Die Inbetriebnahme der neuen Rechenzentren des OIZ – und natürlich BYOD

Die Mitarbeiter der Zürcher Stadtverwaltung wurden vergangenes Jahr an einem Morgen auf unsanfte Weise so richtig geweckt. Als sie ihren PC am Arbeitsplatz starteten, poppte plötzlich ein Fenster mit folgender Botschaft auf: "Um 02:32 Uhr wurde Ihr Passwort geändert. Ihre Daten wurden erfolgreich gelöscht."

Die Aktion war Teil einer Security-Awareness-Massnahme unter dem Titel "einfach sicher", wie Anja Harder, Leiterin IT Security & Risk bei der Organisation und Informatik der Stadt Zürich (OIZ), verrät. "Wir haben wenige Sekunden nach dem Erscheinen der Meldung aufgelöst, dass es sich um eine Kampagne zur Informationssicherheit innerhalb der Stadtverwaltung Zürich handelt. Gleichzeitig wiesen wir daraufhin, wie wichtig es ist, das Passwort geheim zu halten."

Awareness-Massnahmen wirken

Um Awareness zu schaffen, wurde die Kampagne über einen Zeitraum von neun Monaten durchgeführt. Neben elektronischen Massnahmen wurden zum Beispiel auch Weggli an die Mitarbeitenden verteilt. Ein beigelegter Flyer hat zur Teilnahme an einem Wettbewerb im Intranet aufgerufen. Ein weiteres Mittel, um die Awareness zu erhöhen, sind Tipps für den privaten Umgang mit IT. "Dann prägt sich dies besser ein", ergänzt Harder. Bisher offenbar mit Erfolg: Die Massnahmen erzielten eine grosse Wirkung. Laut einer internen Umfrage erreichte die Aktion 76 Prozent der rund 17 000 IT-Nutzer der Stadt Zürich.

Stark beschäftigt hat die OIZ im vergangenen Jahr die Inbetriebnahme der neuen Rechenzentren. Diese stellen eine angemessene und zukunftsorientierte Infrastruktur für die Informatikdienstleistungen der Stadtverwaltung sicher. Derzeit laufen laut Harder die TÜV-Zertifizierungen zur "Trusted Site Infrastructure" (TSI) gemäss TÜViT GmbH Level 3.

BYOD beschäftigt OIZ

Wenig überraschend hat sich Harder aus Sicht der Informationssicherheit auch mit dem Thema Mobile und BYOD auseinandergesetzt. Die Stadt Zürich setzt momentan eine Lösung ein, mit der Mitarbeiter private Geräte nutzen und Kontakte und E-Mails synchronisieren können. Es gibt dazu eine Liste von Geräten, die verwendet werden können. Wichtig ist laut Harder, gut auf die Einsatzzwecke der mobilen Geräte abgestimmte Sicherheitsmassnahmen einzuführen und diesbezüglich am Ball zu bleiben. "Entsprechend wird uns das Thema in Zukunft weiter begleiten", so Harder.

Geht es um BYOD, dann geht es auch um Fragen des Datenschutzes. Die klare Abgrenzung von den geschäftlichen und privaten Daten ist ein Beispiel dafür. Der Datenschutz geniesst laut Harder bei der Stadt eine hohe Priorität und fliesse in jedes Projekt ein. "In der Regel bauen wir auf einem Basisschutz auf. Das ist ein Standard, den jedes System einhalten muss. Bei jedem IT-Projekt muss am Anfang eine Schutzbedarfsanalyse gemacht werden."

Hinweis: Dieser Artikel ist Teil einer Serie über das Sicherheitsbefinden in Unternehmen. Die Netzwoche hat dafür IT-Sicherheitsverantwortliche, CIOs und CISOs mit den Resultaten des "SecurityRadar 2012" der Ispin AG konfrontiert und ihnen den Puls gefühlt.