Nachdem Sie meinen Blogbeitrag gelesen haben, werden Sie wissen, wie Sie Ihre nächste Awareness-Kampagne für IT-Sicherheit angehen müssen. Sie erhalten konkrete Ratschläge zur Themenwahl, zum Finden von Verbündeten und zur Messbarkeit der Wirkung der Kampagne.
IT-Sicherheit besitzt nicht gerade den Ruf einer toppinteressanten Thematik. In den Augen vieler ist sie eine zeitaufwändige, langweilige und mit Einschränkungen verbundene Angelegenheit.
Doch so wie sich beispielsweise bei einer Vorher-Nachher-Show im Fernsehen aus einem grauen Mäuschen mit Hilfe von Friseuren, Stylisten und Modeexperten eine aufsehenerweckende, interessante Erscheinung machen lässt, können Sie dem Thema IT-Sicherheit ein Umstyling verpassen, damit es präsenter, wichtiger und interessanter wird.
Hierzu müssen sie Folgendes tun:
Wichtig ist vor allem, dass sich die Firmenleitung in Sachen IT-Sicherheit engagiert. Und zwar aus zwei Gründen:
Zum einen muss den Mitarbeitern durch die Firmenleitung vermittelt werden, weshalb IT-Sicherheit so wichtig ist. Denn eine von dieser Stelle ausgehende Botschaft hat mehr Gewicht.
Und zum anderen sind Awareness-Kampagnen mit Kosten verbunden. Sie kosten Arbeitszeit- und aufwand. Die benötigten Ressourcen bekommen Sie aber nur, wenn Sie der Firmenleitung nahe bringen können, warum Sie eine Awareness-Kampagne brauchen. Im Fall von Beanstandungen in der Abschlussprüfung oder wenn Sie nach ISO 27001 gehen müssen, haben Sie ein schlagkräftiges Argument. Awareness ist eine in ISO 27001 und -2 gestellte Anforderung, an der kein Weg vorbei führt. Ein verstärktes Augenmerk auf die IT-Sicherheit kann Ihnen außerdem Zeit und Kosten sparen. Und zwar geht es hier sowohl um Kosten in barer Münze als auch auf dem Image-Konto, wenn ein Benutzerfehler ein Datenleck oder einen Systemabsturz verursacht hat.
Bei Awareness geht es außerdem um Kommunikation. Zählt diese nicht zu Ihren ausgemachten Stärken, müssen Sie dafür, sofern vorhanden, Ihre Kommunikations- und Marketingabteilung zu sich ins Boot holen. Die Kollegen aus dieser Abteilung werden Ihnen dabei helfen können, die Mitarbeiter in einer Sprache zu erreichen, die sie verstehen.
Mit den neuen Verbündeten im Rücken müssen Sie nun herausfinden, auf welche Gebiete sich die Awareness-Kampagne konzentrieren soll. Die Auswahl an Themen ist groß - manche sind langhaariger als andere und müssen entsprechend gekürzt werden.
Überlegen Sie sich Probleme aus Ihrer Praxis, die auf Unwissenheit von Benutzern zurückzuführen sind. Beispiele hierfür könnten sein:
Wenn Sie unsicher sind, wenden Sie sich an Ihren HelpDesk oder IT-Support, sofern es diese Funktionen bei Ihnen gibt. Dort wird man Ihnen sagen können, zu welchen Themen die Mitarbeiter am häufigsten Fragen haben. Sie können auch überlegen, ob bei Ihnen kürzlich neue Systeme in Betrieb genommen wurden oder ob Arbeitsvorgänge verändert worden sind. Kommen die Mitarbeiter mit dem Neuen gut zurecht, oder werden viele Fehler gemacht?
Möglicherweise finden Sie dabei mehr Probleme, als Sie bei einer einzigen Awareness-Kampagne aufgreifen können. In diesem Fall müssen Sie die große Schere hervorkramen und sich von weniger wichtigen Dingen trennen. Allerdings sollten Sie sie nicht wegwerfen, sondern für die nächste Kampagne aufheben. Wichtig sind einfache und eingängige Botschaften. Machen Sie lieber eine kurze Kampagne zu einem Einzelthema, dann können Sie dafür öfter Kampagnen durchführen.
Sie müssen sich aus Ihrem stillen Kämmerlein heraus begeben und auf die Leute zugehen. Ihre Mitarbeiter sitzen an ihren Rechnern, gehen zum Essen in die Kantine und kommen regelmäßig zu Besprechungen zusammen. Dort müssen Sie auf sie zugehen. Hierfür können Sie z. B. folgende Mittel einsetzen:
Ein Quiz kann außerdem gegenüber der Firmenleitung deutlich machen, dass Ihre Awareness-Kampagne die Zielgruppe erreicht hat. Setzen Sie sich ein realistisches Ziel. Wenn die Hälfte aller Mitarbeiter am Quiz teilnehmen, haben Sie schon viel erreicht! Ein Quiz kann auch aufzeigen, auf welchen Gebieten verstärkt Schulungsbedarf bei den Mitarbeitern besteht.
Können Sie IT-Sicherheit also attraktiver machen? Auf alle Fälle erreichen Sie viel, wenn Sie sie präsenter, wichtiger und interessanter machen.
Es gibt eine Vielzahl von Programmen für die Gestaltung von Fragespielen. Mit dem GRC Tool erhalten Sie nicht nur die Möglichkeit, Ihre eigenen Fragen und Antworten zu formulieren, sondern können auch mitverfolgen, wie viele (richtige) Antworten gegeben wurden. Ihnen wird außerdem eine ganze Bibliothek von Fragen/Antworten zur IT-Sicherheit zur Verfügung gestellt, aus der Sie auswählen können.
Mit Compliance Quiz können Sie effektiv sicherstellen, dass die Mitarbeiter über die im Unternehmen geltenden Policys und Vorschriften sowie die etwaige Compliance von Normen wie z. B. die ISO 27001 Bescheid wissen.
Sprechen Sie uns an, wenn Sie eine persönliche Vorführung von dem Compliance Tool wünschen