IT-Security vor dem Hintergrund hybrider Arbeitsplatzkonzepte
Arbeit im Homeoffice ohne einschlägige Vorgaben und Trainings
Am Anfang des Corona-bedingten weltweiten „Homeoffice-Experiments“ haben viele Unternehmen Ausnahmeregelungen für Remote-Mitarbeiter erlassen. Spätestens jetzt ist es jedoch an der Zeit, klare Sicherheitsregeln für das dauerhafte Arbeiten von Zuhause zu definieren. Und auch bereits vorher festgelegte Vorgaben sollten nun noch einmal auf den Prüfstand kommen.
Es ist vor allem wichtig, Richtlinien zu definieren, die die Produktivität der Mitarbeiter nicht unnötig einschränken. Zu komplexe Vorgaben mit unüberschaubaren oder unverständlichen Ausnahmeregelungen führen nicht nur zu Frustration und behindern Mitarbeiter im Tagesgeschäft, sondern können am Ende auch wieder zu Lasten der Sicherheit gehen. Es sollte alles darangesetzt werden, den besten Kompromiss zwischen Sicherheit und Handlungsfähigkeit zu finden. Für die Definition von Sicherheitsrichtlinien beim mobilen Arbeiten gibt unter anderem auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) einschlägige Empfehlungen.
Darüber hinaus gilt es ebenso, unternehmensinterne Sicherheitsschulungen entsprechend anzupassen, um dem verlässlichen Arbeiten im Homeoffice die gebührende Beachtung zu schenken. Unternehmen dürfen niemals voraussetzen, dass allen Mitarbeitern die Risiken und potenziellen Schwachstellen des mobilen Arbeitens bewusst sind.
Notfallpläne schließen Homeoffice-Kollegen meist (noch) nicht ein
Ein guter Notfallplan ermöglicht es Unternehmen, den Betrieb aufrechtzuerhalten und irreparablen Schaden zu vermeiden, sollte es beispielsweise zu einem Netzwerkausfall oder Sicherheitsleck kommen. Hier gilt es im Zuge von Homeoffice & Co. zusätzliche Szenarien zu ergänzen, zum Beispiel dass sich ein VPN-Zugang zu Backup-Servern herstellen lässt, wenn der Haupt-VPN-Server ausfällt – inklusive Gewährleistung des rechtzeitigen physischen Zugangs zu den Servern, damit die geschulten Mitarbeiter das Problem schnell beheben können.
Unternehmen, die für den Fall einer Cyberattacke durch Ransomware und andere Gefahren noch keinen Notfallplan in der Schublade haben, sind nicht allein. Nichtsdestotrotz sollte ein solcher unbedingt Teil der Security-Policy werden.
In dem Zusammenhang darf jedoch nicht vergessen werden, dass keine Sicherheitsmaßnahme einen hundertprozentigen Schutz garantieren kann. Zudem wirkt sich jedes „Mehr an Sicherheit“ exponentiell auf die damit einhergehenden Kosten aus. Irgendwann überschreitet der Preis für die Sicherheit dann vielleicht sogar die mit einem Security-Vorfall einhergehenden Verluste. Genau aus diesem Grund haben Sicherheitsexperten (beispielsweise auf Seiten des US-amerikanischen National Institute of Standards and Technology) Formeln entwickelt, mit denen individuell bestimmbar ist, wie viel für Maßnahmen im Rahmen von Geschäftskontinuität und Notfallwiederherstellung (BCDR) ausgegeben werden sollte und wie viel für die Gewährleistung von IT-Sicherheit.
Die Transformation zu hybriden Arbeitsplatzkonzepten treibt derzeit viele Unternehmen um. An dieser Stelle können nur einige der häufigsten Schwachstellen, denen Sicherheitsexperten ihre Aufmerksamkeit schenken sollten, genannt werden. Allerdings haben alle, die die genannten Problemfelder im Griff haben, bereits eine gute Ausgangsposition gegenüber allen weiteren oder neuen Herausforderungen.
