Notizen zum Lean Coffee Informationssicherheit in Verwaltungen, Nr. 2

Informationssicherheit ist die Voraussetzung für die weitere Digitalisierung in Verwaltungsbereichen. Wenn Ihr Euch austauschen wollt, gibt es jetzt ein monatliches Lean Coffee, in dem Ihr Eure Fragen loswerdet und in dem Ihr Erfahrungen teilen könnt. Wenn Ihr wissen wollt, warum Kekse und Kaffee die wichtigsten Werkzeuge für den Aufbau eines ISMS sind, kommt gern zum nächsten Online-Lean-Coffee am 25.95.2022.

Zum Lean Coffee am 27.04.2022 trafen sich 10 Pioniere zu früher Stunde im Zoom-Land.

Foto: Fahmi Fakhrudin auf Unsplash

Wer die Einladung zum nächstenTermin nicht verpassen will, meldet sich entweder in der Xing-Gruppe an oder meldet sich direkt bei den Organisatoren Niklas Hirsch oder Jan Fischbach. Wir nehmen Euch dann in den Verteiler auf.

https://www.xing.com/communities/groups/austausch-informationssicherheit-in-kommunen-und-der-verwaltung-46cb-1152817/

In dieser Runde favorisieren wir eine agile Herangehensweise an das Thema Informationssicherheit in Verwaltungen.

Erfahrungen mit Verinice

Verinice ist ein ISMS-Tool (https://verinice.com/), das aus dem GS-Tool des BSI hervorgegangen ist. Das Tool ist nützlich, um das Umsetzen von Maßnahmen aus dem BSI-Grundschutzkatalog zu verfolgen. Bei der Diskussion wird von verschiedenen Erfahrungen berichtet.

Es ist einfacher, erst einmal technische Maßnahmen umzusetzen, bevor man sich an die organisatorischen und personellen Maßnahmen wagt.
Eine Maßnahmenliste ergibt sich aus dem Analysieren der Risiken in der Organisation. Schön wäre es, wenn die Schnittstellen funktionierten: einige Daten lassen sich z. B. im CSV-Format importieren.
Wenn man anfängt, Excel- oder Word-Dokumente zu pflegen, verliert man schnell den Überblick. Bitte auch keine Verlinkungen auf Netzlaufwerke. Wenn sich die Pfade ändern, findet man nichts mehr wieder.
Einige Organisation nutzen externe Berater:innen. Externe bieten nicht nur den Vorteil der Arbeitsentlastung. Dadurch, dass diese Leute vor Ort sind und Geld kosten, entsteht Handlungsdruck. Interne Themen wie Informationssicherheit werden leicht zu Gunsten noch wichtigerer Themen geschoben. Eine kostengünstige Alternative: gegenseitig besuchen. So werden Themen sauber aufgearbeitet, um vor den Anderen ein gutes Bild abzugeben. Führungskräfte geben sich hier besonders Mühe.

Risikoanalyse(n): Trockenen BSI-Standard mit Praxis anreichern

Die Kenntnis der spezifischen Sicherheitsrisiken ist eine gute Grundlage für ein Sicherheitskonzept und entsprechendes, umfassendes System in einer Organisation. Die ISO-Norm 31000 bietet einen Standard für die Analyse von Risiken. Aber wie kommt man an eine Liste der Risiken?

Viele Organisationen teilen die gleichen Grundrisiken. Für die Gespräche mit den Fachabteilungen lohnt es, sich einen Standardkatalog von 5 bis 10 Fragen zu erstellen: z. B. "Was machen wir eigentlich wenn Eure wichtigste IT-Anwendung nicht funktioniert?" oder "Was muss passieren, dass Du 2 Wochen Urlaub bekommst?" Abstrakte Ideen fördern die Kreativität.

Die wichtigsten Tools für die Risikoanalyse sind daher Tee, Kaffee und Kekse, um eine gute Gesprächsatmosphäre zu schaffen. Auch wenn jemand denkt, sein Risiko ist vielleicht eine blöde Idee, ist jede Idee zu fördern. Es gibt keine falschen Risiken. Wir reden später über die Eintrittswahrscheinlichkeit.

Bereitstellung von Vorlagen/Templates institutionsweit - Doku-Organisation

Ein Großteil der Arbeit beim Aufbau eines ISMS liegt im Aufbau und Verabschieden von vielen Dokumenten (Leitlinien, Konzepte, Vorgaben, Checkliste usw.). Dafür brauchen die ISBs die Mithilfe verschiedener Leute aus der Organisation. Echtes Commitment gibt es nur, wenn man sich an den Themen der Leute orientiert, die mitarbeiten. Wenn man mit den Leuten spricht, merkt man, was sie beschäftigt.

