Offboarding-Management und Insider-Risiken oft unterschätzt
Laut einer Studie von Wing Security gewähren 63 Prozent der Unternehmen ehemaligen Mitarbeitern noch Zugang zu Unternehmensdaten. Die Automatisierung der SaaS-Sicherheit kann helfen, diese Risiken beim Offboarding zu minimieren.
Das Offboarding von Mitarbeitern wird oft als einfache Verwaltungsaufgabe gesehen, kann aber bei falscher Handhabung große Sicherheitsrisiken mit sich bringen. Wenn ausscheidende Mitarbeiter nicht schnell und gründlich den Zugriff auf Unternehmensdaten verlieren, entstehen ernsthafte Bedrohungen wie Datenschutzverletzungen, Diebstahl von geistigem Eigentum und Verstöße gegen Vorschriften. Da Software-as-a-Service-(SaaS)-Anwendungen heutzutage leicht zu integrieren sind und sowohl innerhalb als auch außerhalb des Unternehmens genutzt werden, sind effektive Offboarding-Prozesse entscheidend, um Datenlecks und andere Cybersicherheitsprobleme zu vermeiden.
Die Sicherheitsrisiken von Massenentlassungen
In der ersten Hälfte des Jahres 2024 wurden in den USA über 80.000 Tech-Mitarbeiter entlassen. Bei solch schnellen und umfangreichen Entlassungen wird das Offboarding und der Entzug von Zugriffsrechten schwieriger, besonders da ein durchschnittlicher Mitarbeiter 29 verschiedene SaaS-Anwendungen nutzt.
Das Offboarding erfordert Zusammenarbeit zwischen IT, Personalabteilung und anderen Abteilungsleitern. Ohne klare Rollen und einheitliche Prozesse können Fehler passieren, die dazu führen, dass sensible Daten gefährdet werden. Angesichts der schnellen Personalfluktuation bleibt das Offboarding für Sicherheitsteams eine Priorität, um Risiken zu managen und Vorschriften einzuhalten.
Zeitverschwendung durch manuelles Offboarding
Der manuelle Entzug von Zugriffsrechten für viele Plattformen und Anwendungen ist sehr zeitaufwändig. Deshalb ist die Automatisierung der SaaS-Sicherheit so wichtig. Bei Zugriffsüberprüfungen muss sichergestellt werden, dass nur die richtigen Benutzer Zugang zu Dateien und Daten haben. Dies manuell durchzuführen ist kompliziert und zeitintensiv und belastet Unternehmen. Ohne automatisierte Systeme sind Unternehmen anfällig für Insider-Risiken und haben Probleme, ihre Compliance nachzuweisen.
Vier Risiken durch mangelhafte Offboarding-Praktiken
Ordentliches Offboarding ist wichtig, um Insider-Risiken zu vermeiden, sei es durch Unachtsamkeit oder böse Absichten. Es stellt sicher, dass ausgeschiedene Mitarbeiter keinen Zugang mehr zu Unternehmensressourcen haben. Bei inkonsequenter Durchführung entstehen große Risiken.
- Datenverstöße
Wenn ehemalige Mitarbeiter oder Auftragnehmer nicht sofort aus den Systemen entfernt werden, können sie weiterhin auf sensible Daten zugreifen. Dies gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit der Daten. Ehemalige Mitarbeiter könnten wichtige Geschäftsdaten, Kundeninformationen oder Geschäftsgeheimnisse preisgeben, ändern oder löschen. Beispielsweise hat ein ehemaliger Mitarbeiter eines Zahlungsunternehmens Berichte mit persönlichen Daten von US-Nutzern heruntergeladen, wodurch 8 Millionen Menschen betroffen sein könnten. Solche Vorfälle können zu finanziellen Verlusten, Rufschädigung und rechtlichen Problemen führen.
- Verstöße gegen die Compliance
Schwache Offboarding-Prozesse können zu Compliance-Verstößen führen, besonders in regulierten Branchen wie dem Gesundheitswesen, Finanzwesen, oder ganz allgemein, KRITIS-Unternehmen und Organisationen. Strenge Regeln verlangen den Schutz von Daten und die Kontrolle des Zugriffs. Wenn Zugriffsberechtigungen nicht entfernt werden, kann dies zu Verstößen führen, die hohe Geldstrafen und rechtliche Probleme nach sich ziehen. Ein großes Versicherungsunternehmen in den USA wurde wegen mangelnder Zugangskontrollen zu einer Strafe von 1 Million US-Dollar verurteilt.
- Insider-Bedrohungen
Mitarbeiter, die kein korrektes Offboarding erhalten, können eine Insider-Bedrohung darstellen. Ehemalige Mitarbeiter mit Zugang zu sensiblen Daten könnten versuchen, den Betrieb zu stören oder Informationen zu stehlen. Ein Beispiel sind zwei ehemalige Tesla-Mitarbeiter, die Daten von 75.000 Nutzern an ein deutsches Medienunternehmen weitergaben. Auch unbeabsichtigte Zugriffe können sensible Informationen preisgeben und Schwachstellen schaffen. Gründliches Offboarding und die Überwachung verdächtigen Verhaltens sind daher wichtig.
- Diebstahl von geistigem Eigentum
Schlechtes Offboarding kann zum Diebstahl von geistigem Eigentum führen. Wenn ehemalige Mitarbeiter noch Zugang zu geschützten Informationen, Quellcode oder vertraulichen Daten haben, können sie dieses wertvolle geistige Eigentum missbrauchen. Eine Untersuchung von Wing Security zeigt, dass 43 Prozent der Unternehmen ehemalige Mitarbeiter haben, die noch Zugang zu den Code-Repositories des Unternehmens auf GitHub oder GitLab haben. Dies kann zu finanziellen Verlusten, Wettbewerbsnachteilen und rechtlichen Problemen führen.
Automatisierungs-Best-Practices
Die Nutzung von Automatisierung im SaaS Security Posture Management (SSPM) ist eine einfache und effektive Methode für einheitliches und gründliches Offboarding. Automatisierung macht es nicht nur einfacher, den Zugriff auf verschiedene SaaS-Anwendungen zu entziehen, sondern spart auch Zeit, Ressourcen und reduziert das Risiko von Fehlern.
Automatisierung hilft auch dabei, die Nachverfolgung von Berechtigungen und Datenfreigaben zu vereinfachen, was besonders wichtig ist, wenn es darum geht, schnell herauszufinden, welche Zugriffsrechte ein Mitarbeiter vor seiner Entlassung hatte. Dies ist entscheidend für die Datensicherheit. Zudem reduziert Automatisierung auch den Verwaltungsaufwand für regelmäßige Prüfungen und Compliance-Berichte. Durch kontinuierliche Überwachung und einfache Automatisierung können verbleibende Zugriffe nach der Entlassung eines Mitarbeiters schnell erkannt und entfernt werden.
Ohne solide Offboarding-Prozesse setzen sich Unternehmen einem hohen Risiko aus, das schwerwiegende Folgen für ihren Betrieb, ihren Ruf und ihre Finanzen haben kann. Gut durchdachte Offboarding-Protokolle sind daher unerlässlich, um diese Risiken zu minimieren und die wertvollen Vermögenswerte und Informationen des Unternehmens zu schützen.