Schlagwortarchiv für: mobiles Arbeiten

,

Sicheres Arbeiten im Home Office – Los geht’s!

In den letzten neun Beiträgen wurden die wesentlichen Elemente für ein sicheres Arbeiten im Home Office dargestellt. Dabei wurden technische Aspekte angesprochen, wie die Geräteausstattung und der Support, die Einbindung der Mitarbeiter in die betriebliche Kommunikation sowie die Nutzung von Privatgeräten.

Aber auch organisatorische Fragestellungen wurden beleuchtet, wie die Notwendigkeit der Erstellung von Vorgaben und Regeln für das Arbeiten im Home Office, die Schulung dieser Regeln oder auch Überlegungen zum Umgang mit klassifizierten Informationswerten. Zur Erinnerung – bei der Klassifizierung geht es um die Schutzziele Verfügbarkeit, Vertraulichkeit, Integrität und auch Authentizität.

In diesem abschließenden Artikel soll noch auf eine Feinheit in den Formulierungen eingegangen werden, die oftmals übersehen wird. „Home Office“, „Telearbeit“ und „mobiles Arbeiten“ werden häufig als identisch betrachtet, sind es aber nicht – und sind auch inhaltlich zu unterscheiden.

Telearbeit

„Telearbeit“ ist im Arbeitsrecht bereits lange Zeit vor der Corona-Pandemie bekannt und bedeutet, dass es für einen Mitarbeiter mehrere Arbeitsstätten geben kann – und eine dieser Arbeitsstätten kann sich in der eigenen Wohnung befinden. Diese Betrachtung bedeutet aber auch, dass die Behandlung dieser Arbeitsstätte in der eigenen Wohnung den gleichen Regeln unterliegt wie der Arbeitsplatz im Unternehmen, was z.B. die Ausstattung, die Ergonomie und generell die Verantwortlichkeit des Arbeitgebers für diese Arbeitsstätte betrifft. Außerdem ist bei Telearbeit die Einbindung des Betriebsrates zu beachten. Aus dem Blickwinkel der Informationssicherheit allerdings ist Telearbeit eher positiv einzuschätzen – eben wegen der umfangreichen Gestaltungsmöglichkeiten des Arbeitens.

Unterscheidung von “Home Office” und “mobilem Arbeiten”

„Home Office“ und auch „mobiles Arbeiten“ sind oftmals im juristischen Sinne nicht so strikt geregelt. Daher ist es notwendig, dass Arbeitnehmer und Arbeitgeber hier eine klare Abstimmung über die Rechte, Pflichten und Abläufe treffen. Einige Anregungen für die Inhalte dieser Abstimmung finden sich in den einzelnen Artikeln dieser Blogreihe.

Auch die beiden Begriffe „Home Office“ und „mobiles Arbeiten“ haben nicht die gleiche Bedeutung. Unter „Home Office“ wird das Arbeiten in der eigenen Wohnung des Arbeitnehmers verstanden. „Mobiles Arbeiten“ geht über diese Bedeutung hinaus. Zumeist bedeutet „mobiles Arbeiten“ das Erbringen der Arbeitsleistung an einem beliebigen Ort. Dies kann die eigene Wohnung sein, es kann aber auch das Zugabteil, die Parkbank oder das Hotelzimmer während einer Dienstreise sein. Entscheidend bei diesen beiden Formen ist, dass Arbeitnehmer beim Arbeiten im Home Office durchaus eigene Gestaltungsmöglichkeiten haben. Beispiele hierfür sind die Nutzung eines Schredders für Papierunterlagen oder des eigenen – vertrauenswürdigen – Internetzugangs. Dagegen sind die Möglichkeiten, die Arbeitsumgebung sicher zu gestalten, beim mobilen Arbeiten deutlich eingeschränkt. Daher ist es durchaus sinnvoll, bei dem Erstellen von Vorgaben und Richtlinien alle drei Arbeitsorte zu bedenken und die Regeln für das sichere Arbeiten entsprechend zu fixieren: für den Arbeitsplatz im Unternehmen, für das Home Office und auch für das mobile Arbeiten.

