Eine Security Policy ist das verbindliche Regelwerk eines Unternehmens für den Umgang mit Informationen und Technik. Auf Deutsch heißt sie Sicherheitsrichtlinie.
- Security Policy
Das verbindliche Regelwerk eines Unternehmens für den Umgang mit Informationen und Technik.
Beispiel: „Die Security Policy verlangt für jede Zahlung über 5.000 Euro eine zweite Freigabe.“Auch: Sicherheitsrichtlinie, Informationssicherheitsrichtlinie. Einzelne Themen bekommen eigene Papiere, etwa eine Passwort Policy.
Abgrenzung zur Technik: Die Policy sagt, was gelten soll. Ob es eingehalten wird, zeigt erst ein Sicherheitsaudit.
Was in eine Security Policy hineingehört
Vier Blöcke, und alle vier beantworten eine Frage, die sonst im Einzelfall entschieden wird. Wer darf auf was zugreifen und wer entscheidet darüber? Wie wird mit Geräten, Zugangsdaten und fremden Datenträgern umgegangen? Was passiert bei einem Vorfall, und wen erreicht man wann? Und welche Regeln gelten für Dienstleister, die Zugriff bekommen?
Warum Länge schadet
Weil niemand vierzig Seiten liest. Eine Policy, die alles regelt, wird einmal unterschrieben und nie wieder angesehen; was darin steht, kennt im Ernstfall niemand. Wirksam sind kurze Regeln, die an der Stelle auftauchen, an der sie gebraucht werden: beim Einrichten eines Zugangs, beim Freigeben einer Zahlung, bei der Einarbeitung.
Woran die meisten scheitern
Am Unterschied zwischen Papier und Alltag. Eine Regel, die die Arbeit unmöglich macht, wird umgangen, und zwar still; danach gibt es eine Policy, die etwas anderes behauptet als die Wirklichkeit, und das ist schlechter als keine. Deshalb gehört zu jeder Regel die Frage, wie der erlaubte Weg aussieht, und zu jeder Ausnahme ein Verfahren, das sie dokumentiert.