Die Great Resignation hat viele Unternehmen ins Wanken gebracht und für eine höhere Fluktuationsrate als je zuvor gesorgt. Während dies die Personalabteilungen vor große Probleme stellt, könnte es auch zu grundlegenden Sicherheitsproblemen führen.
Mitarbeiter nehmen viel Wissen darüber mit, wie sie auf Unternehmenssysteme zugreifen können, und dieses Wissen verschwindet nicht einfach, wenn sie das Unternehmen verlassen. Rund 58 Prozent der IT- und Sicherheitsfachleute machen sich Sorgen über das Wissen ehemaliger Mitarbeiter zum Zugriff auf die Infrastruktur des Unternehmens. Wie können sich Unternehmen also schützen?
Eine Checkliste für das Offboarding erstellen
Im Gegensatz zum Onboarding ist das Offboarding in der Regel kein geplanter Vorgang, und es kann schwierig sein, sich an alle erforderlichen Schritte zu erinnern, während man gleichzeitig versucht, die frei werdende Stelle zu besetzen. Leider bedeutet das, dass die Sicherheit durch die Maschen fallen kann. Erstellen Sie eine Offboarding-Checkliste mit allem, was beim Ausscheiden eines Mitarbeiters zu erledigen ist: Zugänge, die Sie entziehen müssen, Geräte, die Sie zurückfordern und löschen müssen, Beteiligte, die Sie benachrichtigen müssen, und so weiter.
Je nach Position des ausscheidenden Mitarbeiters (Mitarbeiter ohne Führungsverantwortung, Manager oder Führungskraft) müssen Sie unterschiedliche Schritte befolgen. Es kann hilfreich sein, die Liste in Abschnitte zu unterteilen: Schritte, die Sie für alle durchführen, Schritte, die nur erforderlich sind, wenn der ehemalige Mitarbeiter dem Management angehörte, und Maßnahmen für den Fall, dass es sich um eine Führungskraft handelte. Außerdem lassen sich manche Mitarbeiter möglicherweise keiner Kategorie eindeutig zuordnen. Wenn Ihnen alle Schritte vorliegen, werden Sie daran erinnert, was Sie überprüfen müssen.
Hier sind einige Aufgaben, die Bestandteil Ihrer Offboarding-Checkliste sein sollten.
Zugriff auf Unternehmensressourcen entziehen
Eine der ersten Aufgaben beim Ausscheiden von Mitarbeitern besteht darin, ihren Zugriff auf Unternehmenssysteme zu entziehen – selbst wenn sie im Guten gegangen sind. Ändern Sie gemeinsam genutzte Passwörter, schließen Sie ihre Mitarbeiterkonten und entfernen Sie ihre E-Mail-Adressen aus allen Verteilerlisten.
Brendan O’Connor, CEO und Mitgründer des SaaS-Sicherheitsmanagementanbieters AppOmni, sagt: „Das mag offensichtlich klingen, aber es ist erstaunlich, wie häufig gekündigte Mitarbeiter noch lange nach ihrem Ausscheiden Zugriff auf Systeme und Daten behalten. Dieses Problem ist noch häufiger geworden, seit SaaS-Anwendungen wie Microsoft 365 und GSuite inzwischen weit verbreiteter sind als Software, die auf ein Gerät heruntergeladen wird.“
Während Mitarbeiter früher nur über Unternehmensgeräte auf Unternehmensdaten zugreifen konnten, sorgen Bring-your-own-Device-(BYOD)-Richtlinien und Remote-Arbeit dafür, dass dies nicht mehr der Fall ist. Heute können Mitarbeiter von ihren persönlichen Geräten aus auf Daten und Anwendungen zugreifen. Wenn Arbeitgeber diesen Zugriff nach dem Ausscheiden nicht entziehen, können die Mitarbeiter die Informationen in ihre nächste Position mitnehmen – mit möglicherweise verheerenden Folgen, insbesondere wenn sie zu einem Wettbewerber wechseln.
Ebenfalls lesenswert: IoT-Geräte sind ein enormes Risiko für Unternehmen
Geräte auf Werkseinstellungen zurücksetzen
Wenn Ihr Unternehmen Drittanbieteranwendungen bereitstellt, die Unternehmensdaten enthalten, darunter Apps wie Salesforce, Hubspot und monday.com, laden Sie nach der Rückgabe des Geräts alle erforderlichen Dateien in die Cloud hoch und setzen Sie es anschließend auf die Werkseinstellungen zurück. „Die Daten von AppOmni zeigen, dass Unternehmen im Durchschnitt mehr als 42 verschiedene Drittanbieteranwendungen mit ihren geschäftskritischen SaaS-Umgebungen verbinden“, sagt O’Connor. Außerdem weist er darauf hin, dass diese Anwendungen „als Hintertür zu vertraulichen Informationen in SaaS-Systemen dienen können“.
