Nach wie vor ist und bleibt der Faktor Mensch sowohl die größte Chance als auch das größte Risiko für Informationssicherheit einer Organisation. Kennzeichnend für die Diskussion über diesen Faktor ist die Betrachtung des Mitarbeiters als Risiko. Gerade im Bereich der Security Awareness wird gerne die Angst vor dem böswilligen oder unfähigen Mitarbeiter geschürt, ohne dabei auf die Chancen einzugehen, die die aktive intrinsisch motivierte Mitarbeit der Organisationsmitglieder im Hinblick auf die Informationssicherheit bedeutet.
Nicht zuletzt ist es gerade diese permanente Angst vor dem Fehlverhalten der Mitarbeiter, die die Sicherheitskultur derartiger Organisationen kennzeichnet. Sicherheitskultur wird nur über Weisungen gestaltet, die im besten Fall durch bunte Bilder und “freche” Gimmicks unterstrichen werden. Bei einem Projekt sagte mal der Kunde zu mir, dass er sich nicht in einem derartigen Weisungsjungle verlieren möchte, da er momentan eine Kultur des “Darf ich mich drum kümmerns” in seiner Abteilung habe. Dies trifft die Sache im Kern. Der negative Effekt von solch weisungsgebundenen Unternehmenskulturen liegt darin, dass die Weisungen zwar je nach Unternehmen mehr oder weniger umgesetzt werden, die Motivation darüber hinaus aber noch tätig zu werden und die bestehenden Maßnahmen und Vorgaben zu verbessern, in der Regel sinkt.
Ziel muss es sein eine Kultur des bewussten, aktiven und kritischen Umgangs mit Problemstellungen zu entwickeln. Ein Ziel dem man mit bunten Bildern und lustigen Passwortständern für den Schreibtisch nicht gerecht werden wird. Es muss viel mehr Sicherheit zum permanenten Thema gemacht und den Mitarbeitern auch Raum eingeräumt werden, sich selbst mit der Fragestellung zu befassen.
Es bringt nichts Secure-Coding-Workshops abzuhalten, aber nicht gleichzeitig Entwicklungsprojekten mehr Zeit einzuräumen, die eine sichere Programmierung erfordert. Genauso wenig wie Mitarbeiter als austauschbares Gut zu betrachten und zu behandeln und im nächsten Atemzug zu erwarten, dass diese Mitarbeiter motiviert sind, mehr als das Minimum für die Sicherheit der Organisation zu leisten, etc.
Selbstverständlich können Menschen noch immer ein Risiko darstellen, dennoch sind Mitarbeiter, die positiv zu Umsetzung und Verbesserung von Sicherheitsmaßnahmen motiviert werden und sich mit ihrer Organisation identifizieren, deutlich geneigter auch daran mitzuwirken.
Leider investieren jedoch bislang nur wenige Organisationen in eine nachhaltige Sicherheitskultur, sondern greifen statt dessen lediglich auf vermeintlich schneller wirksame Security Awaresness Maßnahmen zurück. Diese Maßnahmen machen dann zwar die bestehenden Gefahren bewusst, aber sie erfassen weder die Ursachen für Fehlverhalten noch bieten sie bezüglich dieser weitergehenden Lösungen an.
Diese Entwicklung liegt wohl in erster Linie daran, dass der effektive Aufbau einer Sicherheitskultur mehr Zeit bedarf als reguläre Planungszyklen des Managements vorsehen. Ein weiterer kritischer Faktor ist, dass Sicherheit schon im allgemeinen die Sicherheitskultur jedoch im besonderen nur sehr schwer objektiv messbar ist und man bei Security Awareness Maßnahmen nach der Marketing Methode zumindest am Ende bunte Bilder erhält, mit denen den zuständigen Stellen gegenüberdie Tätigkeit belegt werden kann.
Verfahrensvorschlag
Mein Verfahrensansatz greift daher grundsätzlich auf vier verschiedene Modelle zurück. Die Analyse der bestehenden Sicherheitskultur erfolgt überwiegend auf Basis des Ebenenmodells von Schein, dessen Ergebnis schließlich mittels des Reifegradmodells von Hudson eingeordnet wird. In einem nächsten Schritt wird dann ein Sollzustand definiert, der sowohl den Schutzbedarf der Organisation, als auch deren Größe und Branchenumfeld berücksichtigt.
Auf Basis der sich aus Ist- und Sollzustand ergebenden Differenz werden nun Maßnahmen definiert, die nach dem Ebenenmodell der Atomenergiebehörde (IAEA) den unterschiedlichen Ebenen zur Umsetzung zugewiesen werden.
Was die Steuerung des Prozesses betrifft, so orientiert sich mein Modell sowohl hinsichtlich des Modells im gesamten als auch hinsichtlich der konkreten Maßnehmen am klassischen Plan-Do-Check-Act-Circle für den Aufbau von Information Security Management Systemen (ISMS) der ISO 27.000er Standards.
Zur Verdeutlichung meines Ansatzes bediene ich mich eines praktischen Beispiels.
Ein großer Mittelständler will das Konzept der Sicherheitskultur einführen. Das Unternehmen verfügt über eine Unternehmenszentrale im ländlcihen Raum Baden-Württembergs und ist der einzige große Arbeitgeber in der Region. Vorort sind 2500 Mitarbeiter tätig. Darüber hinaus unterhält es noch zwei größere Tochtergesellschaften mit jeweils 300 Mitarbeitern in Deutschland und Niederlassungen an vier weiteren Standorten in den USA, Frankreich, Indien und China. Das Unternehmen stellt Maschinenbauprodukte im Hochtechnologie-Bereich her, die es vornehmlich an andere Maschinenbauunternehmen vertreibt.
