Layer 8 oder: Faktor Mensch

Transkript

1 Layer 8 oder: Faktor Mensch Der Mitarbeiter als wichtige Säule im Management von Sicherheit und Datenschutz Tim Hoffmann IT-Sicherheitstag NRW Mönchengladbach

2 Referent Tim Hoffmann Wirtschaftswissenschaften an der Universität-GH Essen Studien-Schwerpunkte; u. a.» Organisation» Informationsmanagement Seit 2002 als Berater bei der Schwerpunkte Datenschutz und Informationssicherheit/ IT-Sicherheit in KMU Bestellter Datenschutzbeauftragter Leiter des Arbeitskreises Informationssicherheit (networker.nrw) Arbeitsgruppe Datenschutz (UNiTS) Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 2

3 Unternehmensgruppe Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 3

4 Dienstleistungen der UIMC Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 4

5 Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 5

6 Ursachen von Schäden Schäden mit mittlerer und größerer Bedeutung: 8% Sabotage (inkl. DoS) 9% Manipulation zum Zweck der Bereicherung 10% Informationsdiebstahl / unbefugte Kenntnisnahme 10% höhere Gewalt 26% Software-Mängel/-Defekte 30% Mitarbeiter-Irrtum und Nachlässigkeit 31% Malware (Viren, Würmer, Trojaner etc.) Haupteinfalls-Tor: , Download, USB-Sticks Quelle: KES-Studie 2014 Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 6

7 Es menschelt in der IT Laut KES Studie sind über 70 % der Sicherheitsvorfälle im Unternehmen durch die eigenen Mitarbeiter verschuldet. Menschlicher Irrtum, wie z. B.:» Fahrlässige Zerstörung oder Verlust von Geräten oder Daten» Nichtbeachtung von IT-Sicherheitsmaßnahmen» Gefährdung durch Reinigungs- oder Fremdpersonal» Fehlerhafte Administration des IT-Systems» Konfigurations- und Bedienungsfehler» Ungeeigneter Umgang mit Passwörtern Technik kann nie 100%ige Sicherheit erreichen» es kommt auch immer auf denjenigen an, der sie bedient! Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 7

8 Das OSI-Modell Open Systems Interconnection Model Layer 8 Schicht zwischen Monitor und Stuhllehne Layer 7 Layer 6 Layer 5 Layer 4 Layer 3 Layer 2 Layer 1 Anwendungsschicht Darstellungsschicht Sitzungsschicht Transportschicht Vermittlungsschicht Sicherungsschicht Bitübertragungsschicht Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 8

9 Problemfelder Behinderung der Verbesserung der Lage 49% 57% 43% Geld 64% 59% 69% Bewusstsein der Mitarbeiter 56% 47% 55% Bewusstsein der Geschäftsleitung Quelle: KES-Studien Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 9

10 Was passiert in den Betrieben so? Was passiert denn so in den Betrieben? Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 10

11 Schöne Welt der IT-Trends Mobilität» auch im ICE produktiv sein» selbst im Café erreichbar Networking» schnelle Kommunikation im Web 2.0» Informationsbeschaffung über soziale Netzwerke, Foren usw. Work-Life-Balance» Bring Your Own Device» Home Office Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 11

12 Alter Hut? Alte Gefahren in neuem Gewand» (Social) Phishing» Malware, Trojaner» Passwort-Diebstahl Privatisierung von Werkzeugen» Cloud-Dienste» Messanger Spionage & Social Engineering mit neuen Tricks» Authentizitätsproblem (Die Facebook-Soldatin ) Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 12

13 Risiko No. 4: Informationssicherheit Ungewollter (und unfreiwilliger) Informationsabfluss» Geschwindigkeit für Einige zu schnell» gefühlte Verpflichtung der Kommunikation» sich wichtig machen mit großem Forum» Fehlendes Bewusstsein für Verantwortung?» Interna werden öffentlich diskutiert ( statt in Kaffeeküche )» Und immer schneller: mobile Apps Der Faktor Mensch» Tim Hoffmann Fotos IT-Sicherheitstag vom NRW Arbeitsplatz mit ungewollten 13 Begleit-Informationen

