Wie bereits angekündigt, folgen im letzten Teil meiner Blogreihe zu meiner Masterthesis die Phasen Umsetzungsstrategie, Pilotprojekt und Rollout, sowie Anpassung der IT-Strategie.
Umsetzungsstrategie
Wenn sich nach der Analyse herausstellt, dass ein Unternehmen Bring your own Device einsetzen möchte, muss der Umfang eingegrenzt werden. Wie die empirische Umfrage ergeben hat, erlauben viele Unternehmen lediglich die Nutzung von privaten Smartphones. Manche Unternehmen unterstützen sogar nur die eines bestimmten Herstellers, oder mit bestimmtem Betriebssystem. Je weniger Einschränkungen der Arbeitgeber vorgibt, desto zufriedener mögen seine Mitarbeiter sein, desto mehr Sicherheitsvorkehrung sind allerdings auch vorzunehmen. Auch kann der Arbeitgeber die Nutzungsmöglichkeiten einschränken. Entsprechend dem Ergebnis der empirischen Untersuchung wird es am häufigsten erlaubt Kalender, Kontakte und E-Mail Funktionalität zu nutzen. Auch hier gilt, je mehr Anwendungen der Arbeitgeber zulässt umso höher ist das IT Sicherheitsrisiko.
Mögliche Umsetzungsvarianten wären daher folgende:
-
Einsatz von E-Mail, Kalender und Kontakten auf dem privaten Smartphone
-
Firmendesktops auf privaten Endgeräten, wie Notebooks
-
Virtualisierung von Anwendungen zur Ausführung auf privaten Endgeräten
Aufgrund des Sicherheitsrisikos sollte ein Arbeitgeber jedoch niemals eine Arbeitsumgebung zur freien Konfiguration freigeben.
Pilotprojekt und Rollout
Die Umsetzung sollte nicht direkt in der ganzen Firma erfolgen, sondern Schrittweise. Hierbei gibt es verschiedene Möglichkeiten für eine Vorgehensweise.
Bring your own Device sollte schrittweise eingeführt werden, das heißt, zunächst könnte beispielsweise das WLan für private Endgeräte freigeschalten werden. In einem weiteren Schritt wäre es sinnvoll bestimmte Anwendungen, wie Kalender und E-Mail Funktionalität für bestimmte private Endgeräte freizugeben. Dies könnte direkt für alle Mitarbeiter erfolgen, oder aber nur für eine Pilotgruppe. Letzteres würde sich empfehlen, da man einen kleinen Anwenderkreis einfacher „überwachen“ kann, das bedeutet positive Effekte sowie Schwierigkeiten können besser erkannt werden. So können Sicherheitsrisiken entfernt werden, bevor sie Schaden anrichten. Auch können bei einer kleineren Gruppe leichter Umfragen bzgl. der Akzeptanz von IT Consumerization durchgeführt werden. Aufbauend auf den Ergebnissen des Pilotprojektes könnte Bring your own Device weiter ausgebaut werden, beispielsweise auf weitere Endgeräte und/oder Anwendungen oder auf größere Personengruppen. Letzteres birgt weitere Herausforderungen, da der Übergang zum privaten Endgerät reibungslos verlaufen sollte.
Anpassung der IT-Strategie
Bring your own Device bringt der Unternehmens-IT große Veränderungen. Daher sollte das Thema nicht isoliert implementiert werden. Vor der Einführung sollte der Einfluss auf die IT-Strategie, -Architektur und den –Betrieb evaluiert werden. Durch ByoD gibt es in nahezu allen Bereichen neue Anforderungen an die IT, die berücksichtigt werden und mit der Einführung von BoyD geändert sollten.
Die IT-Architektur sollte keinerlei Anforderungen an das Endgerät stellen, sondern standardisierte Benutzerschnittstellen zu Verfügung stellen. So sollten möglichst viele Anwendungen webbasiert sein und die Daten nicht lokal, sondern auf Servern abgelegt werden. Daher bietet sich eine cloudbasierte Architektur bei der Umsetzung von IT Consumerization an. Auch die Sicherheitsstrategie sollte überarbeitet werden. Während vor der Einführung von ByoD Firewalls oder ähnliche Anwendungen an den Unternehmensgrenzen ausgereicht haben, sollte mit der Einführung über eine Absicherung der Daten nachgedacht werden, hierzu bieten sich Zugriffskontrollen und Verschlüsselung an. Auch für den Betrieb gibt es durch die Einführung von ByoD einige Änderungen. Während vorher die meisten Anwender ähnliche Endgeräte hatten und sich der Support so auf diese spezialisieren konnte, gibt es mit Bring your own Device eine Vielzahl von Endgeräten. Je nach Endgerät können sich unterschiedliche Problemstellungen ergeben. Daher sollten die Supportabteilungen dahingehend geschult werden.
