Die Sicht eines Cyberpsychologen auf die Schuldkultur der Cybersicherheit

„Nur unvorsichtige Menschen werden gehackt.“ Es ist ein weit verbreiteter Glaube an Cybersicherheit. Aber ist es wahr?

Dr. Erik Huffman, ein führender Experte für Cyberpsychologie, hat jahrelang an dieser Frage geforscht. Seine Arbeit untersucht, wie sich menschliches Verhalten auf die Cybersicherheit auswirkt und warum traditionelle Überlebensinstinkte uns online nicht schützen.

Seine Ergebnisse? Selbst die am besten vorbereiteten werden durchbrochen.

In unserer neuesten Folge von Das Segment: Ein Zero-Trust-Leadership-Podcast, ich habe mich mit Huffman getroffen, um die Realität der heutigen Angriffe zu erörtern und zu erläutern, warum Zero Trust die beste Antwort auf die Vorbereitung auf Sicherheitslücken ist.

Schuldzuweisungen hemmen die Cybersicherheit

Laut Huffman ist eine der toxischsten Reaktionen auf eine Sicherheitsverletzung der unmittelbare Instinkt, Einzelpersonen die Schuld zu geben.

„Wenn ein Vorfall passiert, jeder springt zu „Wer hat was falsch gemacht?“ statt 'Wie ist das passiert und wie verhindern wir es? '“ erklärte er.

Diese Schuldkultur ist nicht nur kontraproduktiv — sie ist veraltet. Die Realität ist, dass selbst die am besten ausgestatteten und sicherheitsbewussten Organisationen von Sicherheitsverletzungen betroffen sind.

„Hundertprozentige Sicherheit gibt es nicht“, sagte er. „Wenn ein Nationalstaat rein will, wird er es tun.“

Der Fokus muss von der Schuldzuweisung auf die Analyse verlagert werden: zu verstehen, was passiert ist, daraus zu lernen und Abwehrmaßnahmen anzupassen.

Hacker nutzen Stress aus, nicht Dummheit

Huffman besteht darauf, dass die Branche zu viel Zeit für die Cybersensibilisierung und nicht genug für die Cybervorsorge aufgewendet hat.

„Wir sagen den Leuten immer wieder, worauf sie achten müssen, aber wir bereiten sie nicht darauf vor, wie sie unter Stress reagieren sollen“, sagte er.

Cyberkriminelle zielen nicht auf Menschen ab, wenn sie wachsam und vorsichtig sind. Sie greifen sie an, wenn sie verwundbar sind. Wenn sie wegen Entlassungen gestresst sind, sich beeilen, eine Frist einzuhalten, oder emotional mit einer Anfrage beschäftigt sind, die dringend erscheint.

Laut Huffman liegt der Schlüssel darin, persönliche Schwachstellen zu verstehen. „Wir müssen die Leute nicht nur in Bezug auf allgemeine Bedrohungen schulen, sondern auch in den spezifischen psychologischen Taktiken, die Angreifer anwenden. Jeder Mensch hat einzigartige Auslöser.“

Erwarten Sie eine neue Welle von Angriffen, die von KI angetrieben werden

Der Aufstieg von KI-gesteuerte Angriffe macht dieses Problem nur schlimmer. Deepfake-Audio und Video werden bereits bei Cyberangriffen verwendet, bei denen sich Bedrohungsakteure als Führungskräfte ausgeben, um betrügerische Transaktionen zu autorisieren.

„Was passiert, wenn Sie dem, was Sie sehen oder hören, nicht mehr vertrauen können?“ fragte Huffman. „Wir treten in eine Zeit ein, in der 'verifizieren, verifizieren' zur Selbstverständlichkeit werden muss.“

Sicherheitsverantwortliche müssen sich auf eine Welt vorbereiten, in der selbst ein Telefonanruf eines bekannten Kontakts nicht für bare Münze genommen werden kann. Adoption Zero Trust-Prinzipien — und eine Zero-Trust-Mentalität im gesamten Unternehmen — werden entscheidend sein, um KI-gestützter Täuschung entgegenzuwirken.