14 Sicherheitsmaßnahmen Sicherheitsmaßnahmen Elektronisches Schließsystem Besucherausweise Berechtigungsverfahren Passworte Virensoftware VPN-und Container- Verschlüsselung Warnhinweise Menschliche Schwächen Trägheit Überforderung Unverständnis Unkenntnis Freundlichkeit Mögliche Konsequenz? Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 14

15 Traurig, aber wahr...» Ja klar! Wir haben eine Pflichtentrennung bei der Rechtebeantragung: Der Mitarbeiter beantragt und ich pflege dies in die Active Directory ein. (Administrator eines QM-zertifizierten Mittelständlers)» Natürlich haben wir eine Alarmanlage! Wenn jemand eine Scheibe einwirft, dann werden die Nachbarn das schon melden! (EDV-Leitung einer Sparkasse)» Bei uns werden alle Berechtigungen zeitlich begrenzt vergeben! [beachte: Ablaufdatum laut AD: ] (EDV-Leitung einer größeren Universitätsklinik) Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 15

16 Superman braucht keinen Gurt! (Muhammed Ali zur Flugbegleiterin) 16 Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW

17 Superman braucht auch kein Flugzeug! (Die Antwort der Flugbegleiterin) 17 Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW

18 Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 18

19 Stufen der Kompetenz Buschmann Unbewusste Inkompetenz Fahrschüler Bewusste Inkompetenz Probezeit Bewusste Kompetenz Routinier Unbewusste Kompetenz Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 19

20 Mancher ertrinkt lieber, als daß er um Hilfe ruft! (Wilhelm Busch) Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 20

21 Faktor Mensch klarer Regelungen (DOs and DONTs) Fortbildung / Schulungen Sensibilisierung» Transparenz von Risiken und Gefahren» Bedeutung für das Unternehmen» Motivation für Maßnahmen Kontinuität Leben Sie die Informationssicherheit» Sicherheit ist Chef-Sache» Personalführung» Kontrolle Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 21

22 Schulungen Management-Informationen Schulungskonzept» Zielgruppe / zielgruppenspezifische Betrachtung» Geschäftsführung und Personal als Partner» Integration in Fortbildungsprogramm Kombination von Maßnahmen» Präsenz-Schulung» E-Learning» Newsletter» Betriebsversammlung / Team-Besprechungen Regelmäßigkeit nicht vergessen! Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 22

23 Was tun? Verlassen Sie sich nicht auf Ihre Technik! Erstellen klarer Regelungen (DOs and DONTs) Bilden Sie Ihre Mitarbeiter fort (Schulungen) Sensibilisieren Sie Ihre Mitarbeiter» Darstellung der Bedeutung der Regeln» Transparenz im Hinblick auf mögliche Gefahren Sicherheit ist kein Projekt! Sondern ein Prozess! Leben Sie die Informationssicherheit (dies bedeutet auch, dass Sie kontrollieren müssen!) Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 23

24 Informationssicherheit ist? eine Aufgabe der IT-Abteilung ein Wunsch der Geschäftsführung Führungskräfte wichtig für den Erhalt sind oft wie Zitronenfalter eine Aufgabe für uns alle! des Unternehmens denn die falten auch keine Zitronen! 24 Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW

25 Informationssicherheit und Datenschutz ist? eine Aufgabe der IT-Abteilung ein Wunsch der Geschäftsführung wichtig für den Erhalt des Unternehmens eine Aufgabe für alle! Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 25

26 Fragen?? Fragen? Diskussion?? thoffmann[at]uimc.de (0202) Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 26

27 Haben Sie noch Fragen? UIMC DR. VOSSBEIN GMBH & CO. KG Nützenberger Straße Wuppertal Telefon: (0202) Telefax: (0202) Internet: UIMCert GmbH Moltkestraße Wuppertal Telefon: (0202) Telefax: (0202) certification@uimcert.de Internet: akkreditiert durch: Der Faktor Mensch Tim Hoffmann IT-Sicherheitstag NRW 27