Fachartikel Swiss Infosec AG Archive - Seite 33 von 40

Mittendrin statt nur dabei

Gewissermassen über Nacht sind wir in eine Situation hineinkatapultiert worden, die uns vor ganz neue Herausforderungen gestellt hat. Während in Notfallkonzepten unterschiedlichste Szenarien abgebildet werden, fehlte bis anhin eine taugliche Gebrauchsanweisung für «Social» oder besser «Physical Distancing». Was haben die neuen Vorschriften für Auswirkungen? Auf unseren Alltag? Auf unsere Arbeit? Auf unsere Pläne in Bezug auf Freizeitgestaltung, aber auch in Bezug auf unsere Aus- und Weiterbildung?

Aus- und Weiterbildung: Jetzt erst recht

Für uns war schnell klar, dass unserem Aus- und Weiterbildungsangebot in dieser speziellen Lage eine zentrale Bedeutung zukommt. Einerseits bietet die erzwungene Verlangsamung des Lebens die Möglichkeit, sich – möglicherweise als ganzes Team – ohne Stress auf Aus- und Weiterbildungsprojekte zu konzentrieren. Andererseits sind es sinnvolle Aufgaben wie eben die eigene Weiterbildung, die gleichförmigen Tagen Struktur und Inhalt geben.

Mit Ausbildungserfahrung vom Präsenzkurs zur digitalen Lerneinheit

Nachdem Präsenzunterricht von einem Tag auf den anderen nicht mehr möglich war, stellte sich die Frage, wie man aus einem etablierten Präsenzkurs überzeugende digitale Lerneinheiten macht. Lerneinheiten, die tatsächlich einen Mehrwert bieten und dem physischen Zusammentreffen so nahe kommen wie nur möglich. Sprich mit Interaktionsmöglichkeiten, die über ein gewöhnliches digitales Meeting hinausgehen.

Dank unserer Ausbildungserfahrung und unseren in Arbeitsmethodik und Technik geschulten Spezialisten konnten wir in kürzester Zeit Voraussetzungen schaffen, mit denen unser Distance Learning zur echten Alternative (und nicht zu einer Notlösung!) für Präsenzkurse wurde. Für die Umsetzung unseres Distance Learning nutzen wir übrigens das – auch sicherheitsmässig – verlässliche Microsoft Teams.

Was macht unser Distance Learning so besonders?

All unseren digitalen Kursen liegt ein eigens erarbeitetes Konzept zugrunde. Es enthält Handlungsempfehlungen, Tipps und Tricks für unsere Ausbildungsspezialisten und zeigt, wie die Ausbildungsmethodik am besten an den digitalen Unterricht anzupassen ist. Diese arbeiten in einem speziell für das Distance Learning hergerichteten «Fernsehstudio» mit Multitasking Screen, spezieller Beleuchtung und Mikrofon und können via PowerPoint-Präsentation und elektrischem Whiteboard Lerninhalte vermitteln und Lösungsansätze herleiten. Damit ist eine praktikable Interaktion zwischen Ausbildenden und Kursteilnehmenden möglich. Unser Distance Learning ist deshalb weit mehr als digitaler Frontalunterricht und gerade deswegen sehr geschätzt.

Ich bin totaler Fan von Distance Learning geworden. Ich kann in meiner gewohnten Umgebung bleiben ohne grosse Reisezeit.
–Ein Kursteilnehmer

Für mich hat alles gepasst: Interaktionen, Praxisbeispiele und Anwendungen.
–Ein Kursteilnehmer

Warum Präsenzkurse (nicht nur) für uns trotzdem unschlagbar bleiben

Der Mensch ist ein soziales Wesen. Er tauscht sich gerne unmittelbar aus und nimmt Stimmungen, Tonlage und Körpersprache des Gegenübers wahr. Die nonverbale Kommunikation ist beim Distance Learning zwar nicht gänzlich ausgeschaltet, hat aber nie den Stellenwert wie beim persönlichen Kontakt.

