Symantec-Studie: Wachsender Druck auf Security-Experten

Regulierungen, Bedrohungen, Komplexität und Fachkräftemangel treffen Cyber-Security-Entscheider hart

[datensicherheit.de, 28.04.2019] Eine neue Studie, in Auftrag gegeben von Symantec, zeigt, wie Regulierungen, wachsende Bedrohungen und technologische Komplexität zunehmend die Cyber-Security-Entscheider in Deutschland, Frankreich und Großbritannien überfordert. Vier von fünf (82 Prozent) Security-Experten aus Frankreich, Deutschland und Großbritannien geben an, sich ausgebrannt zu fühlen. 63 Prozent denken bereits darüber nach, die Branche zu wechseln oder ihrem aktuellen Arbeitgeber zu kündigen (64 Prozent).

Symantec hat die Studie bei dem Wissenschaftler Dr. Chris Brauer, Director of Innovation bei Goldsmiths, University of London, in Auftrage gegeben. Die Studie basiert auf den Befragungen von 3.045 Cyber-Security-Entscheidern aus Frankreich, Deutschland und Großbritannien und belegt den wachsenden Druck, der aktuell in der Security-Branche herrscht.

Gesetzliche Regulierungen als Stressfaktor für Security-Experten

Gesetzliche Regulierungen stellen den größten Stressfaktor für Security-Experten dar. Vier von fünf Betroffenen berichten, dass die zunehmenden Regulierungen, zum Beispiel die EU-DSGVO und die NIS-Richtlinie, ihren Stress erhöhen. Zwei von fünf Befragten (40 Prozent insgesamt, 42 Prozent in Deutschland) äußerten ihre Bedenken, dass sie persönlich für einen Datenschutzverstoß haftbar gemacht werden könnten. Etwas mehr als die Hälfte befürchtet eine Entlassung, sollte es unter ihrer Aufsicht einen Verstoß geben. Weitere Stressfaktoren sind: zu wenig qualifiziertes Personal (80 Prozent insgesamt, 86 Prozent in Deutschland), die Größe und Komplexität des Bereichs, den sie verantworten (82 Prozent insgesamt, 91 Prozent in Deutschland) und die wachsende Zahl an Bedrohungen insgesamt (82 Prozent insgesamt, 90 Prozent in Deutschland).

„Stress hat einen großen negativen Einfluss auf unsere Fähigkeit gute Entscheidungen zu treffen“, erklärt Dr. Chris Brauer. „Er beeinträchtigt unser Gedächtnis, unser rationales Denken und unsere kognitiven Funktionen. Aber genau diese genannten Fähigkeiten sind es, die in der Cyber-Security-Branche – beispielsweise bei einem Sicherheitsvorfall – entscheidend sind. Es wird gerade bei stärkstem Druck, die Fähigkeit fokussiert und gleichzeitig kreativ zu denken als auch ein Höchstmaß an der Liebe zum Detail und rationales Handeln gefordert. Gestresste Mitarbeiter sind schnell überfordert und viele fühlen sich angesichts dieser Überforderung unfähig zu handeln. Die Gefahr ist groß, dass sich stark gestresste Mitarbeiter mental zunehmend vom stressigen Alltag abkoppeln oder letztendlich sogar kündigen, um diesem Stress zu entfliehen. In einer Branche, die bereits sehr stark unter Fachkräftemangel leidet, kann dieser Stress zu einem weiteren Risikofaktor werden.“

Hohe Alarmbereitschaft

Es ist eine Ironie des Schicksals, die zum Schutz des Unternehmens entwickelten Tools und Systeme erhöhen den Stress:

• 79 Prozent (89 Prozent in Deutschland) berichten, dass das Management von „zu vielen Cyber-Abwehr-Lösungen oder -Anbietern“ das Stresslevel erhöht.
• Zwei Drittel (68 Prozent insgesamt, 74 Prozent in Deutschland) fühlen sich durch die überwältigende Zahl an möglichen Bedrohungen zeitweise wie gelähmt.
• Ein Drittel (33 Prozent insgesamt, 35 Prozent in Deutschland) berichten, dass die hohe Anzahl an Benachrichtigungen über mögliche Bedrohungen die Situation zunehmend verschlimmert.
• Angesichts dieser enormen Arbeitsbelastung gaben die meisten Befragten an (67 Prozent insgesamt, 72 Prozent in Deutschland), dass ihr Cyber-Security-Team am Ende des Arbeitstages die Bedrohungswarnungen nicht komplett überprüft hat.