Allerdings muss ein:e ISB immer zwischen diesen Themen und den technischen Themen, die oben auf der Liste stehen abwägen.

Sind die Fragebögen überhaupt aussagekräftig oder verständlich? Eine kurze Anleitung im Fragebogen oder eine kurze Zoom-Session zum Erklären erhöhen die Chancen, gute Antworten zu bekommen. Wenn man sich am Corporate Design orientiert, merken die Adressaten, dass die Dokumente alle aus dem gleichen Bereich kommen.

Eine schöne Möglichkeit der Umsetzung bieten Open Spaces. Das ist ein offenes Großgruppenformat, bei dem die Agenda von den Anwesenden zu Beginn gemeinsam erstellt wird. In diesem Rahmen können dann die wichtigen Dokumente sofort erstellt werden.

Wie baue ich echte Awareness auf?

Der Aufbau eines ISMS wird oft von Maßnahmen begleitet, um ein Bewusstsein (engl. Awareness) für Sicherheit zu schaffen. Technische Themen lassen sich oft leichter umsetzen, als Kulturthemen. Kultur ist harte, unbequeme Arbeit. Nur wenn bei den Adressaten der Sinn auch herüberkommt, entwickeln diese eine echte Awareness. Ansonsten werden diese das wohl als Bevormundung wahrnehmen.

Mit Kennzahlen (z. B. Was ist der aktuelle Anteil von Phishing-E-Mails?) kann man die Awareness erhöhen.

Zur Erinnerung: Awareness-Trainings sind verpflichtend. Und es reicht nicht, ein Thema nur einmal anzusprechen. Das Wiederholungsmoment ist wichtig.

Für welche Themen brauchen wir wirklich eine Schulung mit max. 10-15 Minuten Input? Für welche Themen reicht eine einfache Checkliste?

Auch diesmal war die Zeit schnell um. Wir treffen uns das nächste Mal am 25.05.2022 von 8-9 Uhr.

Kommentare

Beliebte Posts aus diesem Blog

Wie lassen sich Ergebnisse definieren? - Drei Beispiele (WBS, CBP und BDN)

Ich habe schon darüber geschrieben, warum das Definieren von Ergebnissen so wichtig ist. Es lenkt die Aufmerksamkeit des Projektteams auf die eigentlichen Ziele. Aber was sind eigentlich Projektergebnisse? In diesem Beitrag stelle ich drei Methoden vor, um leichter an Ergebnisse zu kommen.

Microsoft Teams: Die neuen Besprechungsnotizen - Loop-Komponenten

Haben Sie in letzter Zeit in einer Teams-Besprechung die Notizen geöffnet? Dort sind inzwischen die Loop-Komponenten hinterlegt. Die sind zwar etwas nützlicher als das, was zuvor zur Verfügung stand. Trotzdem ist noch Luft nach oben. Und es gibt sogar einige ernstzunehmende Stolperfallen. Hier ein erster, kritischer Blick auf das was Sie damit tun können. Und auch darauf, was Sie besser sein lassen.

Wie Agilität den Kundennutzen steigert - Einige Argumente für Berater:innen

In Zeiten wirtschaftlicher Unsicherheit fragen sich viele, ob agile Beratung noch eine Zukunft hat. Die Antwort liegt in der konsequenten Orientierung am Kundennutzen. Qualität setzt sich durch, wenn sie messbare Verbesserungen bei Umsatz, Kosten und Leistungsfähigkeit bewirkt, anstatt sich in Methoden und zirkulären Fragen zu verlieren. Dieser Artikel zeigt, wie agile Beratung nachhaltige Veränderungen in Unternehmen schafft und warum gerade jetzt gute Berater:innen gebraucht werden, um Organisationen widerstandsfähiger zu machen.

Warum eine Agile Transformation keine Reise ist

Die agile Transformation wird oft als eine Reise beschrieben. Doch dieser Vergleich kann viele Unternehmen in die Irre führen oder Bilder von unpassenden Vergleichen erzeugen. Transformationen sind keine linearen Prozesse mit einem klaren Ziel, sondern komplexe und dynamische Entwicklungen. Dieser Artikel zeigt, warum Agilität kein Weg mit einem festen Endpunkt ist.