Erkennbar an dem Vorgehen für die Einführung von Bring your own Device ist, dass es keine richtige Anleitung gibt nach der man vorgehen kann. Jedes Unternehmen muss für sich selber entscheiden in welchem Rahmen, d.h. welche Endgeräte unterstützt und welche Anwendungen verfügbar gemacht werden, ByoD eingesetzt werden soll. Dabei ist auch auf die Unternehmensstruktur und -Branche zu achten. In Unternehmen im regulierten Umfeld ist es sicherlich schwieriger IT Consumerization umzusetzen, da Daten einem besonderen Schutz und das Unternehmen bestimmten Vorgaben unterliegen. In kleinen Unternehmen ist ByoD schneller umzusetzen, allerdings birgt die Umsetzung auch Gefahren, weshalb kleinere Unternehmen häufig zögerlicher an neue Trends herangehen, als große Unternehmen, bei denen ein Rückschlag nicht zum Konkurs führen kann. Auch wird ByoD eher in Unternehmen mit IT-affineren Mitarbeitern, wie reine IT-Unternehmen, Einzug finden, als in Unternehmen die weniger IT-affin sind.
Vertiefung: Bring your own Device - verhindern, dulden oder aktiv steuern? - Teil 6
Aus „Bring your own Device - verhindern, dulden oder aktiv steuern; „BYOD steuern – Teil 6“ liefert dafür den praktischen Anwendungsfall? - Teil 6“ lässt sich mehr gewinnen als eine Momentaufnahme. Die nachfolgende Vertiefung ordnet für Nachrichtenverlauf ein, welche Annahmen geprüft und welche Konsequenzen organisatorisch sauber umgesetzt werden sollten.
Szenario im Blick: Freigabeliste
Im Mittelpunkt von „BYOD steuern – Teil 6“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, welcher konkrete Ablauf Nutzen und Risiko gleichzeitig sichtbar macht. Beim Schwerpunkt „BYOD steuern – Teil 6“ geht es um mobile Kommunikation, Cloudspeicher und nutzergewählte Anwendungen sowie um den Bezug zu „Freigabeliste“; zu entscheiden ist, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Ein vorschneller Schluss würde diese Grenze ignorieren: Verschlüsselung schützt den Transport (hier bezogen auf „Datenexport“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Ein schlanker, aber wirksamer Ansatz lautet: Auslöser, Beteiligte, Entscheidungen und Folgen Schritt für Schritt durchspielen; im vorliegenden Abschnitt wird dies an „Nachrichtenverlauf“ konkretisiert. Die Dokumentation hält zwei Dinge fest – ein getesteter Fall mit erkannten Lücken; zusätzlich sichtbar wird: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Der Diskussionsaspekt „klare Zuständigkeiten und Entscheidungsrechte“ ergänzt die Betrachtung sinnvoll, weil er „Freigabeliste“ mit der tatsächlichen Anwendung verknüpft.
Was „Freigabeliste“ für Integration bedeutet
Aus dem historischen Befund entsteht für „Freigabeliste“ eine praktische Steuerungsfrage: Es ist zu klären, welcher bestehende Prozess den neuen Prüfschritt sinnvoll aufnehmen kann. Beteiligt sind hier vor allem Fachbereiche, Kommunikation, IT, Datenschutz, Informationssicherheit und externe Gesprächspartner; ihre Perspektiven treffen beim Aspekt „Nachrichtenverlauf“ unmittelbar aufeinander. Besondere Aufmerksamkeit verdient das Szenario, in dem bequeme Werkzeuge geschäftliche Informationen außerhalb kontrollierter Ablagen und Aufbewahrungsregeln verteilen. Die praktische Konsequenz heißt: Beschaffung, Berechtigung, Änderung oder Offboarding gezielt erweitern. Überprüfbar wird der Schritt durch folgendes Ergebnis: ein eingebetteter Kontrollpunkt ohne parallelen Sonderprozess; der Prüfkontext ist hier „Cloudablage“. Relevant bleibt dabei: der Zusammenhang zwischen „Freigabeliste“ und „Nachrichtenverlauf“. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Freigabeliste“ noch nachvollziehbar wäre.
