Trotz größter Sorgfalt bei der Umsetzung von IT-Sicherheit bleibt ein Risiko­faktor bestehen: Der Mensch. Dabei ist ihnen keinesfalls ein Vorwurf zu machen. Cyberkriminelle greifen tief in die Trickkiste, um Firmen­geheimnisse oder Gelder zu stehlen. Um das Risiko solcher "Social Engineering" Angriffe zu reduzieren, können Mitarbeiter durch eine Security Awareness Kampagne langfristig für das Thema IT-Sicherheit sensibilisiert werden.

Fasst ein Unternehmen den Entschluss, Security Awareness umzusetzen, folgt meist eine menge neuer Regeln und ein Vortrag, dass diese nun eingehalten werden müssen. Dieser Ansatz erzeugt bei den Mitarbeitern eine Abwehrhaltung - was wir unbedingt verhindern wollen. (Quelle)
Ein deutlich effektiverer Ansatz ist die Entkoppelung von Sensibilisierung und Verhaltensregeln. Maßnahmen wie Trainings und Flyer, die das Ziel der Sensibilisierung verfolgen, sehen dabei von der Verwendung von Handlungsanweisungen ab. Um diese Ent­koppelung umzusetzen, eignet sich beispielsweise eine Unternehmens­policy. Der Leitfaden enthält genaue Anweisungen, wie IT-Sicherheit, Arbeits­schutz und Co. zu erreichen sind. Dabei sollten die Mitarbeiter durch Prozess­optimierung bei der Umsetzung dieser Ziele bestmöglich unterstützt werden. Alle weitere Maßnahmen wie individuell gestaltete Trainings und Marketing­kampagnen konzentrieren sich nun aus­schließ­lich auf die Sensibilisierung gegenüber dem Thema IT-Sicherheit. Durch anschauliche Demonstrationen und kreative Ideen wird lediglich die Notwendigkeit einer sicheren Handlungs­weise vermittelt, ohne dabei große Reibungen zu erzeugen.