Managen der menschlichen Risikofaktoren von Ransomware im Bereich von KMUs
Priorisierungsliste mit Präventionsmassnahmen für KMUs
Cyberangriffe in Form von Ransomware häufen sich. Meistens ist der menschliche Faktor der Hauptgrund, wieso es überhaupt soweit kommen kann. Durch Social Engineering oder unaufmerksames Klicken auf einen E-Mail-Anhang passiert es schnell, dass ein KMU oder eine Institution von dem Erpressungstrojaner befallen wird. Meine Diplomarbeit handelt davon, wie der menschliche Faktor gestärkt werden kann, damit die KMUs einen minimalen Schutz gegen Ransomware verfügen. Dafür erstellte ich eine Priorisierungsliste, die mit Massnahmen gefüllt ist und anwendbar ist.
Ziele
Um mir überhaupt sicher sein zu können, dass der menschliche Faktor ausschlaggebend für die vielen Fälle von Ransomware war, las ich mich durch die verschiedensten Studien durch und verwendete in meiner Analyse Praxisbeispiele, die beweisen konnten, dass der Faktor Mensch eine grosse Rolle gespielt hat. Konkret waren meine Ziele also:
- Der Zusammenhang zwischen Ransomware-Infektionen und menschlichem Versagen wird erläutert.
- Existierende Massnahmen gegen Ransomware werden analysiert und im Kontext von typischen KMU-Umgebungen priorisiert.
- Für jede gelistete Massnahme wird eine Erläuterung erarbeitet.
Umsetzung
Bei der Recherche der existierenden Massnahmen bin ich auf das Defense in Depth Konzept gestossen, welches sich explizit mit der Prävention von Ransomware befasst. Nach einer gründlichen Abgrenzung dieser Massnahmen hinsichtlich Umsetzbarkeit für KMUs, wendete ich auf die übriggebliebenen Massnahmen eine Nutzwertanalyse an, um die Priorität und die Wirtschaftlichkeit gewährleisten zu können. Dabei habe ich folgende 6 Faktoren berücksichtigt:
- Organisatorischer Aufwand
- Auswirkung auf das Tagesgeschäft
- Kosten
- Umsetzungszeit
- Präventionsstärke
- Benötigtes Wissen
Dabei entstand die Priorisierungsliste, welche angewendet und so umgesetzt wurde, dass ein Mehrwert entstehen konnte.
Herausforderungen
Als Quereinsteiger war es nicht leicht, ein passendes Thema zu wählen. Ich war zur Zeit der Themeneingabe nicht in einem IT-Unternehmen tätig und wählte eine für mich eher schwierige Aufgabe aus. Meine Affinität zur Informationssicherheit gewährte mir dennoch Spass und Freude an dieser Arbeit. Es war dennoch herausfordernd, die richtigen Ansatzpunkte zu wählen und den richtigen Pfad einzuschlagen, konnte jedoch durch die kompetente Fachbetreuung doch noch eine befriedigende Arbeit finalisieren.
Lessons learnt
Durch diese Arbeit konnte ich sehr viel Neues mitnehmen. Unter anderem, dass die richtige Themenwahl ausschlaggebend für eine leichte Durchführung ist. Dennoch konnte ich beweisen, dass ich zu etwas in der Lage bin, was mir am Anfang viel Skepsis bereitete. Ebenfalls habe ich bemerkt, dass das Recherchieren und Analysieren ziemlich vorteilhaft sein kann, wenn die intrinsische Motivation vorhanden ist. Die angewendeten Methodiken werde ich für die Zukunft mitnehmen.
Vielleicht erstelle ich für mich eine Priorisierungsliste, um, falls ich wieder eine Arbeit verfasse, die richtigen Schritte einzuleiten.
