DOs and DON'Ts in Information Security Awareness Konzepten

Transkript

1 DOs and DON'Ts in Information Security Awareness Konzepten Dr. Michael Falk Manager, Consulting it-sa 2012 Nürnberg, 16. Oktober 2012

2 Prof. Dr. Christian Wichtig der V.I.P. DOs regulatorischen Hintergrund für Informationssicherheit vermitteln persönliche Haftungsrisiken im direkten Kontakt ansprechen Schwerpunkte und Zielgruppen der Awareness-Konzeption abstimmen Reporting/Kennzahlen etablieren DON Ts One size fits all -Ansätze vermitteln Fokussierung auf Budget isolierter Einsatz einzelner Kommunikationsmaßnahmen verspätete Einbindung Ziel Führungskräfte übernehmen Verantwortung für Information Security Awareness Kampagne. Organisations- und Überwachungspflicht kann nicht delegiert werden. Management als Sponsor gewinnen und Überwachungspflicht durch Awareness-Monitoring erfüllen (Follow-Up). 2

3 Max Mustermann der normale Mitarbeiter DOs Fokussierung auf wenige Kernbotschaften Realität kommunikativ überzeichnen Incentives und Feedbackkanäle etablieren Praktischen und persönlichen Bezug herstellen Usability von Security optimieren Kommunikationsexperten für Text & Bild einbinden DON Ts Security-Schwachstellen auf Mitarbeiter abwälzen 100% Sicherheit fordern es gibt keinen Mr. Right Richtlinieninhalte wiederholen Abhängigkeiten durch Lizenzmodelle von out-of-the-box -Inhalten Ziel Mitarbeiter akzeptieren klar formulierte Regeln und halten sich an diese Leitplanken. Praxisnahe Kommunikation, Fokussierung und Involvierung führt zu Akzeptanz der Vorgaben und stellt Verhaltensänderungen sicher. Spaß und Incentivierung sichern Interesse. 3

4 Mike Nerdig der Besserwisser DOs Förderung selbstgesteuerten Lernens durch modulares Angebot vertiefende Trainingsangebote als Teil der Awareness- Konzeption verankern Wissensaustausch (Community) fördern, Input für Kampagne nutzen (z. B. aus Incidents) bewusst als Multiplikator einsetzen DON Ts Ressourcenplanung für Awareness-Support vernachlässigen (Service Desk) IT in der Qualitätssicherung vergessen unpassende Hacking-Szenarien aufbauen Ziel IT stellt in Support, Betrieb und Projekten sichere Lösungen bereit. Hintergrundwissen rüstet IT mit Argumentationshilfen für tägliche Arbeit. Als Content-Lieferant und Multiplikator (persönliche Ansprechpartner) für die Kampagne gewinnen,. 4

5 Modular, zielgruppenspezifisch und messbar Fokussierung auf wenige aber regelmäßig wiederkehrende Awarenessmaßnahmen mit nachvollziehbaren Messergebnissen, die über einen Zeitraum verglichen werden können Konkret (bspw.): regelmäßiger Awareness Check und verpflichtende Trainings (Präsenz, Web Based) Effektive Wissensvermittlung Wiederkehrende und messbare Awarenessmaßnahmen Information Security Awareness Unterstützende, verstärkende Awarenessaktionen Modulare, fokussierte Lerninhalte Awarenessaktionen lenken Aufmerksamkeit auf Awarenessmaßnahmen Konkret: z.b. Posteraktionen, Kalender, Give-Aways, die bekannte Themen des Awareness Checks aufgreifen Bearbeitung der Lernmodule in überschaubarer Zeit mit dem Ziel einer fokussierten Vermittlung der Themenschwerpunkte und unmittelbarer Lernerfolgsmessung Konkret: Einzelmodule im Umfang von max. 15 Minuten Konkrete Lernzielausrichtung Sensibilisierung und Wissensvermittlung orientiert sich an aktuellen Information Security-relevanten Themen. Konkret: Inhalte werden mit Lernzielen verknüpft und entsprechend der Vorkenntnisse in Basis- und Aufbaumodule unterteilt Aufbereitung der Lerninhalte in Form von zielgruppenorientierten und aufgabenfokussierten Lernmodulen Konkret: Pool von Lernmodulen, strukturiert für Lerngruppen gemäß ihrer spezifischen Aufgaben/Rollen (Verantwortung, Einhaltung, Bereitstellung) 5

6 Ihr Ansprechpartner bei KPMG Dr. Michael Falk Manager, Consulting Tel. +49 (69) Mobile +49 (152) KPMG AG Wirtschaftsprüfungsgesellschaft, a subsidiary of KPMG Europe LLP Agentur Dewitz, Selzer, Partner, Düsseldorf 6