Security Awareness ja, aber wie?

Transkript

1 Security Awareness ja, aber wie? 9. Security Forum Fachhochschule Brandenburg Peter Mnich VICCON GmbH

2 Topics

3 Security Awareness Falls Sie glauben, dass Technologie Ihre Sicherheitsprobleme lösen kann, verstehen Sie die Probleme nicht, und Sie haben von Technologie keine Ahnung. aus Bruce Schneier Secrets & Lies IT-Sicherheit in einer vernetzten Welt (dpunkt.verlag, 2001)

4 Firewall n Wie erreicht man die menschliche Firewall?

5 Verhaltensanpassung/-änderung n Zu erreichen über ð Angemessene, sinnvolle Vorgaben ð Ausbildung der Zielgruppe (Education) ð Sensibilisierung der Zielgruppe (Bewußtseinsbildung, Awareness) ð Herstellung der Akzeptanz des neuen Verhaltens (Persönliche Ansprache) ð Umsetzungskontrolle und Verbesserung

6 Verhaltensanpassung/-änderung Richtiges Verhalten Falsches Verhalten Education Education + Awareness Education + Awareness + Individuelle Betreuung Sicherheitskultur Überwiegend Dauerhaft, Zweite Natur

7 Security Awareness Programm Planung eines Security Awareness Programms

8 Motivation

9 Umsetzung Zieldefinition Stuart Methodik Maßnahmen Controlling/ Monitoring

10 Zieldefinition n Unternehmenspositionierung ð Als Teil einer Sicherheitsstrategie ð Als Teil des Qualitätsmanagements ð Als Teil einer Image-Kampagne n Bewußtsein schaffen ð Awareness Campaign/Building ð Breite plakative Effekte n Verhaltensänderung bewirken ð Corporate Culture ð Veränderungsprozesse anstoßen Effektivität/Kosten

11 Verhaltensänderung n Voraussetzung ð Emotionale Wahrnehmung: Sicherheit ist positiv ð Erkennen des direkten Nutzen: Sicherheit bringt persönlichen Vorteil ð Einsicht und Verantwortung: Sicherheit nutzt dem Team oder dem Unternehmen Sicherheit bringt einen Wettbewerbsvorteil oder ist Erfolgsfaktor mrpuen@freedigitalphotos.net1 Master isolated images@freedigitalphotos.net

12 Ergänzende Ziele n Informieren über Bedrohung, Verhalten und Ansprechpartner n Erhöhung der Motivation, die Prozesse zu sichern und z.b. Informationen zu schützen n Entwicklung der Fähigkeiten und Möglichkeiten zum richtigen Verhalten bei Zutritt und Zugriff, Informationsschutz am Arbeitsplatz n Schulung des allgemeinen Umgangs mit Informationen und Daten n Schulung von individuell benötigtem Wissen, z.b. Verhalten gegenüber unbekannten Personen, Eigensicherung, Verhalten bei Informationsgewinnung durch unbekannte Dritte usw. jscreationzs@freedigitalphotos.net

13 Methodik n Problemanalyse ð Assessment/Interview n Zielgruppenunterscheidung ð Gesamtes Unternehmen ð Management ð Führungskräfte, Bereichsverantwortliche ð Mitarbeiter, insbesondere in kritischen Bereichen ð Externe sheelamohan@freedigitalphotos.net

14 Methodik n Zielgruppengerechte Ansprache ð Region (Sprache) ð Ort (Kantine usw.) ð Erwartungsebene (Verständlichkeit) n Definition der Themenbereiche ð Basics ð Spezielle Themen Informations-/Datenschutz Rechtssicherheit Eigensicherung n Definition der Politik/des Mottos

15 Methodik n Entwicklung von geeigneten Maßnahmen und Aktionen ð Motto ð Information Security Policy rit.edu ð Aktionstag ( Hackertag ) ð Schulung, Workshop ð Newsletter, Hauszeitschrift ð Kalender, Kuli, Notizblock ð Bildschirmschoner ð Aufsteller, Poster snapcomm.com renjith krishnan@freedigitalphotos.net Happy Hacking Day! KROMKRATHOG@FreeDigitalPhotos.net pat138241@freedigitalphotos.net Stuart Miles@FreeDigitalPhotos.net Stuart Miles@FreeDigitalPhotos.net

16 Sensibilisierungsaktionen n Beispiele für Sensibilisierungsaktionen ð Kick-Off-Veranstaltung mit Unternehmensleitung ð Security-Theater ð Mitarbeiterquiz mit Gewinnmöglichkeit ð Umbenennung Gerichte in Kantine (z.b. Hackersteak) ð Einbeziehung des Werkschutzes in Qualitätssicherung (Clean Desk)

17 Erkenntnisse / Impulse n Wie schaffe ich für unterschiedliche Personen, Themen und Kulturen Betroffenheit? n Erleben und Erfahren elementar n Über die Wahrnehmung hin zu gelassener Achtsamkeit und dem Handeln ð Awareness Intelligence ð Resilience Engineering n Fehlermanagementsysteme n Antifragilität n Messung und Nachhaltigkeit