Man muss sich der fast schon subversiven Seite von drei Aspekten bei CISIS12 (oder halt auch anderen Normen) bewusst machen, und diese dann aus der grauen Theorie des Wortlauts in die Praxis beleben - dann hat man eigentlich schon alles, was man braucht.
• Die Leitlinie
Ja, vielfach ist das da draußen einfach eine Vorlage, aus dem Netz kopiert und als Formalie unterzeichnet… aber bereits da setze ich gerne hoch an. Betrachtet sie mal weniger als Pflicht, und mehr als Kür… eine Mischung aus Kriegs- und Unabhängigkeitserklärung. Je nach Situation empfehle ich regelrecht da Passagen unterzubringen, über die man mit der Leitung feilschen wird… jederzeitiges und überall geltendes Zutrittsrecht im Rahmen der Tätigkeit… jederzeitiges und überall geltendes Weisungsrecht im Rahmen der Tätigkeit. Regelungen dass dieses Recht im Notfall auf Dritte übertragen werden kann. Klar muss der oder die ISB sich hinterher dafür vor der Leitung erklären, und es wird vermutlich nicht alles akzeptiert, und man ist ja gut daran beraten in eine Forderung direkt auch Aspekte unterzubringen, die man sich rausverhandeln lassen möchte…
Aber alleine schon dass daraus dann eine Information an alle Beschäftigten erfolgen muss, dass sie wissen hier ist jemand, der darf ihnen Anweisungen erteilen… und nicht „Hm, ja ich kläre das lieber nochmal vorher ab“, sondern klipp und klar - wenn der ISB dir etwas sagt, ist mit der Leitlinie bereits beantwortet ob er oder sie das darf.
• Die Stabsstelle
Auch als Formalie im Organigram schnell dahingeklickt, aber was bedeutet es denn in der Praxis? Die Idee ist dass die Stabsstelle operativ aus dem Gefüge der Organisation ausgeklammert ist… sie ist neutral, sie hat keine nachgelagerte Struktur, sie ist nicht weisungsgebunden, außer gegenüber der obersten Leitung, sie ist nicht betriebsergebnisorientiert, sie „spielt das Spiel nicht mit“ dass alle anderen Bereiche spielen, wenn es da um Kostenstellenverteilungen, Personalüberlassungen oder „Wer hat denn hier den Hut auf?“-Diskussionen geht.
Aus Schritt 1 gilt nur - wenn nötig, darf sie einschreiten… in den Köpfen der Organisation verdeutlicht sich daraus… wir kommen um die Person nicht drum herum, sie ist bei allen möglichen Themen zu beteiligen, und wenn wir sie ignorieren kann es nur Probleme geben. Dafür muss der oder die ISB aber auch willens sein dieses scharfe Schwert auch mal zu schwingen, und die Rückendeckung der Leitung haben… hilfsweise die Deckung der Leitlinie, wenn die Leitung mal wechselt oder die Stimmung dreht.
Dann muss einmal die Inbetriebnahme einer Maschine untersagt werden, bis Zuarbeit erfolgt ist. Dann wird mal ein Zugangskonto auf Anweisung der oder des ISB gesperrt, wenn lax mit den Zugangsdaten umgegangen ist. Diesen Test muss die Beauftragung zum/zur ISB aushalten können.
Hier will man regelrecht die Situation aufkommen lassen dass irgendjemand sagt „Was bildet der oder die sich eigentlich ein!?“ und wir brauchen dann umstehende Leute die sagen „Naja was hast du erwartet - er oder sie darf das… der Fehler ist DEINER gewesen“. Es braucht diese Präzedenz, damit Meyer realisiert dass er keinen Konsens hinter sich stehen hat… und damit alle anderen sehen dass Meyer sich hier nicht durchsetzen konnte
Und DAFÜR braucht es dann vorab den dritten Schritt.
• Die Sensibilisierung der Leitung
Als Stabsstelle ist man für die offene Aussprache mit der Leitung autorisiert… man hat diese Position bekommen, damit man mit einer gewissen Narrenfreiheit aus dem üblichen, höfischen Verhalten hervortritt. Es kann gut sein dass die Leitung das im 4-Augen-Gespräch nicht nur gutheißt, sondern die Stabsstelle auch gezielt benutzt um Dinge umzusetzen, die sie nicht selbst vertreten will… aber dann sind es halt Sachzwänge… es ist kein großer Unterschied ob „das Controlling sagt“ oder „der ISB sagt“.
Dafür muss es ein Vertrauensverhältnis geben, klare Kommunikation in beide Richtungen, und natürlich kann und soll es da auch Absprachen geben bevor man etwas initiiert.
Deswegen sensibilisiert man die Leitung ja vorab und separat - um zu verdeutlichen dass man ihnen den Job abnimmt und verantwortungsvoll umsetzt, aber dafür muss diese Beauftragung nach außen belastbar sein… sie müssen dem oder der ISB am Anfang den Rücken stärken, wenn Meyer anruft und sich beschwert. Ohne Wandel geht es nicht, und dieser braucht eine Initialzündung und diese wird definitiv, das ist so sicher wie das Amen in der Kirche, Leute dazu bringen sich über den ISB zu beschweren.
Und das ist der wichtigste Augenblick im Leben eines neuen ISB… wenn hier die Ansage an den ISB kommt er oder sie soll mal runterdrehen, dann kann man dort an Ort und Stelle seine Kündigung schreiben und sich einen besseren Job suchen. Die Leitung muss an dieser Stelle, am Anfangs, hinter dem oder der ISB stehen. Das ist die Signalwirkung ins Unternehmen, damit steht fest… „Mit Gewalt kommen wir am ISB nicht vorbei… lass uns mal mit der Person reden…“ Man will sich ja gegenseitig nichts böses, und dann beginnt es dass der oder die ISB sich ein Netzwerk aufbauen kann, Leute wollen es vermeiden dass aus der Richtung unerwartet Probleme aufkommen deren Ausgang sie nicht absehen können, also spricht man mit einander.
Und wenn man dabei ein gewisses Geschick hat, und den Leuten zeigt dass man vermitteln kann, dann fängt der ISB an von der Rolle, gegen die man sich wehren will, zur Rolle zu werden mit der man gerne zusammenarbeitet.
Und genau so erzähle ich das auch ganz offen neuen ISB oder Leitungen, falls ich dort mal eine Sensibilisierung vornehme. Die technische Seite der Informationssicherheit kann man in die Hände weniger Leute legen - aber dass ausgerechnet manche Branchen besonders einfache Ziele für Angreifer sind… Krankenhäuser… öffentliche Verwaltung… Kommunen…, das liegt nicht daran dass die Technik dort anders funktioniert, sondern weil die Organisation blockiert… weil man sich auf Machtstrukturen zurückzieht, die diesen Aspekt nicht betrachten. Wir müssen nicht eine bessere Firewall kaufen… wir müssen Meyer davon abhalten sich erfolgreich durchzumeckern weil seine Lieblingswebseite nicht mehr erreichbar ist.