Aufrufe
vor 2 Monaten

Netzwoche 12/2020

  • Text
  • Entwicklung
  • Markt
  • Zeit
  • Themen
  • Digitale
  • Schweiz
  • Schweizer
  • Netzmedien
  • Unternehmen
  • Netzwoche

36 Focus 20 Jahre

36 Focus 20 Jahre Netzwoche Das etwas andere Virus für die IT Das Coronavirus kommt – und plötzlich arbeiten (fast) alle im Homeoffice. Zu plötzlich mancherorts. Da die Umstellung schnell und ohne grosse Vorarbeit geschehen musste, wurde die IT-Security vielerorts vergessen. Wie man trotzdem seine Angestellten schützen kann, sagt Enrico Lardelli, Mitglied der Geschäftsleitung und Leiter der Geschäftseinheit Digital Banking & Services bei der Graubündner Kantonalbank (GKB). Interview: Coen Kaat « Wir setzen auf ein hohes Mass an Vertrauen in unsere Mitarbeitenden. » Enrico Lardelli, GL-Mitglied und Leiter Digital Banking & Services, GKB Was müssen Unternehmen bei der Sensibilisierung ihrer Mitarbeitenden besonders beachten? Wir setzen auf ein hohes Mass an Vertrauen in unsere Mitarbeitenden, dass sie die Möglichkeiten des Homeoffice in jedem Fall bestmöglich nutzen. Entscheidend ist der Appell an die Selbstverantwortung und an den gesunden Menschenverstand. Unsere Mitarbeitenden sind aber seit Jahren gut geschult auf die Verwendung und ihr Verhalten im Zusammenhang mit Sicherheit. Was ist das grösste Risiko, wenn so plötzlich so viele Mitarbeitende ins Homeoffice wechseln? Eine Grundvoraussetzung war, dass unsere hochsichere technische Lösung, die nur für einen Bruchteil der Belegschaft ausgelegt war, schnell und einfach nach oben skaliert werden konnte. Diese Homeoffice-Lösung musste so granular aufgebaut sein, dass es dem Need-to-know-Prinzip Rechnung trug. Gleichzeitig sollte das Daily Business perfekt unterstützt werden. Ansonsten werden in solchen Situationen Umgehungslösungen gesucht und meist gefunden, welche die hohen Sicherheitsanforderungen einer Bank unterlaufen. Hier kamen uns die Erkenntnisse unseres Business Continuity Managements mit den branchenüblichen Notfallplänen zugute. Das vollständige Interview finden Sie online www.netzwoche.ch Wie hat sich das Coronavirus auf den Arbeitsalltag bei der GKB ausgewirkt? Enrico Lardelli: Die grösste Auswirkung auf den Alltag zeigte sich im ausgedehnten Homeoffice und den damit verbundenen fehlenden physischen sozialen Kontakten. Die ganze Organisation lernte sehr schnell, die digitalen Möglichkeiten effizient zu nutzen. Hatten Sie vorher bereits einen IT-Notfallplan für so einen Fall? Die Graubündner Kantonalbank hatte alle notwendigen Prozesse und Weisungen in place, die im Falle einer Pandemie notwendig sind. So hatten wir das Pandemieteam und den Krisenstab schon zwei Wochen vor dem Lockdown einberufen und frühzeitig Vorbereitungen für den Fall eines Worst Cases getroffen. Dieser ist ja dann auch eingetreten. Welche technischen Sicherheitsmassnahmen sind unabdingbar im Homeoffice? Im Homeoffice müssen die gleichen Sicherheitsstandards eingehalten werden wie in den Räumlichkeiten des Unternehmens. Voraussetzung dafür ist ein stabiler, leistungsstarker Netzwerkanschluss über ein passwortgeschütztes WLAN mit einer Mehrfach-Authentisierung. Für den Zugriff auf das Firmennetzwerk empfiehlt sich ein virtuelles privates Netzwerk (VPN). Idealerweise verwenden Mitarbeitende dazu ein Firmengerät. Auf diese Weise ist gewährleistet, dass die Sicherheitssoftware stets auf dem aktuellen Stand ist. Welche langfristigen Veränderungen erwarten Sie aufgrund des erzwungenen Trends zum Homeoffice während des Lockdowns? Homeoffice oder eben das mobile Arbeiten wird definitiv in unsere Bank Einzug halten. Unsere Mitarbeitenden und ihre Vorgesetzten wissen inzwischen, verantwortungsvoll damit umzugehen. 12 / 2020 www.netzwoche.ch © netzmedien ag

