SECURITY AWARENESS SCHOKOLADE FÜRS PASSWORT SÜSSES MIT BITTEREM NACHGESCHMACK

Transkript

1 SMART COMPLIANCE TRAINING SECURITY AWARENESS SCHOKOLADE FÜRS PASSWORT SÜSSES MIT BITTEREM NACHGESCHMACK E-SEC ISS GMBH Kathrin Prantner, GF & Co-Founder

2 E-SEC INFORMATION SECURITY SOLUTIONS GMBH Spin-Off Universität Innsbruck Gegründet 2005 Hauptsitz in Innsbruck / Tirol / Österreich Security Awareness Software, Security Awareness Kampagnen FIRMENVORSTELLUNG Seite

3 DER VORTRAGSTITEL Schokolade für s Passwort - Süßes mit Bitterem Nachgeschmack Tatsachenbericht aus England - Personen gaben Passwort für eine Tafel Schokolade preis: 71 Prozent von 172 befragten Personen Eigentliche Gefahr: Aus Sicht der Mitarbeiter ist dies eine positive Message! Security Awareness muss aus Sicht der Mitarbeiter getrieben werden! Seite

4 SECURITY AWARENESS AM ARBEITSPLATZ 8:00 UHR: Brigitte sucht nach Ihrer Keycard und betritt das Unternehmen. Kennt Brigitte die Richtlinien zu den Zutrittssystemen? Weiß Brigitte wie Sie sich bei Diebstahl oder Verlust der Keycard verhalten soll? Weiß Brigitte wie die Weitergabe der Keycard geregelt ist? 8:12 UHR: Birgitte meldet sich am PC an und beginnt, ihre s zu beantworten. Verwendet Brigitte das Passwort für mehrere Anwendungen? Etwa auch für private Anwendungen? Hat Brigitte ein sicheres Passwort laut Passwort-Policy gewählt? Wann haben Sie das Kennwort das letzte Mal gewechselt? 8:32 UHR: Brigitte nimmt sich einen Kundenakte und beginnt zu arbeiten Warum liegt die Kundenakte auf ihrem Schreibtisch? Kennt Brigitte die Clear Desk Policy? Wäre der Aktenschrank mit den Kundenakten verschlossen gewesen? 9:27 UHR: Brigitte versendet ein Angebot per Fax mittels der Kurzwahltaste. Findet Brigitte etwas noch das Originaldokument, das Sie gestern gefaxt hat? Hat Brigitte in der Eile die richtige Taste erwischt?

5 SECURITY AWARENESS AM ARBEITSPLATZ 11:27 UHR: Brigitte macht sich auf den Weg in den Besprechungsraum, wo in 3 Minuten ein Meeting mit dem Chef stattfindet. 11:28 UHR: Ihr Kollege Hubert kommt in ihr Büro, sieht dass Brigitte wahrscheinlich bereits im Besprechungsraum ist und folgt ihr um noch schnell ein Feedback von ihr einzuholen. Warum weiß Hubert das Brigitte eine Besprechung hat? War der Bildschirm etwa nicht gesperrt? Kann Hubert im Besprechungsraum vertrauliche Daten erspähen, die nicht für ihn gedacht sind? 13:05 UHR: Bei der Rückkehr vom Mittagessen wartet schon ein Kunde auf Brigitte in ihrem Büro. Warum sitzt der Kunde schon allein in ihrem Büro? Wer hat ihn hereingelassen? Trägt der Kunde einen Besucherausweis? 16:55 UHR: Feierabend! Den Schlüssel legt Brigitte wie jeden Tag in die Schublade. Wo verstecken Sie ihre Schlüssel? 17:00 UHR: Brigitte verlässt das Unternehmen durch den Nebeneingang und lässt den freundlichen Handwerker herein, der vor der Tür wartet. Hat der Handwerker einen Auftrag, im Unternehmen zu arbeiten? Wen hat Brigitte in der Vergangenheit bereits bei der Hintertür hereingelassen? Wieviele Personen hat Brigitte in der Vergangenheit bereits bei der Hintertür hereingelassen?

