Geschriebene Informationssicherheitsrichtlinien sind für die Informationssicherheit eines Unternehmens unerlässlich. Dies gilt sowohl für große als auch für kleine Unternehmen, da lockere Sicherheitsstandards zum Verlust oder Diebstahl von Daten und persönlichen Informationen führen können. Schriftliche Richtlinien geben Mitarbeitern, Besuchern, Auftragnehmern oder Kunden die Gewissheit, dass Ihr Unternehmen den Schutz ihrer Informationen ernst nimmt.

Informationssicherheitsrichtlinien sind schriftliche Anweisungen für die Sicherung von Informationen. Die Richtlinien sollten Hinweise zu Passwörtern, Gerätenutzung, Internetnutzung, Informationsklassifizierung, physischer Sicherheit – wie z. B. der physischen Sicherung von Informationen – und Meldepflichten enthalten.

Passwort-/PIN-Richtlinie

Die Entwicklung einer Passwort- und PIN-Richtlinie hilft sicherzustellen, dass die Mitarbeiter ihre Anmelde- oder Zugangsdaten auf sichere Weise erstellen. Es wird empfohlen, keine Geburtstage, Namen oder andere leicht zugängliche Informationen zu verwenden.

Gerätekontrollen

Um den Zugang zu Informationen zu kontrollieren, sollten geeignete Methoden für den Zugang zu Computern, Tablets und Smartphones festgelegt werden. Zu den Methoden können Kartenlesegeräte, Passwörter und PINs gehören.

Die Geräte sollten gesperrt werden, wenn der Benutzer weggeht. Zugangskarten sollten entfernt werden, und Passwörter und PINs sollten nicht aufgeschrieben oder an einem Ort aufbewahrt werden, an dem man auf sie zugreifen könnte.

Prüfen Sie, ob es Mitarbeitern erlaubt sein sollte, ihre eigenen Geräte am Arbeitsplatz oder während der Geschäftszeiten mitzubringen und darauf zuzugreifen. Persönliche Geräte können die Mitarbeiter von ihren Aufgaben ablenken und zu unbeabsichtigten Verstößen gegen die Informationssicherheit führen.

Berücksichtigen Sie bei der Ausarbeitung von Richtlinien für die Nutzung persönlicher Geräte auch das Wohlergehen der Mitarbeiter. Familien und Angehörige müssen mit den Mitarbeitern in Kontakt treten können, wenn es zu Hause eine Situation gibt, die ihre Aufmerksamkeit erfordert. Dies kann bedeuten, dass Sie den Familien eine Möglichkeit bieten, ihren Angehörigen Nachrichten zukommen zu lassen.

Es sollten Verfahren für die Meldung von Verlust und Beschädigung von dienstlich genutzten Geräten entwickelt werden. Dazu gehören auch Untersuchungsmethoden zur Feststellung des Verschuldens und des Ausmaßes des Informationsverlustes.

Internet/Web-Nutzung

Der Internetzugang am Arbeitsplatz sollte nur für geschäftliche Zwecke genutzt werden. Die private Nutzung des Internets bindet nicht nur Ressourcen, sondern birgt auch die Gefahr von Viren und kann Hackern Zugang zu Informationen verschaffen.

E-Mails sollten nur über geschäftliche E-Mail-Server und -Clients abgewickelt werden, es sei denn, Ihr Unternehmen ist auf einem Modell aufgebaut, das dies nicht zulässt.

Viele Betrügereien und Versuche, Unternehmen zu infiltrieren, werden über E-Mails initiiert. Es wird empfohlen, einen Leitfaden für den Umgang mit Links, offensichtlichen Phishing-Versuchen oder E-Mails aus unbekannten Quellen zu erstellen.

Erarbeiten Sie mit Ihren Mitarbeitern Vereinbarungen, die das Risiko der Preisgabe von Informationen am Arbeitsplatz über soziale Medien oder andere persönliche Netzwerke minimieren, sofern diese nicht geschäftsbezogen sind.

Verschlüsselung und physische Sicherheit

Sie sollten Verschlüsselungsverfahren für Ihre Informationen entwickeln. Wenn in Ihrem Unternehmen Informationen wie Kreditkartennummern von Kunden in einer Datenbank gespeichert sind, bietet die Verschlüsselung der Dateien einen zusätzlichen Schutz.

Schlüssel- und Schlüsselkartenkontrollverfahren wie z.B. Schlüsselausgabeprotokolle oder getrennte Schlüssel für verschiedene Bereiche können dazu beitragen, den Zugang zu Informationsspeicherbereichen zu kontrollieren.

Wenn eine Identifizierung erforderlich ist, entwickeln Sie eine Methode zur Ausgabe, Protokollierung, Anzeige und regelmäßigen Überprüfung der Identifizierung.

Einrichten Sie ein Besucherverfahren. Besucher-Check-in, Zugangsausweise und Protokolle werden unnötige Besuche eindämmen.

Meldepflichten in der Sicherheitspolitik

Die Mitarbeiter müssen wissen, was sie melden müssen, wie sie es melden müssen und an wen sie es melden müssen. Es sollten klare Anweisungen veröffentlicht werden. Schulungen sollten in die Richtlinie aufgenommen und durchgeführt werden, um sicherzustellen, dass alle Mitarbeiter die Meldeverfahren verstehen.

Befähigen Sie Ihr Team

Ein Schlüssel zur Schaffung wirksamer Richtlinien ist es, sicherzustellen, dass die Richtlinien klar, leicht einzuhalten und realistisch sind. Zu komplizierte oder kontrollierende Richtlinien verleiten die Mitarbeiter dazu, das System zu umgehen. Wenn Sie die Notwendigkeit der Informationssicherheit kommunizieren und Ihre Mitarbeiter befähigen, zu handeln, wenn sie ein Sicherheitsproblem entdecken, werden Sie eine sichere Umgebung entwickeln, in der Informationen sicher sind.