Drittanbieteranwendungen hosten eine Fülle wertvoller Unternehmensinformationen, die Unternehmen häufig vergessen. O’Connor sagt: „Diese Apps sind ein wichtiger Bestandteil jedes Cloud-Ökosystems eines Unternehmens und können Software für die Online-Unterzeichnung von Dokumenten, E-Mail-Management, Marketingautomatisierung, Wettbewerbsinformationen und eine Vielzahl weiterer Anwendungsfälle umfassen.“ Die Lösung sind automatisierte Sicherheitstools, die Nutzung und Berechtigungen dieser Drittanbieteranwendungen überwachen und verhindern können, dass ehemalige Mitarbeiter Zugriff erhalten.
Ebenfalls lesenswert: Sicherheitsprobleme bei Zoom sind ein Weckruf für Unternehmen
Geräte auf Werkseinstellungen zurücksetzen
Wenn Ihr Unternehmen Mobiltelefone oder Laptops bereitstellt, laden Sie nach der Rückgabe des Geräts alle erforderlichen Dateien in die Cloud hoch und setzen Sie es anschließend auf die Werkseinstellungen zurück. Schadsoftware kann sich monatelang oder sogar jahrelang in Geräten verbergen, bevor sie ihren Angriff ausführt, und es gibt keine Möglichkeit zu wissen, was Ihr ehemaliger Mitarbeiter möglicherweise auf das Gerät heruntergeladen hat. In der Regel kann ein Zurücksetzen auf die Werkseinstellungen Viren oder Schadsoftware entfernen – es sei denn, sie haben die Daten und nicht das Gerät infiziert.
Es ist sinnvoll, die von diesen Geräten übernommenen Dateien unter Quarantäne zu stellen, bevor Sie sie mit anderen Unternehmensdokumenten vermischen. So erhält Ihr Sicherheitsteam Zeit, sie auf Bedrohungen zu analysieren.
Institutionelles Wissen bewahren
Die Great Resignation wirkt sich auch erheblich auf Cybersicherheitsteams aus, die aufgrund der Umstellung auf SaaS und Remote-Arbeit bereits überlastet sind und nun auch Mitarbeiter verlieren. O’Connor sagt: „Wenn Sicherheitsexperten das Unternehmen verlassen, nehmen sie häufig institutionelles Wissen mit. Dadurch müssen Teams wichtige Prozesse neu erlernen oder neu etablieren. Noch schlimmer ist, dass Teams möglicherweise alte Sicherheitsprozesse ausführen, ohne zu wissen, ,wie‘ oder ,warum‘ sie durchgeführt werden.“
Führungskräfte müssen daran arbeiten, dieses institutionelle Wissen durch eine detaillierte Prozessdokumentation, bereichsübergreifende Schulungen und Personalbewertungen zu bewahren. Sie müssen wissen, wofür jeder Mitarbeiter verantwortlich ist und wer seine Aufgaben übernehmen könnte, falls er das Unternehmen plötzlich verlässt. Andernfalls geraten sie unweigerlich in Zeitnot, wenn dies geschieht, und machen ihr Unternehmen anfällig für Sicherheitsbedrohungen. Neben besseren Schulungen und einer besseren Dokumentation kann auch Software zur Verhinderung von Datenverlust (DLP) Unternehmen dabei helfen, institutionelles Wissen zu bewahren.
Ebenfalls lesenswert: Ein neuer Ansatz zur Suche nach Cybersicherheitstalenten: Ein Gespräch mit Alan Paller
Ihre Sicherheit ist ehemaligen Mitarbeitern nicht besonders wichtig
Selbst wenn Mitarbeiter das Unternehmen im Guten verlassen – und ganz besonders, wenn dies nicht der Fall ist –, wird die Sicherheit Ihres Unternehmens nicht ihre höchste Priorität sein. Sie beabsichtigen möglicherweise nicht, vorsätzlich Schaden anzurichten, aber Sicherheitsverletzungen passieren ständig, auch wenn Unternehmen aktiv versuchen, sie zu verhindern. Solange Sie ihren Zugriff auf alle internen Systeme nicht entziehen und die firmeneigenen Geräte nicht zurückerhalten haben, bleiben ehemalige Mitarbeiter ein Haftungsrisiko für Ihr Unternehmen.
Wenn Sie mehr darüber erfahren möchten, wie Sie Ihr Unternehmen vor Cyberbedrohungen schützen, lesen Sie unseren Artikel über die führenden Cybersicherheitsunternehmen.