Analysephase
Zunächst einmal werden die Rahmendaten des Unternehmens erfasst und eine Kategorisierung vorgenommen. So handelt es sich beim Unternehmen um einen größeren Mittelständler, ist im Hochtechnologiesektor aktiv, es hat internationale Standorte und es ist was die Hauptniederlassung betrifft, im ländlichen Raum angesiedelt. Diese Daten ergeben später Koeffizienten mittels derer erfasste Beobachtungen gewichtet werden.
Als erster Schritt werden nun die Merkmale der ersten Ebene des Modells von Schein durch eine Begehung überprüft. So achtet man beispielsweise darauf, ob die Mitarbeiter am Standortdienstausweise tragen, ob Kameras installiert sind oder ob die Bürotüren geschlossen sind. Diese Beobachtung werden aufgenommen und mit einer Indikatorenliste gerankt. In einem nächsten Schritt werden die Indikatorbeobachtungen mittels der Koeffizienten gewichtet.
Als nächstes erfolgt eine Dokumentenanalyse mittels derer die bestehenden Sicherheitsvorschriften bewertet werden. Zudem erfolgt ein Abgleich inwiefern sich die vorgefundenen Verhaltensweisen mit denen, die in den Dokumenten beschrieben wurden, decken. So kann es beispielsweise sein, dass in unserem Beispiel die Mitarbeiter zwar dazu verpflichtet sind Dienstausweise bei sich zu tragen, aber in der praktischen um die meisten die Karte nur in der Geldbörse mit sich führen.
Aus diesen Ergebnissen werden sodann Fragebögen generiert, die zum einen überprüfen inwieweit die Fremdwahrnehmung von den Mitarbeitern selbst ebenso erlebt wird und zum anderen die Gründe für das Verhalten erfragt werden. Diese Fragebögen werden anonymisierter Form von den Mitarbeitern bearbeitet und hinsichtlich bestehender Normen und Werte ausgewertet.
So würde vorliegend vielleicht herauskommen, dass die Ausweise deshalb nicht getragen würden weil es an guten Befestigungsmöglichkeiten für die Kleidung fehle, oder weil man sich ohnehin kenne und fremde schon deshalb sofort auffielen, weil sie eben fremd seien. Es ergäbe sich aus den Fragebögen beispielsweise, dass man zwar Vorgaben der Sicherheitpolitik nicht umsetzt, aber eine sehr hohe Identifikation mit dem Unternehmen aufweist.
Aus der Interpretation dieser Normen und Werte im Verhältnis zum sichtbaren Verhalten erfolgt schließlich die Aufstellung der der Organisationskultur zu Grunde liegenden Grundannahmen im Hinblick auf die Informationssicherheit. So könnte sich vorliegend beispielsweise die Grundannahme ergeben, dass sich das Unternehmen als Familie betrachtet und man Sicherheitsmaßnahmen gerade deshalb nicht umsetzt weil man in der Umgebung das Fahrrades auch sein Fahrrad nicht abschließt, da man ohnehin jeden kennt.
Dieses Abschlussbild wird schließlich innerhalb der Organisation zur Diskussion gestellt und abschließend abgestimmt. Aufgrund dieses abgestimmten Gesamtbildes wird dann der Reifegrad, der in dieser Organisation bestehenden Sicherheitskultur ermittelt und aufgezeigt, wo deren spezifische Stärken und Schwächen liegen.
Planungsphase
Im Rahmen der Planungsphase wird zunächst festgelegt, welche Ziele im Hinblick auf die Sicherheitskultur für die Organisation bestehen. Zum Teil kann es hier angezeigt sein einen gestaffelten Umsetzungshorizont zu verwenden, so dass die Ziele in kurzfristiger mittelfristiger und langfristige Umsetzung eingeteilt werden. Insbesondere für die langfristigen Ziele empfiehlt es sich dann Etappenziele festzulegen, die Fortschritte auch schon kurz- bis mittelfristig messbar machen. Diese so entstandene Soll-Kultur wird dann mit der bestehenden Ist-Kultur abgeglichen und der bestehende Handlungsbedarf ermittelt. Dieser Handlungsbedarf wird dann nach dem Ebenenmodellen der internationalen Atomenergiebehörde den entsprechenden Ebenen zugewiesen und für diese jeweils umzusetzende Maßnahmen definiert.
Für unser Beispiel könnte sich so zum Beispiel ergeben, dass die tatsächliche konkrete Bedrohungslage nicht bei den Mitarbeitern ankommt und anhand von konkreten Vorfällen kommuniziert werden muss. Außerdem kann es Sinn machen dann Ausschüsse zu bilden, um selbst aus der Mitarbeiterschaft heraus, nur unterstützt durch externe Berater, Maßnahmen zu entwickeln mit denen man das Problem angeht.
Überprüfungsphase
In der Überprüfungsphase wird der Erfolg der jeweiligen Maßnahmen überwacht und dokumentiert. Zudem wird ein vorher definierten kritischen Punkten eingegriffen um gegebenenfalls nachbessern zu können.
Verbesserungsphase
in der Verbesserungsphase werden die gemachten Erfahrungen ausgewertet, korrektive Maßnahmen ergriffen und die eingesetzten Verfahren angepasst beziehungsweise verbessert.
In regelmäßigen Abständen von beispielsweise ein bis zwei Jahren oder nach einschneidenden Veränderungen wie Fusionen erfolgt dann erneut der Durchlauf dieses Verfahrens.
