Interne Geschäftsprozesse, Information über Kunden und Mitarbeiter oder auch Strategien und Bilanzen sind Beispiele für sensible Daten, die Unternehmen vor dem Zugriff Unbefugter schützen möchten. Bei manchen Daten sind sie dazu gesetzlich verpflichtet. In Zeiten zunehmender Internetkriminalität und Hackerattacken genießen Schutzmechanismen wie Firewalls und Antivirenprogramme hohe Priorität. Vernachlässigt werden jedoch oftmals die physischen, personellen und organisatorischen Faktoren. So nützt modernste IT-Sicherheit wenig, wenn interne Ausdrucke ungeschreddert im Papierkorb und später im Altpapiercontainer landen. „Die unbedachte Papierentsorgung macht es Mitarbeitern und Externen einfach, an sensible Daten zu kommen“, sagt Bernd Kloft, Experte für Informationssicherheitssysteme bei TÜV Rheinland, der mit seinen Kollegen immer wieder auf ähnliche Lücken bei der Informationssicherheit in Unternehmen und Organisationen stößt. Höchstmögliche Informationssicherheit ist nur zu erreichen, wenn alle Ebenen im Unternehmen berücksichtigt werden.

Sicherheitslücken auf dem Firmengelände

So achten Unternehmen zwar darauf, dass ihr Netzwerk vor externen Zugriffen geschützt ist. Der Zutritt zum Firmengelände oder -gebäude ist manchmal dagegen problemlos möglich. „Wir sind bereits auf ausgelagerte Festplatten in unverschlossenen Gitterboxen im Außenbereich gestoßen. Da hätte sich jeder bedienen können“, nennt Bernd Kloft ein Beispiel. Auch Besucheranmeldungen garantieren keine ausreichende Sicherheit, wenn Mitarbeiter durch einen ungesicherten Nebeneingang ins Gebäude oder aufs Firmengrundstück gelangen. Den könnten schließlich auch Unbefugte nutzen.

Entschieden auf Schwachstellen reagieren

Unternehmen sollten alle internen und externen Faktoren definieren, die die Informationssicherheit gefährden könnten, eine entsprechende Risikobewertung vornehmen und auf mögliche Schwachstellen entschieden reagieren. Ist beispielsweise die Nutzung von USB-Sticks untersagt, sollten diese Zugänge auch gesperrt werden. Abmahnungen bei Zuwiderhandlungen sind wenig sinnvoll, da diese die USB-Stick-Nutzung grundsätzlich auch weiterhin ermöglichen.

Weitere Informationen zum Thema Informationssicherheit auf www.tuv.com/ISO27001