"Es kommt auf die Sorgfalt der Mitarbeiter an"
Computerwoche: Mit welcher Strategie schützen sich Unternehmen vor versehentlichem Datenverlust oder vor dem Ausspähen von Daten schützen?
Brenn: An erster Stelle steht meiner Einschätzung nach die Sorgfalt der Mitarbeiter. Es ist wichtig, dass die ein Bewusstsein für die Relevanz von Daten und deren elektronischen Transport entwickeln. Gut ausgebildete und engagierte Mitarbeiter werden im eigenen Interesse sorgsam und vorsichtig mit wichtigen Daten umgehen.
Die Einstufung von Informationen in "unbedenklich", "sensibel", "kritisch", "geheim" ist dafür ein wichtiger erster Schritt. Darauf aufbauend, definiert man dann den Umgang und die Schutzmaßnahmen für diese Daten. Solche Guidelines sollten fester Bestandteil der allgemeinen Unternehmensrichtlinien sein. Selbstverständlich sind darüber hinaus technische Werkzeuge notwendig, um im Falle eines bewussten oder unbewussten Fehlverhaltens wichtige Informationen schützen zu können.
Computerwoche: Was sollten Unternehmen zuerst machen, die sich dem Thema Datensicherheit nähern möchten?
Brenn: Wichtig ist: Das Unternehmen muss wissen, welche sensiblen Informationen in der internen und welche in der externen Kommunikation mit Kunden und Partnern gesendet und empfangen werden. Häufig genug ist dieses Wissen nicht vorhanden. Mit Hilfe eines Assessments ist es möglich, einen Überblick über Menge und Inhalt der Kommunikation zu erhalten. Darauf aufbauend lassen sich dann organisatorische, technische und rechtliche Maßnahmen zur Verbeugung von Datenverlusten ableiten.
Computerwoche: Wie müssen sich die Mitarbeiter verhalten, um nicht aus Versehen zum Opfer zu werden?
Brenn: Es ist entscheidend, dass Mitarbeiter die Wichtigkeit einer Information für das Unternehmen und damit auch für den eigenen Arbeitsplatz richtig bewerten können. Ein oft unterschätzter Aspekt ist dabei das so genannte Social Engineering, wo es aufgrund persönlicher Vertrauensverhältnisse zu einem Datenverlust kommen kann. Wird ein vorher sensibilisierter Mitarbeiter von Dritten um die Herausgabe vertraulicher Informationen gebeten, weiß er, dass im Zweifelsfall eine Rückfrage bei Vorgesetzten oder beim Sicherheitsbeauftragten die richtige Konsequenz ist.