Viele Unternehmen und Organisationen stehen angesichts COVID-19, bei uns besser bekannt als Corona Virus, vor großen Herausforderungen. Wir sollen unsere sozialen Kontakte einschränken und der Bundeskanzler ruft Unternehmen dazu auf, die MitarbeiterInnen ins Homeoffice zu verfrachten – wo immer dies möglich ist.
Sie lesen diesen Artikel zuhause beim Kaffee, noch im Pyjama? Nachdem der Corona Virus auch in Österreich seinen Höhepunkt noch nicht erreicht hat, ist das vermutlich eine gute Idee. Aber schon vor dieser Ausnahmesituation war es für manche MitarbeiterInnen und KollegInnen völlig normal von zuhause Ihre E-Mails zu checken. Seien wir ehrlich, es macht keinen Unterschied, wo wir diese Aufgabe erfüllen: ob mobil, im Homeoffice oder im Büro. Für viele ist die Situation aber gänzlich neu. Bisher war es für viele undenkbar, dass ein Großteil der MitarbeiterInnen mobil oder von Zuhause aus arbeitet.
Bis jetzt.
Der Schutz von Produktionsstätten – Verzeihung, der MitarbeiterInnen dort – steht plötzlich auf der Agenda ganz oben. Und etliche Unternehmen entscheiden sich dazu, mobiles Arbeiten gleichzeitig und über einen langen Zeitraum hinweg, betreiben zu wollen.
Dazu müssen sich auch Geschäftsprozesse ändern, ob wir wollen oder nicht. Zwar zeigt die Erfahrung, dass Änderungen in Richtung mobiles Arbeiten und Homeoffice überwiegend positiv sind, jedoch lohnt sich ein Blick auf die damit verbundenen Auswirkungen auf die IT-Sicherheit.
COVID-19 ändert Geschäftsprozesse.
Fakt.
Jede Veränderung von Prozessen im Unternehmen bringt eine Reihe von neuen Nahtstellen mit sich: Zwischen Prozessen, Menschen und Technologien. Diese Nahtstellen können ausgenutzt werden und sich negativ auf unser Unternehmen auswirken. Daher gilt es diese Nahtstellen in Anzahl, Dauer und Größe weitgehend zu minimieren. Dies gilt allgemein für Prozessänderungen in Unternehmen.
Warum sind gerade die Auswirkungen des Corona Virus gefährlich für unsere IT-Sicherheit?
COVID-19 hat uns in eine Situation gebracht, die 3 wesentliche Aspekte hat:
Sie lesen diesen Artikel zuhause beim Kaffee, noch im Pyjama? Nachdem der Corona Virus auch in Österreich seinen Höhepunkt noch nicht erreicht hat, ist das vermutlich eine gute Idee. Aber schon vor dieser Ausnahmesituation war es für manche MitarbeiterInnen und KollegInnen völlig normal von zuhause Ihre E-Mails zu checken. Seien wir ehrlich, es macht keinen Unterschied, wo wir diese Aufgabe erfüllen: ob mobil, im Homeoffice oder im Büro. Für viele ist die Situation aber gänzlich neu. Bisher war es für viele undenkbar, dass ein Großteil der MitarbeiterInnen mobil oder von Zuhause aus arbeitet.
Bis jetzt.
Der Schutz von Produktionsstätten – Verzeihung, der MitarbeiterInnen dort – steht plötzlich auf der Agenda ganz oben. Und etliche Unternehmen entscheiden sich dazu, mobiles Arbeiten gleichzeitig und über einen langen Zeitraum hinweg, betreiben zu wollen.
Dazu müssen sich auch Geschäftsprozesse ändern, ob wir wollen oder nicht. Zwar zeigt die Erfahrung, dass Änderungen in Richtung mobiles Arbeiten und Homeoffice überwiegend positiv sind, jedoch lohnt sich ein Blick auf die damit verbundenen Auswirkungen auf die IT-Sicherheit.
COVID-19 ändert Geschäftsprozesse.
Fakt.
Jede Veränderung von Prozessen im Unternehmen bringt eine Reihe von neuen Nahtstellen mit sich: Zwischen Prozessen, Menschen und Technologien. Diese Nahtstellen können ausgenutzt werden und sich negativ auf unser Unternehmen auswirken. Daher gilt es diese Nahtstellen in Anzahl, Dauer und Größe weitgehend zu minimieren. Dies gilt allgemein für Prozessänderungen in Unternehmen.
