Security-Awareness-Kampagnen: Vom Poster zur Best Practice

15.11.2009 von Wilhelm Greiner.

Die Website www.nativeintelligence.com führt ein umfangreiches Sortiment generischer Security-Awareness-Materialien: Zur Auswahl stehen neben Hunderten von Postern auch zahlreiche andere Materialien wie Kalender, Bookmarks, Notizblöcke, Broschüren oder auch Verpackungen für Süßkram, um Mitarbeiter förderliches Verhalten zu belohnen. Die Materialien sind praktisch alle auf Englisch (von einigen spanischen Postern abgesehen) und taugen damit für ein deutsches Unternehmen lediglich als Pool für die Ideensammlung.

Bild: Native Intelligence, Inc.

Security-Awareness-Experten warnen außerdem vor der Benutzung generischen Materials, so auch kürzlich wieder auf der Awareness-Konferenz secAware in Düsseldorf (siehe auch hier). Allerdings benutzen Fachleute wie zum Beispiel Dietmar Pokoyski von known_sense für ihre Awareness-Arbeit gerne originelle Gadgets als Eye-Catcher und Incentives; diese Gadgets - etwa Pokoyskis Giveaways à la Passworthalter, Lego-Virenbausatz oder Virenquartett - können in abgewandelter Form durchaus für mehrere Projekte Verwendung finden.

Im Spannungsfeld zwischen ausgefeilten, unternehmensspezifischen Awareness-Projekten und billigem, aber vielleicht auch schnell wieder vergessenem Awareness-Material stellt sich die Frage, wie jene Unternehmen zu einer nachhaltigen Sicherheitskultur kommen sollen, die sich kein teures Individual-Consulting leisten können.

Experten wie Michael Helisch von Hecom betonen hier die Bedeutung einer Unternehmenskultur, die den einzelnen Mitarbeiter ernst nimmt und ein angenehmes und damit motivierendes Arbeitsumfeld schafft, während Dr. Johannes Wiele von der Defense AG auf das Coaching der Führungskräfte setzt, die dann wiederum als Vorbild für ihre Kollegen dienen (sollten).

Die inzwischen schon einigermaßen verbreiteten und erschwinglichen Social Software-Lösungen bietet zudem eine geeignete technische Basis, um schnell und hierarchiearm unternehmensweite Diskussionen über Aspekte wie zum Beispiel den Umgang der Mitarbeiter mit IT-Sicherheit auszudiskutieren und gemeinsame Richtlinien für das erforderliche Verhalten zu erarbeiten. Wenn denn Dinge wie “schnell und hierarchiearm”, “ausdiskutieren” und “gemeinsam erarbeiten” überhaupt erwünscht sind…

Best Practices für Awareness-Arbeit diesseits aufwändiger individueller Consulting-Projekte müssen sich wohl erst noch etablieren.  Wer weiß Beispiele dafür?

Geschrieben in Social Software, Security Awareness, Cartoon | Keine Kommentare »