Ausnahmen von Sicherheitsrichtlinien - wie wird das bei Euch gehandhabt?

Hallo zusammen,

ich bin in meinem Unternehmen, unter anderem für die Hard- bzw. Softwareüberwachung, sowie für das Schnittstellenmanagment veranwortlich.
Im Rahmen meiner Möglichkeiten, beschaffe ich das aus technischer Sicht ausgereifteste Produkt um die geschäftlichen Interessen meines Arbeitgebers zu erfüllen.

So haben wir eine ausgereifte Asset Management Lösung, welches es mir meldet wenn ein mir unbekanntes Produkt im Unternehmen installiert wird oder die Hardware ihre Lokation verwendet. Unsere Schnittstellen sind alle über ein Endpoint-Security Client geschlossen. Nur ausgewählte Mitarbeiter erhalten nach Zustimmung des jeweiligen Abteilungsleiters einen verschlüsselten USB-Speicherstick.
Soweit die rosarote Wolke ;D

Leider kommt es in der Realität vor, dass von mir erwartet wird, bei den sogenannten VIPs (Abteilungsleiter, enge Vertraute von Ihnen oder sogar mein direkter Vorgesetzter) Ausnahmen vom Sicherheitskonzept verlangt werden. Da heißt es: "Mach alle Schnittstellen auf. Dieser Mensch hat Jahre für seine Position gearbeitet, da hat er auch das Privileg." oder "wenn der Abteilungsleiter keinen verschlüsselten USB-Stick möchte, dann gib ihm einen unverschlüsselten". Vom Asset Management ganz zu Schweigen. Selbstverständlich darf man die VIPs oder direkten Kollegen nicht nötigen einen Client zu installieren, den vielleicht hat die Person private Software installiert, welche dann gefunden wird.


Ich für meinen Teil, schüttele da nur den Kopf. Den genau für den Anwenderkreis haben wir die Lösung "verschlüsselte Speichermedien" geschaffen. Wenn so eine Person Geschäftsdaten nach Außen trägt und die verliert, wäre das eine Katastrophe. Der OttoNormal Anwender hat in meinen Unternehmen kaum Zugang zu so sensiblen Daten wie ein VIP.
Auch bei einem möglichen SoftwareAudit stehe ich mit in der Veranwortung, unterschlage ich ja die Lizenzdaten von knapp 100 Rechner von denen ich ja keine (zumindest nachweisbaren) Informationen habe.


Es interessiert mich, wie solche Aussnahmen bei Euch gehandhabt werden. Gibt es diese Ausnahmen oder seid Ihr konzequent?
Kann ich mich rechtlich absichern, indem ich es dem Anwender überlasse ob er einen verschlüsselten USB-Speicherstick möchte oder dieser lieber unverschlüsselt ist? Vielleicht im Rahmen einer unterschriebenen Erklärung?
Kann ich eine Absicherung im Form einer vom Mitarbeiter unterschriebenen Erklärung auch für die Softwareüberwachung nutzen?



Danke für Eure Antworten
Stefan