, ,

Sicheres Arbeiten im Home Office – Jetzt aber wirklich!

Nach zwei Jahren der Pandemie kann man schon einmal Bilanz ziehen: Was hat gut geklappt, und an welchen Stellen muss noch nachgebessert werden? Von einem pragmatischen Standpunkt und rein aus der Funktionalität heraus ist das Arbeiten im Home-Office für viele von uns zur neuen Normalität geworden. Allerdings ist das noch lange kein Anlass, sich auf dem Erreichten auszuruhen.

Wie wir in einem vorherigen Beitrag bereits angedeutet hatten, müssen neben den technischen Fragestellungen auch viele rechtliche, organisatorische, methodische und auch psychologische Fragestellungen beantwortet werden, bevor man wirklich von einem sicheren und datenschutzkonformen Arbeiten im Home-Office sprechen kann.

So sind beispielsweise Regelungen für das Drucken im Home-Office durchaus notwendig – und dabei geht es nicht voranging um die Kosten für Papier oder Druckertinte, es geht vielmehr um die Details des Drumherum. Darf ich rein formal überhaupt mein privates Equipment für dienstliche Zwecke nutzen, oder besteht ein Verbot des Arbeitgebers? Und wenn ich es darf – ist es mir technisch möglich, den passenden Druckertreiber zu installieren? Speichert der Drucker vielleicht den Dokumenteninhalt langfristig? Wie soll ich die Ausdrucke im Home-Office lagern, damit auch Familienmitglieder oder gar Besucher keinen Einblick erhalten können? Habe ich eine sichere Transportmöglichkeit, um die Ausdrucke bei Nichtgebrauch in der Firma sicher entsorgen zu können? Oder ist es akzeptabel, wenn ich stattdessen den privaten Shredder zur Vernichtung benutze? Schon so einfache Fragen wie die nach dem Drucken im Home-Office erzeugen einen weitreichenden Klärungsbedarf – und diese Fragen müssen geklärt werden, weil die angesprochenen Lücken ansonsten offen bleiben.

Auch weniger technische Aspekte wie z.B. die Einbindung aller Beteiligten in die innerbetrieblichen Informationsflüsse, das Aufrechterhalten des Austauschs mit den Kollegen und viele weitere Punkte müssen umgesetzt sein, damit das Arbeiten außerhalb der betrieblichen Räumlichkeiten zu einem Erfolgsmodell wird, ohne das bestehende Sicherheitsniveau zu gefährden. Denn durch diese neue Normalität kommen auch neue Gefährdungen der Informationssicherheit hinzu.

So ist es z.B. durchaus nachvollziehbar, dass man sich in seinen eigenen vier Wänden sicher fühlt, und dadurch leider unvorsichtiger wird – und schon öffnet man eine angebliche Mail von einem IT-Dienstleister, in der die Vergrößerung des Postfachs angeboten wird. Im dienstlichen Umfeld dagegen hätte man diese Mail vielleicht als Phishingversuch erkannt, z.B. durch einen kurzen Gedankenaustausch mit dem Kollegen gegenüber.

Nun ist das Home-Office sicher keine neue Erfindung. Einige Anregungen zur sicheren und datenschutzkonformen Gestaltung des Arbeitens im Home-Office finden sich bereits in etablierten Normen und Standards, wie z.B. dem „IT-Grundschutz“ des BSI oder in der ISO 27001.

Wünschen Sie sich, sich mit Anderen darüber auszutauschen? Dann ist eventuell unser eintägiges Seminar für Sie interessant. In dem zeigen wir thematisch breit, aber trotzdem praxisorientiert, wie das Arbeiten im Home-Office sinnvoll, sicher und datenschutzkonform organisiert werden kann!

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, , ,

Awareness – Maßnahme oder Konzept? – Teil 3

In den bisherigen Artikeln (Teil1 und Teil2) hatten wir gezeigt, wieso es einer Behandlung der „Schwachstelle Mensch“ bedarf und warum es notwendig ist, diese Behandlung nicht als einzelne Maßnahme zu sehen, sondern vielmehr als langfristiges und systematisches Konzept, mit dem eine Änderung im Verhalten hin zu einem nachhaltig sicheren Agieren erreicht werden soll.

