Rolle des Menschen oft vernachlässigt und unterschätzt Security Awareness in der Informationssicherheit

Ein großer Teil, der zur verbesserten Sicherheit beitragen kann und auch muss, ist der Faktor Mensch. Um dies zu erreichen ist es wichtig, ein Bewusstsein für Informationssicherheit bei den Mitarbeitern zu schaffen.

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Technische Maßnahmen können die Informationssicherheit nur bis zu einem gewissen Grad verbessern. Zudem gibt es viele Bereiche, in denen es nicht möglich beziehungsweise nicht wirtschaftlich sinnvoll ist, technische Lösungen zum Schutz von Informationen einzusetzen. Aus diesem Grund bestehen umfassende Programme zur Informationssicherheit aus drei unterschiedlichen Aspekten. Diese sind Technologien, Prozesse und organisatorische Regelungen.

Der Erfolg aller drei Aspekte hängt stark vom Wissen und Verhalten der Mitarbeiter ab. Technologien können nahezu wertlos sein, wenn die Mitarbeiter diese nicht oder nicht korrekt verwenden. Prozesse nutzen nur dann, wenn Mitarbeiter diese kennen, verstehen und anwenden. Dies gilt ebenso für organisatorische Regelungen.

Diese Erkenntnisse spiegeln sich auch in international anerkannten Standards wie dem ISO 27001 „Informationssicherheits-Managementsysteme“ wieder. Dort wird die „Umsetzung von Programmen für Schulung und Bewusstseinsbildung“ als relevanter Aspekt für eine erfolgreiche Zertifizierung gefordert. Daher ist es sinnvoll und notwendig, Mitarbeiter im Umgang mit Informationen umfassend zu schulen und sie über potentielle Gefahren für die Informationssicherheit bei ihrer täglichen Arbeit aufzuklären. Dies führt zu einem deutlich verbesserten Niveau der Informationssicherheit und einer höheren Effizienz von Ausgaben für die Informationssicherheit.

Methoden

Es gibt zahlreiche Kommunikationsmedien, um Mitarbeiter auf Informationssicherheitsaspekte aufmerksam zu machen. Sie reichen von Broschüren, Flyern, Aufstellern und Fachzeitschriften über E-Learning und Newsletter bis hin zu Vor-Ort-Schulungen. Es sollte stets darauf geachtet werden, nicht nur eine einzige Methode auszuwählen. Dafür gibt es zwei Gründe. Zum einen gibt es unter den Mitarbeitern verschiedene Lerntypen, die unterschiedliche Methoden bevorzugen, zum anderen wird durch die Kombination verschiedener Methoden ein höherer, bleibender Lernerfolg erzielt. In der Regel werden die Teilnehmer eines SecurityAwareness-Programms mehr oder weniger gleichmäßig auf die unterschiedlichen Lerntypen verteilt sein. Für Menschen, die lieber konkret und experimentierend lernen, sind abstrakte oder reflexive Methoden weniger gut geeignet. Dies gilt insbesondere für ein komplexes Thema wie die Informationssicherheit. Für eine effektive Wissensvermittlung ist es daher ratsam, möglichst viele der Modi zu kombinieren und für jeden Typ im Lernprogramm etwas bereit zu halten.

Lernziel Mensch

Die wichtigsten Erfolgsfaktoren für ein Security Awareness Programm sind die Unterstützung durch die Unternehmensleitung, sowie ein auf die Bedürfnisse der Mitarbeiter zugeschnittenes Programm. Ein solches Programm sollte für alle innerhalb des Unternehmens identifizierten Zielgruppen entsprechende Methoden beinhalten. Dies bedeutet, dass gleiche Lerninhalte für unterschiedliche Zielgruppen unterschiedlich aufbereitet werden, aber auch dass Lerninhalte von Gruppe zu Gruppe variieren können. Neben der zielgruppenorientierten Aufbereitung von Lerninhalten ist zudem die richtige Kommunikation der Lerninhalte wichtig. Hier sollte auf die unterschiedlichen Lerntypen eingegangen werden. So sollte eine Schulung nach Möglichkeit sowohl optische/visuelle, auditive, haptische und kognitive Elemente beinhalten.

Für die erfolgreiche Durchführung eines Security Awareness Konzeptes ist also neben den Inhalten dementsprechend besonderer Wert darauf zu legen, dass sich die Mitarbeiter verstanden und wertgeschätzt fühlen. Ziel ist, dass sich bei so vielen Mitarbeitern wie möglich eine dauerhafte Verhaltensänderung einstellt.

Welche Faktoren Sie bei der Implementierung von Security-Strategien beachten sollten, lesen Sie auf der nächsten Seite.

(ID:36043800)