Jack Koziol, Gründer und CEO von Infosec – Cybersecurity-Interviews

Jack Koziol, Gründer und CEO von Infosec, spezialisiert auf die Stärkung von Organisationen und ihren Mitarbeitern gegen Sicherheitsbedrohungen mit preisgekrönten Sicherheits- und Datenschutzschulungen. Da Cybersecurity jedermanns Aufgabe ist, bieten sie Fähigkeitsentwicklung und Zertifizierungsschulungen für IT- und Sicherheitsfachleute an, während sie die gesamte Arbeitssicherheitskompetenz mit Bewusstseinsbildung und Phishing-Simulationen aufbauen. Als Gartner Peer Insights Kundenwahl für Security Awareness Computer-Based Training anerkannt, ist Infosec auch ein “Top 20 IT-Training-Unternehmen” von Training Industry und der Gewinner des Security-Training- und Bildungsprogramms Gold Award in den Global Excellence Awards von Info Security Products Guide.

Sie haben 2003 bei der Harris Bank mit der Arbeit im Bereich Cybersicherheit begonnen. Was umfasste Ihre Arbeit und wie hat sich die Branche seitdem verändert?

Ich war der einzige Cybersicherheitsfachmann, der 2003 bei der Bank arbeitete. Wir hatten andere Querschnittsrollen bei unserem Konzernmutterunternehmen BMO, aber ich war der einzige Vollzeitmitarbeiter, der sich ausschließlich mit Cybersicherheit beschäftigte. Technologische Veränderungen – und die damit verbundenen Risiken – haben die Branche seit meiner Zeit bei der Harris Bank dramatisch verändert. Cybersicherheitsbudgets und Teamgrößen haben sich um das Zehnfache erhöht, um mit den Cybersicherheitsbedrohungen Schritt zu halten, die die Finanzdienstleistungsbranche ins Visier nehmen. Was ich vor 15 Jahren als Einzelperson zugeteilt bekam, wird heute wahrscheinlich von einem Team von über 100 Cybersicherheitsfachleuten gemanagt.

Während Ihrer Zeit bei der Bank haben Sie “The Shellcoder’s Handbook” veröffentlicht, eines der ersten Bücher über ethisches Hacken. Was war Ihre Denkweise während der Erstellung dieses Buches?

Als ich das Buch schrieb, war die primäre Plattform für den Austausch von Informationen über Ausnutzbarkeiten eine Mailingliste namens BUGTRAQ. The Shellcoder’s Handbook machte diese eher esoterische Information zugänglicher, indem es sie einer breiteren Öffentlichkeit in einer leicht verständlichen Weise präsentierte. So viele Menschen wollten zu dieser Zeit lernen – und mussten lernen – über die Erstellung von Ausnutzbarkeiten. Ich wusste, dass ich anderen beibringen konnte, Software-Ausnutzbarkeiten mit praktischen Beispielen aus meiner eigenen Erfahrung zu schreiben. Egoistisch gesagt wollte ich auch aus meiner Arbeit bei der Bank aussteigen und meine Karriere in eine andere Richtung lenken.

Können Sie die Entstehungsgeschichte hinter Infosec teilen?

Alles begann, nachdem ich The Shellcoder’s Handbook veröffentlicht hatte. Seine Popularität löste das notwendige Interesse und die notwendige Aufmerksamkeit für ethisches Hacken und Software-Schwachstellen aus, was zu zahlreichen Anfragen führte, Bootcamps über die in dem Buch behandelten Software-Ausnutzbarkeiten zu unterrichten. Ich nutzte Urlaubszeit, um einige Kurse zu unterrichten, aber schließlich ging mir die Urlaubszeit aus, also kündigte ich meine Stelle bei der Bank und verbrachte die nächsten paar Jahre damit, auf der ganzen Welt Menschen mit Firmenjobs beizubringen, wie man hackt. Es war ziemlich lustig.

Während dieser Zeit explodierte die Softwareindustrie. Neue Tools und Plattformen führten zu mehr Sicherheitsrisiken, was zu einem noch größeren Bedarf an Cybersicherheitsschulungen führte. Und da Cyberkriminelle ihre Ziele von Software auf Softwarebenutzer erweiterten, schoss die Nachfrage nach rollenbasierten, skalierbaren Cybersicherheitsschulungen in die Höhe.

Genau zu diesem Zeitpunkt skalierte Infosec unsere Bildungsdienste über Software-as-a-Service und entwickelte die weltweit größten Cybersicherheits-Bildungsplattformen, Infosec Skills und Infosec IQ. Beide Plattformen bieten rollenrelevante, praktische Schulungen für das gesamte Unternehmen, um Mitarbeitern die Kenntnisse, Fähigkeiten und das Vertrauen zu vermitteln, um Cyberkriminalität auszutricksen. Heute verlassen sich über 70 % der Fortune-500-Unternehmen auf Infosec Skills, um ihre Sicherheitstalente und -teams zu entwickeln, und über 5 Millionen Lerner weltweit sind durch Infosec IQs Sicherheitsbewusstseins- und Phishingschulungen cyber-resilienter.

Können Sie einige der beliebtesten Cybersicherheitszertifikate und -kurse erläutern, die von Infosec angeboten werden?

Infosec bietet rollenbasierte Cybersicherheitsschulungen für die gesamte Organisation an – von der Rechnungsabteilung bis zum SOC-Team. Da Infosec herstellerunabhängig ist, ist es wahrscheinlich nicht überraschend zu erfahren, dass einige unserer beliebtesten Bootcamps solche sind, die Studenten auf in-demand-Zertifizierungen wie CISSP, Security+ und Certified Ethical Hacker (CEH) vorbereiten. Was Infosec einzigartig macht, ist die Art und Weise, wie wir Studenten auf ihre Prüfungen vorbereiten. Wir verwenden eine Kombination aus immersiven Vorlesungen und praktischen Labors im Cyber-Raum, um Studenten beizubringen, durch Tun zu lernen und wertvolle Fähigkeiten zu vermitteln, die sofort auf ihre Jobs angewendet werden können. Der Infosec Skills Cyber-Raum ist eines der beliebtesten Lernerfahrungen auf der Plattform und etwas, in das wir in diesem Jahr stark investieren.

