Bei vielen Ihrer Kunden wird es schon sicherlich feste IT-Security-Regeln geben, beispielsweise Vorschriften und Anweisungen dazu, wie Mitarbeiter sich beim Surfen im Web verhalten sollen. Oft ist darin auch beschrieben, welche Anwender in welchem Kontext allgemein zugängliche oder vertrauliche Daten - bei Bedarf verschlüsselt - an bestimmte Adressaten versenden dürfen.
Mit der verstärkten Verbreitung von Social Media hat sich die Situation noch einmal grundlegend verändert. Das gilt unabhängig davon, ob Unternehmen Mitarbeitern die Nutzung von Google+, Facebook, Twitter, LinkedIn oder Xing generell erlauben, oder ob die sozialen Medien zu einem festen Bestandteil einer umfassenden Kommunikationsstrategie werden.
Im Idealfall erweitern die Verhaltensregeln für Social Media die bereits vorhandenen IT-Security-Vorschriften. Die Vorgaben zur Nutzung von Social Media während der Arbeitszeit sollten genau beschreiben, auf welche Inhalte Mitarbeiter zugreifen können und welche Informationen sie in den sozialen Medien verbreiten dürfen. Die Instruktionen schützen Mitarbeiter und Unternehmen vor Links zu bösartigen Webseiten in Videos und Fotos, die etwa via Facebook verbreitet werden. Websense hat die sechs wichtigsten Regeln für Social-Media-Verhaltensregeln zusammengestellt, damit Unternehmen trotz aller Risiken auch die Chancen nutzen können.
1. Berufliche und private Nutzung abgrenzen
Jedes Unternehmen muss festlegen, ob und in welchem Umfang Mitarbeiter Social-Media-Plattformen während der Arbeitszeit nutzen können. Das Spektrum reicht von jeder darf alles jederzeit bis zu einem generellen Verbot. Denkbar ist auch, dass die private Nutzung auf bestimmte Zeiten eingeschränkt ist, etwa während der Mittagspause. Setzt das Unternehmen Social Media in der öffentlichen Kommunikation ein, müssen die Richtlinien Angaben darüber enthalten, welche Gruppen von Mitarbeitern für das Unternehmen sprechen dürfen, darunter beispielsweise Angehörige der Personalabteilung, der Presse- und Öffentlichkeitsarbeit und des Marketings.
2. Aufklärung über Risiken
Einer der wichtigsten Punkte bei allen IT-Sicherheitsregeln ist die Aufklärung über die potenziellen Gefahren und Risiken, die aus Links auf Seiten mit Malware entstehen, wie sie in Blogs, User-Foren oder Social-Networking-Seiten ganz gezielt ausgestreut werden. Begleitend zu allen technischen IT-Security-Maßnahmen und zu den schriftlich formulierten Sicherheitsregeln sollten Unternehmen ihre Mitarbeiter regelmäßig schulen. Aufklärung und Sensibilisierung müssen fester Bestandteil der Sicherheitsmaßnahmen sein. An konkreten Beispielen aus der betrieblichen Praxis lässt sich leicht aufzeigen, welche Gefahren beim leichtsinnigen Umgang mit sensiblen Informationen drohen.
3. Offen Verantwortung übernehmen
Jeder Mitarbeiter ist für seine Aktivitäten auf Social-Media-Plattformen verantwortlich - dabei spielt es keine Rolle, ob er mit seinem Firmenrechner Social-Media-Plattformen privat oder beruflich nutzt. Alle Beiträge mit Bezug auf das Unternehmen müssen namentlich gekennzeichnet sein.
4. Gesetze und Vorschriften einhalten
Gerade weil, sich bei Social Media ungezwungene und offene Kommunikationsformen etabliert haben, müssen die Social-Media-Richtlinien dennoch einen Passus über die Einhaltung gesetzlicher Vorgaben enthalten. Auch hier gelten das Urheber- und Markenrecht sowie der Datenschutz. Dies betrifft alle vertraulichen persönlichen Daten und gilt ebenso für Betriebsgeheimnisse, beispielsweise aus der Produktentwicklung.
5. Technische Überwachung
Wichtig ist, die Kommunikationswege, auf denen vertrauliche Daten das Unternehmen verlassen können, genau zu kennen und zu überwachen. Neben E-Mail und Instant Messaging betrifft dies auch den Export einzelner Files mit Unternehmensbezug. Dazu ist Software zu installieren, die kontrolliert, wer, was, wohin und wie verschickt. Die Möglichkeiten der inhalts- und benutzerbasierten Kontrolle ergeben sich aus den Zugriffsregeln, wie sie der IT-Security-Beauftragte definiert hat.
6. Kommunikationsabteilung als Ansprechpartner
Wichtig ist schließlich, dass es für alle Fragen und Unsicherheiten rund um Social-Media-Aktivitäten Ansprechpartner in der Kommunikationsabteilung gibt. An diese sollten sich Mitarbeiter auch wenden, wenn sie bei ihrer Arbeit auf negative oder abwertende Beiträge über das Unternehmen und seine Produkte und Services aufmerksam werden.
"Auch wenn vieles selbstverständlich klingt, ist es notwendig, dass Unternehmen mit Social-Media-Richtlinien arbeiten. Sie bilden einen wichtigen öffentlich für alle zugänglichen Bezugsrahmen, der Risiken, aber Chancen verdeutlicht", sagt Michael Rudrich, Regional Director Central Europe bei Websense. "Die Gebote, Verbote und Hinweise sind das Eine. Zu bedenken ist aber auch: Social-Media-Aktivitäten von Unternehmen, sind nur dann erfolgreich, wenn die Organisationen ihren Mitarbeitern grundsätzlich vertrauen, gute Botschafter für das Unternehmen zu sein. Nicht zu vergessen: Je einfacher und klarer Social-Media-Richtlinien sind, desto leichter fällt es auch, sie zu beachten." (rw)