Solch ein Konzept benötigt einige Ressourcen – der zeitliche Aufwand für die Organisation einer einzelnen Veranstaltung ist dabei die offensichtlichste, aber bei weitem nicht die einzige Komponente. Hinzu kommen Überlegungen zu den Inhalten der Veranstaltung: Welche Ziele hinsichtlich Informationssicherheit sollen erreicht werden? Welche Darbietungsform ist hierfür optimal? Und wie soll die gewählte Darbietungsform mit den konkreten Inhalten gefüllt werden? Weiterhin muss natürlich auch der Zeitaufwand der Teilnehmer mit eingeplant werden. Kleine Erinnerung an Teil 1: eLearning kann den Zeitrahmen für die Teilnehmer deutlich entzerren, wenn es denn inhaltlich zum Thema passt!

Zu der Formulierung von Zielen für Awareness-Maßnahmen gehört ebenso die Überlegung, wie die Erreichung dieser Ziele überprüft werden soll. Die Überprüfung kann dabei auf sehr verschiedene Arten erfolgen – so könnte z.B. das eLearning mit einem kleinen Online-Test abgeschlossen werden. Aber auch andere Messverfahren sind denkbar, wie die Auswertung von Kennzahlen (z.B. ein Vergleich von gemeldeten Spammails vor und nach der Schulung), Umfragen, Quiz …

Unterlagen und Redner

Zur Ressourcenplanung gehören noch weitere Fragestellungen, wie z.B. die Auswahl von passenden Schulungsunterlagen. Hier gibt es grundsätzlich zwei Möglichkeiten: selber anfertigen oder von externen Anbietern einkaufen. Beide Varianten haben dabei ihre spezifischen Vor- und Nachteile. So hat man bei selbst erstellten Unterlagen einen größeren Einfluss auf Gestaltung, Inhalte, unternehmensspezifisches Aussehen und die ganz speziellen, eigenen Abläufe. Andererseits fehlt bei diesem Vorgehen oftmals der hilfreiche, zusätzliche Blick eines Außenstehenden, der sowohl in die Gestaltung als auch bei den Inhalten eine frische, neue Sichtweise liefern kann.

Und noch eine Frage stellt sich: Wer soll es machen? Auch hier können beide Varianten gut funktionieren – der kompetente, interessante externe Experte oder Trainer, der ein Sachthema spannend darbieten kann, oder ein interner Mitarbeiter, der vielleicht das Thema Awareness langfristig betreut und die konkreten Prozesse im Unternehmen gut kennt. Auch der Informationssicherheitsbeauftragte (ISB) kann oftmals in den Veranstaltungen als Vortragender agieren – schließlich ist die Informationssicherheit Kerntätigkeit des ISB, d.h. er wird auch inhaltlichen Rückfragen gut beantworten können. Genaugenommen muss man sich nur eine Frage beantworten: Kann und will ich in solchen Veranstaltungen als Vortragender auftreten?

Was Sie auch interessieren könnte:

Seminar:

„Security Awareness – Führungsaufgabe und Konzept“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, , ,

Sicheres Arbeiten im Home Office – Dienst ist Dienst,…

In den bisherigen Artikeln zum sicheren Arbeiten im Home Office wurde deutlich, dass die breite Nutzung von Home Office auch als Türöffner für die Digitalisierung und Weiterentwicklung von betrieblichen Prozessen gesehen werden kann. Wichtig ist hierbei, dass die Regelungen und Vorgaben aus dem betrieblichen Umfeld nicht immer 1-zu-1 direkt auf das Arbeiten im häuslichen Umfeld übertragen werden können. Sicher soll das Home Office sein, aber auch praktikabel und mit überschaubarem Aufwand zu gestalten.

Eine häufig auftretende Fragestellung in diesem Themengebiet ist die nach der Privatnutzung: Ist es statthaft, private Geräte (oder private Peripherie) für dienstliche Zwecke zu nutzen? In Diskussionen hierzu findet sich oft die Abkürzung BYOD – „Bring Your Own Device“. Aber auch die entgegengesetzte Fragestellung sollte beantwortet werden: Ist die private Nutzung von dienstlicher Ausstattung zulässig? Die eigentliche Schwierigkeit bei der Beantwortung entsteht durch die Vermischung von dienstlichen und privaten Inhalten. So ist es ohne zusätzliche Maßnahmen kaum möglich, die privaten Fotos auf dem Mobiltelefon von den dienstlichen zu unterscheiden, ebenso wie die gespeicherten Kontakte oder die versendeten Emails. Es zeigt sich somit der Konflikt zwischen Arbeitnehmerrechten und Datenschutz auf der einen Seite und dem berechtigten Interesse des Unternehmens an dem Schutz sensibler Informationen auf der anderen Seite.

