ISO 27001:2005 – Human Resources Security Maßnahmen für Mitarbeiter-Management und IT-Sicherheit

ISO/IEC 27001:2005 beschreibt ein Managementsystem für Informationssicherheit. Innerhalb eines solchen Systems ist die IT-Sicherheit für das Humankapital das vierte von elf Überwachungsbereichen. Die Norm schreibt vor, wie alle Mitarbeiter sich vor, während und nach der Berufsausübung verhalten sollen. Dieser Artikel benennt und erläutert die entsprechenden Norm-Inhalte. Weiterhin werden praktische Informationen und Vergleiche zur BSI-Norm gezogen.

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Alle in eine Organisation eingebundenen Personen müssen sich Ihrer Aufgaben und Pflichten gewahr sein, um das Risiko von Datendiebstahl, Betrug und Missbrauch zu minimieren. Dies gilt während der gesamten Einstellungsphase eines Mitarbeiters, also vor, während und nach der Beschäftigung. Aber nicht nur der Mitarbeiter, sondern auch die Geschäftsleitung und die Personalabteilung haben ihre Pflichten.

Viele Punkte der Kontrollliste im Paragraphen 8 des Annex A finden sich auch in anderen Überwachungsbereichen wieder. Das gilt besonders für Informationssicherheits-Richtlinien (§ 5, Annex A), Vermögensverwaltung (§ 7, Annex A) und IT-Compliance (§ 15, Annex A). Genauso wie bei anderen Kontrollzielen referenziert ISO 27001:2005 auf ISO 1799:2005.

Vor einem Beschäftigungsverhältnis

ISO 27001:2005 beschreibt sehr allgemein die Aufgaben vor der Einstellung eines festen Mitarbeiters, Teilzeitmitarbeiters oder externen Mitarbeiters. Hierbei handelt es sich – praktisch umgesetzt – um folgende Kontrollziele:

• Rollen und Verantwortlichkeiten interner und externer Mitarbeiter. Zur Einrichtung von Sicherheitsrollen und Verantwortlichkeiten sind die Informationssicherheits-Richtlinien zu verwenden. Des Weiteren muss alles getan werden, um das Organisationsvermögen vor unbefugtem Zugriff zu schützen. Was zu einem Organisationsvermögen gehört, ist im Kontrollziel „Vermögensverwaltung“ aufgelistet.
• Eine Eignungsauslese aller internen und externen Mitarbeiter. Unter Wahrung des gültigen Rechts sollten Bewerbungsunterlagen und Werdegang potentieller Bewerber unter die Lupe genommen werden. Lebenslauf, Referenzen und die akademische Qualifikation sind zu überprüfen. Auch ein polizeiliches Führungszeugnis und eine Bankauskunft sind wichtig. Hierbei können Behörden und Dienstleister wie beispielsweise die Creditreform helfen.
• Alles für das Ziel „IT-Compliance“. Alle Mitarbeiter (Angestellte, Teilzeitarbeiter, Subunternehmer, etc.) erhalten Arbeitsverträge, in denen die IT-Sicherheit der betreffenden Organisation beschrieben ist. Auch hier ist die Wahrung der gesetzlichen Vorschriften wichtig. Die Norm nennt in diesem Zusammenhang Geheimhaltungsverträge, Handhabung von Patenten und die Verwendung von vertraulichen Informationen jeder Art. Ebenso dürfen in dem Arbeitsvertrag die Aufgabengebiete, Arbeitszeiten und die Verantwortlichkeiten nicht fehlen. Bei Verletzung des Vertrags sollten auch mögliche Strafen beschrieben sein.

Während des Beschäftigungsverhältnisses

Die Aufgaben der Mitarbeiter sollten genau definiert sein. Dies geschieht nicht nur hinsichtlich der IT-Sicherheit, sondern auch um sonstige Fehlerquellen zu beseitigen. Die ISO-Norm beschreibt zu diesem Punkt drei Kontrollziele:

• Die Verantwortung des Managements
• IT-Sicherheitsbewusstsein durch laufende Fortbildungen
• Disziplinarmaßnahmen bei Verstößen

Bei der Verantwortung des Managements ist die Rolle der Geschäftsführung gemeint. Sie hat die Pflicht, alle Mitarbeiter gemäß Ihrer IT-Sicherheitsrolle anzuleiten und entsprechend der Arbeitsbeschreibung die notwendigen Berechtigungen auf das Organisationsvermögen zu erteilen. Hierbei helfen die in ISO 27001:2005 ausgearbeiteten Informationssicherheits-Richtlinien.

