Menschliche Fehler: Die ständige Schwachstelle

Proofpoint veröffentlichte vor kurzem seinen neuen „Voice of the CISO“-Report. ITWelt.at hat sich die Ergebnisse angesehen. [...]

Der Anteil der CISOs, die damit rechnen, dass ihr Unternehmen in den nächsten 12 Monaten einem schweren Cyberangriff ausgesetzt sein wird, steigt deutlich, so der aktuelle „Voice of the CISO“-Report von Proofpoint. Am größten ist die Angst in Südkorea (91 Prozent), gefolgt von Kanada und USA (90 bzw. 87 Prozent). Am anderen Ende der Nervositätsskala liegt Brasilien mit deutlich entspannteren 45 Prozent.

Wenig überraschend betrachten 41 Prozent der Befragten Ransomware als die größte Bedrohung für die nächste 12 Monate. „Die Angreifer haben den Einsatz mit doppelter und dreifacher Erpressung sowie ausgereifteren Ransomware-Ökosystemen erhöht. Daher müssen CISOs nach Möglichkeiten suchen, Angriffe in jeder Phase der Angriffskette zu unterbrechen – von der Initial-Kompromittierung über laterale Bewegungen innerhalb des Netzwerks und Erweiterung von Berechtigungen bis hin zu Datenexfiltration“, so die Studie.

62 Prozent der CISOs sagen, dass ihr Unternehmen bei einem Ransomware-Angriff wahrscheinlich das Lösegeld zahlen würde, um die Systeme wiederherzustellen oder die Veröffentlichung von Unternehmensdaten zu vermeiden. Diese Zahl hat sich seit der letzten Umfrage nicht verändert, so die Autoren der Studie. Viele andere wollen ihre Cyberversicherung heranziehen. Insgesamt gaben 79 Prozent der CISOs an, dass sie im Falle eines Cyberangriffs in den nächsten 12 Monaten ihre Cyberversicherung dazu verwenden würden, die Verluste abzudecken.

Weitere Bedrohungen sind Malware (38 Prozent), E-Mail-Betrug (36 Prozent), Cloud-Kontenkompromittierung (34 Prozent), Insider-Bedrohungen (30 Prozent) und DDoS-Attacken (30 Prozent).

74 Prozent der von Proofpoint befragten CISOs sehen den Menschen als größten Risikofaktor, während es 2023 noch 60 Prozent und 2022 gerade einmal 56 Prozent waren. Besonders groß sind diesbezügliche Sorgen in Saudi-Arabien (84 Prozent), Kanada (83 Prozent) und Frankreich (82 Prozent). Etwas besser scheinen diesbezüglich die Sicherheitsverantwortlichen in Japan, USA (jeweils 66 Prozent) und Großbritannien (65 Prozent) zu schlafen. CISOs in den Bereichen Bildung (89 Prozent), Medien, Freizeit und Unterhaltung (85 Prozent) sowie im öffentlichen Sektor (78 Prozent) stufen menschliche Fehler als größte Cyberschwachstelle ihres Unternehmens ein.

Was die Ursachen für Datenverlust betrifft, so werden fahrlässig handelnde Mitarbeiter und Mitarbeiterinnen in 42 Prozent aller Fälle genannt. Es folgen externe Angriffe (40 Prozent) und böswillig bzw. kriminell handelnde Insider (36 Prozent).

Schwerwiegende Datenverluste können verschiedenste Konsequenzen nach sich ziehen. Die meisten CISOs nannten finanzielle Verluste (43 Prozent) und Kosten durch den Ausfall geschäftlicher Prozesse und Datenwiederherstellung (41 Prozent).

Im Kampf gegen den Datenverlust setzt die Hälfte der Sicherheitsverantwortlichen auf Schulungen zu bewährten Sicherheitsmethoden. 52 Prozent nutzen Cloud-Sicherheitslösungen (52 Prozent), um das Problem in den Griff zu bekommen. Andere implementieren dedizierte Technologien für Datenverlustprävention (DLP, 51 Prozent), Endpunktschutz (49 Prozent), E-Mail-Schutz (48 Prozent) oder zur Isolierung (42 Prozent), um zu verhindern, dass Mitarbeiter ihre Anmeldedaten in Webformulare eingeben.

Um den Bereich menschlicher Schwachstellen generell zu reduzieren, setzen viele CISOs verstärkt auf KI-gestützte Technologien. 87 Prozent der befragten CISOs möchten solche Tools implementieren, um ihr Unternehmen vor menschlichen Fehlern zu schützen und raffinierte personenzentrierte Cyberbedrohungen zu blockieren.

Dies gilt für alle befragten Branchen, wobei der Einzelhandel (81 Prozent), IT, Technologie und Telekommunikation (89 Prozent) sowie der Bildungsbereich (88 Prozent) die Liste anführen, so die Ergebnisse der Proofpoint-Studie.

Gleichzeitig steigt der Anteil der CISOs, die der Meidung sind, dass generative KI ein Sicherheitsrisiko für ihr Unternehmen darstellt. Besonders groß sind diesbezügliche Sorgen in den Bildungseinrichtungen (68 Prozent), Gesundheitswesen (66 Prozent) und im Öffentlichen Sektor (65 Prozent).

KI ist nicht der einzige große Trend, der CISOs Sorgen bereitet. Sich ändernde wirtschaftliche Bedingungen auf der ganzen Welt erhöhen den Druck auf ohnehin schon überlastete Sicherheitsteams. CISOs in Südkorea (79 Prozent) bekommen die Auswirkungen der turbulenten Wirtschaftslage am stärksten zu spüren, gefolgt von CISOs in Kanada (72 Prozent), Frankreich (68 Prozent), Deutschland (68 Prozent) und Spanien (64 Prozent).

„Es gibt eine bemerkenswerte Veränderung im Vergleich zum Vorjahr: Die Verbesserung des Sicherheitsbewusstseins der Angestellten hat bei CISOs jetzt die zweithöchste Priorität. Dieses Ranking ist wahrscheinlich wenig überraschend, aber es zeigt erneut sehr deutlich, dass personenzentrierte Sicherheit kein fester Bestandteil der meisten Cyberstrategien ist“, so die Studie. Ganz oben auf der aktuellen Prioritätsliste steht die Verbesserung von Informationsschutz und Datenklassifizierung, um geschäftliche Innovationen zu ermöglichen (z. B. DevSecOps und Produktentwicklung).

Immerhin hat sich die Beziehung zwischen Vorstand und CISO verbessert. In der Vergangenheit fiel es den Sicherheitsverantwortlichen schwer, sich mit den Vorständen abzustimmen. Noch 2022 sagte nur die Hälfte der befragten CISOs, dass sie sich mit dem Vorstand auf Augenhöhe sehen. Diese Zahl ist 2023 nur leicht auf 62 Prozent gestiegen.

Die Situation scheint sich jedoch zu ändern. In diesem Jahr berichteten 84 Prozent der CISOs, dass sie sich beim Thema Cybersicherheit mit der Geschäftsführung auf Augenhöhe sehen. Diese Veränderung lässt sich in allen Branchen beobachten, besonders deutlich im Gesundheitswesen (91 Prozent), Transportwesen (88 Prozent) sowie im Energie-, Öl- und Gassektor sowie bei Versorgungsunternehmen (81 Prozent).

Der „Voice of the CISO 2024“-Report von Proofpoint kann hier heruntergeladen werden.