Gedanken zur Informationssicherheit und zum Datenschutz

Transkript

1 Gedanken zur Informationssicherheit und zum Datenschutz Lesen Sie die fünf folgenden Szenarien und spielen Sie diese im Geiste einmal für Ihr Unternehmen durch: Fragen Sie einen beliebigen Mitarbeiter, warum er morgens sein Passwort eingibt, so bekommen Sie sicherlich eine der folgenden Antworten: Weil das System mich dazu zwingt... ; Man hat mir gesagt, dass ich es eingeben muss ; Wegen der Sicherheit...? Haben Ihre Mitarbeiter das richtige Wissen über Informationssicherheit? Sind Sie ausreichend sensibilisiert? Schulungen und Awareness -Kampagnen sind wichtig, sollten aber nicht damit aufhören, wie man s mit Viren erkennt oder wie man ein sicheres Passwort generiert. Das Verständnis der Mitarbeiter, dass jeder einzelne ein wichtiger Bestandteil für den Schutz von Informationen ist, hat eine enorme Bedeutung. Sie sollten aber auch die Hintergründe und Zusammenhänge verstehen. Teilen Sie Ihre Mitarbeiter in vier oder fünf Gruppen auf, je nach Vorkenntnissen und benötigtem Fachwissen (z.b. Reisen, Vertrieb, Personaldaten) und erarbeiten Sie heterogene Kampagnen für verschiedene Lerntypen, über die nächsten drei Jahre. Ihr erster Schritt: Sie haben mit Ihren direkten Mitarbeitern einen Workshop durchgeführt, wie man die Informationssicherheit am eigenen Arbeitsplatz erhöht.

2 Überlegen Sie, wie viele Administratoren Sie haben. Ist es eine Handvoll? Ist es denkbar, dass zwei gleichzeitig Urlaub haben und die anderen plötzlich krank sind (einer hat die Grippe, der Zweite hat sich am Wochenende beim Sport verletzt und der Dritte hat eine andere Krankheit)? Business Continuity Management oder Notfall Management hat nicht nur mit Brand, Erdbeben und Pandemie zu tun. Oft finden sich Szenarien, die viel wahrscheinlicher sind, wie wir alle am Beispiel Mainzer Stellwerk gelernt haben. Sind Sie auf diese Szenarien vorbereitet? Wissen Sie heute, wie Sie angemessen und schnell reagieren? Verfügen Sie in einer solchen Situation über das notwendige Wissen und die Passwörter, damit Sicherungen weiter laufen, Anwender angelegt oder geändert werden können oder auch nur ein Druckerdienst durchgestartet werden kann? Denken Sie darüber nach, bevor der Ernstfall eintritt und nicht erst, wenn es zu spät ist und teuer werden kann. Ihr erster Schritt: Sie haben ein vollständiges, aktuelles Verzeichnis aller administrativer Tätigkeiten, der notwendigen Berechtigungen und der zuständigen Administratoren.

3 Gehen Sie in den Serverraum. Wenn Sie einen beliebigen Rechner aus dem Serverschrank ziehen, wie lange dauert es, bis dieser vollständig ersetzt ist? Und wissen alle Beteiligten genau was zu tun ist? Dass Back-up Strategien ohne entsprechende Recovery-Tests nicht vollständig sind, hat sich inzwischen herumgesprochen. Haben Sie aber auch entsprechende Liefervereinbarungen mit Ihren Zulieferern oder haben Sie wichtige Hardware noch einmal redundant vorrätig? Weiß Ihre IT genau, wie zu reagieren ist und kennt Sie alle Abhängigkeiten und Wiederanlaufzeiten? Erarbeiten Sie sich genaue Kenntnisse über die maximalen Schadenspotentiale bei Verlust jedes Servers und reden Sie mit Ihren Zulieferern über Verfügbarkeit und Alternativszenarien. Ihr erster Schritt: Sie haben maximale Ausfallzeiten für jeden Server festgelegt, die auf einer Analyse des Schadenspotentials für ihre Geschäftsprozesse basieren.

4 Ein Kunde ruft an. Sie können ihm innerhalb von zehn Minuten eine vollständige Auflistung aller Daten zusenden, die Sie von ihm gespeichert haben. Das Bundesdatenschutzgesetz verlangt von Ihnen natürlich nicht, dass Sie innerhalb von zehn Minuten den Betroffenen Auskunft erteilen. Aber wenn Sie für das Zusammentragen von Daten, deren Herkunft und Zweck länger als zehn Minuten benötigen: Sind Sie wirklich gut aufgestellt und vorbereitet, wenn Anfragen auf Sie zu kommen? Verfahrensverzeichnisse, klare Kenntnisse über Speicherorte sowie Regelungen über die Nutzung, Speicherung und Löschung von Daten durch Ihre Mitarbeiter sollten Sie jetzt angehen und die Bedienung einer Auskunftsanfrage von Anfang an berücksichtigen. Ihr erster Schritt: Alle Dateien und Datenbanken, die personenbezogene Daten beinhalten, sind in einer aktuellen und vollständigen Liste verzeichnet.

5 Wenn Ihr Auto aufgebrochen und Handy und Notebook entwendet wurde, welcher Schaden kann nun Ihrem Unternehmen entstehen? Nur die Kosten für den Ersatz der Geräte? Oder hat der Dieb auch Kundendaten oder Vertragsdetails, gar Interna über Produkte und Entwicklungen erbeutet? Und könnte man aus den Informationen, die entwendet wurden, schließen, wer am meisten für diese Informationen zahlen würde? Moderne Mobile Device Management Systeme können Ihre mobilen Geräte orten und kritische Informationen darauf aus der Ferne löschen. Eine wirklich hundertprozentige Sicherheit bieten diese nicht. Wurden die Geräte verschlüsselt und wurde ein sicherer Schlüssel verwendet? Wissen Sie und Ihre Mitarbeiter an wen sie sich in einem solchen Fall wenden können? Und umfassen Ihre Sicherheitsanweisungen auch alle Vorkehrungen, die nun sofort in Ihrem Netzwerk ergriffen werden müssen, damit die gestohlenen Geräte nicht mehr auf weitere Informationen zugreifen können? Erfassen Sie genau, welche mobilen Geräte Sie haben und welche Informationen darauf gespeichert oder welche Zugriffe damit erlaubt sind. Regeln Sie genau, wie damit umzugehen ist, wer bei Verlust informiert wird und was getan werden muss. Ihr erster Schritt: Sie haben sich vergewissert, dass Sie mobile Endgeräte aus der Ferne löschen können und dies wurde mindestens einmal erfolgreich getestet.

6 Weitere Gedanken und Anregungen zum Datenschutz und zur Informationssicherheit erhalten Sie auf unserer Homepage oder schreiben Sie uns via Besuchen Sie uns. Mit Sicherheit zum Erfolg!