TISAX® – Informationssicherheit im Detail, Teil 9

In einem der vorherigen Artikel (Teil6; Teil5) wurden einige Fragestellungen zum Arbeiten im Homeoffice angerissen. Sowohl in dem genannten als auch in weiteren Artikeln überwogen technische Betrachtungen – höchste Zeit, einmal explizit den Bereich der Personalsicherheit anzusprechen.

Personalsicherheit sollte sinnvollerweise über den gesamten Lebenszyklus berücksichtigt werden, nämlich beginnend vor der Einstellung, während der Beschäftigung und auch nach der Beschäftigung.

Informationssicherheit – vor der Beschäftigung, …

Selbstverständlich wird bei der Einstellung eines Bewerbers die rein fachliche Eignung geprüft. Es kommt allerdings auch vor, dass im Zuge der Einstellung eine mehr oder weniger intensive Sicherheitsüberprüfung hinzukommt. Die Intensität der Sicherheitsüberprüfung hängt natürlich u.a. von der Kritikalität der neu zu besetzenden Stelle ab, bzw. von der Kritikalität der bei dieser Tätigkeit genutzten Informationswerte.

Zeitgleich mit der Einstellung werden die neuen Mitarbeiter auf die Einhaltung der Vorgaben der Informationssicherheit, auf Geheimhaltung und den Datenschutz verpflichtet. Insbesondere bei Projekten im Rahmen von TISAX®, bei denen mit sensiblen Informationswerten der Kunden umgegangen wird, kommt es oft vor, dass solchen Verschwiegenheitserklärungen speziell für das jeweilige Projekt erweitert werden. Auf diese Art wird sichergestellt, dass alle Projektbeteiligten nicht nur auf die eigenen Anforderungen hinsichtlich Geheimhaltung und Verschwiegenheit verpflichtet sind, sondern auch auf die Vorgaben des jeweiligen Kunden.

… während der Beschäftigung, …

Natürlich ist völlig klar, dass sich die Umsetzungen von Vorgaben und Regeln in den jeweiligen Unternehmen deutlich voneinander unterscheiden können. Außerdem wird nicht für jede Stelle im Unternehmen ein profundes Fachwissen zur Informationssicherheit vorausgesetzt. Dieses fehlende Wissen wird fortlaufend in Schulungen vermittelt, begleitend zur eigentlichen Tätigkeit. Solche Schulungen können sowohl Fachwissen beinhalten (z.B. „Wie wird Tool X bedient?“) als auch Informationen über die konkreten betrieblichen Regelungen (z.B. „Wie werden Vorfälle gemeldet?“ oder „Welche Regelungen gelten für das Homeoffice?“). Und natürliche enthalten die Schulungen meist auch frische Erkenntnisse und Hinweise über neu erkannte Risken und Angriffsmethoden.

Zur Personalsicherheit gehört es, dass die Mitarbeiter von Seiten der Informationssicherheit in die Erkennung und Meldung von Vorfällen mit eingebunden werden. An dieser Stelle wird von den Mitarbeitern keine tiefgreifende Expertise zur Informationssicherheit erwartet. Was dagegen sehr wohl erwartet wird, ist des Erkennen und Melden von tatsächlichen oder vermuteten Informationssicherheitsvorfällen sowie von tatsächlichen oder vermuteten Schwachstellen. Die finale Entscheidung, ob es sich tatsächlich um einen Vorfall oder eine Schwachstelle handelt, wird meist vom Informationssicherheitsbeauftragten (ISB) getroffen. Für ein möglichst umfassendes Lagebild sind die ISB jedoch auf die Hinweise der Mitarbeiter angewiesen – dies umso mehr, je größer und unübersichtlicher eine Liegenschaft ist. Diese Mitarbeit wird meist sowohl verbindlich gefordert als auch in Schulungen thematisiert (z.B. Meldewege, Ansprechpartner, Arten von Vorfällen u.ä.).

… und nach der Beschäftigung

Der Lebenszyklus der Personalsicherheit schließt mit der Beendigung der Tätigkeit. Aus der Sicht der Informationssicherheit geht es hier nicht nur um die Rückgabe aller Informationswerte (z.B. Notebook, Schlüssel) und den Entzug nicht mehr benötigter Berechtigungen. Vielmehr wird der Mitarbeiter meist auch noch einmal auf die Verschwiegenheitspflicht hingewiesen, die für einen bestimmten Zeitraum auch nach Beendigung des Vertragsverhältnisses gilt.

Viele der geschilderten Abläufe sind in innerbetrieblichen Prozessen und Vorgaben abgebildet, um eine zuverlässige Durchführung sicherzustellen, wie z.B. das On- oder das Offboarding.

Was Sie auch interessieren könnte:

Seminar:

„TISAX® – Informationssicherheit in der Automobilindustrie“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!