Warum sind gerade die Auswirkungen des Corona Virus gefährlich für unsere IT-Sicherheit?
COVID-19 hat uns in eine Situation gebracht, die 3 wesentliche Aspekte hat:
- Die Situation kam überraschend und völlig ungeplant
- Zu dieser Situation kennen wir keine Referenzen (Das gab es so noch nie!)
- Wir wissen nicht, wie lange diese Situation andauern wird.
In den meisten Unternehmen gibt es keine Notfallpläne für so einen Fall. Etliche versuchen nun die „Juwelen“, wie beispielsweise die Produktion, mit erheblichem Aufwand und kreativen Ideen zu schützen.
Das gelingt mehr oder weniger gut. (Mitarbeiter und Mitarbeiterinnen haben nun gestaffelte Mittagszeiten, um die Kantine zu entlasten. Es wird Fieber gemessen und an jedem Zugang stehen die unvermeidlichen Desinfektionsspender. Die Menschen wurden angewiesen einen Mindestabstand einzuhalten und in die Armbeuge zu niesen.)
Zurück zur IT-Sicherheit.
Die Verantwortlichen für die Informations- und IT-Sicherheit sehen sich nun mit dieser Veränderung in den Abläufen und Prozessen konfrontiert. Sie haben die Aufgabe, sich um die Nahtstellen zu kümmern, die im Zuge dieser Änderungen auftreten. Sie müssen das für ein Problem tun, dass es so noch nie gegeben hat. Das ist Fakt und die Verantwortlichen sind gut beraten, die Situation ernst zu nehmen.
Fünf Empfehlungen, die ich mit auf den Weg geben kann:
1. Durch die (vermehrte) Nutzung von mobilen Geräten oder den Zugriff über Heimcomputer auf Firmendaten entstehen von selbst Netzwerke mit einer ungewohnt hohen Zahl von Endgeräten. Jedes dieser Endgeräte birgt natürlich auch Gefahren, die wir in unserer gewohnten Umgebung gut geregelt haben. Verstärken Sie die Richtlinien für den Zugriff und erstellen sie eine Verständliche Anleitung für jene KollegInnen, die bisher nichts von VPN, Remote Session oder Office 365 gewusst haben.
2. Erinnern Sie Ihre MitarbeiterInnen an die Awareness-Maßnahmen, die sie im Unternehmen umsetzen. Natürlich ist das E-Mail am Heimcomputer nicht weniger eine Gefahr als am Unternehmensrechner! Zudem steigt gerade in der aufgeregten Gesamtsituation und der veränderten Arbeitsbedingungen die Gefahr, Opfer von Phishing zu werden.
3. Richten Sie eine IT Hotline – eine Sicherheitshotline – ein. Ihre MitarbeiterInnen sind weit weg von den KollegInnen und haben natürlich vermehrt (ungewohnte Situation) Probleme mit der IT. Nun, wenn von Zuhause gearbeitet wird, hat man nicht den Luxus, schnell mal den Kollegen zu fragen. Umso wichtiger ist es, dass Ihre MitarbeiterInnen wissen, wer ihnen helfen kann, bevor sie verleitet sind, auftretende Sicherheitsprobleme zu ignorieren. Ermutigen Sie die „mobile worker“ jede Auffälligkeit an die IT Hotline zu melden.
4. Die IT- und Unternehmenssicherheit sollte sich in diesen Tagen eng und täglich abstimmen (natürlich per Video) und den Verlauf von auftretenden Problemen diskutieren. Es ist wichtig, dass sich jeder, der für die Sicherheit zuständig ist, in der aktuellen Lage wiederfindet. Die Administratoren und Sicherheitsverantwortlichen müssen bestmöglich die veränderte Gesamtsituation verstehen. Konkret müssen die Themen Prävention, Echtzeiterkennung und Response bedacht sein und benannt werden.
5. Zuletzt der wichtigste Punkt: Stellen Sie vernünftige Anleitungen für die MitarbeiterInnen zur Verfügung. Wie komme ich in ein Online Meeting? Wo finde ich meine Dateien? Wie komme ich zu meiner Remote Sitzung? All diese Fragen tauchen auf und müssen beantwortet werden. Speziell dann, wenn bisher die Arbeit außer Haus die Ausnahme war, wissen Ihre MitarbeiterInnen nicht, wie sie nun konkret welche Handlungen setzen müssen.
