Analyse der Daten von 35.000 Cybersecurity-Experten aus 400 Unternehmen weltweit zeigt, dass zwischen Bekanntwerden neuer Bedrohungen und Aufbau entsprechender Kompetenzen zu deren Abwehr 96 Tage vergehen
München, 9. März 2022 – Immersive Labs, ein globaler Markt- und Innovationsführer, der es Unternehmen mit seiner Cyber Workforce Optimization Platform ermöglicht, die Cyber-Kompetenz ihrer Mitarbeiter kontinuierlich zu messen und zu optimieren, stellt heute mit dem Cyber Workforce Benchmark Report die weltweit erste umfassende Analyse menschlicher Cyber-Kompetenz vor.
Der Cyber Workforce Benchmark Report basiert auf Daten zu Cyber-Kompetenz und Urteilsvermögen aus über einer halben Million Labs (Trainings) und Simulationen, die in den letzten 18 Monaten von mehr als 2.100 Unternehmen auf der Cyber Workforce Optimization Platform durchgeführt wurden. Diese wurden aufgeschlüsselt, um ein besseres Verständnis der Cyber-Kompetenz von Mitarbeitern in den Bereichen Cybersecurity, Application Security und Crisis Response zu erlangen. Die wichtigsten Erkenntnisse im Überblick:
- Eine Analyse der Daten von 35.000 Cybersecurity-Experten aus 400 Unternehmen zeigt, dass im Durchschnitt mehr als drei Monate (96 Tage) zwischen dem Bekanntwerden neuer Bedrohungen und dem Aufbau entsprechender Kompetenzen zu deren Abwehr vergehen – außer bei Log4j. Mit im Durchschnitt mehr als vier Monaten (137 Tagen) vergeht in den Sektoren Infrastruktur und Transport die meiste Zeit. Die lange Verzögerung beim Aufbau menschlicher Cyber-Kompetenz steht im starken Kontrast zur weithin anerkannten Notwendigkeit kurzer Reaktionszeiten auf technischer Seite: Behörden wie das BSI empfehlen beispielsweise, Patches so schnell wie möglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden einer Schwachstelle, einzuspielen. Log4j stellte in diesem Zusammenhang eine Ausnahme dar – hier bauten Cybersecurity-Teams das notwendige Know-how innerhalb von nur zwei Tagen auf.<\/li><\/ul>
- Cybersecurity-Teams konzentrieren sich beim Aufbau von Kompetenzen auf namhafte Hackergruppen. Fünf Gruppen sind dabei von besonderem Interesse: UNC2452 (SolarWinds), iranische Hackergruppen, Fin 7, Hafnium und Darkside. In Zusammenhang mit solchen Gruppen erfolgt der Kompetenzaufbau wesentlich schneller. Das zur Abwehr des SolarWinds-Hacks notwendige Know-how, beispielsweise, wurde fast achtmal schneller aufgebaut als der Durchschnitt.<\/li><\/ul>
- Die Häufigkeit, mit der Unternehmen Krisensimulationen durchführen, variiert erheblich von Sektor zu Sektor. Eine Analyse von mehr als 6.400 Crisis-Response-Entscheidungen zeigt, dass sich Technologie- und Financial-Services-Unternehmen am besten auf Cyberangriffe vorbereiten und neun beziehungsweise sieben Simulationen pro Jahr durchführen. Organisationen aus den Sektoren der kritischen Infrastruktur (KRITIS) bereiten sich mit nur einer Simulation pro Jahr am wenigsten vor.<\/li><\/ul>
- Ransomware verursacht große Unsicherheit bei Crisis-Response-Teams. Sieben der zehn plattformübergreifend am wenigsten sicher bewältigten Krisenszenarien befassten sich mit Ransomware. Vor die Wahl gestellt, entschieden sich 83 Prozent aller Unternehmen gegen eine Lösegeldzahlung; 18 Prozent der Crisis-Response-Teams im öffentlichen Sektor entschieden sich jedoch dafür, obwohl dies häufig gegen offizielle Richtlinien verstößt.<\/li><\/ul>
- Application-Security-Teams bauen Kompetenzen schneller auf als Cybersecurity-Teams. Eine Analyse von 43.000 interaktiven Application Security Labs zeigt, dass 78 Prozent schneller als erwartet abgeschlossen werden, während es bei den Cybersecurity Labs nur 11 Prozent sind. Das durchschnittliche Application Security Lab wird 2,5 Minuten unter der prognostizierten Gesamtzeit abgeschlossen – Cybersecurity Labs jedoch 17 Minuten darüber.<\/li><\/ul>
- Die Cybersecurity-Experten von morgen tun sich in der Auseinandersetzung mit Application Security schwer. Labs zum Thema Application Security weisen die niedrigste Userbindung auf – nur ein Viertel im Vergleich zu offensiven Cybersecurity-Skills. Nur 0,5 Prozent der 176.000 Labs, die von Studenten und anderen Gruppen, die eine Karriere im Bereich Cybersecurity anstreben, abgeschlossen wurden, waren AppSec-spezifisch. Angesichts der Tatsache, dass lückenhafte Software die Ursache für einige der schwerwiegendsten Breaches im Jahr 2021 war, könnte dies auf ein potenzielles zukünftiges Problemfeld der Branche hindeuten.<\/li><\/ul>
“Unternehmen müssen die Zeitspanne zwischen dem Bekanntwerden neuer Bedrohungen und dem Aufbau entsprechender Kompetenzen zu deren Abwehr aufseiten der Mitarbeiter verkürzen – das machen die Daten unmissverständlich deutlich. Gelingt ihnen das nicht, treffen Mitarbeiter möglicherweise schlechte, voreingenommene Entscheidungen”, so Rebecca McKeown, Director of Human Science bei Immersive Labs und ehemalige Militärpsychologin. “Cybersecurity stellt eine enorme Herausforderung im Hinblick auf menschliche Kompetenzentwicklung dar. Mitarbeiter müssen ihre Cybersecurity-Skills kontinuierlich weiterentwickeln – so verhindern sie, dass Kompetenzen verloren gehen, bauen kognitive Agilität auf und bleiben in einer hybriden, realen und digitalen Bedrohungslandschaft, die sich ständig verändert, handlungsfähig.”