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

Sicheres Arbeiten im Home Office – Wer spricht da?

Im vorherigen Blogartikel wurden die Schutzziele „Verfügbarkeit“ und „Vertraulichkeit“ für das Arbeiten im Home Office betrachtet. Zunächst wurde die mögliche Verletzung der Vertraulichkeit beim Transport von zumeist physischen Informationswerten zum häuslichen Arbeitsplatz angesprochen. Dies ist aber nicht das einzige Szenario. Man könnte auch hinterfragen, ob sich in den Räumlichkeiten „Smart Home“- oder ähnliche Gerätschaften befinden, wie z.B. die vorrangig im privaten Bereich genutzten Sprachassistenten, smarte Lautsprecher oder Fernsehgeräte mit Sprachsteuerung. Es ist bei solchen Geräten nicht jedem Benutzer immer klar, ob und unter welchen Bedingungen diese Geräte Umgebungsgeräusche aufzeichnen, auswerten oder weitergeben. Eine Verletzung der Vertraulichkeit des gesprochenen Wortes – z.B. in einem dienstlichen Telefonat oder auch in einer privaten Unterhaltung – könnte also durchaus möglich sein.

Schutzziel: Authentizität im Home Office

Neben den beiden bisher erwähnten Schutzzielen erweist sich auch das oft nicht ganz so präsente Schutzziel „Authentizität“ als beachtenswert. Es beinhaltet die überprüfbare „Echtheit“ von Systemen oder auch von Menschen. So möchte man z.B. sicher sein, dass die Webseite der eigenen Hausbank für das Homebanking „authentisch“ ist, also tatsächlich von der eigenen Hausbank stammt und keine gut gemachte Fälschung ist. Übertragen auf das Arbeiten im Home Office stellt sich also die Frage, wie die IT-Abteilung, der Mitarbeiter am Service Desk oder vielleicht sogar die Kollegen sicher sein können, dass ein eingehender Anruf tatsächlich authentisch ist, also wirklich vom eignen Mitarbeiter im Home Office stammt, und nicht von einem Unbefugten oder gar einem Angreifer. Die angezeigte Telefonnummer alleine reicht da nicht aus – sie könnte recht einfach gefälscht werden, was in Deutschland allerdings illegal ist. Auch ein Videobild alleine oder eine Ähnlichkeit in der Stimme sind nicht ausreichend – mit aktueller Technik sind recht erstaunliche Fälschungen von Gesichtern, Mimik und auch Tonfall von realen Menschen in Echtzeit möglich, so genannte „Deep Fakes“. Wie schwierig es ist, hier eine ausreichende Zuverlässigkeit zu erreichen, zeigt insbesondere die permanente Verfeinerung von Verfahren wie z.B. „Videoident“, welches in der Finanzbranche zur Legitimationsprüfung mittels Videokonferenz dient.

Lösungsmöglichkeit: Mehrere Faktoren im Home Office

Eine Möglichkeit, wie sichergestellt werden kann, dass ein Anruf auch tatsächlich von dem Mitarbeiter im Home Office stammt, wäre ein Rückruf zu der in den internen Stammdaten hinterlegten Rufnummer, z.B. auf das dienstliche Mobiltelefon. Eine mögliche Alternative könnte die Abfrage der Personalnummer sein, die als weiteres Merkmal zur Sicherstellung der Authentizität herangezogen werden könnte. Generell ist es für solche Szenarien immer eine gute Idee, einen zweiten Faktor mit einzubinden, sei es der Faktor „Wissen“ (wie beschrieben, die Personalnummer) oder der Faktor „Besitz“, wie z.B. bei der Nutzung einer Authenticator App auf einem Mobiltelefon. Dieser Ratschlag zur Nutzung von Zwei- oder Mehrfaktorauthentifikation gilt generell, nicht nur für das Arbeiten im Home Office.