Deutsche Transparenz und was das mit unserer Agilität zu tun haben könnte

Nicht wenige Konzepte im agilen Umfeld haben mit "Transparenz" zu tun. Es schimmert an einigen Stellen hindurch, dass es gerade in unserem Land schwierig sein könnte, echte agile Zusammenarbeit durch u. a. Förderung von Transparenz zu erreichen. Womit das zu tun haben könnte, ist Thema dieses Artikels.

Kleine Organisationsveränderungen, die direktes Feedback erzeugen

Große Veränderungen sind in einer Organisation schwer zu messen. Oft liegt zwischen Ursache und Wirkung ein langer Zeitraum, sodass die Umsetzer:innen nicht wissen, was genau gewirkt hat. Hier ist eine Liste mit kleinen Maßnahmen, die schnell etwas zurückmelden.

Agile Leadership – Führst du noch oder dienst du schon?

Die Arbeitswelt verändert sich. Und das spüren nicht nur Führungskräfte, sondern vor allem Mitarbeitende. Immer mehr Menschen hinterfragen den Sinn ihrer Arbeit, erwarten Respekt, Vertrauen und eine Unternehmenskultur, die echte Zusammenarbeit ermöglicht. Studien wie die Gallup-Studie 2025 oder die EY-Jobstudie zeigen: Der Frust am Arbeitsplatz wächst – und mit ihm die Unzufriedenheit mit der Führung. Höchste Zeit, umzudenken. Genau hier setzt agile Führung an. 1. Warum agile Führung heute entscheidend ist Klassische Führung – hierarchisch, kontrollierend, top-down – funktioniert immer weniger. Die Zahlen sind eindeutig: Laut Gallup fühlen sich nur noch 45 % der deutschen Beschäftigten mit ihrem Leben zufrieden. Fast jede dritte Kündigung erfolgt wegen der Führungskraft. Nicht das Gehalt, sondern mangelnde Wertschätzung, fehlendes Vertrauen und ein schlechtes Arbeitsumfeld treiben Menschen aus Unternehmen. Agile Führung bietet eine Alternative, die auf Vertrauen, Selbs...

Ent-Spannen statt Platzen: Erste Hilfe für mehr Vertrauen und Resilienz im Team

Zwei Themen die mir in den letzten Wochen immer wieder über den Weg laufen sind Vertrauen und Resilienz. Vertrauen als das Fundament für gemeinsame Zusammenarbeit und Resilienz als die Fähigkeit, Herausforderungen, Stress und Rückschläge zu bewältigen und gestärkt daraus hervorzugehen. In dem Blogpost möchte ich ein paar Erste-Hilfe Interventionen teilen, die zu mehr Vertrauen und Resilienz im Team führen können - gerade wenn die Emotionen hochkochen und es heiss her geht im Team. Die „Mist-Runde“: Ärger Raum geben. In konfliktbeladenen oder belasteten Teams kann es eine große Herausforderung sein, eine offene Kommunikation und ein respektvolles Miteinander zu fördern. Eine einfache, aber äußerst effektive Methode, um Spannungen abzubauen, ist die „Mist-Runde“ . Diese Intervention, die ich zuerst bei Veronika Jungwirth und Ralph Miarka kennengelernt habe, gibt den Teilnehmern einen geschützten Raum, in dem sie ihre Frustrationen und negativen Gedanken ohne Zensur äußern können un...

Microsoft Lists: mit Forms und Power Apps komfortabel mobil arbeiten

In meinem Kundenkreis sind viele Menschen, die den Arbeitsalltag nicht vorwiegend auf dem Bürostuhl sitzend verbringen, sondern "draußen" unterwegs sind. Vielleicht in Werkstätten oder im Facility-Management. Es ist so wichtig, dass die Schnittstellen zu den Abläufen im Büro gut abgestimmt sind. Microsoft 365 hat so einiges im Baukasten, man muss es nur finden und nutzen. In diesem Artikel spiele ich ein Szenario durch, das auf Microsoft Lists, Forms und - für die Ambitionierteren - Power Apps setzt.

Selbstbewertungsfragen für den Alltag in Arbeitsgruppen aus Sicht von Mitarbeitenden

Welche Fragen können wir Mitarbeiter:innen stellen, um herauszufinden, ob agiles Arbeiten wirkt? Es gibt bereits eine Menge an Fragebögen. Aber ich bin nicht immer zufrieden damit.

Das Teamwork-Blog

Dieses Blog durchsuchen