6 WAS IST SECURITY AWARENESS? Security Awareness im beruflichen Arbeitsalltag = Daten und Informationen jeglicher Art zu schützen! Daten und Informationen jeglicher Art: Am PC, Arbeitsplatz Auf mobilen Datenträgern Dokumente in Schriftform Mündliche Informationen Know-How Seite

7 FAKTEN SECURITY AWARENESS Security Awareness = Sensibilisierung der Mitarbeiter bezüglich dem Umgang mit Daten und Informationen Risikofaktor Mensch: Mehr als 80% der Sicherheitsvorfälle resultieren aus dem Fehlverhalten der Mitarbeiter Grund: Mitarbeiter sind meist unwissentlich die häufigste Schwachstelle Betroffen sind: alle Unternehmen, in welchen Daten und Informationen ver- bzw. bearbeitet werden FAKTEN & HINTERGRUND Seite

8 IT-SICHERHEITSSTRATEGIE Wo ist Security Awareness angesiedelt: Bislang: Freiwillige Maßnahme Zukunft: in der IT-Sicherheitsstrategie IT-Sicherheit Seite

9 SECURITY AWARENESS KAMPAGNE Kampagnen können unterschiedlich aufgebaut sein. Vor Planung einer Kampagne sollten die Art sowie das zu erreichende Ziel festgelegt sein. Es ist sinnvoll die Kampagne auf die aktuellen Gegebenheiten des Unternehmens anzupassen bzw. auf die Mitarbeiter, die Unternehmensphilosophie und das Unternehmensklima einzugehen. Security Awareness allgemein Gezielte Themenvermittlung, Problembekämpfung Lustiger Aufbau Ernster, reeller Aufbau Langfristige und begleitende Kampagne Punktuelle Kampagnen, Produktbegleitend Seite

10 4 PHASEN EINER SECURITY AWARENESS KAMPAGNE 4 PHASEN KAMPAGNE 1. Kommunikation 2. Wissensvermittlung 3. Dokumentierte Nachhaltigkeit 4. Öffentlichkeitsarbeit Seite

11 PHASE 1: KOMMUNIKATION Seite

12 PHASE 1: KOMMUNIKATION In der ersten Phase muss der Sinn der Informationssicherheit an die Mitarbeiter kommuniziert werden. Bei Bestehen von Sicherheitsrichtlinien sollte auf diese aufmerksam gemacht werden. Beispiele für erfolgreiche Kommunikation des Themas in Phase 1: - Flyer, Give-aways - Aussendungen, Intranet - Vorstandsschreiben - Posterkampagne (Comics, Botschaften, etc.) WICHTIG: Einbinden des Betriebsrats bzw. von Personalvertretern schon in der Phase 1. Seite

13 PHASE 1: KOMMUNIKATION - Beispiele Mit einzelnen Maßnahmen und der Art der Aufbereitung kann man unterschiedliche Ziele verfolgen: Interesse wecken, Wissen vermitteln, themenspezifische Problembehandlung, allgemeine Sensibilisierung, etc. Poster Screensaver Broschüren Comic Seite

14 PHASE 2: WISSENSVERMITTLUNG Seite

15 PHASE 2: WISSENSVERMITTLUNG In der zweiten Phase wird den Mitarbeitern Wissen und Verhaltensweisen zur Informationssicherheit vermittelt. Die Mitarbeiter sollen im Laufe dieser Phase ihre Einstellung zur Informationssicherheit positiv verändern und ihr individuelles Verhalten ändern. Ziele: Nachhaltige Wissensvermittlung Bewusstseinsbildung Positives Image der Informationssicherheit Dokumentation der Schulungen aus rechtlichen Gründen Seite

16 PHASE 2: WISSENSVERMITTLUNG Für den Erfolg der Wissensvermittlung ausschlaggebend ist die gewählte Methode. Folgende Grafik zeigt die deutlichen Unterschiede: Seite

17 WICHTIGE FAKTOREN DER WISSENSVERMITTUNG Für eine effiziente und erfolgreiche Wissensvermittlung müssen folgende Faktoren berücksichtigt werden: Unternehmensbezogen: Analyse der Zielgruppen (z.b. Mitarbeiterrollen) Unternehmenskultur, Unternehmensklima Bestehende Sicherheitsrichtlinien Mitarbeiterbezogen: Lerntypen Lerngeschwindigkeit Wissensstand Generationen Standorte interkulturelle Unterschiede Seite