Focus 20 Jahre Netzwoche 37 Mitarbeiter für Cyberrisiken sensibilisieren Immer noch fallen Angestellte auf Phishing-Mails herein. Mit einem falschen Klick öffnen sie Cyberkriminellen Tür und Tor und verursachen grossen Schaden. Schulungen, wie sogenannte Awareness-Trainings, oder eine Phishing-Simulation tragen dazu bei, dass Mitarbeiter Angriffe frühzeitig erkennen und abwehren. Risiken kennen, Angriffe abwehren Um Netzwerke und IT-Systeme vor unerlaubten Zugriffen zu schützen, braucht es einen Dreiklang aus zeitgemässen Schutztechnologien, aufmerksamen Mitarbeitern und passenden Prozessen. Denn anstatt eine verdächtige Mail einfach nur zu löschen, wäre es hilfreicher, diese bei den verantwortlichen IT-Mitarbeitern zu melden. So können sie den Verdacht prüfen und entsprechende Massnahmen einleiten: Zum Beispiel eingesetzte Phishing-Filter anpassen oder die bestehenden Webseiten-Blocklisten ergänzen. Dazu gehört aber auch zwangsläufig eine Firmenkultur, die Mitarbeiter schützt, die versehentlich eine Phishing- Mail anklicken. Nur wer offen über dieses Verhalten spricht und es nicht sanktioniert, schafft innerhalb der Belegschaft das richtige Bewusstsein für Cyberrisiken. DER AUTOR Stefan Karpenstein Public Relations Manager, G Data Cyberdefense Anstatt eine verdächtige Mail einfach nur zu löschen, wäre es hilfreicher, diese bei den verantwortlichen IT-Mitarbeitern zu melden. Jeden Tag versenden Cyberkriminelle mehrere Milliarden Phishing-Mails rund um den Globus. Die gefälschten E-Mails sind immer noch der grösste Einfallsvektor für Cyberattacken. Die Angreifer schleusen damit Schadsoftware wie Trojaner oder Ransomware ein oder verleiten die Empfänger dazu, persönliche Informationen wie etwa Login-Daten preiszugeben. Während technische Lösungen Angriffe immer besser und schneller abwehren, lässt sich das menschliche Verhalten nur langsam ändern. Die Angreifer nutzen die Unaufmerksamkeit und das oftmals fehlende Wissen der Mitarbeiter aus – in Kombination mit Stress oder Routine. Hinzu kommt, dass Gefahren heute weit weniger offensichtlich sind als noch vor einigen Jahren. So sehen Phishing-Mails heute oft wie ganz normale Geschäftsvorgänge aus – häufig nehmen sie sogar Bezug auf bestehenden E-Mail-Verkehr oder einen aktuellen Anlass. Damit sind sie sehr schwer zu erkennen. Aufgrund der veränderten Bedrohungslage ziehen Unternehmen vermehrt Schulungen in Betracht und setzen auf Phishing-Simulationen und Security-Awareness-Trainings. Dabei bedarf es einer umfassenden Simulation beim Thema Phishing, die das raffinierte Vorgehen der Angreifer realistisch abbilden. Über einen festgelegten Zeitraum hinweg erhalten die Mitarbeiter mehrere Mails in verschiedenen Schwierigkeitsgraden. So fallen einige Mails etwa durch grobe Rechtschreibfehler und fehlende direkte Anrede als Fälschung auf. Bei anderen Nachrichten ist die Gefahr erst durch genaueres Hinschauen ersichtlich. Messbare Sicherheit Nach Abschluss der Phishing-Simulation lassen sich die Ergebnisse auswerten und zeigen den Handlungsbedarf. Im nächsten Schritt bietet sich ein Security-Awareness-Training an, um das Bewusstsein der Mitarbeiter für Cybergefahren zu steigern. Wer im Anschluss eine weitere Phishing-Simulation durchführt, erfährt, wie sich das Sicherheitsniveau der Mitarbeiter verbessert hat. Wichtig ist: Das Verhalten der Mitarbeiter sollte regelmässig trainiert werden, sonst schleicht sich wieder Routine in den Arbeitsalltag ein. www.netzwoche.ch © netzmedien ag 12 / 2020

Archiv