Entwicklung einer Methode zur Sensibilisierung von Mitarbeitenden für Informationssicherheit

Angriffe auf die Informationstechnologie von Organisationen nehmen in den letzten Jahren kontinuierlich zu. Die Involvierung der Anwendenden ist ein wichtiger Aspekt, um die Informationssicherheit in den Organisationen zu stärken. Um das zu gewährleisten, muss der Faktor Mensch für Informationssicherheit sensibilisiert werden. Der Grad der Sensibilisierung wird Information Security Awareness (ISA) genannt und beinhaltet das Wissen, die Verhaltensabsicht, die Gewohnheit und die Salienz einer Person in Bezug auf eine bestimmte Verhaltensweise. In dieser Arbeit wird eine Methode zur zielgerichteten Sensibilisierung von Mitarbeitenden in Organisationen entwickelt. Die Methode soll den Organisationen dabei helfen, ISA effektiv und nachhaltig zu etablieren und zu stärken. Als Grundlage für die Entwicklung werden Anforderungen aus der Theorie und der Praxis identifiziert und beschrieben. Dafür werden Literaturrecherchen, Fallstudien und Experteninterviews genutzt. Auf Basis der Anforderungen und eigener Vorarbeiten wird die Methode entwickelt. Diese Methode besteht aus insgesamt fünf Methodenfragmenten. Im ersten Fragment werden strategische Rahmenbedingungen für die ISA festgelegt. Anschließend wird auf Basis des Risikomanagement der Soll-Zustand in der Organisation definiert und notwendige technische und organisatorische Maßnahmen abgeleitet. In Methodenfragment 3 wird der Ist-Zustand der ISA in der Organisation auf Basis verhaltenspsychologischer Grundlagen analysiert. Anschließend werden zielgerichtete Sensibilisierungsmaßnahmen geplant und durchgeführt. Im letzten Methodenfragment wertet die Organisation den Erfolg der Sensibilisierungsmaßnahmen aus und plant den Einstieg in den nächsten Zyklus der Methode. Abschließend wird die Methode mit Hilfe von praktischer Anwendung, der Überprüfung der Anforderungen und mit einem Demonstrationsbeispiel evaluiert.