„Wenn sich das Projekt als erfolgreich erwiesen hat, ist dies zweifellos der Kompetenz, Professionalität und dem Engagement des Teams von Var Group Suisse zu verdanken. Auch in der operativen Phase hat sich die Zusammenarbeit als ausgezeichnet erwiesen – mit stets zeitnaher Unterstützung und einer hohen Verfügbarkeit des Teams, wann immer dies erforderlich war.“
- Medical
- Case Study
Die Clinica Hildebrand Rehabilitationszentrum Brissago
ABOUT
Die Clinica Hildebrand Rehabilitationszentrum Brissago zählt zu den führenden Kompetenzzentren der Schweiz im Bereich der Rehabilitationsmedizin. Ihre Ursprünge reichen bis in die 1950er-Jahre zurück: Die Hildebrand-Stiftung, eine gemeinnützige Organisation ohne Erwerbszweck, wurde 1955 gegründet. 1963 eröffnete sie die Klinik in Brissago am Ufer des Lago Maggiore. Heute ist die Clinica Hildebrand Rehabilitationszentrum Brissago ein bedeutendes Referenzzentrum der italienischen Schweiz für neurologische und kardiologische Rehabilitation. Das Angebot umfasst zudem die muskuloskelettale und geriatrische Rehabilitation.
Challenge
Für die Clinica Hildebrand Rehabilitationszentrum Brissago war Security Awareness kein neues Thema. Die Organisation hatte bereits in die Schulung ihrer 420 Mitarbeitenden investiert. Die Herausforderung bestand jedoch darin, das bestehende Modell weiterzuentwickeln und kontinuierlicher, integrierter und messbarer zu gestalten. Die Schulungen basierten auf einer Plattform, die von den im Arbeitsalltag genutzten Tools getrennt war und einen eigenen Zugang sowie separate Anmeldedaten erforderte. Auch Phishing-Simulationen wurden nur gelegentlich durchgeführt und waren nicht vollständig in das Schulungsprogramm integriert.
Das Ziel bestand daher darin, über einen reinen Technologiewechsel hinauszugehen und Security Awareness in einen kontinuierlichen, gesteuerten Prozess zu überführen, der die Schulungen näher an die Mitarbeitenden bringt und die erzielten Ergebnisse nutzt, um die weiteren Massnahmen gezielt auszurichten.
Simone Torelli, Leiter ICT Services der Clinica Hildebrand Rehabilitationszentrum Brissago, erläutert die Entscheidung, diese Weiterentwicklung gemeinsam mit Var Group Suisse umzusetzen: „Mit Var Group verbindet uns seit vielen Jahren eine bewährte Zusammenarbeit in verschiedenen ICT-Bereichen. Die Erweiterung der Partnerschaft auf das Thema Security Awareness ist daher eine natürliche Weiterentwicklung einer bereits etablierten und von einer erfolgreichen Zusammenarbeit geprägten Beziehung.“
Solution
Die Antwort von Var Group Suisse bestand darin, das Modell zu verändern – und nicht lediglich die Plattform. Das Projekt begann mit einer Analyse der Bedürfnisse der Klinik sowie mit einer PoC vor der vollständigen Implementierung: „Die individuell angepasste PoC und die anschliessende Testphase haben die Qualität der vorgeschlagenen Lösung und ihre Fähigkeit bestätigt, unsere Anforderungen zu erfüllen“, erklärt Torelli.
Mit dem Managed Security Awareness Service ist die Clinica Hildebrand Rehabilitationszentrum Brissago zu einem kontinuierlichen Programm übergegangen, in dem Schulungen, Phishing-Simulationen, Analysen und Remediation nicht mehr als voneinander getrennte Aktivitäten betrachtet werden, sondern Teil eines einheitlichen, gesteuerten Prozesses sind. Vom initialen Assessment über die Definition des Schulungsplans und das Kampagnenmanagement bis hin zur Überwachung der Ergebnisse baut jede Phase auf der vorhergehenden auf und ermöglicht es, das Programm auf Grundlage der gewonnenen Erkenntnisse schrittweise anzupassen.
