CISOs böswillige Insider, die absichtlich Informationen entwenden, als wahrscheinlichstes Szenario.
Schlagzeilenträchtige Ransomware-Attacken haben das Bewusstsein für Cyberrisiken in der Führungsetage gestärkt und zu einem Strategiewechsel geführt: Die jüngsten aufsehenerregenden Angriffe haben dazu geführt, dass Ransomware ganz oben auf der Prioritätenliste von Unternehmen steht. 59 Prozent der deutschen CISOs gaben an, dass sie eine Cyberversicherung abgeschlossen haben und sich auf die Prävention anstatt auf Erkennungs- und Reaktionsstrategien konzentrieren. 41 Prozent der deutschen CISOs geben jedoch zu, dass in ihrem Unternehmen keine Richtlinien für die Zahlung von Lösegeldern existieren.
Während sich deutsche CISOs weniger Druck ausgesetzt fühlen, ist der Rückhalt im Vorstand nach wie vor prekär, weil Cyberrisiken die Unternehmensführung beunruhigen: 51 Prozent der CISOs sind der Meinung, dass die Erwartungen an ihre Rolle überzogen sind, ein Rückgang gegenüber 73 Prozent im letzten Jahr. Allerdings hat die mangelnde Abstimmung mit dem Vorstand in der Wahrnehmung zugenommen: Nur 19 Prozent der deutschen CISOs stimmen voll und ganz der Aussage zu, dass ihr Vorstand in Fragen der Cybersicherheit mit ihnen auf einer Wellenlänge liegt. Bei der Betrachtung von Cyber-Risiken nannten die deutschen CISOs erhebliche Ausfallzeiten, Auswirkungen auf die Unternehmensbewertung und den Verlust bestehender Kunden als wichtigste Bedenken des Vorstands.

„Nachdem sie zwei Jahre damit zugebracht haben, ihre Sicherheitsmaßnahmen zu verstärken, um hybrides Arbeiten zu ermöglichen, mussten CISOs nun ihre Anstrengungen priorisieren, um Cyber-Bedrohungen zu begegnen, die auf hybrid arbeitende, von der Cloud abhängige Mitarbeiter abzielen. Infolgedessen hat sich ihr Fokus auf die Verhinderung der wahrscheinlichsten Angriffsszenarien wie Business Email Compromise (BEC), Ransomware, Insider-Bedrohungen und DDoS verlagert“, kommentiert Miro Mitrovic, Area Vice President, DACH, bei Proofpoint. „Insgesamt scheinen CISOs das Jahr 2022 als die Ruhe nach dem Sturm zu empfinden, jedoch könnten sie sich hier in einem falschen Gefühl der Sicherheit wiegen. Angesichts steigender geopolitischer Spannungen und zunehmender Angriffe, die sich auf den Menschen konzentrieren, müssen sie die Löcher in der Sensibilisierung der Mitarbeiter, bei den Sicherheitsmaßnahmen und der Prävention stopfen, bevor das Fahrwasser in der Cybersicherheit wieder rauer wird.“