secAware: Microsoft präsentiert Awareness-Kampagne “Das Phantom”

Für mich ein Highlight auf der secAware in Düsseldorf, die diese Woche der Treffpunkt der deutschsprachigen Security-Awareness-Gemeinde war (siehe auch hier): Tom Köhler, seit Sommer 2007 verantwortlich für Microsofts Sicherheitsstrategie, berichtete von der originellen und intelligent konzipierten Kampagne, die das Softwarehaus hierzulande durchgeführt hat, um für mehr Sicherheitsbewusstsein bei den deutschen Microsofties zu sorgen.

Die Herausforderungen waren beachtlich: Der Gates-Konzern bietet Hackern und Social Engineers bekanntlich ein äußerst prominentes Angriffsziel, und Redmonds Ruf in Sachen Security hat auch schon den einen oder anderen Kratzer im Lack. Weitere Rahmenbedingungen waren Microsofts bekannt offene Unternehmenskultur, eine laut Köhler sehr “liberale” Policy beim Einsatz von IT (sprich: nicht nur hauseigene Produkte) und ein “starker interner Wettbewerb um Aufmerksamkeit”. Denn Microsoft launche pro Jahr rund 120 Produkte, was natürlich im Unternehmen kommuniziert werden will.

Köhler setzte deshalb auf ein Social Engineering Assessment in Form einer Reihe aus fünf simulierten Angriffen. Diese kündigte der fiktive Angreifer - die Kampagnenfigur namens “Das Phantom”, passenderweise mit einem weißen Fehdehandschuh als Logo - jeweils kurzfristig vorab plakativ und dramatisch an.

Die Dramaturgie steigerte sich vom einfachen “Tailgating” (das Sich-Einschleusen in geschützte Bereiche via offenstehende Türen oder unbemerkt im Schlepptau von Mitarbeitern) zum Kapern nicht passwortgeschützter PCs, Phishing mittels interner Telefone und dem Diebstahl unverschlüsselter Daten auf mobilen Geräten bis zur Kompromittierung vertraulicher Informationen - dem Information-Security-GAU.

Die Maßnahmen fanden laut Köhler große Beachtung, waren als Ziele doch gezielt neuralgische Punkte gewählt worden: Finanz-, Personal- und Rechtsabteilung sowie der Bereich Public Sector.

Das Ergebnis: Als Effekte der Kampagne konnte Microsoft laut Tom Köhler bei den Mitarbeitern einen erhöhten Wissensdurst und damit Zugriffsspitzen auf Online-Ressourcen zu Sicherheitsthemen ebenso verzeichnen wie virale Marketing-Effekte per “Flurfunk” und auch direkte Verhaltensänderungen. Köhler hob hervor, dass der Wettbewerbscharakter der nach und nach angekündigten Phantom-Übergriffe den Teamgeist gefördert hat, ohne dass Security deshalb nun als Angstthema negativ besetzt wäre. Man darf gespannt sein, wie nachhaltig die Jagd auf das Phantom wirkt.

Dieser Eintrag wurde am 30.10.2009 um 20:29 verfasst und befindet sich in Security Awareness. Sie können alle Antworten zu diesem Eintrag über den Feed RSS 2.0 mitverfolgen. Hinterlassen Sie eine Antwort oder einen Trackback-Link zu Ihrer eigenen Homepage.