"Working from Home"-Assessment Protokoll zur Informations- und Cyber-Sicherheit

Angesichts der Tatsache, dass die Arbeit im Homeoffice zur neuen Normalität geworden ist, muss sichergestellt sein, dass hierdurch keine unkalkulierbaren Gefahren für die Informations- und Datensicherheit entstehen. Das Bewertungsprotokoll "Working from Home" (WFH) von DNV hilft Unternehmen, Sicherheitslücken zu identifizieren, von denen Risiken für die Betriebsprozesse ausgehen.

In einer zunehmend digitalisierten Welt oder während einer Krise wie COVID-19 schaffen Mitarbeiter ihre Arbeit immer häufiger mobil oder von Zuhause aus. Da die Wahl des Arbeitsplatzes immer flexibler wird, ist die Fokussierung auf Informations- und Cyber-Sicherheit in Verbindung mit einer soliden Sicherheitskultur unerlässlich, um Produktivität und Geschäftskontinuität zu gewährleisten. Damit Mitarbeiter von jedem Ort aus arbeiten können, bedarf es der richtigen Infrastruktur sowie Steuerung der Informationssicherheit.

Viele Unternehmen hinterfragen dabei, ob die Arbeit in Übereinstimmung mit ihrer Informations- und Cyber-Sicherheitskonzept durchgeführt wird.

Cyberkriminalität ist auf dem Vormarsch und hat während COVID-19 weltweit stark zugenommen. Leichte Ziele sind dabei häufig Einzelpersonen im Homeoffice. Es kann zudem sein, dass schnell neue Dienstleister eingesetzt werden müssen, um die Fortführung des Betriebs zu gewährleisten. Dies erfordert neue Vorgaben oder lässt den Unternehmen wenig Zeit, die Einhaltung bestehender Richtlinien sicherzustellen. Ist das der Fall, sind Unternehmen mit unzureichender Absicherung erhöhten negativen Auswirkungen in Bezug auf Produktivität und Geschäftskontinuität ausgesetzt.

Mögliche Risiken

Risiken, die von Unternehmen gesteuert werden müssen, können stark variieren:

  • Die Einrichtung von Heimarbeitsplätzen (Working from Home, WFH) wird von Unternehmen oft nicht überwacht.
  • Bedrohungen der Infrastruktur und Cyber-Sicherheitsrisiken erfordern:
    • Zusätzliche Investitionen (in mobile Geräte, Konnektivität, Arbeitshilfen, usw.);
    • Bessere Bandbreitenauslastung im Privatbereich;
    • Schutz vor Cyberkriminellen, welche die gegenwärtige Situation auszunutzen suchen.
    • Daten-/Gerätesicherheit und Schutz vor Cyber-Problemen;
    • Schutz vor Phishing, Datendiebstahl, Ransomware/Malware, usw.
  • Lieferantenmanagement durch unabhängige Dritte.
  • Übernahme und Verinnerlichung einer soliden Sicherheitskultur durch die Mitarbeiter.

Wie kann DNV Ihnen helfen?

Eine unabhängige Bewertung gemäß "Working from Home"-Assessment Protokoll von DNV misst Ihren Reifegrad. Unter Berücksichtigung verschiedener Faktoren, einschließlich Managementkontrollen, Konnektivität, Datenschutz und Sicherheitskultur der Mitarbeiter, ermöglicht Ihnen die Bewertung des Reifegrads eine eigenständige Steuerung und risikomindernde Maßnahmen zu implementieren. Das Beurteilungsprotokoll umfasst dabei folgende Punkte:

  • Messung des Reifegrads anhand von Kontrollfragen.
  • Existenz und wirksame Durchführung der Steuerung wird aus der Ferne beurteilt:
    • Diskussionen mit Anwendern;
    • Dokumentenprüfung;
    • Prozess-/Praxisverifizierung.
  • Kontrollen werden kategorisiert und die Bewertungsergebnisse auf einer Skala auf Grundlage der Umsetzungseffektivität bewertet.
    • Die Ergebnisse werden zu einem umfassenden Index mit Zielvorgaben für Verbesserungen zusammengefasst.
    • Ein konsolidierter Managementbericht über die wichtigsten Ergebnisse wird erstellt.
    • Unmittelbare Risiken aber auch Vorschläge zur Ansetzung von Maßnahmen werden aufgezeigt.
    • Best Practices, erwähnenswerte Anstrengungen und Schlussfolgerungen werden festgehalten.

Der WFH-Bewertungsrahmen kann jeder Organisation remote zur Verfügung gestellt werden. Er stützt sich auf bewährte Praktiken, die in Standards, Schemata und Leitfäden definiert sind, wie z.B:

  • NIST 800 – 53, ISO 27001:2013, ISO 22301:2019 und BCI Standards;
  • Eigene Leitfäden von DSCI und DNV.

DNV kann zudem Einblicke in Best Practices zur Verbesserung geben und bietet Schulungen sowohl für IT- als auch Nicht-IT-Personal an.