Security-Risiken sind Business-Risiken. Wer Awareness auf technische Bedrohungen verengt und nicht auf Produktivitätsverlust, Reputationsschaden, Bußgelder und Betriebsunterbrechungen übersetzt, verliert die Führungsebene. Awareness ist deshalb eine Investition in den Geschäftserfolg, nicht nur eine Compliance-Pflicht.

Ja. Security Awareness macht sich oft kleiner, als sie ist bzw. sein sollte. Für viele Organisationen und auch Mitarbeitenden ist «Risk» erst dann relevant wenn klar wird, was auf dem Spiel steht: Kundschaft, Vertrauen, Betrieb, Geld, Reputation, Arbeitsplatz. Wenn Awareness nur über Phishing, Passwörter und Policies spricht, bleibt sie zu eng. Gute Awareness erklärt nicht nur Sicherheitsrisiken – sie zeigt Business-Konsequenzen und gliedert sich auch in Altagsthemen ein. Und Security an sich sollte sich immer am Business orientieren ohne sich davon übersteuern zu lassen. Auch hierfür braucht es Verständigung, Verständnis und Kooperation untereinander. Ich habe kein Problem, wenn man auch mal Risiken akzeptiert – und zwar vom Business.