Eine Sicherheitsrichtlinie definiert die Regeln zum Schutz der Vermögenswerte einer Organisation. Sie legt fest, was erlaubt und was verboten ist und wer die Verantwortung trägt. Dazu gehören Passwortanforderungen, zulässige Nutzung, Datenklassifizierung, Meldung von Sicherheitsvorfällen und Fernzugriff. Jeder Bereich erhält entweder eine eigene Richtlinie oder einen Abschnitt innerhalb eines umfassenderen Dokuments. Die Richtlinie bildet die Grundlage. Verfahren und Standards bauen darauf auf.

Eine Richtlinie, die niemand liest, ist wertlos. Die besten Richtlinien sind kurz, klar und werden durchgesetzt. Sie erklären das Warum, nicht nur das Was. Mitarbeiter befolgen Regeln, die sie verstehen. Willkürliche Regeln werden ignoriert. Die Richtlinienentwicklung bezieht Stakeholder aus dem gesamten Unternehmen ein. Rechtsabteilung, Personalabteilung, IT und die Fachabteilungen bringen sich ein. Die Richtlinie muss mit Gesetzen und Vorschriften übereinstimmen. Sie muss außerdem praktikabel sein. Eine Richtlinie, die alle USB-Sticks verbietet, ist leicht zu formulieren, aber schwer durchzusetzen. Eine Richtlinie, die die Verschlüsselung zugelassener Sticks vorschreibt, ist praktikabler. Richtlinien müssen regelmäßig überprüft werden. Unternehmen, Bedrohungen und Vorschriften ändern sich. Eine jährliche Überprüfung hält die Richtlinie aktuell. Ohne sie beschreibt das Dokument ein Unternehmen, das nicht mehr existiert.

Gemeinsame Sicherheitsrichtlinien

• Zulässige Nutzung – was Mitarbeiter mit den Systemen des Unternehmens tun dürfen
• Zugriffskontrolle – wer erhält Zugriff auf was und wie
• Datenklassifizierung – wie Daten gekennzeichnet und verarbeitet werden
• Reaktion auf Sicherheitsvorfälle – wie man Sicherheitsverletzungen meldet und damit umgeht
• Fernzugriff – Regeln für das Arbeiten außerhalb des Büros

Eine Richtlinie ist ein Versprechen. Sie teilt den Mitarbeitern mit, was das Unternehmen von ihnen erwartet und was es zu ihrem Schutz unternimmt.