Zero Trust ist der organisatorische Sicherheitsgurt

Wie kommen wir also vom Bewusstsein zur Bereitschaft?

Huffman schlägt diese wichtigen Schritte vor:

• Bewertung der Bedrohung: Identifizierung, welche persönlichen Schwachstellen eine Person hat und wie sie wahrscheinlich ausgenutzt werden‍
• Bewertung der Bewältigung: Entwicklung von Strategien, wie Einzelpersonen Bedrohungen erkennen und darauf reagieren können, wenn sie am anfälligsten sind

Vorsorge bedeutet, den Mitarbeitern praktische Tools an die Hand zu geben, mit denen sie sich selbst schützen können, anstatt sie nur abstrakt über Bedrohungen aufzuklären.

„Wir müssen aufhören, die Menschen zu erschrecken, und anfangen, sie zu stärken“, sagte er. „Im Moment fühlt sich Cybersicherheit an, als würde man ein Auto ohne Sicherheitsgurt fahren — in der Hoffnung, dass nichts Schlimmes passiert. Wir müssen den Menschen ihre Sicherheitsgurte für Cybersicherheit geben.“

Auf organisatorischer Ebene erfüllt Zero Trust dieselbe Rolle.

„Bei Zero Trust geht es nicht nur um Technologie. Es ist eine Mentalität „, sagte Huffman. „Es heißt nicht „vertrauen, sondern verifizieren“ — es heißt „verifizieren und dann erneut verifizieren“.

Organisationen, die Zero Trust zusammen mit Schulungen zur Cybersicherheit einführen, bauen auf Widerstandsfähigkeit gegen menschliche und technologische Schwachstellen. Und in der heutigen Welt ist Resilienz der Name des Spiels.

Die Reise von der IT zur Cyberpsychologie

Huffmans Weg in die Cyberpsychologie verlief nicht linear.

Nach seinem Abschluss in Informatik begann er seine Karriere in der IT, wo er Netzwerke reparierte und Sicherheitsprobleme behebt. Seine Perspektive änderte sich jedoch dramatisch, nachdem er zwei aufeinanderfolgende Vorfälle aus erster Hand erlebt hatte.

„Ich habe das Problem mit allen Sicherheitsvorkehrungen angegangen, und doch kam es immer wieder zu Sicherheitslücken“, erinnert er sich. „Ich musste mich fragen — wenn nur dumme Leute gehackt werden, bin ich dann dämlich?“

Entschlossen, Antworten zu finden, wandte er sich der Forschung zu und stellte fest, dass über 90% der Datenschutzverletzungen menschliches Verhalten betreffen, entweder durch Fehler oder Social Engineering.. Diese Erkenntnis führte ihn zur Cyberpsychologie, wo er seitdem Studien mit über 20.000 Teilnehmern durchgeführt und mit mehr als 220 Organisationen weltweit zusammengearbeitet hat, um die Lücke zwischen Cybersicherheit und menschlichem Verhalten zu schließen.

Heute ist er ein preisgekrönter Pädagoge, Unternehmer, Redner und Forscher. Seine Erkenntnisse wurden auf NASA-Goddard, ISACA, TEDx und anderen führenden Foren geteilt. Derzeit ist er ein Wissenschaftlicher Mitarbeiter am Nationalen Institut für Standards und Technologie (NIST).

Höre zu, abonniere und rezensiere Das Segment: Ein Zero-Trust-Leadership-Podcast

Möchten Sie meine vollständige Diskussion mit Dr. Huffman hören? Höre dir die Folge dieser Woche an Apple-Podcasts, Spotify, oder wo auch immer du deine Podcasts bekommst. Sie können auch eine lesen vollständiges Protokoll der Episode.