Der Report unterstreicht den Stellenwert der Immersive Labs Cyber Workforce Optimization Platform. Sie wurde entwickelt, um Unternehmen die Möglichkeit zu geben, die Cyber-Kompetenz technischer und nicht-technischer Teams kontinuierlich zu messen und zu optimieren und ihre Mitarbeiter erstmals strategisch im Rahmen ihrer Security-Strategie einzusetzen.
“Die in diesem Report gewonnenen Erkenntnisse unterstreichen die Notwendigkeit für Unternehmen, Transparenz über die Cyber-Kompetenz ihrer Mitarbeiter zu haben”, so James Hadley, CEO von Immersive Labs. “Ohne das Messen der Cyber-Kompetenz technischer und nicht-technischer Teams fehlt ihnen in puncto Risikominimierung und Widerstandsfähigkeit ein entscheidendes Puzzleteil. Lücken bei der Cyber-Kompetenz und dem Urteilsvermögen der Mitarbeiter können die gleichen Auswirkungen haben wie technische Schwachstellen.”
Immersive Labs ist die weltweit erste Lösung, die es Unternehmen ermöglicht, die Cyber-Kompetenz ihrer Mitarbeiter im Rahmen ihrer Security-Strategie zu evaluieren, auf konkrete Risikoszenarien abzustimmen und zu optimieren. Die preisgekrönte Plattform testet, analysiert und verbessert kontinuierlich die Cyber-Kompetenz technischer und nicht-technischer Teams, sodass das Know-how im gesamten Unternehmen mit der sich ständig verändernden Bedrohungslandschaft Schritt halten kann. Auf diese Weise erreichen Unternehmen ein Höchstmaß an Widerstandsfähigkeit und können die Cyber-Kompetenz und das Urteilsvermögen ihrer Mitarbeiter erstmals strategisch für die Reduzierung von Cyber-Risiken und das Krisenmanagement nutzen.
Immersive Labs wird durch Goldman Sachs Asset Management, Summit Partners, Insight Partners, Citi Ventures und Menlo Ventures finanziert. Zu den Kunden des Unternehmens zählen einige der größten Unternehmen in den Bereichen Financial Services, Healthcare und im öffentlichen Sektor. Mehr zu Immersive Labs unter www.immersivelabs.com
- Die Cybersecurity-Experten von morgen tun sich in der Auseinandersetzung mit Application Security schwer. Labs zum Thema Application Security weisen die niedrigste Userbindung auf – nur ein Viertel im Vergleich zu offensiven Cybersecurity-Skills. Nur 0,5 Prozent der 176.000 Labs, die von Studenten und anderen Gruppen, die eine Karriere im Bereich Cybersecurity anstreben, abgeschlossen wurden, waren AppSec-spezifisch. Angesichts der Tatsache, dass lückenhafte Software die Ursache für einige der schwerwiegendsten Breaches im Jahr 2021 war, könnte dies auf ein potenzielles zukünftiges Problemfeld der Branche hindeuten.<\/li><\/ul>
- Application-Security-Teams bauen Kompetenzen schneller auf als Cybersecurity-Teams. Eine Analyse von 43.000 interaktiven Application Security Labs zeigt, dass 78 Prozent schneller als erwartet abgeschlossen werden, während es bei den Cybersecurity Labs nur 11 Prozent sind. Das durchschnittliche Application Security Lab wird 2,5 Minuten unter der prognostizierten Gesamtzeit abgeschlossen – Cybersecurity Labs jedoch 17 Minuten darüber.<\/li><\/ul>
- Ransomware verursacht große Unsicherheit bei Crisis-Response-Teams. Sieben der zehn plattformübergreifend am wenigsten sicher bewältigten Krisenszenarien befassten sich mit Ransomware. Vor die Wahl gestellt, entschieden sich 83 Prozent aller Unternehmen gegen eine Lösegeldzahlung; 18 Prozent der Crisis-Response-Teams im öffentlichen Sektor entschieden sich jedoch dafür, obwohl dies häufig gegen offizielle Richtlinien verstößt.<\/li><\/ul>
- Die Häufigkeit, mit der Unternehmen Krisensimulationen durchführen, variiert erheblich von Sektor zu Sektor. Eine Analyse von mehr als 6.400 Crisis-Response-Entscheidungen zeigt, dass sich Technologie- und Financial-Services-Unternehmen am besten auf Cyberangriffe vorbereiten und neun beziehungsweise sieben Simulationen pro Jahr durchführen. Organisationen aus den Sektoren der kritischen Infrastruktur (KRITIS) bereiten sich mit nur einer Simulation pro Jahr am wenigsten vor.<\/li><\/ul>
- Cybersecurity-Teams konzentrieren sich beim Aufbau von Kompetenzen auf namhafte Hackergruppen. Fünf Gruppen sind dabei von besonderem Interesse: UNC2452 (SolarWinds), iranische Hackergruppen, Fin 7, Hafnium und Darkside. In Zusammenhang mit solchen Gruppen erfolgt der Kompetenzaufbau wesentlich schneller. Das zur Abwehr des SolarWinds-Hacks notwendige Know-how, beispielsweise, wurde fast achtmal schneller aufgebaut als der Durchschnitt.<\/li><\/ul>