So werden Richtlinien zu Leitlinien, die tatsächlich befolgt werden

Für Sicherheits- und Compliance-Teams wird es immer schwieriger, beim Policy Management Schritt zu halten. Richtlinien umfassen heute die Bereiche Informationssicherheit, Datenschutz, zulässige Nutzung, Remote Work, KI-Governance und interne Verfahren. Jede einzelne muss die richtigen Personen erreichen, in einfachen Worten verständlich sein und später leicht nachweisbar sein.

Das funktioniert nur, wenn die Mitarbeitenden wissen, was die Richtlinie in der Praxis bedeutet.

Viele Unternehmen folgen immer noch der gleichen Routine: Das Dokument entwerfen, es genehmigen lassen und ins Intranet hochladen, eine E-Mail versenden und bei fehlenden Bestätigungen nachhaken. Dadurch wird zwar dokumentiert, dass die Richtlinie geteilt wurde, aber nicht, ob die Mitarbeitenden sie auch verstanden haben.

Jeder, der schon einmal ein langes Richtliniendokument ins Intranet hochgeladen und eine unternehmensweite E-Mail verschickt hat, kennt das Problem. Die Verteilung ist einfach. Dafür sorgen, dass die Inhalte bei den Teams hängen bleiben, ist viel schwieriger.

In SoSafe Live | In Action – Securing The AI Workplace stellte Harry Jeyarajah, Head of Solution Engineering, fest, dass ein durchschnittliches Unternehmen 50 bis 150 Richtlinien verwaltet, was es schwieriger macht, Kommunikation, Bestätigungen und das Reporting für die gesamte Belegschaft einheitlich zu gestalten.

Mitarbeitende wissen vielleicht, dass eine Richtlinie existiert, sind sich aber trotzdem unsicher, was sie im normalen Arbeitsalltag bedeutet.

Diese Lücke wird größer, wenn sich die Arbeit schnell verändert. Laut dem Playbook zur adaptiven Verteidigung von SoSafe benötigt eine durchschnittliche Organisation 19 Tage, um ihre menschliche Verteidigung zu aktualisieren, während sich KI-gesteuerte Bedrohungen in Sekunden ändern können. Derselbe Druck kann sich auch bei der Arbeit mit Richtlinien zeigen. Eine Regel kann schnell genehmigt werden. Sie zu erklären, zu lokalisieren, zu verteilen und Nachweise zu sammeln, kann dennoch Wochen dauern.

Gleichzeitig aktualisieren viele Organisationen ihre Richtlinien fünf- bis sechsmal im Jahr, um mit regulatorischen und operativen Änderungen Schritt zu halten.

KI-Richtlinien sind ein gutes Beispiel dafür, warum dies wichtig ist. Das EU-KI-Gesetz hat die Themen KI-Kompetenz und Governance auf der Agenda nach oben rücken lassen. Organisationen müssen daher sicherstellen, dass ihre Mitarbeitenden verstehen, wo KI-Tools eingesetzt werden dürfen, welche Daten nicht darin verarbeitet werden dürfen und wann eine menschliche Überprüfung erforderlich ist.

Das gleiche Prinzip gilt für jede Richtlinie, die von Mitarbeitenden befolgt werden soll. Eine Richtlinie funktioniert am besten, wenn die Mitarbeitenden sie verstehen, sich daran erinnern und sie im richtigen Moment anwenden können.

Warum die Bestätigung von Richtlinien nur der erste Schritt ist

Eine Bestätigung ist nützlich. Sie gibt Teams einen Nachweis darüber, dass eine Richtlinie gesendet, empfangen und bestätigt wurde.

Es ist jedoch auch leicht zu überschätzen, was dieser Nachweis wirklich belegt.

Oft genug kommt es vor, dass Mitarbeitende ein zehnseitiges Dokument bestätigen und die Details zwei Wochen später trotzdem vergessen haben. Vielleicht wissen sie, dass es eine Richtlinie zu Remote Work gibt, sind sich aber unsicher, ob ein privates Gerät erlaubt ist. Sie erinnern sich vielleicht daran, dass es eine Richtlinie zur zulässigen Nutzung gibt, sind sich dann aber unsicher, welche Tools genehmigt sind. Sie bestätigen, eine KI-Richtlinie gelesen zu haben, und fügen dennoch sensible Informationen in ein öffentliches Tool ein, weil die Regel ihnen nicht klar ist, wenn sie sie wirklich brauchen.