Gruppenarbeiten und vergleichende Präsentationen sind für einen differenzierten, abwechslungsreichen Unterricht sehr wünschenswert, digital aber kaum praktikabel.

Ein Kursbesuch dient nicht nur der Weiterbildung, sondern bietet die Möglichkeit, Kontakte zu knüpfen und sich zu vernetzen. Eine Tatsache, die übrigens viele unserer Kursteilnehmenden ganz besonders schätzen. Diskussionen in der Pause oder beim Mittagessen und Networking sind Pluspunkte der Präsenzkurse.

Fazit

Unsere grosse Erfahrung in der Aus- und Weiterbildung ermöglichte es uns, digitale Lerneinheiten zu konzipieren, die nahe an Präsenzunterricht herankommen und sich dank erweiterter Interaktionsmöglichkeiten und technischem Know-how von Standardangeboten abheben. Und dennoch: Distance Learning ist für uns kein voller Ersatz für Präsenzkurse. Den direkten Kontakt und Austausch mit Ihnen möchten wir nämlich nicht missen.

05/2020 – Fachartikel Swiss Infosec AG

Ein Schreibtisch, ein Stuhl, ein Notebook mit Zugriff auf die Geschäftsdaten und ein Telefon – schon steht das Homeoffice bereit. Aber wie sieht es mit der Sicherheit aus? Gerade Mitarbeitende, die normalerweise in einer physisch geschützten Umgebung arbeiten, finden sich daheim in einem völlig anderen Arbeitsumfeld wieder. Worauf ist zu achten?

In unserem letzten Beitrag sind wir bereits auf die beim Arbeitgeber – vom Arbeitsort der Mitarbeitenden unabhängige – verbleibende Verantwortlichkeit bei der Bearbeitung von Personendaten und auf die Notwendigkeit angemessener technischer und organisatorischer Massnahmen eingegangen.

Da es in dieser Hinsicht noch einiges mehr zu beachten gilt, haben unsere Sicherheitsexperten für Sie eine Reihe von Grundsätzen zusammengestellt, die bei der Arbeit im Homeoffice (oder auch unterwegs) beachtet werden sollten.

Konzentration auf elektronische Datenverarbeitung

Homeoffice sollte grundsätzlich als eine voll elektronische Datenverarbeitung ohne Medienbruch ausgestaltet werden. D.h., die schriftliche Kommunikation mit dem Arbeitgeber, die Entgegennahme von Aufgaben, der Umgang mit Personendaten und anderen sensitiven Informationen sowie die Übermittlung der Arbeitsergebnisse sollten automatisiert mit Hilfe von IT-Einrichtungen und über verschlüsselte elektronische Kommunikationswege stattfinden. Dadurch entfällt die Notwendigkeit, Unterlagen zu transportieren, was ein hohes Risiko des Verlusts, der Beschädigung sowie der unbefugten Kenntnisnahme birgt.

Zutritt und Zugriff

Auch im Homeoffice ist sicherzustellen, dass Unbefugte zu keiner Zeit Zugang zu Geschäftsunterlagen erhalten – die Clear Desk Policy gilt auch daheim. Die Zugriffsmöglichkeiten auf Informatikmittel sowie Zugriffsrechte müssen kontrolliert sein.

Passwortschutz

Jeder Nutzeraccount ist mit einem sicheren Passwort zu schützen; Best Practice ist zurzeit eine Mindestlänge von 8 bis 12 Zeichen, bestehend aus Gross- und Kleinbuchstaben, Sonderzeichen und Zahlen. Der Einsatz einer Zwei-Faktor-Authentifizierung erhöht den Schutz zusätzlich.

Datenspeicherung

Es bedarf klarer Regeln, wo Personendaten und Informationen gespeichert werden dürfen. Sofern eine VPN-Verbindung zum Firmenserver eingerichtet wurde oder ein Cloud-System im Einsatz ist, sollten ausschliesslich diese Datenspeicher verwendet werden. Gibt es keine andere Möglichkeit, als die Daten lokal zu speichern, so müssen diese bei der nächstmöglichen Gelegenheit auf den üblicherweise verwendeten Datenspeicher übertragen und sicher aus dem lokalen Speicher gelöscht werden.

