It Sicherheit Mitarbeiter

Dazu müssen die Mitarbeiter glaubhaft und verständlich dargelegt werden, warum und inwieweit Information Security für die Einrichtung, aber vor allem auch für ihren Arbeitsort von Bedeutung ist. Er muss die Gefahren und Folgen von sicherheitsrelevanten Vorfällen sowie die notwendigen Massnahmen und die entsprechenden Vorschriften in den sicherheitsrelevanten Dokumenten beherrschen (siehe dazu 3. 93 Zielgruppenanalyse für Sensibilisierungs- und Trainingsprogramme).

Die folgenden Punkte sollten gelehrt werden: Grundlegende Prinzipien der Datensicherheit, Übersicht über die zu schützenden Daten, Risiken und Massnahmen der Datensicherheit, mit und ohne IT-Nutzung, inhaltliche Vorgaben der Richtlinie für die Datensicherheit des Instituts, Zielsetzung und inhaltliche Ausgestaltung des Sicherheitskonzepts, Aufgabenstellung, Ziele und Wert der Institution: Der Wertbegriff beinhaltet sowohl Vermögensgegenstände (z.B. Information, Produktionseinrichtungen, Mitarbeiter, Spezialwissen) als auch ideale Wertmaßstäbe (z.B. Philosophie, Verhaltenskodex).

Sie sollten mit Hilfe von exemplarischen Erkenntnissen vertieft werden und sich so nah wie möglich an das Arbeitsklima der Mitarbeiter anpassen. Bei den hier aufgeführten Punkten handelt es sich nur um eine Auszug. Bewusstseinsbildungsmaßnahmen sollten immer an die jeweiligen Umstände der Einrichtung angepaßt werden. Ein kontinuierlicher Lernprozess ist notwendig, um das Bewußtsein für die Informationssicherheit effektiv zu stärken und etablierte Verhaltensmuster permanent zu verändern.

Sinnvoll sind fortlaufende Maßnahmen zur Bewusstseinsbildung, die an das Arbeitsklima und die Zielgruppen angepasst werden müssen. Damit die Mitarbeiter für das Thema Information Security sensibilisiert werden können, müssen sie immer wieder auf unterschiedliche Weise und auf unterschiedliche Weise anspricht werden. Zu diesem Zweck können sowohl bereits in der Einrichtung vorhandene als auch neue geschaffene Platformen verwendet werden. Ansprechende Werbemittel und Kampagnen können ebenfalls zur Bewusstseinsbildung beizutragen.

Dazu zählen gezielte Botschaften und Parolen zur Datensicherheit. Um sie lange Zeit im Sichtfeld des Mitarbeiters zu halten, können z. B. auf Kalandern oder Kaffeebechern kleine Hinweise auf die Datensicherheit angebracht werden. So gibt es z. B. Plakate zu Themen der Informationssicherheit von verschiedenen Anbietern von Security-Produkten und Werbemitteln. Bemerkungen zur Datensicherheit sollten möglichst simpel und denkwürdig sein und können je nach Unternehmenskultur unterhaltsam sein, z.B. "Die Sicherheit ist null und nichtig, wenn man das Kennwort nicht so ernst nimmt" oder "Verzicht auf den Postversand, der Content ist sehr explosiv!

"Die folgenden Materialien eignen sich beispielsweise zur Übermittlung von Informationssicherheitsthemen. Veröffentlichung von Beiträgen in Mitarbeitermagazinen über aktuelle Gefahrensituationen, über sicherheitsrelevante Vorfälle (wenn keine Nachahmungsgefahr besteht), über die Darstellung von Schutzmaßnahmen, etc. Zusätzlich stehen auch partizipative Sensibilisierungsformen wie z. B. Werkstätten und Rollspiele (siehe Anmerkung 3. 47 Implementierung von Informationssicherheitssimulationsspielen) zur Verfügung.

Beim Sensibilisieren der Mitarbeiter sollte berücksichtigt werden, welche Mittel und Kommunikationsformen für die Einrichtung angemessen sind und als annehmbare Kommunikationskanäle gelten. Sensibilisierungsaktivitäten zur Informationssicherheit können auch durch Trainingsprogramme gefördert werden. Ausführliche Angaben zu den Trainingskursen sind in M1. 557 Konzept eines Trainingsprogramms zur Informationssicherheit dargestellt.

Es muss ein langfristig angelegter Lern- und Weiterbildungsprozess etabliert werden, damit alle Mitarbeiter ein Verständnis für das Thema Datensicherheit entwickelt haben. Es gilt, eine weitere vertiefte Thematik rund um die Informationstechnologie zu erarbeiten und auf dem neuesten technischen Wissensstand zu halten sowie permanent vorzuhalten. Inhalt und Mittel sollten so koordiniert sein, dass sie die Mitarbeiter mit der Datensicherheit bekannt machen und ihnen den notwendigen Hintergrund und die jeweiligen Rahmenbedingungen bieten.

Im Folgenden werden vier Themenbereiche (Sensibilisierung, Ausbildung, Stärkung und Förderung) einer Sensibilisierungskampagne erläutert. Auf dem Gebiet der Bewusstseinsbildung werden den Bediensteten Hintergrund-Informationen zur Verfügung gestellt, um zu erfahren, warum sich das Institut für die Festlegung bestimmter Sicherheitsziele entschlossen hat, welche derzeitigen Bedrohungen bestehen, wie sie sich auf das Institut auswirkt und was dies für das Personal bedeutet.

Mit diesen Hintergründen sollen die Mitarbeiter sowohl für das Themengebiet als auch für die Trainings maßnahmen begeistert werden. Die Abteilung Training hilft dem Mitarbeiter, den Anforderungen des Sicherheitskonzeptes gerecht zu werden und damit Risiken für die Datensicherheit zu vermeiden. Die jeweiligen zielgruppenspezifischen Trainingsbedürfnisse werden aus dem Security-Konzept und einer anschließenden zielgruppenanalytischen Betrachtung abgeleitet (siehe dazu Anmerkung 3. 93 Analysen von Zielgruppen für Sensibilisierungs- und Trainingsprogramme).

Ziel ist es, im Verstärkungsbereich sicherzustellen, dass die Einlernkurve nach Durchführung der Trainings so lange wie möglich auf hohem Level bleibt und die Mitarbeiter das Themengebiet Information Security permanent im Blick haben (siehe dazu Anmerkung 3. 95 Lernmaterialsicherung). Mit Beiträgen in z.B. Kongressen, Fachmedien oder Arbeitsgruppen zu den ergriffenen sensibilisierenden Maßnahmen kann der Einrichtung und ihren Mitarbeiterinnen und Mitarbeiter geholfen werden, ein positives Sicherheitsbild zu erreichen und einen wichtigen Impuls zur Bewusstseinsbildung zu erteilen.

Pressebeispiele Öffentlichkeitsarbeit: Mitarbeiterzeitschriften, Branchenzeitschriften, Pressemitteilungen, Tagungsbeiträge, Arbeitsgruppen, etc. Auditfragen: Ist gewährleistet, dass die Mitarbeiter fortlaufend und hinreichend für die Themenbereichssicherheit sensibilisiert und ausgebildet werden?