Ansatz 1: Strikte Trennung

Als sinnvoll haben sich hier nur zwei Lösungsansätze erwiesen. Da wäre als erster Ansatz die strikte Trennung von dienstlicher und privater Nutzung – dienstliche Informationen dürfen ausschließlich auf dienstlichen Geräten verarbeitet werden. Dieser Ansatz ist einfach zu verstehen, erfordert aber Konsequenz und auch einigen Aufwand in der Umsetzung: externer Monitor, Maus und Tastatur für ein ergonomisches Arbeiten, vielleicht noch einen Drucker oder weitere Peripherie … Was oft vergessen wird: wenn hier nicht die im Unternehmen übliche Standardperipherie gestellt wird, neigen Nutzer dazu, ersatzweise bereits vorhandene private Peripherie zu nutzen, die nicht immer sicher ist (z.B. nicht durchgeführte Firmwareaktualisierung beim privaten Drucker oder Nutzung des Smart-TV als Monitor), oder die durch notwendige Treiberinstallationen einen erhöhten Supportaufwand in der IT-Abteilung erzeugen.

Ansatz 2: MDM

Insbesondere für Mobilgeräte bietet sich als Lösung für das angesprochene Problem der Vermengung privater und dienstlicher Daten ein „Mobile Device Management“ (MDM) an. Diese Art von Software dient der zentralen Verwaltung der dienstlichen Mobilgeräte und ermöglicht – zumeist durch Containerisierung – die vollständige Trennung von dienstlichen und privaten Inhalten. Dadurch ist es beispielsweise möglich, den dienstlichen Container mitsamt den dienstlichen Inhalten komplett aus der Ferne zu löschen, ohne dass die privaten Inhalte außerhalb des dienstlichen Containers betroffen wären.

Es zeigt sich im Verlauf dieser Artikelserie deutlich, dass es für ein sicheres Arbeiten im Home Office in hohem Maße auf organisatorische Regelungen und Überlegungen ankommt, um nicht nur das Arbeiten sicher zu machen, sondern um auch für die Weiterentwicklung und Verbesserung der betrieblichen Abläufe einen Nutzen zu generieren.

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, , ,

Awareness – Maßnahme oder Konzept? – Teil 2

Im vorherigen Blogartikel “AWARENESS – MASSNAHME ODER KONZEPT?” hatten wir bereits angerissen, warum neben der Betrachtung von technischen Aspekten auch das Einbinden der Mitarbeiter zwingend notwendig ist, um ein hohes Maß an Informationssicherheit zu erreichen. Dieser Ansatz, den Menschen in den Mittelpunkt der Betrachtung zu stellen, spiegelt sich in der Fragestellung „Maßnahme oder Konzept?“ wider. Es sollte das Ziel von Awarenesskonzepten sein, die Befähigung der Mitarbeiter zu sicherem Handeln zu entwickeln und zu fördern.

Dabei sind drei Aspekte gleichermaßen bedeutsam: Wissen, Wollen und Können. „Wissen“ meint hier das reine fachliche Wissen des Einzelnen, z.B. wie ein Programm bedient wird oder welche Regelungen und Vorgaben es für Besucher oder für das Arbeiten im Homeoffice gibt. „Wollen“ adressiert die innere Bereitschaft, dieses Wissen auch anwenden zu wollen, die Vorschriften zu beachten, weil sie sinnvoll, einleuchtend und notwendig sind und einem akzeptierten Zweck dienen. „Können“ hinterfragt schließlich die objektiven, alltäglichen Situationen – ob es den Mitarbeitern möglich ist, das „Wissen“ auch wirklich anzuwenden, ob der Alltag es bei allem „Wollen“ eben auch zulässt, passend zu handeln. Probleme wie eine schlechte Softwareergonomie, Stresssituationen durch Überlastung oder andere Ausnahmesituationen oder aber der Rückfall in alte Gewohnheiten können das „Wollen“, trotz allem „Wissens“, stark behindern.

