An die 77 Prozent aller Unternehmen und Behörden haben laut einer Untersuchung von Cisco IT-Sicherheitsregeln aufgesetzt. Aber leider werden solche »Policies« häufig von den Mitarbeitern abgelehnt oder unterlaufen. Daran sind allerdings die IT-Abteilungen nicht ganz unschuldig.

Die Untersuchung zur Umsetzung von IT-Security-Policies ist der zweite Teil einer Studie zum Thema IT-Sicherheit. Cisco ließ sie in zehn Ländern durchführen, darunter den USA, China, Deutschland, England, Frankreich, Indien und Japan.

Eine Zusammenfassung des ersten Teils mit dem Titel »Die zehn größten Risiken für Datenbestände im Unternehmen« haben wir bereits veröffentlicht.

Positiv ist, dass immerhin 77 Prozent aller Firmen IT-Sicherheitsregeln erarbeitet haben und umsetzen. Von dem Drittel der Organisationen, die auf solche Policies verzichten, stammen 39 Prozent aus Japan und 29 Prozent aus Großbritannien.

Möglicherweise liegt es an dieser laxen Haltung, dass in den letzten Monaten überproportional viele Behörden und Firmen aus Großbritannien den Verlust von Kundendaten oder anderen vertraulichen Informationen einräumen mussten.

Hälfte der Mitarbeiter unterläuft Sicherheitsregeln

Im Schnitt hält sich die Hälfte der Mitarbeiter eines Unternehmens nicht an die IT-Sicherheits-Policies – sei es regelmäßig oder zumindest ab und zu. Frankreich führt die Front der IT-Security-»Verweigerer« an: 83 Prozent der Befragten räumten ein, dass sie bewusst entsprechende Richtlinien missachten. In Indien sind es dagegen nur 11 Prozent.

Die Untersuchung ergab, dass die folgenden fünf Faktoren die Umsetzung von Regeln entweder ganz torpedieren und zumindest erschweren:

1. Nur IT-Mitarbeiter kennen die Security-Policy: Offenkundig gibt es eine erhebliche Diskrepanz zwischen dem Wissenstand der IT-Fachleute und dem von »Otto Normal-User«. Der Prozentsatz der IT-Experten, welche die geltenden Sicherheitsregeln kennen, liegt im Schnitt um 20 bis 30 Punkte über dem der normalen Mitarbeiter.

Am größten ist mit 31 Prozent diese Lücke in den USA, Brasilien und Italien. Das deutet auf eine mangelhafte Kommunikation zwischen der IT-Abteilung und den Anwendern hin.

2. Schlechte Kommunikation zwischen IT-Abteilung und Mitarbeitern: Elf Prozent der Mitarbeiter wurden von den IT-Fachleuten ihres Arbeitsgebers noch nie in puncto IT-Sicherheit geschult. Vor allem in England (25 Prozent) und Frankreich (20 Prozent) ist das ein Problem.

Und wenn sich denn EDV-Spezialisten dazu bequemen, ihre »Kunden«, also die User, zu schulen, dann oft nicht direkt, sondern über E-Mail oder Telefon. Hier besteht offenkundig ein Nachholbedarf.

1. Cisco-Studie: Warum Sicherheits-Policies in Unternehmen nicht funktionieren
2. Cisco-Studie: Warum Sicherheits-Policies in Unternehmen nicht funktionieren (Fortsetzung)