Der Artikel „Drei praktische Schritte zur Vermeidung von Datenverlusten durch Mitarbeiter“ enthält mehrere nützliche Tipps:

• Führen Sie Richtlinien ein
• Schulen Sie Ihre Mitarbeiter
• Machen Sie sich eine technische Lösung zunutze

Vielleicht ist er jedoch zu abgehoben und nicht informativ genug, um von praktischem Nutzen zu sein. Besonders der zweite Tipp „Schulen Sie Ihre Mitarbeiter“ ist vage und leicht veraltet, denn:

• Viele Informationen machen sich Sorgen über die Folgen der [geplanten] neuen Datenschutz-Grundverordnung (DSGVO), nach der künftig Bußgelder in Höhe von 100 Millionen Euro oder bis zu fünf Prozent des weltweiten Jahresumsatzes verhängt werden können.
• Das Marktforschungsunternehmen Gartner stellte zudem fest, dass sich GRC nicht länger nur auf grundlegende Lösungen wie Unternehmensplattformen und technische GRC-Plattformen bezieht, da der Schwerpunkt heute eher auf zweckentwickelten Anwendungen liegt, die sich leicht in die GRC-Systeme von record1 integrieren lassen.
• Unternehmen, die unbedingt eine BYOD/COPE-Strategie umsetzen wollen, müssen sicherstellen, dass die Erlaubnis, eigene Geräte zu verwenden, nicht auf solche begrenzt ist, bei denen sichergestellt ist, dass alle Vorschriften und Sicherheitsvoraussetzungen erfüllt werden. Dies muss geschehen, bevor etwaige Folgen von GRC evaluiert werden.

Nachfolgend wird die erste der drei Ebenen erläutert, die Sie schon jetzt umsetzen können. Jede Ebene ist in fünf einfache Schritte unterteilt.

1. Führen Sie Richtlinien ein

Richtlinien? Wie bei fast allem, was mit Sicherheit zu tun hat, reicht eine Richtlinie leider nicht aus. Ein Allheilmittel gibt es nicht. Hier ein paar Vorschläge, die über die in Ihrem Unternehmen hoffentlich bereits umgesetzten Richtlinien hinausgehen:

Acceptable Usage Policy (AUP) – 1. Teil: Hierin sollten Dinge wie die Nutzung von Internet und E-Mail abgedeckt werden. Mittlerweile sind jedoch auch Aspekte wie soziale Medien und Anwendungen für die Zusammenarbeit über die Cloud zu berücksichtigen.

Acceptable Usage Policy (AUP) – 2. Teil: Dieser Teil befasst sich mit der Nutzung und Weitergabe von Daten. Er bezieht sich auf vertrauliche und private Informationen (wie Personalakten), sensible Daten (wie Kundendaten) und urheberrechtlich geschützte Inhalte (Produktentwürfe usw.). Sie alle lassen sich unter dem Begriff „kritische Informationen“ zusammenfassen, doch es ist nützlich, die einzelnen Kategorien zu unterscheiden

Gerätenutzung: Welche Geräte dürfen genutzt werden, um unternehmenskritische Informationen aufzurufen? Wo dürfen sie eingesetzt werden, und wie? Beispiel: Dürfen sie in einem Internetcafé genutzt werden? Was geschieht mit Firmendaten auf privaten Geräten, wenn der Mitarbeiter das Unternehmen verlässt?

Richtlinie für potenzielle Sicherheitsverstöße: Was geschieht, wenn ein Mitarbeiter glaubt, Opfer eines Phishing-Angriffs zu sein, und an wen kann er sich wenden? Was tun bei einem versehentlich entstandenen Datenleck? Was tun bei einem mutwilligen Angriff?

Schutzsoftware und zugehörige Updates: Dieser Punkt gilt insbesondere für private Geräte, betrifft jedoch auch betriebliche. Grundsätzlich gilt: Wenn ein Update vorliegt, muss dieses installiert werden. Antivirus-Software darf nicht deaktiviert werden, Virendefinitionen und andere Sicherheitswendungen müssen aktuell gehalten werden.