Bildung und Sensibilisierung der Mitarbeiter
Schulungen und Sensibilisierungen im Hinblick auf Informations- und Kommunikationssicherheit sind ein wesentlicher Faktor für die Gewährleistung von Sicherheit.
Organisation der Informationssicherheit
Die Sicherheit einer Organisation hängt größtenteils von den Geschäftsprozessen ab. Oft ist sehr schwer, Sicherheitsmaßnahmen für einen Prozess einzurichten, wenn nicht bereits in der Planungsphase an Sicherheit gedacht wurde. Daher ist es oft einfacher und auch billiger, die Sicherheit bereits ab der Gründung der Organisation zu berücksichtigen.
Analysieren Sie alle Prozesses und versuchen Sie, alle nicht optimalen Prozesse zu ändern oder zu beseitigen, wie etwa jene, welche die Weitergabe von Passwörtern erfordern. Die Zuordnung spezifischer Rollen ist sehr wichtig; die Vergabe von Verantwortungen über bestimmte Werte, die Bestimmung jener Personen welche Informationssicherheitsvorfälle behandeln sollen, sowie eine gute interne Kommunikation.
Sicherheitsleitlinie für KMUs:
Physische und umgebungsbezogene Sicherheit
Die meisten Organisationen verfügen über ein eigenes Lokal oder Gebäude, in dem ihre Büros, Lager, Archiv und EDV-Raum untergebracht sind. Somit können sie bestimmte Risiken beschränken, welche aufgrund von umweltbedingten, absichtlichen oder durch Unfall bedingte Bedrohungen entstehen und Bedürfnisse in Vertraulichkeit, Integrität oder Verfügbarkeit wichtiger oder vitaler Werte gefährden können.
Die Festlegung von Sicherheitsbereichen sowie die Beschränkung des Zugangs zu diesen Bereichen und somit zu den Werten die in diesen Bereichen gesichert werden, verringern maßgeblich absichtliche und unfallbedingte Bedrohungen.
Sicherheitsbereiche, in denen sich wichtige oder sogar vitale Werte befinden, müssen auch gegen umweltbedingte Bedrohungen geschützt werden , wie etwa Feuer (KMUs: siehe Feuer), Wasserschäden, Verschmutzung, Staub, Rost, Frost, Stromschäden oder größere Katastrophen.
Lesen Sie mehr im Kapitel physikalische Sicherheit der Organisation.
Physischer Zugang
Je wichtiger ein Wert, desto besser muss der Physische Zugang kontrolliert werden. Die Organisation wird daher über einen öffentlichen Bereich, der für Kunden zugänglich ist, sowie einen internen Bereich, der lediglich für Mitarbeiter zugänglich ist und über einen oder mehrere Sicherheitsbereiche, der nur wenigen autorisierten Personen zugänglich ist, verfügen. Die Werte der Organisation werden, gemäß ihrer Wichtigkeit, nur in jenen Sicherheitsbereichen bereitgestellt, die ihrem Schutzbedürfnis entsprechen. Die Sicherheitsmaßnahmen müssen ein Eindringen vermeiden.
Ein Fileserver, der sensible Daten einer Organisation beinhaltet, sollte nicht in einem allgemein zugänglichen Raum stehen. Die Wahrscheinlichkeit einer böswilligen oder unfallbedingten Manipulation wäre viel zu groß. (KMUs: siehe Entfernen von Eigentum (Diestahl) und Eindringen in Einrichtungen).
Sicherheitsleitlinie für KMUs:
-
Physische und umgebungsbezogene Sicherheit - Sicherheitsbereiche und Regeln im Sicherheitsbereich und Elektrische Sicherheit der Ausrüstung und Sichere Entsorgung oder Weiterverwendung von Betriebsmitteln und Wartung und Grundsatz des aufgeräumten Schreibtischs und des leeren Bildschirms