Auch die Lernerfahrung hat sich verändert. Die Inhalte werden über Tools bereitgestellt, die die Mitarbeitenden täglich nutzen, wie beispielsweise Microsoft Teams, und in Form von kurzen Modulen, Quizformaten und realistischen Szenarien vermittelt. Ein KI-gestützter Chatbot ermöglicht es den Nutzenden, Fragen vertieft zu behandeln und sich mit realitätsnahen Situationen auseinanderzusetzen. Mit Studio lassen sich zudem eigene Dokumente und Materialien der Klinik in individuell angepasste, interaktive Lernpfade umwandeln, wodurch die Schulungen auch auf Richtlinien, Prozesse und Onboarding ausgeweitet werden können.
Die gleiche Logik gilt für die Phishing-Simulationen: Die Ergebnisse der Kampagnen werden analysiert, um die Bereiche mit der grössten Anfälligkeit zu identifizieren und gezielte Schulungs- und Remediation-Massnahmen einzuleiten. Dashboards, KPIs und Executive Reporting ermöglichen es, die Entwicklung im Zeitverlauf zu verfolgen und die erhobenen Daten in konkrete Handlungsempfehlungen für die nächsten Aktivitäten zu überführen.
Torelli fasst zusammen: „Die Integration in das ICT-Ökosystem der Klinik hat es ermöglicht, die Verwaltungsprozesse zu optimieren und gleichzeitig die operative Belastung des ICT Service zu reduzieren.“ Auch die Umsetzung der Integration erfolgte sehr schnell: „Ich war positiv überrascht, wie rasch die Infrastruktur und die damit verbundenen Integrationen implementiert wurden“, ergänzt Torelli.
Results
Die ersten Ergebnisse zeigen, wie das neue Modell Security Awareness von einer überwiegend periodischen Aktivität in einen kontinuierlichen und messbaren Prozess verwandelt hat, der die Mitarbeitenden einbindet und sich auf Grundlage der erhobenen Daten fortlaufend weiterentwickelt.
Die Beteiligung der Mitarbeitenden der Clinica Hildebrand Rehabilitationszentrum Brissago liefert einen ersten konkreten Indikator: Mehr als 90 % absolvieren sowohl die regulären Schulungen als auch die nach Phishing-Simulationen zugewiesenen Remediation-Trainings innerhalb der vorgesehenen Frist. Dieses hohe Engagement geht mit einer ebenfalls sehr positiven Bewertung der Lernerfahrung einher: Von 532 abgegebenen Bewertungen fielen 97 % positiv aus, davon 52 % in der höchsten und 45 % in der zweithöchsten Zufriedenheitskategorie.
Die Wirkung geht jedoch über die reine Teilnahme hinaus. Die Kontinuität zwischen Schulungen, Simulationen und Remediation ermöglicht es, gezielt auf besonders kritische Bereiche einzugehen und die Entwicklung des Verhaltens über die Zeit hinweg zu überprüfen. Dadurch zeigt sich eine deutliche Verbesserung der Vulnerability Rate von einer Kampagne zur nächsten. Die Messung wird damit zu einem integralen Bestandteil des gesamten Prozesses: Die Erkenntnisse aus einer Kampagne fliessen direkt in die Planung der nächsten ein.
Auch auf organisatorischer Ebene bringt der Wandel Vorteile. Die Mitarbeitenden können einfacher und näher an ihrem Arbeitsalltag auf die Schulungsinhalte zugreifen, während Management und ICT Service jederzeit den Überblick über die Entwicklung des Programms behalten, ohne dass sich der operative Aufwand erhöht. Zu diesem Ergebnis hat auch die enge Zusammenarbeit zwischen den Teams beigetragen, die von der Projektphase bis in den laufenden Betrieb des Services fortgeführt wurde.
Die Erfahrung hat zudem dazu beigetragen, innerhalb der Klinik ein breiteres Verständnis von Security Awareness zu verankern: „Die kontinuierliche Schulung der Mitarbeitenden ist heute eines der Schlüsselelemente einer soliden unternehmerischen Sicherheitsstrategie. Cybersecurity wird nicht einfach als Kostenfaktor betrachtet, sondern als kritischer Enabler für den Schutz der Unternehmenswerte und die Sicherstellung der Servicekontinuität.“
Von Schulungen, die absolviert werden müssen, hin zu einer Sicherheitskultur, die aufgebaut, gemessen und kontinuierlich verbessert wird.