Die eigenen Mitarbeitenden sind ein grosses Risiko für die IT-Sicherheit. Versehentliche Fehler der Angestellten gefährden zunehmend die Informationssicherheit in deutschen Unternehmen, hat die Studie «IT Security 2004» von «InformationWeek» und Mummert Consulting ergeben. Es ist anzunehmen, dass die Verhältnisse in der Schweiz nicht grundsätzlich anders sind. Nur drei von fünf Beschäftigten, so die Einschätzung von IT-Verantwortlichen laut dieser Studie weiter, wissen, wie sie sicher mit ihren Daten umgehen. Umfassende Sicherheitsrichtlinien mit definierten Schutzzielen und Massnahmen sollten daher in Unternehmen verbindlich festgeschrieben und kommuniziert werden. Besonders bei der Informationsweitergabe hapert es jedoch. Bisher bietet nicht einmal jedes dritte Unternehmen Sicherheitsschulungen für die Angestellten an. Für die Studie wurden von April bis Juni 2004 693 IT-Manager und Sicherheitsverantwortliche deutscher Unternehmen befragt.
Fast jeder sechste IT-Verantwortliche hält hauptsächlich seine autorisierten Mitarbeitenden für die Verursacher der Sicherheitsverstösse im Unternehmen. 13% misstrauen vor allem nicht autorisierten und 8% ehemaligen Mitarbeitenden. Dabei handeln die eigenen Angestellten meist gar nicht böswillig. Häufig können Externe auf vertrauliche Daten oder interne Systeme zugreifen, weil Firmenangestellte nachlässig mit Sicherheitsvorkehrungen umgehen oder diese nicht kennen. Jedes fünfte Unternehmen versäumt es, seine Mitarbeitenden über Datenschutz- oder Verhaltensrichtlinien zu informieren.
In vielen Fällen liegt aber nicht nur die Kommunikation über Sicherheit im Argen. Manche Manager haben offenbar noch nicht erkannt, wie wichtig Datensicherheit für den Unternehmenserfolg ist, und verzichten komplett auf Sicherheitsrichtlinien. Mehr als jedes fünfte Unternehmen hat keine so genannte Security Policy. Jeder zehnte IT-Verantwortliche kann zudem keine Auskunft darüber geben, ob sein Unternehmen über eine verbindliche Sicherheitsrichtlinie verfügt. Bei weiteren 27% der Firmen haben die Sicherheitsrichtlinien lediglich informellen Charakter.
Dienstag
28.12.2004
