Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 4. POLICY, VORFALLSBEARBEITUNG, SCHWACHSTELLENANALYSE
schlossen. Die Umsetzung einer Policy und die Kontrolle dieser Umsetzung sind ein ebenso wichtiger
Teil wie die eigentliche Erstellung.
Am Anfang der Umsetzung steht die Unterrichtung aller Mitarbeiter. Die Policy und ihre einzelnen
Regeln sollten nicht einfach nur eingesetzt werden, sondern alle „Betroffenen“ müssen ausführlich
darüber informiert werden. Dabei ist es wichtig, daß die einzelnen Regelungen erklärt werden und
auch die Gründe genannt werden, warum die jeweiligen Regelungen so getroffen wurden. Zusätzlich
sind Informationen sinnvoll, wie die Regelungen am besten umzusetzen sind.
Bei der ersten Einsetzung der Policy sollte eine Schulung für alle Mitarbeiter durchgeführt werden, in
der die Policy und das zugrundeliegende Sicherheitskonzept vermittelt werden. Diese Schulung muß,
um effektiv zu sein, in regelmäßigen Abständen wiederholt werden. Auch sollten neue Mitarbeiter
zu Beginn ihrer Tätigkeit über die Policy informiert werden. Zusätzlich zu den Schulungen sollte
auch regelmäßig Feedback von den Mitarbeitern gesammelt werden, wie die Umsetzung in der Praxis
funktioniert. So können Fehler und Probleme mit der Policy frühzeitig erkannt und behoben werden.
Es gibt eine ganze Reihe von Dingen, die die Umsetzung einer Policy behindern können oder diese
ineffektiv machen:
¯ Unverständnis bei Mitarbeitern oder Managern:
Besonders in den Anfängen ist es wahrscheinlich, daß Mitarbeiter oder Manager nicht mit den
Regelungen einverstanden sind; besonders in Bereichen, in denen Sicherheitsmaßnahmen ihre
Möglichkeiten oder Kompetenzen beschränken. Und allein der Widerstand, von einer Vorgehensweise
in eine andere zu wechseln, kann beachtlich sein. Eingefahrene Strukturen in Arbeitsabläufen
halten sich oft hartnäckig („das haben wir schon immer so gemacht“).
¯ Mangel an Erfahrung bei der Umsetzung:
Für viele Mitarbeiter wird es neu sein, nach einer Policy zu arbeiten. Erfahrungen, wie Regelungen
am besten umzusetzen sind, oder gar Routine fehlen oft oder sind nur unzureichend. Durch
das Fehlen von Routine wird die Umsetzung der Policy für die einzelne Mitarbeiter schwieriger
und aufwendiger. Es ist wichtig, daß sowohl die weiterführenden Dokumente wie Richtlinien
ausführlich und verständlich sind, als auch daß Schulung ausreichend durchgeführt wird.
Nur wenn Mitarbeiter ein Sicherheitsbewußtsein haben, nach dem sie intuitiv handeln, kann die
Policy effizient umgesetzt werden. Ein solches Bewußtsein hilft auch bei Bereichen, die nicht
explizit durch die Policy geregelt sind, im Sinne der Policy zu handeln.
¯ Mangelnde Durchsetzung von Sanktionen:
Ein weiterer wichtiger Punkt ist die tatsächliche Durchsetzung von Sanktionen, die in der Policy
bei Verstößen definiert werden. Wenn dies nicht passiert, ist die Policy ein „Tiger ohne Zähne“.
Fälle, in denen ein Mitarbeiter verschont wird, weil er in einem anderen Projekt gebraucht wird,
untergraben die Autorität der Policy unmittelbar.
In [Garfinkel & Spafford 1996, S.39] wird ein Fall beschrieben, in dem ein Programmierer versucht,
in das System der Personalbuchhaltung einzudringen. Auf Drängen des Abteilungsleiters
werden keine Sanktionen verhängt, da der Programmierer in einem Projekt benötigt wird. Drei
Monate später gibt es einen Einbruch in das Buchhaltungssystem und der Systemverwalter,
der mit dem System betraut war, wird entlassen. Obwohl es sehr wahrscheinlich ist, daß der
Einbrecher derselbe Programmierer ist, bleibt dieser unbehelligt.
66 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen