Wie Security Awareness Metriken das Sicherheitsbewusstsein messbar werden lassen und nachhaltig steigern können

Ein besonders effektiver Ansatz, um die IT-Sicherheit in Unternehmen zu steigern und den Grad an Awareness drastisch zu erhöhen, sind die sogenannten Security Awareness Metriken. Bei den Security Awareness Metriken handelt es sich um Werte, die das Sicherheitsbewusstsein zahlenmäßig darstellen. Die Metriken lassen die Awareness also überhaupt erst einmal sichtbar werden, um es mal ganz konkret auf den Punkt zu bringen.

Durch die steigende Digitalität gibt es außerdem nichts, was nicht gemessen oder getrackt werden kann. Für nahezu alles lässt sich ein Wert ermitteln, dauerhaft bestimmen und im Nachhinein auch entsprechend umfangreich analysieren. Auf diese Weise entsteht dann wiederum Awareness, weil potenzielle Schwachstellen mit Zahlen belegt und untermauert werden können. Das ist primär in Schulungen wichtig, um den Teilnehmenden das hohe Risiko aufzuzeigen und mit den Werten entsprechend vor Augen führen zu können. Viele Mitarbeiter benötigen diese Zahlen geradezu, um den Ernst der Lage überhaupt erst erkennen zu können. Auch dabei helfen die Security Awareness Metriken. Doch welche gibt es denn nun genau?

1. Abgeschlossene Security Awareness Trainings: Eine überaus wichtige Metrik, wenn es um den Umgang mit Awareness geht, sind die nackten Zahlen. Unter anderem die Anzahl der abgeschlossenen Awareness-Schulungen. Wie viele Mitarbeiter haben daran teilgenommen und wie viele Trainings gab es im letzten Jahr bezüglich der Awareness? Dieser Wert ist auch in der Außendarstellung entsprechend wichtig, denn er zeigt an, wie aktiv Sie mit Ihrem Unternehmen für mehr Sicherheit einstehen.

2. Gemeldete Datenlecks und Datenverluste: Auch hier lässt sich der aktuelle Stand im Hinblick auf die IT-Sicherheit besonders gut ablesen. Gemeldete Datenlecks und damit einhergehende Datenverluste zeigen an, ob im Unternehmen ein dauerhaftes Problem besteht und wie häufig es dazu kam, dass kritische Datenlecks und Datenverluste entstanden sind. Ein wichtiger Wert, der auf ein Minimum reduziert werden sollte.

3. Klickrate von Phishing-Mails: Die Klickrate von Phishing-Mails ist wunderbar dazu geeignet, um in entsprechenden Schulungen für mehr Awareness zu sorgen. Durch die Zahlen lässt sich den Teilnehmenden besonders drastisch aufzeigen, wie viele Phishing-Mails im Unternehmen tagtäglich geklickt wurden und warum schon der Klick auf eine Phishing-Mail häufig zum Problem werden kann. Auch Ihnen zeigt er, wie Ihre Mitarbeiter auf solche Angriffe reagieren.

4. Kosten für Sicherheitsvorfälle: Auch die Kosten, die durch die verschiedenen Sicherheitsvorfälle im Unternehmen entstanden sind, geben eine wichtige Security Awareness Metrik wieder. Denn solche Kosten entstehen nur dann, wenn zuvor nicht genug Awareness geschaffen wurde, weshalb es überhaupt erst zu neuen derartigen Vorfällen kommen kann. Mehr Awareness reduziert also automatisch auch die Anzahl an Problemen sowie die Kosten, die Sicherheitsvorfälle üblicherweise nach sich ziehen.

5. Meldequote von Sicherheitsvorfällen: Wie viele Sicherheitsvorfälle gab es und wie viele davon wurden tatsächlich von Mitarbeitern gemeldet? Oft entstehen Sicherheitsvorfälle, die von der IT erkannt, aber nicht von Mitarbeitern entsprechend berichtet wurden. Auch das ist eine Metrik, die die Awareness entsprechend erhöhen kann, weil sie ein klares Bewusstsein für das Problem erzeugt. Jeder, der etwas in Bezug auf mangelnde Sicherheit feststellt, sollte dies auch sofort melden. Denn was nicht sofort gemeldet wird, kann auch nicht ohne Umwege vereitelt werden. Sicherheitsvorfälle möglichst zeitnah zu berichten, bildet daher eine wichtige Grundsäule der Security Awareness in modernen Unternehmen.

6. Nutzung von Sicherheitsfunktionen: Von der gängigen Zwei-Faktor-Authentifizierung bis hin zu einem VPN gibt es in Unternehmen viele verschiedene Sicherheitsfunktionen, die von entsprechender Bedeutung sind oder sein können. Doch wie häufig werden diese überhaupt verwendet? Sind die Funktionen keine Pflicht, gehen viele Mitarbeiter lieber den einfachen Weg und dies lässt sich durch die entsprechende Security Awareness Metrik sehr klar belegen und dementsprechend anzeigen. Nur so kann darauf anschließend mit passenden Maßnahmen reagiert werden.

7. Reaktionszeit auf Sicherheitsvorfälle: Wie schnell auf Sicherheitsvorfälle reagiert wird, ist von entscheidender Bedeutung. Nur bei möglichst schneller Reaktion auf etwaige Angriffe oder Leaks lassen sich weitere Probleme noch verhindern. Neben der Meldequote von Sicherheitsvorfällen ist daher auch die gemessene Reaktionszeit auf Sicherheitsvorfälle eine wichtige Metrik im Bereich der Security Awareness, die unbedingt genau gemessen werden sollte.

8. Umfrageergebnisse zum Sicherheitsbewusstsein: Umfragen im eigenen Unternehmen geben Aufschluss darüber, wie hoch das Sicherheitsbewusstsein bei den Mitarbeitern ausfällt. Durch diese Metrik lässt sich die Awareness gezielt steigern, da Umfrageergebnisse nicht nur Schwachstellen in den einzelnen Abteilungen aufzeigen, sondern auch Verbesserungspotenzial offenbaren. Die Ergebnisse dienen also ebenfalls dazu, das Sicherheitsbewusstsein maßgeblich zu verbessern.

9. Verstöße gegen Sicherheitsrichtlinien: Als Security Awareness Metrik sollten auch die Verstöße gegen Sicherheitsrichtlinien entsprechend getrackt werden. Dadurch zeigen sich Schwachstellen und Abteilungen oder gar Mitarbeiter, die besonders häufig gegen Sicherheitsrichtlinien verstoßen. Außerdem wird dadurch recht schnell klar, welche Richtlinien am meisten missachtet werden. Darauf kann dann wiederum in den Awareness Trainings und Schulungen noch einmal genauer eingegangen werden.

10. Überwachung der Geräte: Mit einer Überwachung aller Geräte im Netzwerk wird sichergestellt, dass auch die Geräte, die darauf zugreifen, entsprechend sicher sind. Durch die Überwachung aller Geräte können aber vor allem auch einfach noch weitere Metriken generiert werden, die Schwachstellen und somit Verbesserungspotenzial aufzeigen.