Was Sie noch interessieren könnte…

Seminar:

Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten

Podcast:

Unser Podcast hat diesem Thema 3 Teile gewidmet. Alle drei Folgen der Serie „Security im Home Office“ finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

/von
, ,

Sicheres Arbeiten im Home Office – Was sonst noch bleibt…

Nachdem der Schwerpunkt der ersten Blogartikel eher auf technischen Fragstellungen gelegen hat, wurden in den letzten Beiträgen organisatorische und eher „softe“ Themen betrachtet, wie z.B. die Einbindung der Mitarbeiter in den innerbetrieblichen Informationsfluss oder die Notwendigkeit, bestehende Regelungen auf ihre Anwendbarkeit im Home Office zu prüfen und gegebenenfalls anzupassen. Zusätzlich sollten jedoch noch einige weitere Punkte betrachtet werden.

Schutzziel: Verfügbarkeit im Home Office

Die drei Schutzziele Verfügbarkeit, Vertraulichkeit und Integrität bilden die Basis vieler Überlegungen zur Informationssicherheit. Das Schutzziel Verfügbarkeit kann durch das Arbeiten im Home Office beeinträchtigt werden – wenn Informationswerte, insbesondere wenn es physische Informationswerte sind, in das Home Office mitgenommen werden. Nicht nur, dass diese Informationswerte den Mitarbeitern am Firmenstandort nicht mehr zur Verfügung stehen, es muss auch sichergestellt sein, dass diese Informationswerte wieder zurückgeführt werden. Es bietet sich daher an, z.B. im Klassifizierungsschema für physische Informationswerte entsprechende Handhabungsvorgaben zu machen, und natürlich muss der Verbleib des Informationswertes in der Inventarliste dokumentiert werden.

Diese Überlegung betrifft zumeist physische Informationswerte wie z.B. Modelle, Prototypen, Bauteile und auch ganze Systeme, weil diese Dinge sich oft nur schlecht vervielfältigen lassen. Elektronische Informationswerte sind dagegen oftmals vergleichsweise einfach zu duplizieren – es sei denn, die Vervielfältigung ist verboten oder wird technisch unterbunden.

Schutzziel: Vertraulichkeit

Auch für das Schutzziel der Vertraulichkeit finden sich solche nicht offensichtlichen Fragestellungen, wie z.B. die Überlegung, ob der Transport von Informationswerten zwischen dem Firmenstandort und dem häuslichen Arbeitsplatz ausreichend abgesichert ist. Es kann durchaus geschehen, dass ein Laptop gestohlen wird, dass eine Tasche in der S-Bahn vergessen wird oder man durch einen Unfall die mitgeführten Informationswerte nicht mehr wie vorgesehen beaufsichtigen kann. Der Verlust eines Laptops wird in diesen Fällen vielleicht vergleichsweise unproblematisch sein, da er hoffentlich verschlüsselt ist. Aber wie sieht es mit anderen mitgeführten Informationswerten aus, vor allem mit den weiter oben beschriebenen physischen Informationswerten?

Und noch ein Gedanke sollte bei den Vorgaben für das Arbeiten im Home Office betrachtet werden. Bei unternehmenseigenen Informationswerten müssen bei den Regelungen nur die eigenen Anforderungen und Einschätzungen berücksichtigt werden. Bei unternehmensfremden Informationswerten müssen vor allem die Vorgaben des Eigentümers der Informationswerte berücksichtigt werden. Es ist also möglich, dass das Mitführen oder Nutzen unternehmensfremder Informationswerte aus vertraglicher Sicht nicht zulässig ist.

Was Sie noch interessieren könnte…

Seminar:

Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten

Podcast:

Unser Podcast hat diesem Thema 3 Teile gewidmet. Alle drei Folgen der Serie „Security im Home Office“ finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

/von
, ,

Sicheres Arbeiten im Home Office – Jetzt aber wirklich!