Durch eigenes Verhalten ist die Führungsebene auch Vorbild für alle Mitarbeiter, um ein IT-Sicherheitsbewusstsein aufzubauen. Eher problematisch wirkt der in der Norm vorgesehene „disziplinarische Prozess“. In einigen Ländern sind die Bestimmungen für Arbeitsrecht womöglich locker gestrickt – hingegen können sie in Deutschland als sehr „heikel“ für den Arbeitgeber eingestuft werden, sodass Rechtsberater dringend erforderlich sind.

Bezüglich des Sicherheitsbewusstseins merkt das BSI in seiner Richtline 100-2 noch an, dass ein „Arbeitsklima positiv beeinflusst“ wird, wenn Mitarbeiter sich in die Entscheidungen der Geschäftsleitung eingebunden fühlen.

Änderung oder Beendigung des Beschäftigungsverhältnisses

Sobald eine Änderung im Beschäftigungsverhältnis auftritt, ist die Rolle der Person innerhalb der IT-Sicherheit unverzüglich neu zu definieren. Das könnte zum Beispiel bei einer „Degradierung“ der sofortige Entzug von Berechtigungen oder die Rückgabe von Smartcards sein. Die ISO-Norm nennt hierzu folgende Kontrollziele:

• Verantwortlichkeiten innerhalb der Organisation sollten klar definiert sein (Ansprechpartner müssen zum Beispiel vorhanden sein)
• Rückgabe von Vermögenswerten (Laptops, elektronische Planer, Unterlagen, Schlüssel, etc.)
• Entfernen von Zugriffsrechten

Eine deutsche Besonderheit, die das BSI zu Recht noch erwähnt, ist die Rolle von Personal- und Betriebsräten. Diese Gremien und Personen sollten frühzeitig in die IT-Sicherheit eingebunden werden, um Missverständnisse und Verstöße gegen das deutsche Arbeitsrecht zu vermeiden.

In der Praxis zeigt es sich leider zu oft, dass Unkenntnis der Betriebsräte zu viel Unruhe innerhalb der Belegschaft führen kann. Hier hilft nur eine besondere IT-Sensibilisierung der Arbeitnehmervertreter und Gewerkschaftsmitglieder.

In der Praxis?

Man darf selbstverständlich nicht alle Organisationen über einen Kamm scheren. IT-Sicherheitsstufen und Risiken mögen überall verschieden beurteilt werden. Ein Vermögenswert einer Organisation ist sein Humankapital (Human Resources). Dieses Kapital sollte immer gefördert und durch transparente Maßnahmen geschützt werden. Eine Schulung des IT-Sicherheitsbewusstseins Aller ist der erste Schritt. Die Umsetzung durch Geschäftsleitung und IT-Sicherheitsstab bzw. IT-Sicherheitsbeauftragte ein weiterer.

Zu den am IT-Sicherheitssystem partizipierenden Mitarbeitern gehören auch Subunternehmer. Wenn abends die Putzkolonne beginnt die Büroräume zu säubern, dürfen die Räume und teilweise auch das Firmengebäude nicht unbeaufsichtigt offen stehen. Das gilt auch, wenn die Feuchtigkeit der gewischten Böden nicht so schnell entweichen kann. Ähnliches gilt auch für Anlieferung, bei der aus Bequemlichkeit gleich mehrere Türen permanent unbewacht offen stehen. Da handelt es sich beinahe um eine Aufforderung zum Diebstahl.

Man denke aber auch an die „heikle“ Benutzung von E-Mail und Internet seiten der Mitarbeiter. Auch elektronische Post, und dazu zählt auch die E-Mail, fällt unter das Post- oder Fernmeldegesetz. Eine Verletzung des Gesetzes ist laut § 206 StGB unter Strafe gestellt, wenn zum Beispiel ein Unternehmen eine zur Übermittlung anvertraute Sendung unterdrückt. Erlaubt ein Unternehmen seinen Mitarbeitern die private E-Mail-Nutzung, dann kann es sich der Verletzung des Post- oder Fernmeldegesetzes strafbar machen, wenn es an einen Mitarbeiter adressierte E-Mails ausfiltert.

Fazit

Leider kann die ISO-Norm wegen der unterschiedlichen Gesetzgebungen der Länder nur allgemeine Empfehlungen herausgeben. Die Norm liefert Aufgaben und Pflichten der Mitarbeiter und der Firmenleitung, die sie vor-, während und nach einem Beschäftigungsverhältnis beachten müssen. Das betrifft beispielsweise Aufgaben, wie die genaue Überprüfung der neuen Mitarbeiter oder das Löschen der Zugangsdaten bei Beendigung des Arbeitsverhältnisses.

(ID:2006658)