Die meisten Mitarbeitenden versuchen, effizient zu arbeiten und die richtige Entscheidung zu treffen. Sie benötigen eine Anleitung, die zu ihrer anstehenden Aufgabe passt.

Dies ist auch ein umfassenderes Problem beim Training. Das Playbook zur adaptiven Verteidigung von SoSafe hat ergeben, dass 38 % der Security-Führungskräfte angeben, ihr aktuelles Security-Training sei zu allgemein für die realen Workflows der Mitarbeitenden. Dieselbe Schwäche zeigt sich auch in der Kommunikation von Richtlinien. Allgemeine Formulierungen mögen zwar die Anforderungen an ein Dokument erfüllen, lassen die Mitarbeitenden aber oft ohne einen klaren nächsten Schritt zurück, wenn sie ihn brauchen.

Richtlinien-Updates in den Arbeitsablauf integrieren

Das Policy Management von SoSafe hilft Teams, den ersten Teil der Lücke zu schließen: Verteilung, Bestätigung und Nachweise.

Anstatt Richtlinien-Updates über vereinzelte E-Mails und Tabellenkalkulationen zu versenden, können Teams sie direkt an die Mitarbeitenden in den Tools senden, die sie bereits verwenden. Dazu gehören Microsoft Teams und Slack. Außerdem können sie gezielt bestimmte Gruppen wie Abteilungen, Remote-Mitarbeitende, Standorte oder rollenbasierte Zielgruppen ansprechen.

Die integrierte Übersetzungsunterstützung hilft dabei, dass jede Person die Richtlinien in ihrer bevorzugten Sprache erhält. Bestätigungen werden zentral im SoSafe-Dashboard erfasst. Teams können jederzeit auditbereite Reports exportieren, wenn sie Nachweise benötigen.

Die Mitarbeitenden müssen die Richtlinie nur lesen und ihre Kenntnisnahme bestätigen. Für Administratoren wird die Arbeit leichter zu verwalten. Sie können die Bestätigungsraten in Echtzeit sehen, Lücken erkennen und eine zeilengenaue Aufschlüsselung herunterladen, wenn Auditoren einen Nachweis verlangen.

Das reduziert den Nachverfolgungsaufwand und bietet Teams eine saubere Methode, die Richtlinienkommunikation im gesamten Unternehmen zu verwalten.

Policy-Compliance einfacher nachweisen

Policy Management hebt die Eigenverantwortung nicht auf. Die Teams müssen die Richtlinie weiterhin bestätigen, entscheiden, wer sie erhalten soll, und sicherstellen, dass die Botschaft klar ist.

Doch es reduziert den manuellen Aufwand, der zwischen Bestätigung und Nachweis liegt.

Das Policy Management bietet Organisatioen folgende Möglichkeiten:

• Richtlinien-Updates über vertraute Arbeitskanäle versenden.
• Die richtigen Gruppen an Mitarbeitenden ansprechen.
• Mehrere Sprachen für globale Teams unterstützen.
• Bestätigungen zentral nachverfolgen.
• Bei Bedarf auditbereite Nachweise exportieren.

Die Arbeit mit Richtlinien sollte nicht mit einer PDF-Datei im Intranet enden. Sie sollte den Mitarbeitenden helfen, bessere Entscheidungen in dem Moment zu treffen, in dem eine Richtlinie tatsächlich Anwendung finden muss.

Für Sicherheits- und Compliance-Teams bedeutet das weniger Zeit für die manuelle Nachverfolgung von Bestätigungen und die Vorbereitung von Nachweisen. Für Mitarbeitende bedeutet es, dass Richtlinien sie in den Tools erreichen, die sie bereits verwenden. Für die Organisation erhöht es die Wahrscheinlichkeit, dass Richtlinien das tägliche Verhalten prägen.

Versenden Sie Richtlinien-Updates dorthin, wo Ihre Mitarbeitenden arbeiten, und stellen Sie Ihrem Team auditbereite Nachweise zur Verfügung, ohne diesen manuell hinterherjagen zu müssen.