Sicherheitstechnische Anforderungen an die Informatikmittel

Zur Minimierung der Angriffsﬂäche sind bei Informatikmitteln nicht benötigte Funktionen zu entfernen und Standard-Schutzmassnahmen (z.B. das Einspielen aktueller Software-Patches und AV-Signaturen) vorzunehmen. Die eingesetzten Geräte sollten über eine aktuelle Firewall und Viren- und Malware-Erkennungssoftware verfügen. Installierte Software ist immer auf dem aktuellen Stand zu halten. Datenträger sind zu verschlüsseln.

Sicherer Remote-Zugriff auf das Geschäftsnetzwerk

Die privaten WLAN-Zugangspunkte müssen mit einem mindestens 20-stelligen Passwort geschützt und mit dem WPA2-Standard verschlüsselt sein. Idealerweise sollte die Verbindung zum Geschäftsnetzwerk über VPN erfolgen, damit eine verschlüsselte Datenübertragung gewährleistet ist. Alternativ kann eine Cloud-Lösung mit automatischen Backup-Funktionen und Berechtigungskonzepten eingesetzt werden.

Audio- und Videokonferenzen

Audio- und Videokonferenzen sind praktisch, bergen aber auch die Gefahr in sich, dass Unbefugte mithören oder unerlaubterweise Aufzeichnungen erstellt werden. Zu beachten ist, dass datenschutzrechtlich das Unternehmen verantwortlich bleibt und nicht etwa der Anbieter des Tools.

Soweit das eingesetzte Tool Funktionen enthält, die über das betrieblich Erforderliche hinausgehen (z.B. das Fertigen von individuellen Nutzungsstatistiken), sollten diese deaktiviert werden. Sind besonders schützenswerte Personendaten, Geschäftsgeheimnisse oder Informationen, die einem Berufsgeheimnis unterliegen, Gegenstand der Kommunikation, ist eine verschlüsselte Übertragung Pflicht.

Typischerweise ist zwischen dem Unternehmen und dem Anbieter der Tools ein Vertrag abzuschliessen. Im Anwendungsbereich der DSGVO muss dieser Art. 28 DSGVO entsprechen. Sofern das Hosting bzw. die Bereitstellung des Tools (auch) auf Servern ausserhalb der Schweiz, der EU und des EWR stattfindet, müssen mit dem Anbieter zusätzliche Garantien vereinbart werden (z.B. Standard-Vertragsklauseln, Zertifizierung unter dem US-CH Privacy Shield).

Klarer Prozess bei Datenpannen und IT-Problemen

IT-Support und Incident Management-Prozesse sollten so ausgelegt sein, dass sie auch im Homeoffice funktionieren und nicht an der räumlichen Distanz zum Geschäftssitz scheitern. Der Einsatz von Fernwartungstools wie TeamViewer kann hilfreich sein.

Sensibilisierung der Mitarbeitenden

Bei der regelmässigen Schulung der Mitarbeitenden im sicheren und datenschutzgerechten Umgang mit Informatikmitteln sollte der Arbeitgeber dem richtigen Verhalten im Homeoffice die nötige Beachtung schenken.

Einräumung von Kontrollrechten des Arbeitgebers

Damit der Arbeitgeber die Einhaltung der Sicherheitsvorschriften auch im Homeoffice überprüfen kann, sollte er sich ein vertragliches Kontrollrecht einräumen lassen. Das mag unangenehm sein, ist aber unverzichtbare Bedingung für das Arbeiten zu Hause.

Weiterführende Literatur

Gerne beantworten wir Ihre Fragen und unterstützen Sie bei der Einhaltung von Schweizer Datenschutz und DSGVO.

Kategorie: Fachartikel Swiss Infosec AG

Distance Learning made by Swiss Infosec AG