Der Aspekt „Wissen“ wird in den meisten Awarenessmaßnahmen zuvorderst bearbeitet. Das Beispiel eLearning aus dem vorherigen Artikel ist hier nur eine von vielen Möglichkeiten, zeigt aber genaugenommen lediglich die Methode der Darbietung, nicht zwingend einen bestimmten Inhalt. So könnte ein eLearning genauso gut Informationen über Unternehmensvorgaben zur Informationssicherheit oder eine Schulung zu einem Tool enthalten. (Falls sich ein Leser darüber wundert – die Fehlbedienung von Software kann durchaus zu Informationssicherheitsvorfällen führen. Man denke nur an die Klassiker „E-Mail weiterleiten an Alle“, oder an „Natürlich will ich alles löschen“ … )

Neben den allgegenwärtigen Powerpoint-Präsentationen und dem angesprochenen eLearning gibt es viele weitere Methoden zur Vermittlung von „Wissen“. Checklisten (z.B. zum Verhalten auf Dienstreisen, zum Arbeiten im Homeoffice oder beim Verlust von Geräten) unterstützen die Mitarbeiter in ungewohnten Situationen, und in Mitarbeitergesprächen könnte an die Verpflichtungen aus dem Arbeitsvertrag erinnert werden.

Was Sie auch interessieren könnte:

Seminar:

„Security Awareness – Führungsaufgabe und Konzept“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

Sicheres Arbeiten im Home Office – einige weitere Gedanken

Wie wir in dem vorherigen Artikel beschrieben hatten, bietet die Einführung und dauerhafte sichere Nutzung des Arbeitens im Home Office vielfach Anlass oder sind Auslöser, um Abläufe und Prozesse im eigenen Unternehmen zu überdenken und zu digitalisieren. Dazu gehören natürlich auch Prozesse zum Support und zur Infrastruktur.

Internetbasierte Lösungen

In der Zeit des ersten Lockdowns war es für die IT-Abteilungen oftmals eine große Herausforderung, ausreichend Geräte und Einwahlverbindungen für alle Mitarbeiter für die mobile Nutzung von zu Hause zur Verfügung zu stellen. Andererseits zeigt sich an dieser Stelle deutlich ein Vorteil von internetbasierten Lösungen: man benötigt eben keine Einwahlverbindung für das Speichern der soeben frisch erstellten Dokumente oder zum Starten einer Videokonferenz mit den Kollegen, wenn auf diese Dienste per Internet zugegriffen werden kann.

Ein weiterer Sicherheitsaspekt ist die zentrale Ablage – es gibt keinen Grund mehr, Dateien lokal auf dem Rechner abzulegen, um sie „später“ hochzuladen, d.h. man führt die Dateien auch nicht mehr mit sich, ein Verlust (im Sinne von: ich kann die Inhalte nicht wiederherstellen) ist ausgeschlossen. Voraussetzung ist natürlich ein zuverlässiger Betrieb einer solchen Lösung, damit sie von den Mitarbeitern auch angenommen und akzeptiert wird. Zugleich ergibt sich in einer solchen Konstellation die Möglichkeit, das Backup von Endanwendergeräten komplett zu überdenken – warum sollten diese Geräte gesichert werden, wenn alle relevanten Daten zentral abgelegt sind und sowohl vom Firmengelände aus als auch im Home Office jederzeit genutzt werden können? Die dargestellte Konstellation erleichtert also auch für die IT-Abteilungen das Anfertigen von Datensicherungen, da sich alle relevanten Dateien nur in einigen wenigen, bekannten Systemen befinden.

Turnschuhadministration vs Fernwartung

Dafür kommt auf die IT-Abteilungen eine andere Herausforderung zu: Wie erfolgt der Support der Mitarbeiter im Home Office? Während in großen Unternehmen häufig schon vor der Pandemie Lösungen zur Fernwartung umgesetzt waren, findet man in kleineren Unternehmen solche Konzepte nicht so oft – schließlich hat man ja kurze Wege, und „Turnschuhadministration“ funktioniert im Büro sehr zuverlässig. Man wird also kaum umhinkommen, für die Sicherstellung der technischen Unterstützung im Home Office eine Lösung zur Fernwartung zu etablieren.

