Challenges in Implementing Information Security Policies

Grundsatzlich kann jeder Form von Information ein bestimmter Wert zugeordnet werden. Die genaue Hohe dieses Wertes hangt von Faktoren wie dem Inhalt der Information, dem Grad der Geheimhaltung der sie unterliegt, ihrem Besitzer etc. ab. In manchen Fallen, v.a. im Geschaftsbereich, kann dieser Wert monetar ausgedruckt werden; in anderen Fallen ist dies nicht moglich. Unklarheit uber die moglichen Konsequenzen fur den Fall, dass solche Information in die falschen Hande gerat, hat zur Entwicklung von Masnahmen gefuhrt, die dies verhindern sollen. Der entsprechende Umgang mit Information – nicht ausschlieslich solcher, die einer besonderen Geheimhaltung unterliegt, sondern generell – auf eine Weise, welche Business Prozesse nicht unnotig behindert, gleichzeitig aber die Information selbst vor unerwunschtem Zugriff schutzt, fallt in den Bereich der Informationssicherheit (engl. ‚Information Security’). Die Erkenntnis uber die Gefahr einer unerwunschten Verbreitung von Informationen hat dazu gefuhrt, dass Unternehmen grosen Aufwand an Zeit und Geld in die Erstellung eines Informationssicherheitsprogramms investieren. Der hierfur notige Aufwand allein garantiert allerdings nicht die Effizienz eines solchen Programms in seiner Anwendung, d.h. er bedingt nicht, dass die betroffenen Personen auch damit einhergehen und, wenn ja, bis zu welchem Grad sie dies tun. Eine Investition in das Design eines Informationssicherheitsprogramms ohne ausreichende Kenntnis der Auswirkungen, die es auf Personen haben wird, wird mit hoher Wahrscheinlichkeit zu einer Diskrepanz zwischen Konzeption und Anwendung eines solchen Programms fuhren. Im schlimmsten Fall kann dies sogar das gesamte Programm untergraben, namlich dann, wenn die betroffenen Personen den allgemeinen Nutzen des Programms fur sie und das Unternehmen nicht erkennen konnen. In so einem Fall werden sie der Effizienz in der Bearbeitung ihrer alltaglichen Verantwortlichkeiten die hochste Prioritat beimessen, die Informationssicherheit aber vernachlassigen. Dass damit die Verletzung einer Zahl von Informationssicherheitsmasnahmen einhergeht, die eigentlich dem Schutz wertvoller Informationen dienen sollten, ist mit hoher Wahrscheinlichkeit anzunehmen. Die vorliegende Arbeit unterscheidet zwischen dem Design und der Umsetzung eines Informationssicherheitsprogramms. In diesem grundlegenden Unterschied liegt die Ursache fur die mogliche Kluft zwischen Konzeption und Anwendung eines solchen Programms. Die Frage, die diese Arbeit daher zu beantworten sucht, ist folgende: Wie kann diese Kluft zwischen Konzept und Anwendung reduziert werden oder aber, genauer gesagt, Informationssicherheit den betroffenen Personen, Mitarbeitern wie Managern, so kommuniziert werden, dass diese ihren Wert fur sie personlich wie auch fur das Unternehmen erkennen? Nur durch ein solches Verstandnis, d.h. entsprechendes Bewusstsein, kann das Befolgen eines Informationssicherheitsprogramms erreicht werden, und damit schlieslich auch seine Umsetzung wie vom Design her vorgesehen. Obwohl die erfolgreiche Umsetzung eines Informationssicherheitsprogramms mit seiner Konzeption und Erstellung zusammenhangt, liegt der Fokus dieser Arbeit nicht auf dem Design eines solchen Programms. Zwar ergeben sich aufgrund des erwahnten Zusammenhangs insofern gewisse Beruhrungspunkte, als einige wichtige Aspekte des Designs eines Informationssicherheitsprogramms aufgezeigt werden, das Hauptaugenmerk dieser Arbeit liegt jedoch auf der Uberwindung moglicher Hindernisse, die sich wahrend der Implementierung von Richtlinien fur Informationssicherheit ergeben und die Effizienz eines entsprechenden Programms schmalern konnen. Dadurch kann die Akzeptanz eines Informationssicherheitsprogramms maximiert werden, da es von den betroffenen Personen als Masnahme gesehen wird, die Information als ein gemeinsames Gut vor unerwunschtem Zugriff schutzt.