Warum Sie eine Sicherheitsrichtlinie brauchen
Sie können die beste technische Sicherheit haben, aber wenn Ihre Mitarbeiter die Regeln nicht kennen, ist es, als würden Sie eine Alarmanlage installieren und den Code auf einen Zettel neben der Tür kleben.
Eine Informationssicherheitsrichtlinie beschreibt die Regeln und Erwartungen für alle in Ihrer Organisation. Sie sagt Mitarbeitern, was sie mit Unternehmensinformationen und personenbezogenen Daten tun dürfen und was nicht.
Was muss sie enthalten?
Zweck und Geltungsbereich
Beschreiben Sie kurz, warum die Richtlinie existiert und für wen sie gilt. In der Regel umfasst sie alle Mitarbeiter, Freelancer und Praktikanten mit Zugang zu Unternehmenssystemen oder -daten.
Passwörter und Authentifizierung
- Anforderungen an Passwortstärke und -einzigartigkeit
- Verpflichtende Zwei-Faktor-Authentifizierung, wo verfügbar
- Verbot der Weitergabe von Passwörtern
- Nutzung eines Passwortmanagers
Zugriffskontrolle
- Rechte werden rollenbasiert vergeben (Need-to-know)
- Rechte werden bei Rollenwechsel überprüft
- Alle Zugänge werden beim Ausscheiden sofort gesperrt
- Periodische Überprüfung der Zugriffsrechte
Gerätenutzung
- Regeln für die Nutzung von Firmengeräten
- BYOD-Richtlinie, wenn Mitarbeiter eigene Geräte verwenden
- Pflicht zur Festplattenverschlüsselung und Bildschirmsperre
- Regeln für das Arbeiten in öffentlichen Netzwerken (VPN nutzen)
Clean Desk und Clear Screen
- Dokumente mit personenbezogenen Daten werden beim Verlassen des Arbeitsplatzes weggeschlossen
- Bildschirme werden bei Abwesenheit gesperrt
- Vertrauliche Ausdrucke werden sofort am Drucker abgeholt
E-Mail und Kommunikation
- Richtlinien für den Versand personenbezogener Daten per E-Mail
- Wann Verschlüsselung erforderlich ist
- Umgang mit verdächtigen E-Mails (Phishing)
Meldung von Vorfallen
- Wie Mitarbeiter einen Sicherheitsvorfall melden sollen
- An wen sie melden
- Innerhalb welcher Frist (so schnell wie möglich)
- Dass es keine negativen Folgen für das Melden von Fehlern gibt
Externer Speicher und Tools
- Welche Cloud-Speicherdienste genehmigt sind
- Verbot der Nutzung nicht genehmigter Tools für Unternehmensdaten
- Regeln für den Dateiaustausch mit externen Parteien
So erstellen Sie die Richtlinie
- Beginnen Sie mit einer Vorlage - Sie müssen das Rad nicht neu erfinden. Nutzen Sie eine bestehende Vorlage und passen Sie sie an
- Machen Sie sie praktisch - schreiben Sie in verständlicher Sprache, ohne juristischen Fachjargon
- Besprechen Sie sie mit Ihrem Team - ermöglichen Sie Mitarbeitern, Feedback zu geben und Fragen zu stellen
- Lassen Sie sie unterschreiben - jeder Mitarbeiter bestätigt, die Richtlinie gelesen und verstanden zu haben
- Machen Sie sie auffindbar - bewahren Sie sie an einem Ort auf, den alle finden können
Halten Sie sie lebendig
Eine Sicherheitsrichtlinie, die Sie schreiben und vergessen, hat wenig Wert. Überprüfen Sie sie:
- Jährlich - ist sie noch aktuell?
- Nach einem Vorfall - muss etwas verschärft werden?
- Bei Veränderungen - neue Tools, neue Mitarbeiter, neue Arbeitsweisen?
GDPRWise hilft Ihnen, Ihre Sicherheitsmaßnahmen und Richtlinien als Teil Ihres Compliance-Dossiers festzuhalten.