Verantwortlich für Initiierung: Behörden-/Unternehmensleitung, IT- Sicherheitsmanagement
Verantwortlich für Umsetzung: IT-Sicherheitsmanagement
Viele Sicherheitsvorfälle werden erst durch falsche Reaktionen zu einem größeren Problem, wenn überhastet Entscheidungen getroffen werden, beispielsweise wenn spontan Daten gelöscht werden, die zum Nachvollziehen des Ereignisses notwendig gewesen wären.
Zu unterscheiden ist hierbei zwischen allgemeingültigen Verhaltensregeln, die für sämtliche vorstellbaren Sicherheitsvorfälle gelten, und den IT-spezifischen Verhaltensregeln. Folgende allgemeingültige Verhaltensregeln können für alle Arten von sicherheitsrelevanten Unregelmäßigkeiten festgehalten werden:
Diese allgemeinen Verhaltensregeln müssen in geeigneter Weise allen potentiell betroffenen Angehörigen einer Behörde bzw. eines Unternehmens bekanntgegeben werden.
Darüber hinaus können spezifische Verhaltensregeln an die Betroffenen weitergegeben werden, insbesondere an diejenigen, die als Meldestellen für Sicherheitsvorfälle fungieren und die ersten Entscheidungen fällen bzw. die ersten Maßnahmen ergreifen sollen. Dazu gehören die IT- Administratoren, die IT-Anwendungsverantwortlichen und das IT-Sicherheitsmanagement. Zu diesen Verhaltensregeln zählen die in den folgenden Maßnahmen beschriebenen:
Neben der Festlegung der Verhaltensregeln sind auch die Meldewege zu definieren. Hier bietet sich folgendes Muster an:
Wichtig ist hier insbesondere, dass allen Mitarbeitern die Ansprechpartner und die Meldewege für alle Arten von Sicherheitsvorfällen bekannt sind. Hierzu könnte z. B. im internen Telefonverzeichnis oder im Intranet eine Liste mit Namen, Telefonnummern und E-Mailadressen der jeweiligen Ansprechpartner enthalten sein. Es darf jedoch weder schwierig noch zeitaufwendig sein, Verdachtsfälle weiterzumelden. Dafür müssen schnelle und sichere Kommunikationsverbindungen bereitstehen. Die Authentizität des Kommunikationspartners und die Vertraulichkeit der über den Verdachtsfall gemeldeten Informationen ist sicherzustellen.
Es sollten auch alle Mitarbeiter darüber informiert sein, dass Auskünfte über den Sicherheitsvorfall gegenüber Dritten nur über das IT-Sicherheitsmanagement erfolgen dürfen (siehe M 6.65 Benachrichtigung betroffener Stellen).
Durch Übungen sollte auch sporadisch überprüft werden, ob die Verhaltensregeln für Sicherheitsvorfälle angemessen und durchführbar sind und ob sie allen Mitarbeitern bekannt sind (siehe auch M 6.68 Effizienzprüfung des Managementsystems zur Behandlung von Sicherheitsvorfällen).
Besonders bei Sicherheitsvorfällen zeigt es sich immer wieder, wie wichtig ein gutes Betriebsklima und eine gesunde Kommunikationskultur sind, damit Sicherheitsvorfälle auch umgehend weitergemeldet und offen angegangen werden (siehe auch M 3.8 Vermeidung von Störungen des Betriebsklimas).
Ein Beispiel, wie die Verhaltensregeln und der Meldeplan jedem betroffenen Mitarbeiter bekanntgegeben werden können, ist ein von der Behörden- bzw. Unternehmensleitung unterzeichnetes Informationsblatt, auf dem die wichtigsten Informationen zusammengefasst sind und das am Arbeitsplatz und ergänzend im Intranet vorgehalten werden kann. Ein Beispiel für ein solches Informationsblatt findet sich unter den Hilfsmitteln auf der CD-ROM zum IT-Grundschutzhandbuch (Verzeichnis ...\HILFSMI\15VERHAL.DOC). Damit die Information im Ernstfall auch tatsächlich verfügbar ist, ist es nicht sinnvoll, diese nur in elektronischer Form zu verbreiten, da dann auch genau diese Information vom Sicherheitsvorfall betroffen sein könnte.
Alle Informationsblätter zu potentiellen Sicherheitsvorfällen müssen bei jeder relevanten Änderung in der Organisation sofort aktualisiert werden, damit die dort beschriebenen Verhaltensregeln noch greifen und die Meldewege korrekt sind.
Ergänzende Kontrollfragen:© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000.