Menschliches Versagen: Härtere Strafen beeinträchtigen die Rentabilität der Cybersicherheit
Es ist nicht der Dollarbetrag, der Branchen und Unternehmen innehalten lässt. Es ist die Verhaltensänderung der Regierungsparteien, die Organisationen untersuchen und anwenden sollten.
Unternehmen, die es versäumen, ihre Sorgfaltspflicht zu erfüllen und sensible Daten zu schützen, werden nun von Regierungsbehörden und Aufsichtsausschüssen mit härteren Strafen belegt. Von der SEC bis zur FTC verhängen die Behörden strengere Strafen gegen Unternehmen, die es versäumen, kritische Informationen, geistiges Eigentum und Kundendaten durch etablierte Prozesse, Cybersicherheitstechnologie und geschulte Mitarbeiter zu schützen.
Sicherheit ist ein "menschliches Problem
Die meisten Datenschutzverletzungen werden von Menschen verursacht - entweder durch Gleichgültigkeit, böswilliges Verhalten, Betrug oder mangelndes Verständnis. Das ist eine bekannte Realität. Von Insider-Bedrohungen und unzureichenden Unternehmensrichtlinien bis hin zu unvorsichtigen Mitarbeitern und mangelhafter Rechenschaftspflicht ist jeder Faktor ein realer Faktor, der weit über Sicherheitsinfrastruktur und Technologie hinausgeht.
Unternehmen, die das Gleichgewicht zwischen Menschen, Prozessen und Technologie verstehen, erzielen die beste Investitionsrendite (ROI) und können die notwendigen Budgets, Ressourcen und Verpflichtungen zuweisen, um solide Cybersicherheitskontrollen zu implementieren und strenge staatliche und branchenspezifische Strafen zu vermeiden.
Echte Cybersicherheit wird durch eine harmonische Strategie zwischen Menschen, Prozessen und Technologie erreicht. Dies ist selbst für die gutwilligsten globalen Unternehmen eine Herausforderung, da die meisten Sicherheitsteams und -systeme - und die sie beaufsichtigenden Führungskräfte - in veralteten Prozessen und Einstellungen verhaftet bleiben.
Durch den Aufbau einer starken Kultur der Cybersicherheit - durch Schulungen, Richtlinien und Wiederholungen - können sich Unternehmen durchaus an neue Sicherheitsstandards anpassen. Wenn sie das gut machen, funktionieren die Sicherheitstechnologien und -dienste, die sie beschaffen und implementieren, besser. Nehmen Sie das menschliche Element aus der Gleichung heraus? Die besten Produkte, die Sie kaufen können, werden Ihnen nicht helfen.
Der Wendepunkt
Während die jüngsten Vergleiche als finanzielle Bestrafung wirken, dienen die Maßnahmen der Regierung als Warnung für andere große Organisationen und Unternehmen, die unbedingt proaktiver und engagierter beim Schutz von Kundendaten sein müssen. In Verbindung mit der Schädigung der Marke, den Auswirkungen auf den Umsatz und dem Vertrauensverlust erreichen die Kosten für das Nichtstun und das "bloße Bezahlen der Strafe" den Wendepunkt. Letztendlich werden die Strafen und der Schaden für die Marke so hoch sein, dass die Unternehmen gezwungen sein werden, sich weiterzuentwickeln.
Besonders interessant ist zum Beispiel der jüngste Fall der FTC gegen Wyndham Hotels. Der Hotelgigant wurde mit einer 20-jährigen Strafe belegt, die eine Reihe von Anforderungen enthält, darunter die Einrichtung eines fortschrittlichen Cybersicherheitsprogramms, jährliche Sicherheitsaudits und die Verpflichtung, die FTC innerhalb von 10 Tagen über Verstöße zu informieren, die mehr als 10.000 Zahlungskartenkonten betreffen.
Bemerkenswerte staatliche Strafen für Cybersicherheit
- Dezember 2015: Wyndham Hotels and Resorts einigt sich auf Vergleich mit der FTC
- September 2015: R.T. Jones Capital Equities Management erhält Geldstrafe von der SEC
- Juli 2015: Citigroup-Geschäftseinheit LavaFlow zahlt SEC 5 Millionen Dollar Strafe
Dies ist nicht wegen der Strafe bemerkenswert, sondern weil die Konsequenzen zusätzlich zu den vom Payment Card Industry (PCI) Security Standards Council erlassenen Maßnahmen erfolgten. Die FTC ist der Ansicht, dass es eine Reihe von Problemen mit dem PCI-Verfahren gibt, insbesondere Unstimmigkeiten bei den Prüfungspraktiken, unterschiedliche Auslegungen der Regeln, Interessenkonflikte, Einflussnahme der Zahlungskartenmarken usw. Dabei gilt PCI weithin als das vollständigste verfügbare Regelwerk.
Die FTC-Fallstudie ist ein weiterer Beleg dafür, dass Unternehmen ihre Ausgaben für die Cybersicherheit nicht ordnungsgemäß zuweisen und diese Verpflichtungen nicht durch eine bewährte Politik, eine stärkere Kultur und eine engagierte Führung ergänzen.
Zukünftige Verzweigungen
Die jüngsten Strafen in sechsstelliger Höhe waren das Ergebnis böswilliger Insider-Bedrohungen und des unsachgemäßen Umgangs mit sensiblen Daten durch eine Handvoll von Mitarbeitern. Welche Auswirkungen werden groß angelegte Datenschutzverletzungen in Zukunft haben?
Das ist die Botschaft, die die Aufsichtsbehörden zu vermitteln hoffen. Sie setzen darauf, dass die meisten Unternehmen diesen Wendepunkt überwinden und sich stärker für eine solide Cybersicherheit engagieren, bei der Menschen, Prozesse und Technologien richtig aufeinander abgestimmt sind.
Sehen ist Glauben.
Vereinbaren Sie noch heute eine Live-Demo.