18 PHASE 2: WISSENSVERMITTLUNG - Beispiele Schulungsveranstaltungen, persönliche Trainings Für alle Mitarbeiter, Schlüsselpersonal, Abteilungen, Standorte, etc. Interner oder externer Referent/Trainer Mitarbeitergespräche. Ausgabe von Schulungsmaterialien Sicherheitsrichtlinien Handbücher, Lehrbücher Videos, Lernpräsentation.. Digitale Lösung WBT, Schulungssoftware Intranet Online-Trainings.. Seite

19 PHASE 3: NACHHALTIGKEIT GENERIEREN Seite

20 PHASE 3: NACHHALTIGKEIT GENERIEREN Im Rahmen der dritten Phase wird eine dauerhafte Veränderung der Einstellung und Verhaltensweisen der Mitarbeiter angestrebt. Ziele: Kontinuierliche Auseinandersetzung mit dem Thema Dokumentierter Fortschritt des Sicherheitsbewusstseinslevels Nachweisbarkeit des Erfolgs der Maßnahmen Seite

21 PHASE 3: NACHHALTIGKEIT GENERIEREN - Beispiele Ziel: Laufenden Prozess Security Awareness generieren Gewährleistung der Sicherheit im Betrieb Security Awareness Messung (kontinuierlich) Schulungsnachweis (Gesetze, Standards, Zertifizierung, etc.) Zertifikatsausstellung für die erfolgreiche Security Awareness Schulung Motivation der Mitarbeiter halten Weitere Maßnahmen parallel betreiben: Posterkampagne fortsetzen Schwerpunktsetzung in der Security Awareness Software Belohnungssystem, Gewinnspiel Regelmäßige Newsletter Seite

22 PHASE 4: ÖFFENTLICHKEITSARBEIT Seite

23 In Phase 4 werden die Erfolge der Awarenesskampagne der Öffentlichkeit, Kunden und Partnern vermittelt. Ziele: Vermitteln eines positiven Vertrauensimages an die Kunden/Partner/Öffentlichkeit Beispiele: Pressemitteilung Kundenmitteilung Kundenzeitschrift Seite

24 REFERENZBEISPIEL SECURITY AWARENESS KAMPAGNE 1. SENSIBILISIERUNG mittels Kampagne Poster und virtuelles Comicbook im Intranet Bekanntmachung Sicherheitsrichtlinie und vermitteln der wichtigsten Punkte daraus 2. WISSENSVERMITTLUNG mittels WBT Einsatz der rollenbasierten und auf die Sicherheitsrichtlinien abgestimmten Software (WBT-Training) Kommunikation der Software und Aufforderung zum Training Jeder Mitarbeiter erhält ein Zertifikat 3. NACHHALTIGKEIT UND MESSUNG Automatische Messung der Security Awareness mit Hilfe WBT-Training Fortsetzung der Comic-Kampagne und Einsatz neuer Medien (Screensaver, physisches Comicbook mit den wichtigsten Regeln, ) 4. ÖFFENTLICHKEITSARBEIT Offensive Kommunikation an Endkunden, Partnerfirmen, Konkurrenten Falls gewünscht Präsentation bei wichtigen Kunden und Geschäftspartnern Seite

25 ERFOLGSFAKTOREN EINER SECURITY AWARENESS KAMPAGNE 1. Ziele definieren 2. Unternehmensstruktur analysieren Zielgruppe Standorte örtliche und interkulturelle Unterschiede aktuelle Awareness, aktueller Wissenstand bereits umgesetzte Maßnahmen bestehende Richtlinien definierte Verantwortlichkeiten Etc. 3. Sicherheitskultur/Unternehmenskultur berücksichtigen 4. Unterstützung anderer Abteilungen (Marketing, HR) 5. Budget erörtern 6. Datenschutzanforderungen berücksichtigen 7. Nachhaltigkeit garantieren 8. Messung/Überprüfung 9. Motivation für die Mitarbeiter schaffen 10.. Seite

26 FAZIT Wenn wundert es, dass Mitarbeiter ihr Passwort für eine Tafel Schokolade preisgeben, wenn Sie nicht über die Konsequenzen informiert sind? Seite

27 KONTAKTDATEN E-SEC Information Security Solutions GmbH A-6020 Innsbruck Competence Center Innsbruck Grabenweg 3 Kathrin Prantner Tel.: sales@e-sec.at Seite