Lizenzen im Blick: externe Beteiligte
Der nächste sinnvolle Schritt für „Geschäftskommunikation“ trennt Aussage, Voraussetzung und Konsequenz voneinander: Es ist zu klären, ob private und geschäftliche Nutzung vom Nutzungsrecht gedeckt sind. Als belastbare Grundlage dienen freigegebene Kanäle, Datenklassifikation, Export- und Löschmöglichkeiten, Vertragslage und Nutzungsprotokolle; für den Aspekt „Geschäftskommunikation“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „externe Beteiligte“ sollte deshalb ausdrücklich festhalten, welcher Kommunikationsweg für welchen Informationswert und Geschäftszweck zulässig ist. Statt einer neuen Parallelstruktur genügt zunächst: Lizenztyp, Nutzerkreis, Gerät, Übertragbarkeit und Beendigung prüfen. Die Dokumentation hält zwei Dinge fest – ein Lizenznachweis bis zum Entzug oder zur Neuvergabe; zusätzlich sichtbar wird: die beobachtbare Veränderung beim Aspekt „Tests und Lernen aus erkannten Abweichungen“. Für den Dialog unter dem Beitrag ist „Tests und Lernen aus erkannten Abweichungen“ der passende Belastungstest: Gerade beim Aspekt „externe Beteiligte“ muss die Regel im Alltag tragen.
Geltungsbereich im Blick: Aufbewahrung
Der konkrete Nutzen von „Suchbarkeit“ zeigt sich erst, wenn eine offene Annahme überprüft wird: Es ist zu klären, für welche Personengruppe, Leistung und Informationsklasse die Aussage gelten soll. Die alltagstaugliche Übersetzung für „Suchbarkeit“ lautet: Kommunikationsbedarf und Informationsklasse bestimmen gemeinsam den zulässigen Kanal. Damit wird zugleich die Grenze beim Aspekt „Aufbewahrung“ sichtbar: Verschlüsselung schützt den Transport (hier bezogen auf „Löschung“), beantwortet aber nicht automatisch Fragen zu Zweck, Ablage und Verantwortlichkeit. Für den nächsten Review wird vereinbart: Grenzen und Nicht-Anwendungsfälle ausdrücklich festhalten; die Umsetzung wird dabei an „BYOD steuern – Teil 6“ gespiegelt. Für Audit und Führung reicht Aktivität nicht aus; im vorliegenden Abschnitt wird dies an „Freigabeliste“ konkretisiert. Benötigt wird folgender Nachweis: eine knappe Scope-Notiz mit Ein- und Ausschlüssen; bewertet wird außerdem: Schattenanwendungen, fehlende Ablagen, Datenabflüsse, Suchaufwand und nicht nachvollziehbare Entscheidungen. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Suchbarkeit“ noch nachvollziehbar wäre; im Fokus steht dabei „Geschäftskommunikation“.
Kommunikation als Konsequenz aus „Nachrichtenverlauf“
Der nächste sinnvolle Schritt für „Nachrichtenverlauf“ trennt Aussage, Voraussetzung und Konsequenz voneinander: Es ist zu klären, welche Erwartung verständlich erklärt und bei Rückfragen erreichbar sein muss. Kritisch wird die Lage insbesondere dann, wenn bequeme Werkzeuge geschäftliche Informationen außerhalb kontrollierter Ablagen und Aufbewahrungsregeln verteilen; als Bezugspunkt dient „Freigabeliste“. Für die beteiligten Rollen – Fachbereiche, Kommunikation, IT, Datenschutz, Informationssicherheit und externe Gesprächspartner – braucht der Aspekt „Nachrichtenverlauf“ daher einen vorab geklärten Entscheidungsweg. Für den nächsten Review wird vereinbart: Regel, Grund, Alternative und Hilfe zielgruppengerecht verbinden; im vorliegenden Abschnitt wird dies an „Suchbarkeit“ konkretisiert. Ob der Ansatz trägt, wird an folgendem Ergebnis geprüft: Rückfragen, Fehlanwendungen und Verständnislücken als Lernsignal; im vorliegenden Abschnitt wird dies an „Nachrichtenverlauf“ konkretisiert. Die Ergebnisbeobachtung richtet sich auf: der Zusammenhang zwischen „Nachrichtenverlauf“ und „BYOD steuern – Teil 6“. Für den Dialog unter dem Beitrag ist „belastbare Nachweise statt bloßer Dokumentenfülle“ der passende Belastungstest: Gerade beim Aspekt „BYOD steuern – Teil 6“ muss die Regel im Alltag tragen.
Für Freigabeliste sollte am Ende kein umfangreiches Zusatzdokument stehen, sondern eine klare Entscheidung mit Eigentümer, Nachweis und Wiedervorlage für Geschäftskommunikation. Genau daran lässt sich erkennen, ob die Vertiefung zu Suchbarkeit praktische Wirkung entfaltet.