Acceptable Use Policies im Wandel

Mit der steigenden Nutzung von E-Mails und Web wurden in vielen Unternehmen Regeln erlassen, wir sprechen von sogenannten Acceptable Use Policies (AUP). Social Media-Plattformen bilden eine neue Herausforderung für sie.

Diese AUPs waren die ersten Gründe für inhaltsorientierte Funktionalitäten in Sicherheitslösungen für E-Mails. Sie erlaubten den Unternehmen die einheitliche und technisch unterstützte Durchsetzung von Richtlinien. Diese inhaltsbasierten Funktionen werden mittlerweile auch genutzt, um andere Richtlinien durchzusetzen, etwa Compliance und Richtlinien zur Unternehmensführung in den Bereichen E-Mail und Web. Einige Unternehmen haben eine Richtlinie zur „Durchführung des Geschäftsbetriebs“ (Business Conduct Guideline), an deren Prinzipien sich die Internet-AUP orientieren sollte.

Einige grundlegende Filterfunktionen können als Teil einer AUP eingesetzt werden, darunter:

• Filter für unangemessene Sprache
• Analyse unangemessener Bilder
• Gefährliche Dateitypen
• Unangemessene Websites
• Übermäßige nicht geschäftsrelevante Web-Aktivitäten
• Übermäßige nicht geschäftsrelevante Nutzung von E-Mails

Warum benötigt man eine Acceptable Use Policy?

Es gibt drei Hauptgründe für ein Unternehmen, eine AUP für die Nutzung von Web und E-Mail im Unternehmen zu entwickeln:

1. 1. Sicheres Arbeitsumfeld
   2. Produktivität der Angestellten
   3. Internetsicherheit

Alle drei Bereiche haben Einfluss auf das Unternehmen und die Mitarbeiter und sollten daher sinnvoll zusammenarbeiten, um zu gewähr¬leisten, dass jeder Mitarbeiter seine Tätigkeit sicher und produktiv ausführen kann (Bild 1).

BILD
Bild 1: Gründe und Einflussfaktoren auf eine AUP (Acceptable Use Policy)

Erstellung und Entwicklung einer AUP

Jedes Unternehmen benötigt seine eigene, angepasste AUP, um die spezifischen Anforderungen  seines Unternehmens umzusetzen. Folgende Punkte sind zu bedenken:

1. 1. Erlauben Sie eine begrenzte private Nutzung von Web und E-Mail.
   2. Umreißen Sie unter Berücksichtigung der Unternehmenskultur, was akzeptabel ist und was nicht.
   3. Bleiben Sie konsistent mit der bisherigen Handhabung.
   4. Identifizieren Sie alle E-Mails mit Name oder E-Mail-Adresse; vermeiden Sie falsche Absender.
   5. Informieren Sie die Mitarbeiter über Urheberrechtsfragen in Zusammenhang mit E-Mails und Internet-Dokumenten.
   6. Informieren Sie die Mitarbeiter über akzeptables Verhalten innerhalb und außerhalb der Geschäftszeiten, wenn es dabei Unterschiede gibt (die klar in der Richtlinie hinterlegt sein müssen).
   7. Behalten Sie sich das Recht vor, alle Nachrichten und Dateien im Unternehmensnetzwerk zu überwachen.

Viele Websites bieten Vorlagen und Ideen für AUPs an. Suchen Sie nach Seiten, die in einer ähnlichen juristischen Zuständigkeit liegen wie Sie, und erwägen Sie mehrere AUPs, wenn Sie Ihr Personal weltweit verteilt haben, um die Unterschiede in örtlichen Gesetzen und Gebräuchen abzubilden.

Social Media in Unternehmen

Social Media verbreitet sich schneller als erwartet. Sie werden zum neuen de-facto-Standard, um mit persönlichen Bekannten in Kontakt zu bleiben und auch immer mehr zum Medium für berufliche Netzwerke. Anwender verbringen jeden Tag mehr Zeit mit so¬zialen Medien, auch am Arbeitsplatz, und kommunizieren über diese neuen Sites – üblicherweise unbehelligt von Überwachung und Sicherheitsrichtlinien. Deshalb müssen Unternehmen auch die Aktivitäten von Social Media  in ihren AUPs erfassen. Das einfache Verbot des Zugriffs schneidet die Anwender ab und schränkt auch ihre arbeitsbezogenen Aktivitäten ein.

Diagramm 1 zeigt, wie häufig die neuen Kommunikationsformen in unterschiedlichen Unternehmen eingesetzt werden. Viele Unternehmen nutzen Social Media als Teil ihrer Kommunikationskanäle, geben Nachrichten über Twitter weiter oder unterhalten ein Unter¬nehmensprofil auf Facebook und ähnlichen Sites. Das Diagramm 2 zeigt, wo die meisten Unternehmen Richtlinien für die Nutzung dieser neuen Technologien festlegen.

BILD
Diagramm 1: Nutzung verschiedener Web 2.0-Werkzeuge aus dem White Paper „The Benefits and Risks of Web 2.0“ von Ostermann Research.

BILD
Diagramm 2: Aktuelle Richtlinien zur Nutzung verschiedener Kommunikationsmittel in Organisationen.

Warum aber sollten sich Unternehmen die Arbeit machen, eine Richtlinie für neue Kommunikationstechnologien wie Social Media zu definieren? Diese Frage geht zurück auf die ursprünglichen Gründe für die Entwicklung von AUPs – sicheres Arbeitsumfeld, Produktivität der Angestellten und Internetsicherheit. Da die Kommunikation über soziale Medien interaktiv ist, sich ihrer niemand entziehen kann und in Echtzeit stattfindet, kann die Nutzung dieser Tools ohne Kontrolle und Überwachung zu Haftungsrisiken für das Unternehmen führen und dessen Ruf gefährden.

E-Mails werden heute in den meisten Firmen gut geschützt und kontrolliert. Noch wichtiger ist, dass die Angestellten dies wissen und deshalb der Missbrauch zurückgeht. Social Media-Plattformen  nutzen allerdings keine E-Mails zur Kommunikation. Vielmehr werden Webpro¬tokolle wie HTTP und HTTPS eingesetzt, die weniger geschützt und kontrolliert sind. Die meisten Unternehmen haben eine grundle-gende URL-Filterung, um sicher zu stellen, dass die Anwender keine pornografischen Websites aufsuchen. In der Vergangenheit gab es auch Unternehmen, die den Zugriff auf diese neuartigen Plattformen  völlig blockiert haben.

Da das Web weniger streng kontrolliert wird, ist die Gefahr höher, dass Angestellte illegales Material verbreiten oder andere Angestellten belästigen (die Site selbst unterliegt nicht der Unternehmensrichtlinie). Hier kommt die gut definierte AUP zum Tragen – das Unternehmen besitzt die Infrastruktur, die zum Zugriff auf die Site genutzt wird und hat somit das Recht zu bestimmen, wie diese Infrastruktur genutzt wird. Die Angestellten bei der Sache zu halten ist heute schwieriger, da sie einerseits das Facebook-Profil des Unternehmens bearbeiten, aber auch Zeit auf der eigenen Facebook-Seite verbringen. Über 95% aller Malware-Infektionen entstammen dem Web, so dass gute Schutz- und Kontrollmechanismen entscheidend sind.

Das folgende Diagramm zeigt, wie Sie Ihre AUP erweitern können, um den Gebrauch von Social Media-Plattformen einzubinden:

BILD

Diese Schritte stellen sicher, dass eine möglichst effektive AUP erstellt wird. Sie hilft, die Arten von Inhalten genau nach Wunsch zu definieren.

www.m86security.com