"Sicherheitsbewusstein kann man lernen"

Viele sicherheitsrelevante Vorfälle in Unternehmen werden von den eigenen Mitarbeitern generiert.

Rund 65 Prozent aller sicherheitsrelevanten Vorfälle in Unternehmen werden - meist unwissentlich - durch die eigenen Mitarbeiter verursacht. Je sicherer technische Systeme werden, desto mehr wird der Mensch zu einem zentralen Risikofaktor. Vor allem dann, wenn er immer komplexeren Anforderungen im täglichen Arbeitsleben gewachsen sein muss.

Welche Sicherheitslücken sind hier vorherrschend?

Das reicht von Fehlbedienungen über mangelndes Sicherheitsbewusstsein bis hin zu absichtlicher Schädigung unternehmenseigener Daten und Systeme. Eine weitere Sicherheitslücke stellt die zunehmende Mobilität der Mitarbeiter dar. Um wichtige Informationen und sensible Daten vor unwiederbringlichem Verlust oder unberechtigtem Zugriff wie Industriespionage und Social Engineering zu schützen, müssen die Mitarbeiter daher als ganz wichtiger Faktor einer integrierten, unternehmensweiten Informationssicherheit berücksichtigt werden.

Welche Mitarbeitergruppen sind davon betroffen?

Das beginnt schon beim Empfang und der Zutrittsregelung für die Büroräumlichkeiten und schließt alle Mitarbeitergruppen ein - von der Geschäftsleitung über die Systemadministratoren und IT-Spezialisten bis hin zu den Anwendern.

Hat es nicht auch mit einem mangelnden Sicherheitsverständnis der Mitarbeiter zu tun?

Wenn man Mitarbeitern nur ein Handout in die Hand drückt, werden sie nicht verstehen, warum sie Teil einer unternehmensweiten Sicherheitsstrategie werden sollen und sie fühlen sich in ihrer Arbeit eingeschränkt. Ein Risikofaktor sind auch neue Mitarbeiter, die über dieses unternehmensinterne Sicherheitswissen noch nicht verfügen können.

Wie können Unternehmen das Sicherheitsbewusstsein der Mitarbeiter heben?

Zwar ist das Bewusstsein für den "Risikofaktor" Mitarbeiter in den letzten Jahren gestiegen - Projekte im Bereich Security Awareness verlaufen aufgrund unklarer Kompetenzverteilungen aber oftmals im Sande. Voraussetzung für eine umfassende Informationssicherheit ist daher eine klare Regelung, wer für die Erstellung und Einhaltung der Security Policy verantwortlich ist und welche Rechte und Pflichten die einzelnen Mitarbeiter haben.

Was ist das Ziel solcher Maßnahmen?

Ziel ist es, einerseits das Bewusstsein der Mitarbeiter, aber auch deren Fähigkeiten und Kenntnisse in punkto Informationssicherheit zu stärken sowie andererseits aktuelle Sicherheitslücken aufzudecken und die Anzahl von Sicherheitsvorfällen zu minimieren. Die Mitarbeiter sollen in die Lage versetzt werden, kritische Situationen zu erkennen und die richtigen Maßnahmen zu ergreifen.

Welche Hilfestellungen bieten Sie hier?

Nachdem nur Maßnahmen und Verhaltensweisen, welche von den Mitarbeitern verstanden werden, im Gedächtnis bleiben und dem Mitarbeiter im Ernstfall helfen richtig zu handeln, haben wir als Unternehmen einen ganz neuen Ansatz gewählt: die multimediale und interaktive Aufbereitung von Richtlinien und grundlegenden Verhaltensweisen im Rahmen eines "virtuellen Büros". Dieses Konzept umfasst auch ein Security Portal, das den Mitarbeitern als zentrale Informationsstelle zu Sicherheitsthemen (Glossar, Richtlinien, FAQs etc.) dient und vom Unternehmen laufend aktualisiert werden kann. Die Software deckt somit sämtliche Security Awareness Aspekte ab und kann optional durch das Absolvieren eines Online-Tests abgeschlossen werden.

www.e-sec.at

---

Security Awarness im Komplettpaket

E-SEC Information Security Solutions GmbH mit Sitz in Innsbruck wurde im Jahr 2005 gegründet. Die Entwicklung des Konzepts für die Einführung, Erhalt und die Verbesserung von Security Awareness Maßnahmen und der dafür eingesetzten, unterstützenden Software startete bereits 2003 im Zuge eines Projektes an der Technischen Universität Innsbruck. Zu den Referenzen zählen u.a. Raiffeisen Rechenzentrum Tirol GmbH , Skidata AG und die PlanseeGroup.