Viele Unternehmen haben das Problem, dass sie nicht wissen, wie es genau um die Sicherheitskultur in ihrem Unternehmen steht. Security Awareness-Massnahmen mit Schulungen von Mitarbeitenden werden zwar durchgeführt, aber ob die Massnahmen am richtigen Punkt ansetzen und greifen, ist nicht bekannt. Es wird rein nach Gutdünken und bestem Wissen und Gewissen geschult.

Auch bei unserem Kunden rückt das Thema Security Awareness zum Schutz der Daten und der Infrastruktur zunehmend ins Zentrum der Bemühungen. Als öffentlicher Dienstleister hat das Unternehmen den Auftrag, den Transportservice zu gewährleisten. Damit dieser reibungslos läuft, sind nebst technischen Massnahmen auch schulische Massnahmen im Bereich Informationssicherheit erforderlich. Das Unternehmen beschloss mithilfe des Security Awareness Radars® die Mitarbeitenden zu befragen und so den Stand der Sicherheitskultur im Unternehmen zu bestimmen.

‍

Die Ziele der Umfrage waren, Wirkung und Nachhaltigkeit der bestehenden Awareness- und Schulungsmassnahmen zu prüfen, Stärken und Schwächen aufzudecken und Rückschlüsse für zukünftige Massnahmen zu gewinnen.

Die Befragung der Mitarbeitenden mittels Standard- Fragebogen hat die Vorteile einer quantitativen, statistischen Analyse und der Vergleichbarkeit der Resultate. Das Unternehmen kann dadurch in verschiedenen Zeitabständen dieselbe Umfrage durchführen, um so zeitliche Veränderungen in der Security Awareness festzustellen. Die Resultate können auch über verschiedene Organisationen und Branchen hinweg verglichen werden und ermöglichen so einen interorganisatorischen Vergleich (Benchmarking). Die Messung ist qualitativer und quantitativer Natur. Durch die Wiederholungen erlaubt der quantitative Fragebogen einen Vergleich der Resultate, um so Veränderungen festzustellen. Die Auswertung der offenen Frage ermöglicht es zudem ein qualitatives Feedback der Mitarbeitenden einzuholen.

Die Befragung mit dem Security Awareness Radar® erfolgte bereits zweimal. Eine letzte Befragungsrunde steht noch an. Beide Befragungen lieferten wertvolle Informationen zum Stand der Informationssicherheit und der Sicherheitskultur im Unternehmen. Sie zeigte auf, dass sich das Sicherheitsbewusstsein der Mitarbeitenden dank der durchgeführten Schulungsmassnahmen bereits innerhalb eines Jahres verbessert hat.

Die erste Befragung lieferte eine erste Grundlage, wie es um das Sicherheitsbewusstsein der Mitarbeitenden im Unternehmen steht. Sie lieferte Bereiche und Themen, welche prioritär durch die Sicherheitsabteilung angegangen werden mussten. Durch die zweite Befragung ein Jahr später wurde ersichtlich, dass sich eine Verbesserung des Sicherheitsbewusstseins eingestellt hat und dass somit die ergriffenen Massnahmen Früchte getragen haben. Sie zeigte weiter auf, in welchen Bereichen und Themen weitere Massnahmen vorangetrieben werden sollten, um die Sicherheitskultur und das Sicherheitsbewusstsein stetig zu verbessern.

Auch in den Kommentaren zeigte sich, dass die Informationssicherheit bei den Mitarbeitenden als gut und wichtig angesehen wird. Aufgrund zugenommener Awareness-Massnahmen wurde bei den Mitarbeitenden in der zweiten Befragung der Wunsch geäussert, öfters und regelmässiger in Sicherheitsthemen zu schulen.

Das Ziel, eine gelebte und aktiv von den Mitarbeitenden getragenen Sicherheitskultur auf hohem Niveau zu haben, sich kontinuierlich weiterzuentwickeln und dadurch sicherer zu werden, ist ein laufender Prozess, der nicht nach den drei Befragungen zu Ende sein wird. Wird ein erstes Ziel erreicht, wird ein neues Ziel definiert. So wird die Weiterentwicklung stetig vorangetrieben. Die Hacker stehen nicht still, so auch das Unternehmen nicht, in seinen Bemühungen, seine «Human Firewall» stetig zu verbessern.

«Dank der Befragungen mit dem Security Awareness Radar® konnten wir ermitteln, in welchen Bereichen und auf welchen Themen wir den Fokus unserer Arbeit legen müssen. Durch die Wiederholung der Befragung konnten wir feststellen, dass wir das Sicherheitsbewusstsein der Mitarbeitenden aufgrund der umgesetzten Massnahmen bereits innerhalb eines Jahres um 10% steigern konnten.»

Leiter Informationssicherheit

‍

«Informationssicherheit ist eine «never-ending»- Story und es kann fast nicht genug gemacht werden. Nur schon diese Umfrage zeigt wieder einmal, welche Punkte alle zur Informationssicherheit gehören.»

Ein Mitarbeitender zur Befragung mit dem Security Awareness Radar

‍