Auf der Seite des Sicherheitsbewusstseins und der Schulung haben unsere neu veröffentlichten Choose Your Own Adventure® Sicherheitsbewusstseinsspiele die Art und Weise, wie unsere Kunden Sicherheitsbewusstsein und -schulung ihren Mitarbeitern vermitteln, grundlegend verändert. Wir haben mit dem Team hinter der Choose Your Own Adventure®-Marke zusammengearbeitet, um die Aufregung und das Geheimnis der beliebten Gamebook-Serie in Sicherheitsbewusstseins- und -schulungsprogramme auf der ganzen Welt zu bringen. Die Spiele geben Lernern die Kontrolle über ihr eigenes Sicherheitsbewusstseinsprogramm, mit interaktiven Geschichten, die kritisches Denken und Entscheidungsfindung fördern – und gleichzeitig Spaß machen.

Wie wichtig ist es, das Bewusstsein der Mitarbeiter für Cybersicherheitsbedrohungen zu schärfen?

Das Schärfen des Bewusstseins der Mitarbeiter für Cybersicherheitsbedrohungen bietet Vorteile, die über die Unternehmensdatensicherheit und -compliance hinausgehen. Abgesehen von den offensichtlichen Vorteilen, die Unternehmen dabei helfen, teure und oft schädliche Sicherheitsvorfälle zu vermeiden, schützen Cybersicherheitsschulungsprogramme Mitarbeiter sowohl bei der Arbeit als auch zu Hause. Zu wissen, wie man einen Phishing-Angriff vermeidet oder ein IoT-Gerät sichert, kann Mitarbeiter vor verheerenden persönlichen Verlusten und sogar Bedrohungen für ihre Familien schützen. Zu verstehen, wie man online sicher bleibt, ist nicht mehr nur eine Arbeitsangelegenheit – es ist eine Lebensfähigkeit. Wir könnten nicht stolzer darauf sein, unseren Kunden zu helfen, ihre Unternehmen, Kunden und Mitarbeiter vor Cyberbedrohungen und -kriminellen zu schützen.

Welche Methode fallen Mitarbeiter am häufigsten Opfer von Ausnutzungen oder Hackern?

Die meisten Cybersicherheitsforscher stimmen darin überein, dass die Mehrheit der Datenlecks auf menschliches Versagen zurückzuführen ist. Die neueste IBM X-Force Threat Intelligence Index-Studie berichtet, dass Ransomware, Datendiebstahl und Serverzugriff die drei häufigsten Angriffstypen im Jahr 2020 waren, und Scans und Ausnutzungen, Phishing und Credential-Diebstahl die drei häufigsten Angriffvektoren. Phishing ist eine sehr ernsthafte und häufige Sicherheitsbedrohung und wird daher umfassend von den Medien behandelt. Die Realität ist, dass viele Datenlecks mit Phishing und Malware beginnen, aber das Ausmaß, in dem Hacker Zugriff auf sensible Informationen und Systeme erhalten, ist oft ein Spiegelbild der IT-Infrastruktur und der allgemeinen Sicherheitslage des Unternehmens. Der jüngste SolarWinds-Vorfall ist nur eines von vielen Beispielen, bei dem eine stärkere Passwortrichtlinie oder ein effektiveres Sicherheitsbewusstseinsprogramm einen großen Datenleck möglicherweise verhindert hätte.

Das Fazit lautet: Wissenslücken im Bereich Cybersicherheit auf allen Ebenen des Unternehmens bergen Sicherheitsrisiken für das Unternehmen und sollten durch Mitarbeiter-Sicherheitsbewusstseins- und -schulung gemindert werden.

Cybersicherheit entwickelt sich ständig weiter, wie oft müssen Arbeitgeber und Mitarbeiter sich mit potenziellen Cyberbedrohungen vertraut machen?

Als Sicherheitsfachleute sind wir nie fertig mit dem Lernen. Es ist unsere Verantwortung, uns zusammen mit den Bedürfnissen der Technologie – und den neuen Schwachstellen, die sie möglicherweise einführen – zu entwickeln, um der Cyberkriminalität einen Schritt voraus zu sein. Wir empfehlen mindestens 1-3 Stunden dedizierten Lernens pro Woche für Cybersicherheitsfachleute und monatliche Sicherheitsbewusstseins- und Phishingschulungen für nicht-technisches Personal.

Experten für Erwachsenenbildung zitieren oft Ebbinghaus’ Vergessenskurve, um die Bedeutung häufiger Mitarbeiter-Schulungen zu betonen. Die Theorie besagt im Wesentlichen, dass ohne wiederholte Wiederholung, um neues Wissen zu festigen, Mitarbeiter 90 % neuer Informationen innerhalb eines Monats vergessen.

Praktische technische Schulungen durch einen Cyber-Raum oder gamifiziertes Sicherheitsbewusstsein durch ein Choose Your Own Adventure® Sicherheitsbewusstseinsspiel sind nur einige der Möglichkeiten, wie wir unseren Kunden helfen, durch Tun zu lernen und das Wissen zu maximieren. Kontinuierliche Lernprogramme wie diese inspirieren sichere Gewohnheiten und helfen dabei, eine Sicherheitskultur am Arbeitsplatz aufzubauen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Infosec besuchen.