Monitoring zur Datensicherheit in Österreich (DaMon)

Transkript

1 Monitoring zur Datensicherheit in Österreich (DaMon) Dr. Stefan Fenz (Technische Universität Wien) Univ. Prof. Dr. A Min Tjoa (Technische Universität Wien) Univ. Prof. Dr. Sylvia Kritzinger (Universität Wien) Gefördert/finanziert durch das Sicherheitsforschungs- Förderungsprogramm KIRAS des Bundesministeriums für Verkehr, Innovation und Technologie.

2 Konsortium Technische Universität Wien Institut für Softwaretechnik und interaktive Systeme Universität Wien Department of Methods in the Social Sciences Bedarfsträger Wirtschaftskammer Österreich, Bundessparte Information und Consulting Bundeskanzleramt Österreich 2

3 Motivation IT als elementarer Eckpfeiler der wirtschaftlichen und gesellschaftlichen Entwicklung Österreichs BürgerInnen, Unternehmen und Behörden sind gleichermaßen von der einwandfreien und sicheren Funktionalität der IT abhängig Hackerangriffe, Spam, Viren, Datenspionage, Datenlecks, etc. als ernsthafte Bedrohung für den Wirtschaftsstandort Österreich 3

4 Projektinhalte und Ziele Design einer Langzeitstudie um die Entwicklung und Veränderung der österreichweiten IT-Sicherheitslage erheben und die Auswirkungen von Maßnahmen analysieren zu können. Erfassung der Wahrnehmung und Bedeutung von Datensicherheit bei BürgerInnen, Behörden sowie in der betrieblichen Praxis österreichischer Unternehmen. Umfassende Analyse des Umgangs mit Datensicherheit in österreichischen Behörden und Unternehmen sowie eine Darstellung der Hintergründe, die zum Einsatz und zur Nutzung entsprechender Schutzmaßnahmen geführt haben. Erarbeitung eines Maßnahmenkatalogs zur Stärkung des nationalen IT- Sicherheitsniveaus. Formulierung von Schlussfolgerungen und Handlungsempfehlungen im Hinblick auf (wirtschafts-) politische Maßnahmen zur Unterstützung von Schutzmaßnahmen in der Bevölkerung und den Unternehmen/Behörden. 4

5 Studienaufbau 5

6 Methode I Qualitative Erhebung Drei BürgerInnen, vier Unternehmen, drei Behörden Persönliche Interviews mit offenen Fragen Quantitative Erhebung 809 BürgerInnen, 255 Unternehmen, 252 Behörden Telefonische Interviews, mit geschlossenen Fragen, 15 Minuten pro Interview Online Erhebung 415 Unternehmen, 3549 Studierende Online Fragebogen mit geschlossenen Fragen zu den Themen Webshopsicherheit (Unternehmen) und Soziale Netzwerke (Studierende) 6

7 Methode II Fallstudien in den Bereichen Awareness Training Software Patching Smartphone Security Entwicklung konkreter Handlungsanleitungen am Beispiel konkret umgesetzter Maßnahmen in österreichischen Unternehmen Lernen vom Branchenbesten 7

8 Kernaussagen I Es besteht ein sehr hohes IKT-Sicherheitsbewusstsein in österreichischen Behörden und Unternehmen (weniger als 5% bezeichnen das Thema als wenig oder gar nicht wichtig). Einschätzung der Wich6gkeit der internetbezogenen Datensicherheit (Unternehmen) Anteil in S6chprobe Sehr wich6g 80,8% Ziemlich wich6g 14,5% Wenig wich6g 3,5% Gar nicht wich6g 1,2% Gesamt (n) 255 Einschätzung der Wich6gkeit der internetbezogenen Datensicherheit (Behörden) Anteil in S6chprobe Sehr wich6g 85,7% Ziemlich wich6g 12,7% Wenig wich6g 1,6% Gar nicht wich6g 0,0% Gesamt (n) 252 8

