Corona und die Sache mit der Informationssicherheit

– Klaus Reinhard –

In den letzten Monaten hat sich zusehends herausgestellt, dass zahlreiche Firmen auf die Herausforderungen einer Pandemie und deren Auswirkungen was ihre Informationssicherheit angeht in keinster Weise vorbereitet waren. Doch was hat denn so eine Pandemie mit dem Thema Informationssicherheit zu tun? Um das zu erklären, gehen wir einmal einen Schritt zurück und schauen mal, worum es bei der Informationssicherheit eigentlich geht:

Bei der Informationssicherheit geht es darum, dass Daten geschützt werden. Hierbei ist das Zusammenspiel von IT-Sicherheit, Datenschutz und letztendlich der Informationssicherheit als Ganzes zu berücksichtigen.

Zusammenhang Pandemie & Informationssicherheit

Die Auswirkungen sind vielfach und auch kostenintensiv für die Unternehmen zu spüren. Die Mitarbeiter werden – soweit möglich – ins Homeoffice geschickt. Hier müssen zunächst die technischen- und organisatorischen Voraussetzungen geschaffen werden. Wichtige Punkte sind dabei eine Homeoffice Regelung und die Beschaffung des Equipments. Die Freigaben werden erweitert und VPN Tunnel eingerichtet. Und dann wird oft noch nachgebessert und getrickst damit alles läuft. Dokumentationen und Pflichtenheft bleiben mangels Zeit bei den vielen Herausforderungen oftmals auf der Strecke.

Ein Unglück kommt selten allein

Die Problematik geht in anderen Bereichen weiter. Im produzierenden Gewerbe werden Lieferketten unterbrochen, weil das Personal durch Quarantäne ausfällt. Und da es bei manchem Kunden ebenso düster aussieht, brechen diese kurz- oder mittelfristig weg.

Und als ob uns die aktuelle Corona-Pandemie nicht schon genug geplagt hätte, kam es bei vielen Unternehmen in dieser Zeit auch noch zum Schlimmsten: durch menschliche Fehler bei der Bedienung oder in der Umsetzung fing sich das Unternehmen einen Trojaner ein, der die Server verschlüsselt hat. Und so wird das Unternehmen auch noch durch Hacker erpresst.

Ein Horrorszenario, oder?

Was ist schiefgelaufen und wie hätten Unternehmen sich besser vorbereiten können?

Fangen wir mit Themen an die vorbereitend mit den geringsten Aufwendungen gemacht werden können.

Sensibilisierung der Mitarbeiter

Durch eine Sensibilisierung und Schulung der Mitarbeiter in IT-Sicherheit und Datenschutz werden die Mitarbeiter darin geschult, die Compliance zu beachten. Evtl. hätte damit verhindert werden können, dass die Kollegin aus dem Einkauf die Mail mit dem Trojaner möglicherweise im Vorfeld bereits erkennt und gar nicht erst öffnet.

Homeoffice

Das Thema Homeoffice kann unter Umständen aus ökologischen Gesichtspunkten grundsätzlich ins Auge gefasst und mit allen notwendigen Vorkehrungen vorbereitet werden. So bleibt in Stresssituationen der Druck aus und es besteht genügend Zeit, um alle Maßnahmen, wie schriftliche und technische Regelungen, in Ruhe zu treffen.

Risikoanalyse und Zertifizierung

Bei allen anderen Themen (beispielsweise nach ISO 27001, TISAX oder nach BSI Standard) kann man eine Zertifizierung angestreben. Hier geht es um IT-Sicherheit und/oder Informationssicherheit, die im Ganzen oder in Schwerpunkten durchgeführt werden kann. Es muss jedoch nicht zwingend eine dieser Zertifizierungen durchgeführt werden.

Auch kann der aktuelle Stand der Sicherheit erhoben und beispielsweise die technischen und organisatorischen Maßnahmen aus dem Datenschutz exakt definiert werden.

Weiter können Risiken für das Unternehmen entdeckt und ausgewertet werden. Sie dienen dann der Vorsorge und Absicherung, um das Unternehmen in schwierigen Zeiten vor einem Teil- oder Totalausfall zu schützen.

Fazit

Ob Schulungen, Beratertage, Projekte oder die Begleitung zu einer Zertifizierung – es gibt viele Möglichkeiten sich vorzubereiten, BEVOR eine Eskalationslage entsteht. Nutzen Sie die Zeit der Ruhe, um Prozesse und erforderliche Maßnahmen in Ihrem Unternehmen zu bewerten und bewusste Entscheidungen zu treffen.