ISO 27001 Awareness Training

Damit eine Mitarbeiterunterweisung realistische Inhalte besitzt, greift man auf Erkenntnissen aus internen und externen Informationssicherheitsvorfällen. Man muss diese fokussierten Kurse als Teil eines menschlichen Risikomanagement betrachten. Es ist zwar nicht nach ISO 27001 erforderlich, dass man simulierte Phishing-Kampagnen durchführt, jedoch ist es wirksamer diese über das Jahr verteilt einzusetzen. Selbst ein vereinfachtes Richtlinienmanagement kann eine Informationssicherheitsbewusstseinsschulung niemals ersetzen.

Mitarbeiter verstehen oft nicht die Änderungen in der Bedrohungslandschaft. Manche Bürger glauben, dass die Regierung für den Schutz der Bevölkerung und Wirtschaft zuständig sind. Sie stellen zu hohe Erwartungen an die begrenztem personellen und technischen Kapazitäten der Behörden. An erster Stelle muss jeder Bürger durch sein persönliches Verhalten aktiv zur Sicherheit beitragen. Ignoranz schützt nicht vor Strafe oder Schäden, denn §17 StGB vermindert nur die Schuld:  Nach § 17 StGB handelt man ohne Schuld, wenn einem bei Begehung der Tat die Einsicht fehlt, Unrecht zu tun, soweit dieser Irrtum nicht vermeidbar gewesen ist.

Auch Versicherungen sind nicht gewillt Risiken und Schäden aus (vorsätzlich) fahrlässigen Verhalten zu versichern. Daher verlangen einige Versicherungen von ihren Kunden eine entsprechende Verbesserung der grundlegenden Cybersicherheit. Erst nach Durchführung der ISO 27001 Zertifizierung, der Mitarbeiterunterweisung und mehrerer Sicherheitstests (z.B. Penetration-Tests) sind manche namhafte Versicherer bereit eine Versicherungspolice auszustellen.

Folglich muss ein ISO 27001 konformes Security Awareness Training in soweit realistisch sein, dass Mitarbeiter den Ernst der Lage begreifen und sich freiwillig verpflichten aktiv mehr zur Sicherheit beizutragen. Dazu gehört auch zu verstehen, wie man die Unternehmensrichtlinien in der täglichen Arbeitsumfeld befolgt. Praxisnahe Aufkläreng der Belegschaft reduziert auch die Betriebskosten.