Nach zwei Jahren der Pandemie kann man schon einmal Bilanz ziehen: Was hat gut geklappt, und an welchen Stellen muss noch nachgebessert werden? Von einem pragmatischen Standpunkt und rein aus der Funktionalität heraus ist das Arbeiten im Home-Office für viele von uns zur neuen Normalität geworden. Allerdings ist das noch lange kein Anlass, sich auf dem Erreichten auszuruhen.

Wie wir in einem vorherigen Beitrag bereits angedeutet hatten, müssen neben den technischen Fragestellungen auch viele rechtliche, organisatorische, methodische und auch psychologische Fragestellungen beantwortet werden, bevor man wirklich von einem sicheren und datenschutzkonformen Arbeiten im Home-Office sprechen kann.

So sind beispielsweise Regelungen für das Drucken im Home-Office durchaus notwendig – und dabei geht es nicht voranging um die Kosten für Papier oder Druckertinte, es geht vielmehr um die Details des Drumherum. Darf ich rein formal überhaupt mein privates Equipment für dienstliche Zwecke nutzen, oder besteht ein Verbot des Arbeitgebers? Und wenn ich es darf – ist es mir technisch möglich, den passenden Druckertreiber zu installieren? Speichert der Drucker vielleicht den Dokumenteninhalt langfristig? Wie soll ich die Ausdrucke im Home-Office lagern, damit auch Familienmitglieder oder gar Besucher keinen Einblick erhalten können? Habe ich eine sichere Transportmöglichkeit, um die Ausdrucke bei Nichtgebrauch in der Firma sicher entsorgen zu können? Oder ist es akzeptabel, wenn ich stattdessen den privaten Shredder zur Vernichtung benutze? Schon so einfache Fragen wie die nach dem Drucken im Home-Office erzeugen einen weitreichenden Klärungsbedarf – und diese Fragen müssen geklärt werden, weil die angesprochenen Lücken ansonsten offen bleiben.

Auch weniger technische Aspekte wie z.B. die Einbindung aller Beteiligten in die innerbetrieblichen Informationsflüsse, das Aufrechterhalten des Austauschs mit den Kollegen und viele weitere Punkte müssen umgesetzt sein, damit das Arbeiten außerhalb der betrieblichen Räumlichkeiten zu einem Erfolgsmodell wird, ohne das bestehende Sicherheitsniveau zu gefährden. Denn durch diese neue Normalität kommen auch neue Gefährdungen der Informationssicherheit hinzu.

So ist es z.B. durchaus nachvollziehbar, dass man sich in seinen eigenen vier Wänden sicher fühlt, und dadurch leider unvorsichtiger wird – und schon öffnet man eine angebliche Mail von einem IT-Dienstleister, in der die Vergrößerung des Postfachs angeboten wird. Im dienstlichen Umfeld dagegen hätte man diese Mail vielleicht als Phishingversuch erkannt, z.B. durch einen kurzen Gedankenaustausch mit dem Kollegen gegenüber.

Nun ist das Home-Office sicher keine neue Erfindung. Einige Anregungen zur sicheren und datenschutzkonformen Gestaltung des Arbeitens im Home-Office finden sich bereits in etablierten Normen und Standards, wie z.B. dem „IT-Grundschutz“ des BSI oder in der ISO 27001.

Wünschen Sie sich, sich mit Anderen darüber auszutauschen? Dann ist eventuell unser eintägiges Seminar für Sie interessant. In dem zeigen wir thematisch breit, aber trotzdem praxisorientiert, wie das Arbeiten im Home-Office sinnvoll, sicher und datenschutzkonform organisiert werden kann!

Was Sie auch interessieren könnte:

Seminar:

„Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

/von

Schlagwortarchiv für: mobiles Arbeiten

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Erste Brunnenstraße 1
20459 Hamburg

Tel: +49(0)4022947190
Fax: +49(0)40229471919
E-Mail: info@anmatho.de

Wir sind Mitglied im:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen

Cookie-Einstellungen