Datensicherung, Patchmanagement und technischer Support sind neben den in einem vorherigen Artikel angesprochenen organisatorischen Fragestellungen Punkte, die für ein sicheres Arbeiten im Home Office in technischer Hinsicht unbedingt betrachtet werden sollten.

Wünschen Sie sich, sich mit Anderen darüber auszutauschen? Dann ist eventuell unser eintägiges Seminar für Sie interessant. In dem zeigen wir thematisch breit, aber trotzdem praxisorientiert, wie das Arbeiten im Home-Office sinnvoll, sicher und datenschutzkonform organisiert werden kann!

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

Podcast – Security on Air – Heute ISO 27701

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Informationssicherheit und Datenschutz lassen sich aus dem heutigen Geschäftsalltag nicht mehr wegdenken. Gesetzliche Anforderungen, Bedrohungsszenarien von außen, aber auch das eigene Bewusstsein, mit Daten und Informationen schützend umzugehen erhöhen die Notwendigkeit sich mit den Themen nachweisbar zu beschäftigen.

Die ISO 27701 gibt eine Hilfestellung, den Datenschutz in ein bestehendes Informationssicherheits-Managementsystem zu integrieren.

In unserem Podcast zur ISO 27701 befassen wir uns damit, wie die ISO 27701 aufgebaut ist, wie sie im Rahmen der ganzen ISO 2700er Reihe einzuordnen ist und was bei der Umsetzung beachtet werden muss.

In unserer Folge “ ISO 27701 – den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren“ gehen wir auf folgende Aspekte ein:

  • Was ist die ISO 27701 und wie ist sie einzuordnen?
  • Synergien aus einem bereits zertifizierten Managementsystem nutzen
  • Wofür der Aufwand? Nutzen einer Einführung der ISO 27701

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von
, , ,

Datenschutz in ein bestehendes ISMS integrieren (Teil 2 – Pflichten des Verantwortlichen)

Im ersten Teil dieser Artikel-Serie haben wir uns mit dem risikobasierten Ansatz beschäftigt, der der Informationssicherheit und dem Datenschutz gemein ist. In diesem Artikel soll es um die Referenzmaßnahmenziele und -Maßnahmen zu den Pflichten des Verantwortlichen gehen.

Im Anhang A der ISO 27701:2021 werden die Referenzmaßnahmenziele und -Maßnahmen (Controls) definiert, die speziell für Verantwortliche im Sinne des Datenschutzes gedacht sind. Sie dienen der Erfüllung der Pflichten des Verantwortlichen. Der Anhang B, dem ich mich in einem späteren Blog-Artikel widmen werde, spezifiziert Controls für Auftragsverarbeiter.

Die Nummerierung der Controls funktioniert analog zur ISO 27001. Das bedeutet, dass sich die Nummerierung auf die entsprechenden Norm-Kapitel der ISO 27701 bezieht. In der ISO 27701 sind die Normkapitel 7 und 8 ähnlich aufgebaut wie die Kapitel der ISO 27002:2013. Es gibt Zielsetzungen, Maßnahmen und Leitlinien zur Umsetzung. Die Anhänge A.7 und A.8 beziehen sich dann auf die entsprechenden Abschnitte der Kapitel 7 und 8.

Pflichten des Verantwortlichen

Die Tabelle im Anhang A der ISO 27701 gliedert sich in vier Abschnitte – A.7.2 bis A.7.5. Alle Controls müssen vor dem Hintergrund der anwendbaren Datenschutzgesetzgebung betrachtet werden. Ähnlich wie in der ISO 27001 wird nicht vorgeschrieben, wie etwas umzusetzen ist, sondern vielmehr, um welche Themenbereiche man sich zu kümmern hat. Dabei dürfen die Controls im Datenschutz nicht ausschließlich nach eigenen Vorstellungen umgesetzt werden, sondern so, dass die für die eigene Organisation zutreffenden gesetzlichen Bestimmungen erfüllt werden. Die Umsetzungshinweise in Kapitel 7 sind dabei oftmals notwendige, aber keine hinreichenden Bedingungen.