Seien Sie achtsam!
Das letzte was Sie brauchen ist, dass sie sich neben den Folgen von COVID-19 auch mit den Folgen einer Cyberattacke herumschlagen müssen.
Martin Pils, März 2020
Das gelingt mehr oder weniger gut. (Mitarbeiter und Mitarbeiterinnen haben nun gestaffelte Mittagszeiten, um die Kantine zu entlasten. Es wird Fieber gemessen und an jedem Zugang stehen die unvermeidlichen Desinfektionsspender. Die Menschen wurden angewiesen einen Mindestabstand einzuhalten und in die Armbeuge zu niesen.)
Zurück zur IT-Sicherheit.
Die Verantwortlichen für die Informations- und IT-Sicherheit sehen sich nun mit dieser Veränderung in den Abläufen und Prozessen konfrontiert. Sie haben die Aufgabe, sich um die Nahtstellen zu kümmern, die im Zuge dieser Änderungen auftreten. Sie müssen das für ein Problem tun, dass es so noch nie gegeben hat. Das ist Fakt und die Verantwortlichen sind gut beraten, die Situation ernst zu nehmen.
Fünf Empfehlungen, die ich mit auf den Weg geben kann:
1. Durch die (vermehrte) Nutzung von mobilen Geräten oder den Zugriff über Heimcomputer auf Firmendaten entstehen von selbst Netzwerke mit einer ungewohnt hohen Zahl von Endgeräten. Jedes dieser Endgeräte birgt natürlich auch Gefahren, die wir in unserer gewohnten Umgebung gut geregelt haben. Verstärken Sie die Richtlinien für den Zugriff und erstellen sie eine Verständliche Anleitung für jene KollegInnen, die bisher nichts von VPN, Remote Session oder Office 365 gewusst haben.
2. Erinnern Sie Ihre MitarbeiterInnen an die Awareness-Maßnahmen, die sie im Unternehmen umsetzen. Natürlich ist das E-Mail am Heimcomputer nicht weniger eine Gefahr als am Unternehmensrechner! Zudem steigt gerade in der aufgeregten Gesamtsituation und der veränderten Arbeitsbedingungen die Gefahr, Opfer von Phishing zu werden.
3. Richten Sie eine IT Hotline – eine Sicherheitshotline – ein. Ihre MitarbeiterInnen sind weit weg von den KollegInnen und haben natürlich vermehrt (ungewohnte Situation) Probleme mit der IT. Nun, wenn von Zuhause gearbeitet wird, hat man nicht den Luxus, schnell mal den Kollegen zu fragen. Umso wichtiger ist es, dass Ihre MitarbeiterInnen wissen, wer ihnen helfen kann, bevor sie verleitet sind, auftretende Sicherheitsprobleme zu ignorieren. Ermutigen Sie die „mobile worker“ jede Auffälligkeit an die IT Hotline zu melden.
4. Die IT- und Unternehmenssicherheit sollte sich in diesen Tagen eng und täglich abstimmen (natürlich per Video) und den Verlauf von auftretenden Problemen diskutieren. Es ist wichtig, dass sich jeder, der für die Sicherheit zuständig ist, in der aktuellen Lage wiederfindet. Die Administratoren und Sicherheitsverantwortlichen müssen bestmöglich die veränderte Gesamtsituation verstehen. Konkret müssen die Themen Prävention, Echtzeiterkennung und Response bedacht sein und benannt werden.
5. Zuletzt der wichtigste Punkt: Stellen Sie vernünftige Anleitungen für die MitarbeiterInnen zur Verfügung. Wie komme ich in ein Online Meeting? Wo finde ich meine Dateien? Wie komme ich zu meiner Remote Sitzung? All diese Fragen tauchen auf und müssen beantwortet werden. Speziell dann, wenn bisher die Arbeit außer Haus die Ausnahme war, wissen Ihre MitarbeiterInnen nicht, wie sie nun konkret welche Handlungen setzen müssen.
Seien Sie achtsam!
Das letzte was Sie brauchen ist, dass sie sich neben den Folgen von COVID-19 auch mit den Folgen einer Cyberattacke herumschlagen müssen.
Martin Pils, März 2020