IT Sicherheit Teil 15/3 IT Security Policy

Die Einführung einer IT-Security-Policy ist das „Herzstück“ der IT-Sicherheit im Unternehmen. In einer solchen Vereinbarung verpflichten sich alle Betriebsangehörigen noch einmal gesondert und persönlich zum Thema IT-Sicherheit im Unternehmen. Darin enthalten sind klare Regeln für den Umgang mit der Hard- und Software, mobilen Geräten, Passwörtern etc..

Die Ausgestaltung der IT-Security-Policy kann je nach Unternehmensphilosophie und Schutzbedürfnis etwa enthalten:

- Die ausschließliche Verwendung der dienstlich gelieferten Hard- und Software
- Der Umgang mit externer Hard- und Software
- Das Verbot der missbräuchlichen Verwendung aller technischen Einrichtungen
- Der Hinweis darauf, dass die Weitergabe sämtlicher betrieblicher Daten verboten ist und unter Umständen auch strafbar sein kann.
- Die Verpflichtung auf das Datenschutzgesetz
- Die Verpflichtung, an regelmäßigen Schulungen und Fortbildungen teilzunehmen.
- Die Pflicht, zur Gewährung von IT-Sicherheit im ganzen Unternehmen beizutragen
- Verhalten in kritischen Situationen
- Benennung des IT-Verantwortlichen

Neben der Übertragung von Verantwortung auf einen IT-Verantwortlichen und die einzelnen Mitarbeiter obliegt der Unternehmensleitung natürlich weiterhin die Aufsicht. Hierzu zählen insbesondere regelmäßige Bereichte des Datensicherheits- und des Datenschutzbeauftragten. Ein Teil dieser Aufsichtspflicht bedeutet etwa, die zugewiesenen Aufgaben auf ihre Umsetzung hin zu überprüfen.

Je nach Art und Größe des Unternehmens und der verwendeten Technik kann es auch empfehlenswert sein, die jeweiligen Hersteller und Lieferanten in den Sicherheitsprozess mit einzubeziehen, in dessen Rahmen eine Überprüfung sowohl der Gewährleistung, als auch der eigenständig übernommenen Hersteller-Garantien sinnvoll ist.

Hat ein Unternehmen nicht die benötigte Zahl an Mitarbeitern, um alle diese Maßnahmen in eigener Regie durchzuführen, kann der Datenschutz oder die Datensicherheit auch an ein privates Unternehmen abgegeben werden. Inzwischen existieren auf dem Markt eine Vielzahl von kompetenten Anbietern, die Unternehmen in Fragen der IT-Sicherheit verantwortungsvoll betreuen und die Kontrolle der Updates, Patches und Protokolle als Dienstleistung anbieten.

Dies kann beispielsweise durch den Abschluss eines Wartungsvertrages erfolgen. Auch oder gerade dann, wenn es keinen IT-Verantwortlichen im eigenen Unternehmen gibt, bleibt die Pflicht zur Sorge im Umgang mit den Daten dennoch bestehen. Dieses Unternehmen muss zur Vorbeugung des Organisationsverschuldens ebenfalls wieder gut ausgesucht sein. Insbesondere ist der externe IT-Verantwortliche wiederum zur Wahrung der Daten- und Geschäftsgeheimnisse zu verpflichten. Im Übrigen kann ein solcher Wartungsvertrag ganz nach den individuellen Bedürfnissen ausgestaltet werden.

Die hierfür notwendigen Voraussetzungen und die rechtlichen Schritte sollten auf jedem Fall mit hierfür spezialisierten Juristen besprochen und umgesetzt werden. Der Aufwand für eine derartige Prüfung ist auf jeden Fall geringer als die Schadenswiedergutmachung in technischer und rechtlicher Hinsicht.

Nur wenn alle diese Gruppen erfolgreich zusammenarbeiten, kann die Herausforderung IT-Sicherheit erfolgreich gewährleistet werden.

Links zu allen Beiträgen der Serie IT-Sicherheit

Wir beraten Sie gerne persönlich, telefonisch oder per Mail. Sie können uns Ihr Anliegen samt den relevanten Unterlagen gerne unverbindlich als PDF zumailen, zufaxen oder per Post zusenden. Wir schauen diese durch und setzen uns dann mit Ihnen in Verbindung, um Ihnen ein unverbindliches Angebot für ein Mandat zu unterbreiten. Ein Mandat kommt erst mit schriftlicher Mandatserteilung zustande.
Wir bitten um Ihr Verständnis: Wir können keine kostenlose Rechtsberatung erbringen.

Mehr Beiträge zum Thema finden Sie unter: