Bruce Schneier: persönliche Risiko-Intuition berücksichtigen

Security-Spezialist Bruce Schneier war kürzlich auf der britischen Site guardian.co.uk unter dem Titel “People understand risks - but do security staff understand people?” mit einem interessanten Aufsatz über den Zusammenhang von Intuition, Motivation und Risiko-Management vetreten. Schneiers Ausgangsthese: “Menschen haben eine natürliche Risiko-Intuition, und in vielerlei Hinsicht ist das sehr gut.”

Ein gelegentliches Versagen dieses Risiko-Managements liege an der Vielfalt kognitiver Voreingenommenheit, aber im Normalfall funktioniere diese intuitive Beurteilung von Risiken erstaunlich effektiv: “Natürlich versagt unsere Risiko-Intuition oft auf spektakuläre Weise bei seltenen Risiken, unbekannten Risiken, freiwillig eingegangenen Risiken etc.”, so Schneier. Gehe es aber um Alltagsrisiken, also jene Risikoarten, von denen das Überleben unserer Spezies im Laufe der Evolution abhing, “dann sind wir recht gut”.

Bild: www.schneier.com

Der Sicherheitsexperte berichtet in dem Guardian-Artikel von einem Vortrag zu Security Awareness, in dem der Vortragende über mangelnde Motivation der Mitarbeiter klagte, Sicherheitsmechanismen wie das Verschlüsseln von Daten auf USB-Sticks zu nutzen. Die Folgerung des Referenten: “Wir müssen dafür sorgen, dass die Leute die Risiken verstehen.”

Die Kollegen dieses Referenten verstehen aber offenbar, so Schneier, mehr von Risiko-Management als der Vortragende selbst: Die großen Risiken des Berufsalltags bestehen darin, dass man seinen Job nicht oder nicht hinreichend erledigen könnte. Verstöße gegen Sicherheitsrichtlinien - die in aller Regel nur schwach sanktioniert werden - sind hier lediglich ein Nebenkriegsschauplatz.

Er habe, berichtet Schneier, dem Referenten geraten: “Feuern Sie jemanden, der gegen die Sicherheitsanweisungen verstoßen hat, schnell und öffentlich.” Dies würde die Wahrnehmung von Sicherheit schneller erhöhen als jedes Poster und jeder Vortrag. Denn, so Schneier: “Wenn Risiken tatsächlich vorhanden sind, kapieren das die Leute.”

Das Prinzip Abschreckung hat sich in der Geschichte der Menschheit tatsächlich immer wieder als durchaus effektive Methode der Motivation bewährt. Eine etwas sanftere und wohl auch der Unternehmenskultur zuträglichere Variante wäre es, den Mitarbeitern das Thema Sicherheit mittels Communitainment so eindringlich, aber doch sympathisch zu vermitteln, dass es ihnen persönlich wichtig wird. Im Idealfall gelangen die Kollegen damit letztlich zu einer intrinsischen (also aus dem Inneren kommenden) Motivation, sich zum Wohl ihres Unternehmens sicher zu verhalten.

Artikel merken bei:

Dieser Eintrag wurde am 15.8.2009 um 14:36 verfasst und befindet sich in Security Awareness. Sie können alle Antworten zu diesem Eintrag über den Feed RSS 2.0 mitverfolgen. Hinterlassen Sie eine Antwort oder einen Trackback-Link zu Ihrer eigenen Homepage.