9 Kernaussagen II Das Ausmaß und die Qualität der IKT-Sicherheitsmaßnahmen, die Verbreitung formaler Sicherheitsstrategien sowie existierender Krisennotfallpläne nehmen mit der MitarbeiterInnenanzahl der Unternehmen bzw. der organisatorischen Ebene der Behörden zu. Eine formale Datensicherheitsstrategie exis6ert Ja Nein Gesamt (n) Gesamte S6chprobe 43,9% 56,1% 255 MitarbeiterInnen im Unternehmen Organisatorische Ebene Nach Unternehmensmerkmalen Weniger als 5 19,7% 80,3% 71 5 bis 9 33,3% 66,7% bis 49 57,8% 42,2% bis ,4% 30,6% und mehr 75,0% 25,0% 8 Eine formale Datensicherheitsstrategie exis6ert Ja Nein Weiß nicht Gesamt (n) Gesamte S6chprobe 67,5% 31,3% 1,2% 252 Behördenmerkmale BM- Sek6on mit sicherheitspoli6schen Kompetenzen 87,5% 12,5%,0% 8 Andere BM- Sek6onen 78,6% 21,4%,0% 14 Andere Bundesbehörden (ohne ausgelagerte) 88,5% 11,5%,0% 26 Ausgelagerte Bundesins6tu6onen 86,1% 11,1% 2,8% 72 Bezirksämter, - hauptmannschazen 89,6% 10,4%,0% 48 Gemeinden 28,6% 70,2% 1,2% 84 9

10 Kernaussagen III Es besteht ein hohes IKT-Sicherheitsbewusstsein unter BürgerInnen, aber starke Unterschiede in den Altersklassen: niedrigeres Bewusstsein bei jüngeren und älteren BürgerInnen. Alter in fünf Kategorien Wich6gkeit des Themas 16 bis bis bis bis 60 Datensicherheit im Internet Jahre Jahre Jahre Jahre Ab 61 Jahre Sehr wich6g 46,9% 61,4% 75,0% 66,5% 63,4% Ziemlich wich6g 36,6% 29,7% 21,8% 26,2% 25,9% Wenig wich6g 12,4% 7,0% 3,2% 7,3% 8,9% Gar nicht wich6g 4,1% 1,9%,0%,0%,9% Weiß nicht,0%,0%,0%,0%,9% Gesamt (n)

11 Kernaussagen IV Das IKT-Sicherheitswissen bei BürgerInnen über 46 Jahren ist nur schwach ausgeprägt. Alter in fünf Kategorien Informiertheit über das Thema 16 bis bis bis bis 60 Datensicherheit im Internet Jahre Jahre Jahre Jahre Ab 61 Jahre Sehr gut 21,4% 19,0% 18,1% 9,2% 5,4% Gut 37,2% 34,8% 31,4% 20,4% 15,2% Mi]elmäßig 29,7% 31,0% 36,7% 40,8% 33,9% Wenig 9,0% 12,7% 11,2% 24,8% 40,2% Überhaupt nicht 2,1% 2,5% 2,7% 4,9% 5,4% Keine Angabe,7%,0%,0%,0%,0% Gesamt (n)

12 Kernaussagen V Trotz gutem Informationsstand über Online Gefahren treffen 18,6% der Befragten nur unzureichende Sicherheitsmaßnahmen. f9 Index dichotom Internetgefahren unterdurchschni]lich bekannt Internetgefahren überdurchschni]lich bekannt f6 Index dichotom Gesamt (n) Sicherheitsmaßnahmen unterdurchschni]lich 14,5% 18,6% 229 Sicherheitsmaßnahmen überdurchschni]lich 12,3% 54,6% 463 Gesamt (n)

13 Handlungsempfehlungen I Awareness Maßnahmen, Schaffung von Mindestsicherheitsstandards und Anreizsystemen zur verstärkten Bewusstseinsbildung sowie Erhöhung des Schutzniveaus in kleinen Unternehmen und Behörden sowie bei jüngeren und älteren BürgerInnen. Ausbau von Schulungen/Beratungsprogrammen sowie verstärkte Bewusstseinsbildung bei VermittlerInnen (Familie, FreundInnen, Bekannte) zur Erhöhung der IKT- Sicherheitskenntnisse bei älteren BürgerInnen. 13

14 Handlungsempfehlungen II Gezielte und zielgruppengerechte Bewusstseinsbildung mit Hilfe von Mobilfunkunternehmen, traditionellen Medien und Interessensvertretungen zur Verbesserung der Smartphone Security. Bereitstellung von auf die Branche und Unternehmens-/ Behördengröße abgestimmter Vorlagen für formale Sicherheitsstrategien und Krisennotfallpläne zur Verringerung der Implementierungskosten in kleinen und mittleren Behörden und Unternehmen. 14

15 Handlungsempfehlungen III Analyse, Restrukturierung und Konkretisierung IKTsicherheitsrelevanter Gesetze für eindeutige und gesetzlich verbindliche Mindestsicherheitsstandards. 15

16 Presse 16