Pflichten des Verantwortlichen zu Bedingungen für die Erhebung und Verarbeitung

A.7.2 beschreibt 8 Controls zu den Bedingungen für die Erhebung und Verarbeitung personenbezogener Daten. Hier werden datenschutzrechtliche Grundsätze wie die Zweckbindung und Rechtmäßigkeit der Verarbeitung adressiert. Darüber hinaus beschäftigt sich der Abschnitt mit Verfahren zur Einholung von Einwilligungen, zur Datenschutzfolgeabschätzung, zu Verträgen mit Auftragsverarbeitern und gemeinsame Verantwortlichkeiten (Joint Controllership). Zum Schluss werden Aufzeichnungen und Nachweise thematisiert.

Verpflichtungen gegenüber betroffenen Personen

A.7.3 beschreibt 10 Controls: Von der Bestimmung der eigenen Pflichten gegenüber Betroffenen bis zum Definieren und Umsetzen entsprechender Prozesse sind hier alle entscheidenden Pflichten des Verantwortlichen gegenüber Betroffenen adressiert.

Verantwortlichen zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

A.7.4 beschreibt 9 Controls zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Dieser Abschnitt beschäftigt sich mit den Themen Privacy by Default und Privacy by Design.

Pflichten des Verantwortlichen zur Weitergabe, Übertragung und Offenlegung von personenbezogenen Daten

A.7.5 beschreibt 4 Controls zur Weitergabe, Übertragung und Offenlegung von personenbezogenen Daten. Dabei wird insbesondere der Bereich der Übermittlung in Drittstaaten adressiert.

Was Sie auch interessieren könnte:

Seminar:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

Podcast – Security on Air – Heute BCM

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Ziel aller Unternehmen ist es die Produktivität, die Wettbewerbsfähigkeit und damit den Fortbestand des Unternehmens zu sichern. Damit die Geschäftstätigkeit auch im Angesicht von Notfällen und Krisen bestmöglich aufrecht erhalten bleibt, ist die Einführung eines Business Continuity Management Systems – kurz BCM sinnvoll.

In unserem Podcast zum Thema BCM befassen wir uns in 2 Folgen damit, wie ein BCM aufgebaut werden sollte, was es alles zu beachten gilt und geben auch kleine Tipps und Denkanstöße, um bestmöglich auf Störungen vorbereitet zu sein.

In der Folge 1 „die ersten Schritte“ geben wir einen groben Überblick über alles was beim BCM bedacht werden muss.

Dabei gehen wir auf folgende Aspekte ein:

  • Was bedeutet BCM und welche Vorgaben gibt es?
  • Wie fängt man an ein BCM aufzubauen?
  • Die Business Impact Analyse als Teil des BCM
  • Dokumentieren aller Informationen – in welcher Form?
  • Regelmäßiges Überprüfen und Verbessern ist Pflicht

In der Folge 2 „jetzt aber richtig“ steigen wir tiefer in das Thema BCM ein – wo liegen Stolperfallen, wie sinnvoll sind Übungen und welche Aufgaben und Verantwortlichkeiten hat das BCM Team.

Hier beleuchten wir folgende Aspekte:

  • Wie definiert man Störungen, die für das Unternehmen zutreffen können?
  • Was muss bei Dienstleistern und Lieferanten beachtet werden?
  • Üben und Verbessern – wie geht man am sinnvollsten vor?
  • Wie entwickelt sich das BCM weiter?
  • Ein BCM unterstützt bei allen Prozessen, nicht nur im Fall der Fälle

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

/von
, ,

Awareness – Maßnahme oder Konzept?

Wenn man sein tägliches Umfeld betrachtet, kommt man leicht zu dem Schluss, dass der Start in das Informationszeitalter längst geschehen ist. Sowohl personenbezogene Daten als auch sonstige Informationen nehmen einen bedeutenden Teil der Wertschöpfung ein. Damit sind sie für das erfolgreiche Agieren von Unternehmen notwendig und damit auch wertvoll. Alltägliche Dinge wie das elektronische Bezahlen an der Supermarktkasse oder die Fahrt mit der Bahn benötigen funktionierende und sichere Systeme zur Informationsverarbeitung.

Natürlich denkt man zuerst an technische Maßnahmen, wenn es um den sicheren Betrieb von technischen Systemen geht, sei es am eigenen Computer oder auf dem Leitstand des Kraftwerkes. Doch auch der Mensch, der Benutzer von Systemen, muss als „Sicherheitslücke“ gesehen werden. Und genau an dieser Stelle setzen Awareness -Konzepte an. Ziel dieser Konzepte ist es, die Einstellungen, das Wissen und das Handeln von Menschen so zu ändern, dass die „Sicherheitslücke Mensch“ geschlossen wird.