Das wirkt sich auf die Sicherheit des Unternehmens aus:

• Bereits 41 Prozent (37 Prozent in Deutschland) stimmen zu, dass ein Sicherheitsvorfall unvermeidlich scheint.
• Ein Drittel (32 Prozent insgesamt, 30 Prozent in Deutschland) sagt, dass ihre Organisation derzeit anfällig für vermeidbare Cybersicherheitsvorfälle ist.
• Ein Viertel (26 Prozent insgesamt und in Deutschland) gab zu, dass es bereits einen vermeidbaren Cybersicherheitsvorfall gab.

„Viele CISOs kennen keinen Feierabend“, erklärt Darren Thomson, EMEA CTO, Symantec. „Der aktuelle Patchwork-Ansatz für Sicherheitswerkzeuge und -strategien schafft mehr Probleme als sie zu lösen. Es gibt täglich eine Vielzahl von Warnungen und es ist nur noch schwer möglich auszumachen, welche ein gezielter Angriff und welche ein falscher Alarm ist. Der Flickenteppich aus verschiedenen Abwehrsystemen bietet durch seine Überschneidungen und Lücken, Hackern neue Angriffsmöglichkeiten.“

Die kommenden Herausforderungen

Zwei Drittel der Security-Experten (65 Prozent insgesamt, 67 Prozent in Deutschland) meinen, sie seien zum Scheitern verurteilt. Dennoch scheinen die hohe Arbeitsbelastung und der Druck nicht abzuschrecken. Die überwiegende Mehrheit der Security-Experten meinen selbst Adrenalin-Junkies zu sein, die vollständig in ihrer Arbeit aufgehen, selbst wenn es stressig werden würde (92 Prozent in Deutschland und insgesamt). Neun von zehn fühlen sich durch stressige Situationen zusätzlich motiviert und 92 Prozent (insgesamt und in Deutschland) berichten, dass sie ihr Arbeitsumfeld spannend finden.

Darren Thomson, EMEA CTO, Symantec sieht darin auch etwas Positives: „Cyber-Security-Experten werden auch zukünftig mit einer steigenden Anzahl an Herausforderungen konfrontiert sein. Enthusiasmus für stressige Situationen ist dabei vorteilhaft.“

Der schnelle Wandel und das rasante Datenwachstum stellen bereits für viele Experten eine Herausforderung dar. Vier von fünf (82 Prozent insgesamt, 91 Prozent in Deutschland) berichten, die Absicherung von zu vielen Daten an zu vielen Orten erhöht das Stresslevel im Arbeitsalltag. Fast die Hälfte der Befragten (45 Prozent insgesamt, 48 Prozent in Deutschland) gibt an, dass der technologische Wandel zu schnell kommt und ihren Teams nicht genügend Zeit lässt, sich auf die geänderten Bedingungen einzustellen.

„Cyberabwehr erfolgte seit der Internetanbindung von Computern und Systemen schon immer fast nur reaktiv“, sagt Thomson. „Mit neuen Technologien kommen aber neue Bedrohungen hinzu und mit jeder neuen Bedrohung wurde ein neuer Abwehrmechanismus entwickelt. Das führt zu einem ewigen Tauziehen zwischen Unternehmen sowie der Security-Branche auf der einen und Hackern auf der anderen Seite. Es wird Zeit, dass Unternehmen einen Schritt in Richtung eines effektiven und umfassenden Cyberabwehr-Konzepts zu gehen.“

Weitere Informationen zum Thema:

Symantec
Cybersecurity 2019 – Kapitel 1 Die Verkettung unglücklicher Umstände

datensicherheit.de, 24.04.2019
Insider Threats Report 2018 von Securonix veröffentlicht

datensicherheit.de, 11.03.2019
Warum ein CISO auch als Data Privacy Officer tätig wird

datensicherheit.de, 03.03.2019
Cybersicherheit: Vom Kostenfaktor zum Erfolgsfaktor

datensicherheit.de, 16.01.2017
Erster CISO-Ratgeber zur Analyse des Benutzerverhaltens vorgestellt

datensicherheit.de, 09.12.2016
CISO Security Studie: Über 80 Prozent der Unternehmen mit IT-Sicherheits-Strategie