Mitarbeiterschulung it Sicherheit

Dieses Modul beschreibt, wie ein wirksames Informationssicherheitsbewusstsein und Trainingsprogramm erstellt und gepflegt werden kann. Eine erfolgreiche und effiziente Umsetzung der Information Security innerhalb einer Einrichtung ist nur möglich, wenn alle Mitarbeiterinnen und Mitarbeiter anerkennen und akzeptieren, dass sie ein wichtiger und erforderlicher Erfolgsfaktor für die Einrichtung ist und die Bereitschaft haben, Sicherheitsmassnahmen wirksam zu fördern.

Dazu muss eine Kultur und ein Bewusstsein für Sicherheit entwickelt und erhalten werden. Die Mitarbeitenden müssen auf die relevanten Gefahren aufmerksam gemacht werden und wissen, wie sie ihre Einrichtung beeinflussen können. Je mehr sie darüber wissen, umso wahrscheinlicher ist es, dass sie geeignete Sicherheitsvorkehrungen treffen. Sie müssen sich vor allem bewusst sein, was von ihnen in Bezug auf die Sicherheit von Informationen verlangt wird und wie sie in sicherheitsrelevanten Fällen handeln sollten.

Sensibilisierungs- und Trainingsmaßnahmen sind ebenso notwendig, um den Mitarbeitenden das notwendige Wissen zu vermitteln. 2. Mit der Bewusstseinsbildung für das Thema Information Security soll das Bewusstsein der Mitarbeitenden für die sicherheitskritischen Sachverhalte und deren Folgen geschärft werden. Im Rahmen von Informationssicherheitstrainings sollen die Mitarbeitenden die nötigen Fähigkeiten und Fertigkeiten für ein sicherheitsgerechtes Handeln erlernen. Entsprechende Informationsschutzmaßnahmen sollten von allen Beschäftigten als natürlicher Bestandteil ihrer Arbeitswelt internalisiert werden.

Deshalb muss die Einrichtung ein integriertes Sensibilisierungs- und Ausbildungsprogramm für den Bereich der Informationstechnologie entwickeln und einführen. Sie sollte mit der Rekrutierung von Mitarbeitenden anfangen, verschiedene Gruppen mit ihren Kompetenzen, Arbeitsprozessen und erforderlichen Mitteln in Betracht ziehen und die Mitarbeitenden auch bei Veränderungen ihrer Tätigkeiten oder Planstellen miteinbeziehen. Eine Sensibilisierungs- und Schulungsmaßnahme sollte auf die Einrichtung abgestimmt sein und deren bestehende Unternehmenskultur (siehe dazu Abschnitt 3.83 Untersuchung sicherheitsrelevanter Personalfaktoren) sowie das erforderliche Maß an Sicherheit einbeziehen.

Für den Sicherheitsprozeß ist es sehr bedeutsam, daß er vom Vorstand tatkräftig begleitet wird. Zu diesem Zweck muss sie den Stellenwert der Datensicherheit für die Zielsetzungen der Einrichtung anerkannt und internalisiert haben (siehe dazu die Ausführungen in Abschnitt 3.44 sensibilisierende Verwaltung für die Datensicherheit). In Aktion M3 wird beschrieben, wie das Führungspersonal den ganzen Lebensweg eines Sensibilisierungs- und Trainingsprogramms effektiv begleiten kann. 96 Managementunterstützung für Sensibilisierungs- und Trainingsmaßnahmen.

Entsprechende Massnahmen sind in den Massnahmen M1. 312 Gestaltung eines Ausbildungs- und Sensibilisierungsprogrammes zur Informationssicherung und M2. 557 Gestaltung eines Ausbildungsprogramms zur Informationssicherung dargestellt. Zur Vorbereitung und Durchführung von Sensibilisierungs- und Trainingsmaßnahmen ist eigenes oder fremdes Fachpersonal erforderlich (siehe dazu auch M3. 48 Wahl von Ausbildern bzw. externer Trainingsanbieter).

Dabei werden die Mitarbeitenden den zuvor festgelegten Gruppen zugewiesen und für bestimmte Gruppen passende Schulungsinhalte zur Sensibilisierung und Schulung gewählt (siehe M3. 45 Schulungsinhalte zur Informationssicherung planen). Es müssen auch Massnahmen ergriffen werden, um die Mitarbeitenden für sicherheitsrelevante Fragen zu sensibilisieren (siehe M3. 46 Kontakte für sicherheitsrelevante Fragen).

Zudem werden verschiedene Mittel für Sensibilisierungs- und Trainingsmaßnahmen gebraucht, wie z.B. Personen, entsprechende Räume oder spezielle Geräte. Spezielle sicherheitstechnische Aspekte, die bei der Planung von Trainingsräumen zu berücksichtigen sind, können dem Modul B entnommen werden. 11 Besprechungs-, Veranstaltungs- und Trainingsräume. Die richtige Methode und die richtige Medientechnik müssen für einen erfolgreichen Unterricht verwendet werden (siehe dazu auch: M1. 198 Bewusstseinsbildung der Beschäftigten für die Sicherheit von Informationen und M3. 47 Umsetzung von Unternehmensspielen zur Informationssicherheit).

Einen weiteren wichtigen Teil der Ausbildung zur Information Security bildet der Einsatz von Informationstechnologie (siehe M3. 26 Schulung des Personal im Bereich des gefahrlosen Umgangs mit IT und anderen themenspezifischen Maßnahmen). Gerade bei der Einführung neuer Technologien sollten die Beschäftigten rechtzeitig darüber aufgeklärt und auf mögliche Gefahren und Sicherheitsvorkehrungen aufmerksam gemacht werden.

Zur Verbesserung der Vermittlung von Lehrinhalten können Verfahren zur Sicherung von Lernmaterial verwendet werden (siehe M3. 95 Sicherung von Lernmaterial). Es sollte auch regelmässig geprüft werden, ob die Sensibilisierungs- und Trainingsmassnahmen Erfolg haben (siehe dazu M1.94 Messen und Bewerten des Lernerfolgs). Das Maßnahmenpaket im Rahmen von "Awareness und Training zur Informationssicherheit" wird im Folgenden dargestellt.