|
|
Security und Risk Awareness fördert die gelebte Sicherheitskultur
Sicherheitsstrategie - Sicherheitsstrukturen - Security und Risk Awareness
Für die Infrastruktursicherheit im Gebäude bzw. der Information und Communication Technology (ICT) ist die Steigerung der technischen Security nicht alles. Der Mensch als schwächstes Glied in der Sicherheitskette treibt die Unternehmensrisiken sehr wesentlich.
Ein näherer Blick auf die Praxis der Sicherheit lässt Probleme erkennen. Zum einen gibt es aufseiten der Sicherheitsstrategie immer mehr Policies, Codes, Weisungen, Merkblätter oder wie die Richtlinien auch immer genannt werden. Mitarbeiter verlieren bei dieser Vielfalt schnell den Sinn dieser Richtlinien aus den Augen, fühlen sich alleine gelassen und wissen nicht, wie damit umgehen. Aber nicht nur Mitarbeiter verlieren den Überblick, in einigen Unternehmen gibt es eine deutliche Lücke zwischen den guten Absichten der Führungskräfte und den ergriffenen Massnahmen.
|
|
«Ein Drittel der Firmen, die glauben, dass sie der Infrastruktursicherheit und ICT Security eine hohe oder sehr hohe Dringlichkeit beimessen, haben nicht einmal eine Sicherheitsrichtlinie (Security Policy)».
Der Übergang von der Strategie zu Massnahmen scheint ebenfalls in vielen Unternehmen mit Problemen behaftet: Viele Führungskräfte sind davon überzeugt, dass ihr Unternehmen die richtige Information Security Strategie hat, allerdings gehen nur wenige davon aus, dass diese auch richtig umgesetzt wird. Erfahrungen zeigen, dass nur gerade jede dritte Information Security Strategie wird erfolgreich realisiert. Häufig werden also das Weisungswesen und Information Security Management Regelungen ignoriert. Der Stellenwert der Information Security und Information Risk Awarenesss beim Topmanagement wird eher als ein lästiges Übel angesehen. Nicht zuletzt fehlt es gerade dort auch an Information Security Risk Awareness.
Der Erfolgsfaktor schlechthin – Security und Risk Awareness
Der Kern erfolgreichen Sicherns und Schützens von Geschäftserfolgen, Anlagen, Systeme, Daten, Know how, Betriebsgeheimnissen und Informationen ist der Aufbau einer gefahren- und risikobewussten Einstellung (Security und Risk Awareness) von Personen und Organisationen auf allen Management-Ebenen der Betriebe. Unterstützung finden sie durch Normen und Vorschriften, wobei die rechtlichen und regulatorischen Vorgaben laufend verschärft (und leider nur bedingt vereinheitlicht) werden. Die Umsetzung von Grundschutznormen, zumindest in grösseren Betrieben, gilt als hinreichend erfolgreich. Das Umfeld wird aber mehr und mehr internationaler und der Umgang mit Sicherheit insgesamt schwieriger. Aufbau, Halten und Erhöhung der Security und Risk Awareness bleiben dabei stete Aufgaben in Betrieben. Aktuelle Beispiele sind die öffentlich geführten Diskussionen über den Umgang mit schädlicher Software (Malware) sowie mit der lnternetplattform Facebook am Arbeitsplatz. Aber auch Datendiebstahl-Skandale wie beispielsweise in Liechtenstein durch eigene Mitarbeiter, welche ihre Chancen auf dem Arbeitsmarkt erhöhen möchten, sind Themenbereiche, welche auch in Chefetagen diskutiert werden.
In den Betrieben sollte daher mit einer stufengerechten Ausbildungs- und Informationspolitik zum Thema Security und Safety, Information Security Management und Information Security Risk Awareness begonnen werden. Die Richtlinien bzw. Arbeitsregelungen sind für das Zielpublikum aufzubereiten, Kommunikationskonzepte und Wiederholungskurse zu erarbeiten. Nur dann sind die Mitarbeiter in der Lage, die Bedeutung des Information Security Management und der lT-Sicherheit zu verstehen und die potenziellen Konsequenzen durch eine unzureichende Sicherheitskultur für sich und den Betrieb zu erfassen.
Security Management und Risk Awareness Ausbildung – Umsetzung und Praxis
Von zentraler Bedeutung ist bei der Security und Risk Awareness Ausbildung die interne und externe Weiterbildung zur Steigerung der Risk Awareness der Mitarbeiter. Die übergreifenden Bedeutung einer ausgewogenen Sicherheitsausbildung ist dabei eine zentrale Herausforderung und optimierte Konzepte eine Grundvoraussetzung. Das Kursprogramm richtet sich nach Zielgruppen wie beispielsweise Forschung und Entwicklung, Führungskräfte, Mitarbeitende und ist auf deren spezifischen Bedürfnisse ausgerichtet.
|