Awareness als Konzept

Das kann natürlich nicht mit einer einzelnen Schulung oder Unterweisung erreicht werden. Ein Awareness -Konzept beschreibt vielmehr ein systematisches, langfristig orientiertes Herangehen an die Erhöhung des Sicherheitsbewusstseins. Damit verbunden sind mehrere, aufeinander abgestimmte, an Situation, Thema und den Adressatenkreis angepasste Maßnahmen. Es ist sicher nachvollziehbar, dass das wiederholte Zeigen von ein und derselben Präsentation eher Ablehnung hervorruft. Es geht bei guten Awareness -Konzepten also darum, für die Teilnehmer auch Abwechslung zu schaffen, Wiederholungen anders zu verpacken, oder auch die Form der Darbietung zu ändern. Natürlich müssen die Inhalte von solchen Maßnahmen auch aktualisiert und an die Empfänger angepasst werden.

Eine Möglichkeit, Abwechslung zu schaffen, Wissen zu vermitteln und zusätzlich auch den Lerneffekt zu prüfen, sind eLearnings: den Mitarbeitern werden neue Inhalte in kleinen Videosequenzen dargestellt und erklärt, danach erhält man bei Bestehen eines Abschlusstests eine Urkunde. Nebeneffekt bei dieser Art von Awareness -Maßnahme: die zeitliche Unabhängigkeit der Durchführung. Es ist nicht notwendig, für alle Teilnehmer einer Veranstaltung einen gemeinsamen Termin zu finden, und bei Bedarf kann man sich die Inhalte teilweise oder auch komplett noch einmal anschauen. Zusätzlich werden Aufwand und Kosten für die Referenten gespart.

Abwechslung bereichert das Awareness -Konzept und erhöht die Bereitschaft, die dargebotenen Inhalte auch für sich selber anzunehmen – sprich: das Sicherheitsbewusstsein wurde ein bisschen verbessert! Also, auf zur nächsten Maßnahme …
Ein kleiner Eindruck, wie so ein eLearning aussehen *könnte*, findet sich auf unserer Webseite.

Was Sie auch interessieren könnte:

Seminar:

„Security Awareness – Führungsaufgabe und Konzept“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

Podcast – Security on Air – Heute eLearning

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Auditoren achten sehr darauf, dass die Mitarbeiter ausreichend geschult und informiert werden, wenn Sie ein Managementsystem auditieren. Denn erst wenn jeder Mitarbeiter weiß, wie er wann zu reagieren hat und wie er Gefahren erkennt, kann er auch korrekt handeln.

Das eLearning bietet hier eine zeitlich flexible, ortsungebundene und meist auch günstige Lösung die Mitarbeiter zu erreichen. Dabei wird auf das individuelle Lernverhalten und die jeweilige Arbeitssituation des Mitarbeiters eingegangen, um einen optimalen Lernerfolg zu erzielen.

In dieser Podcast-Folge zum Thema „eLearning“ möchten wir Ihnen die Vor- und Nachteile, die ein solches eLearning hat, aufzeigen und Ihnen ein paar Hinweise an die Hand geben, worauf Sie beim Einsatz achten sollten.

In unserer Folge “eLearning“ gehen wir auf folgende Aspekte ein:

  • Was fällt alles unter den Begriff eLearning
  • Welche Vorteile bietet es sowohl für das Unternehmen als auch den Mitarbeiter
  • Wie können etwaige Nachteile abgeschwächt werden
  • Welche rechtlichen Aspekte gibt es zu beachten

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Auf unserer Webseite unter https://anmatho.de/seminare/elearning/ finden Sie die wichtigsten Informationen zu unserem eLearning-Portal. Informieren Sie sich jetzt und kontaktieren Sie uns unter Tel.: 040 229 47 19 0 oder per E-Mail unter seminare@anmatho.de.

/von

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Erste Brunnenstraße 1
20459 Hamburg

Tel: +49(0)4022947190
Fax: +49(0)40229471919
E-Mail: info@anmatho.de

Wir sind Mitglied im:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen

Cookie-Einstellungen