Schu­lun­gen

• - Feh­len­de oder  unzu­rei­chen­de Kennt­nis­se über Rege­lun­gen im Umgang mit Infor­ma­tio­nen kön­nen zur Gefähr­ung füh­ren, die zur Ein­schrän­kung und Abwick­lung von Geschäfts­pro­zes­sen und Fach­auf­ga­ben führen.
• - Eine unzu­rei­chen­de Sen­si­bi­li­sie­rung kann den Geschäfts­be­trieb nach­hal­tig stö­ren, wenn Rege­lun­gen zwar ange­ord­net wor­den sind, aber weder ver­stan­den, noch ange­wen­det werden.
• Die Beschaf­fung von IT-Sys­te­men, wie Hard- oder Soft­ware reicht nicht aus. Wenn Beschäf­tig­te im Umgang mit den betrieb­li­chen Sys­te­men nicht kor­rekt geschult wer­den, kann dies — beson­ders bei kri­ti­schen IT-Sys­te­men fata­le Fol­gen haben.
• - Klei­ne Nach­läs­sig­kei­ten, wie z. B. durch das Her­um­lie­gen­las­sen  von Doku­men­ten an Arbeits­plät­zen oder die feh­len­de Ver­schlüs­se­lung von E‑Mails kön­nen Schä­den ent­ste­hen, die gut geschul­ten Beschäf­tig­ten in der Regel nicht passieren.
• - Sorg­lo­se Beschäf­tig­te, die in der Öffent­lich­keit über Fir­men­in­ter­na spre­chen oder sich in der Bahn bei der Arbeit beob­ach­ten las­sen, sieht man immer wie­der. Geben Sie geziel­te Angrif­fen auf Ihre Fir­men­ge­heim­nis­se kei­ne Chance.
• - Über­trie­be­ne Sicher­heits­maß­nah­men oder Pres­ti­ge  (z.B. zu umfang­rei­che Zugriffs­rech­te oder Aus­stat­tung) machen eine Akzep­tanz bei den Beschäf­tig­ten zunichte.

Ich arbei­te über­wie­gend regio­nal im Groß­raum Ham­burg. Selbst­ver­ständ­lich sind Besu­che vor Ort ein wich­ti­ger Fak­tor für mei­ne Dienst­leis­tung. Ich bera­te auch Unter­neh­men in ande­ren Gebie­ten in Deutsch­land — per Video­kon­fe­renz oder am Tele­fon. Ich hal­te jedoch per­sön­li­che Mee­tings vor Ort für wich­tig, um ein ent­spre­chen­des Ver­trau­en aufzubauen.

1. Zunächst muss die Geschäfts­lei­tung für das The­ma sen­si­bli­siert wer­den. Damit steht und fällt der Erfolg der Schu­lungs­maß­nah­men. Vor­ge­setz­te müs­sen immer mit gutem Bespiel vorangehen.
2. Es muss eine Ansprech­per­son für Sicher­heits­fra­gen geben, die ein­fa­che und tech­nisch kom­ple­xe Fra­gen beant­wor­ten kön­nen muss.
3. Maß­nah­men zur Umset­zung der  Infor­ma­ti­ons­si­cher­heit müs­sen der Ziel­grup­pe leicht zugän­gig und aktu­ell sein.
4. Die Beschäf­tig­ten müs­sen in den siche­ren Umgang mit der IT ein­ge­wie­sen wer­den. Ver­ständ­li­che Regeln müs­sen zur Ver­fü­gung gestellt wer­den. Aus­nah­me­re­ge­lun­gen müs­sen die Aus­nah­me, aber kon­trol­liert mög­lich sein. 
5. Wer­den IT-Sys­te­me gegen die Regeln des Unter­neh­mens genutzt, ist dies z.B. der Ansprech­per­son zu melden. 

1. Ein Schu­lungs­kon­zept soll­te erar­bei­tet und regel­mä­ßig geprüft und aktua­li­siert werden.
2. Die unter­schied­li­chen Ziel­grup­pe für Schu­lungs­maß­nahmdn sind zu iden­ti­fi­zie­ren. Der Schutz­be­darf  im Ein­satz­ge­biet und das bereits vor­han­de­ne Wis­sen sind dabei zu berücksichtigen.
3. Die Maß­nah­men, die für den Arbeits­be­reich not­wen­dig sind, sind zu struk­tu­rie­ren und zu pla­nen. Dabei ist die Schu­lung zur Infor­ma­ti­ons­si­cher­heit mit wei­te­ren Dis­zi­plen, wie z. B. Arbeits­si­cher­heit, Com­pli­ance oder Brand­schutz abzugestimmen.
4. Ohne eine Mes­sung und Aus­wer­tung des Lern­erfolgs sind Schu­lun­gen nicht voll­stän­dig — das Unter­neh­men kann sonst nicht mes­sen, ob die Zie­le erreicht werden.
5. Der Ansprech­part­ner für Daten­schutz und Infor­ma­ti­ons­si­cher­heit soll­te so geschult wer­den, dass er den Schu­lungs­pro­zess fach­ge­recht beglei­ten und Fra­gen zu den The­men beant­wor­ten kann.