Studie: IT-Sicherheit bei Unternehmen durch ahnungslose Mitarbeiter bedroht

Die eigenen Mitarbeiter sind ein großes Risiko für die IT-Sicherheit. Versehentliche Fehler der Angestellten gefährden zunehmend die Informationssicherheit in deutschen Unternehmen. Nur drei von fünf Beschäftigten, so die Einschätzung von IT-Verantwortlichen, wissen, wie sie sicher mit ihren Daten umgehen. (die Welt)

mehr --> http://www.welt.de/data/2004/12/29/380855.html

Da muss ich heftig wiedersprechen. Das ist höchstens 1 von 5.

1 von 5? Ich hätte gedacht, es seien mehr.

Ich kenne Unternehmen, die im internationalen Börsenhandel tätig sind. Dort verlassen am Abend die Mitarbeiter die Arbeitsplätze ohne ihre Workstations zu sperren. Die Applikationen, die für den Börsenhandel benötigt werden, sind mit den Passwörtern der Trader freigeschaltet. Da loggt sich niemand aus. Eine fremde Person könnte sich ohne weiteres hinsetzen und mit dem Handel beginnen. Nicht auszudenken, was passieren könnte. Ausserdem lässt sich die Zugangstür zum Handelsraum mit einem simplen Trick öffnen. Habs selber probiert.

In diesem Zusammenhang sei auch das Social Engineering nicht vergessen. Wenn nur 1 Person mitmacht, kann es schon passiert sein.

Wobei ich denke, dass Social Engineers sich gerne Mitarbeiter aussuchen, die mit Computer und der Terminologie der Informatik nicht ganz so vertraut sind. Mitglieder der Geschäftsleitung könnten sich unter Umständen mit Computern ein bisschen besser auskennen, oder sind es gewohnt, aufgrund ihrer Position, alles ein bisschen genauer zu hinterfragen. Lehrlinge, Sekretärinnen, oder einfache Mitarbeiter sind wahrscheinlich eher bevorzugt, da diese eventuell denken, sie seien nicht in der Position, „lästige“ Fragen zu stellen. Ausserdem will man den Arbeitsfluss nicht unterbrechen. Was aber nicht heisst, dass eine höher positionierte Person vor Angriffen geschützt ist.

Da hilft nur Sensibilisierung durch Ausbildung. Richtlinien erstellen und diese durch Firmenkurse vermitteln. Danach kontrollieren ob diese auch greifen.

Grs Jürg

Solange nichts passiert, passiert auch bei den Sicherheitsmassnahmen nichts.

Leider ist die beste Voraussetzung für Sicherheitsmassnahmen ein negativer Vorfall. Plötzlich ist das Verständnis, das Geld und der Wille für ein paar Wochen vorhanden.

@ sidi
Die von dir angesprochene Kontrolle schläft in der Regel sehr schnell wieder ein. Wenn man nicht von "oben" die volle Unterstützung hat übernimmt der alte Trott wieder das Szepter.

Aber vielleicht ist dieses Verhalten einfach menschlich.

Gruss
Gandalf

Da hast Du wohl recht

Grs Jürg

Da wir schon beim Thema Sicherheit sind:

Wie vermittelt ihr den Mitarbeitern das Thema Sicherheit? Organisiert ihr Schulungen oder gebt ihr Unterlagen ab? Macht ihr das einmalig oder gibt’s regelmässige Schulungen?

Bei uns gab es eine Schulung. Von Unterlagen ist mir im Moment nichts bekannt.

Wie würdet ihr z.B. die Benutzer in Bezug auf das Thema Social Engineering sensibilisieren?

Gut das du das Thema Social Engineering ansprichst.

Sicherheit fängt nicht bei den Benutzern vor dem Bildschirm an, sondern Sicherheit beginnt beim Managment.

Wie oft hab ich schon gehört: "Wir besitzen ja eine Firewall"
Ein Sicherheitskonzept muss global erstellt werden. Es bringt nichts, wenn die Benutzer ihre Bildschirme sperren und dafür die Akten auf dem Tisch liegen lassen!
Ich wehre mich wehement dagegen das Thema Sicherheit nur auf die IT zu beschränken. Wenn alles andere drumherum vergessen wird, nützen die besten Unterlagen und Schulungen nichts!

Cello

Arbeite zwar noch nicht lange in der IT, sehe das aber ganz genauso.

Sicherheit kostet Geld und bringt meistens keine Einnahmen. So einfach ist die Entscheidungsfindung.

Denkblase auf* Manchmal erzählen komische Typen von Gesetzen, Vorschriften oder Verantwortung. Da kann man sich fragen wo man das verbuchen soll. *Denkblase zu


Gruss
Gandalf

Wir haben Vorschriften, keine Schulungen - und wie die teilweise eingehalten werden - nun ja ...

Und wieviel Geld kostet ein Ausfall? Ich möchte mal das Gesicht eines Managers sehen, wenn man ihm vorrechnet, was ein Tag Arbeitsausfall kostet. *smile*


Wenn nur alle so eine Einstellung hätten. Besonders für Führungsetage.

Bsp: Unser Generalsekretariat, zu dem wir auch irgendwie dazugehören, hat vom letzten Generalsekretär die Philosophie der "offenen Türe" aufgebrummt bekommen. Tja, die Mitarbeiter haben aber ihre Türen auch über Mittag "offen" gehabt. Das sind Anwälte, etc. Da liegen Dokumente stapelweise auf den Tischen herum. Offenbar zur freien Verfügung. Bei uns in der IT sind jedoch immer alle Türen zu und geschlossen, auch wenn ich nur kurz ins Nachbarbüro gehe.