02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie
Zurück zur ISMS Übersicht
Einleitung
[edit]Als zielgruppenorientierte Richtlinie bietet die Allgemeine Informationssicherheits-Richtlinie allen Mitarbeitern einen zentralen und detaillierten Überblick über die gängigsten sicherheitsrelevanten Themen im Alltag.
Die Allgemeine Sicherheitsrichtlinie leitet aus den Vorgaben der Sicherheitsleitlinie konkrete organisatorische und technische Anforderungen, die für alle Projekte und Prozesse gelten. Diese Anforderungen sind die Grundlage für die Standard-Sicherheitsmaßnahmen und legen das angestrebte Sicherheitsniveau fest.
Der grundlegende Umgang mit den Parasol Island Systemen soll reglementiert werden und einen Leitfaden für jeden Benutzer über die Unternehmensstrukturen und Vorgehensweisen bieten. Viele in dieser Richtlinie aufgeführten Bereiche werden durch eigene Richtlinien noch detaillierter beschrieben.
Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.
Auch beim Abschluss von Verträgen mit externen Dienstleistern ist darauf zu achten, dass die Vorgaben dieser Richtlinie beachtet werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in der Informationssicherheitsleitlinie ausdrücklich aufgeführt. Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
Sensibilisierung
[edit]Jede Person, die Einfluss auf die Informationssicherheit der Parasol Island hat, muss sich dieser Tatsache bewusst sein. Dazu bedarf es zum einen der initialen Aufklärung in dem Moment, zu dem die Person für die Informationssicherheit relevant wird. Zum anderen ist diese Awareness kontinuierlich zu stärken und aufzufrischen. Dies gilt insbesondere für Mitarbeiter der Parasol Island, aber auch für Zulieferer und Subunternehmer, Kunden und alle Besucher.
Erfolgte Maßnahmen zur Sensibilisierung und Weiterbildung von Mitarbeitern und Freelancern sind zu dokumentieren.
Mitarbeiter und Freelancer
[edit]Mitarbeiter und Freelancer sind vor Beginn ihrer Tätigkeiten in den Inhalten der Sicherheitsleitlinie und den Sicherheitsrichtlinien zu verschiedenen Themen sowie die umzusetzenden Sicherheitsmaßnahmen zu schulen. Dies betrifft auch projektspezifische Regelungen vor Projektbeginn. Darüber hinaus sind sie in der Handhabung der verwendeten IT-Dienste einzuweisen. Dies bezieht auch die Information mit ein, welche IT-Dienste nicht verwendet werden dürfen.
Zulieferer und Subunternehmer
[edit]Auch Partner und Dienstleister, die evtl. nichts mit dem Kerngeschäft der Parasol Island zu tun haben – wie z.B. Reinigungskräfte, Handwerker und IT-Dienstleister, müssen sich den Gegebenheiten bzgl. der Informationssicherheit bewusst sein und daher regelmäßig sensibilisiert werden. Insbesondere ist schon bei Vertragsschluss darauf zu achten, dass dies schriftlich fixiert wird.
Besucher
[edit]Jeder Besucher ist über die ihn betreffenden geltenden Regelungen zu Informationssicherheit und Datenschutz zu informieren.
Geheimhaltungsvereinbarungen
[edit]Die Einhaltung der Informationssicherheit und des Datenschutzes ist durch eine vertragliche Vereinbarung festzuhalten.
Mitarbeiter
[edit]Mitarbeiter und Freelancer sind zur Einhaltung der Informationssicherheitsrichtlinien vertraglich zu verpflichten. Im Falle einer Bearbeitung sensibler Daten ist zusätzlich eine separate Geheimhaltungsvereinbarung abzuschließen. Die Verpflichtungen müssen über das Arbeitsverhältnis hinausgehen und eine Vorgehensweise bei Vertragsverstößen vorgeben.
Zulieferer und Subunternehmer
[edit]Partner und Dienstleister der Parasol Island GmbH müssen in Abhängigkeit von ihrem Aufgabenbereich bzw. ihrer Auftragserfüllung ebenfalls zur Geheimhaltung verpflichtet werden.
Dies gilt besonders für Dienstleister, die Zugang zu Teilen der Sicherheitsbereiche haben. (Reinigungskräfte, Handwerker, etc.)
Besucher
[edit]Wenn Besucher Kontakt zu vertraulichem oder geheimem Material haben könnten, ist eine schriftliche Geheimhaltungsvereinbarung zu unterzeichnen.
Umgang mit Sicherheitsereignissen
[edit]Sicherheitsereignisse sind Ereignisse, die darauf hindeuten, dass Aspekte der Informationssicherheit oder des Datenschutzes beeinträchtigt sein könnten, oder dass eine getroffene Sicherheitsmaßnahme fehlschlägt oder fehlgeschlagen ist.
Die Mitarbeiter sind angehalten, Auffälligkeiten an den Informationssicherheitsbeauftragten und die Administratoren zu melden. Es ist nicht erforderlich, dass auf jede Meldung hin eine Maßnahme erfolgt. Es liegt im Ermessen des Informationssicherheitsbeauftragten, die Ereignisse ihrer Schwere entsprechend einzusortieren und gegebenenfalls Sofortmaßnahmen einzuleiten. Betrifft ein Sicherheitsereignis personenbezogene Daten oder besteht die Möglichkeit, dass es Einfluss auf die Sicherheit personenbezogener Daten haben könnte, so ist umgehend der Datenschutzbeauftragte mit einzubeziehen. Wenn gesetzliche Regelungen dies verlangen, sind auch externe Stellen und/oder betroffene Personen zu informieren. Eine Übersicht über den Prozess ist in Abbildung 1 dargestellt.
Der Informationssicherheitsbeauftragte ist dazu verpflichtet, sämtliche Sicherheitsereignisse im Bereich der IT-Systeme zu erfassen und zu protokollieren sowie sich über neue Bedrohungen und Gefahren zu informieren.
Geschäftsführung und Informationssicherheitsbeauftragter besprechen in regelmäßigen Abständen, jedoch mindestens einmal im Monat, die aufgetretenen Meldungen und beschließen daraufhin geeignete Maßnahmen, um auf die Ereignisse zu reagieren.
Ansprechpartner und Meldewege (auch im Bereich des Datenschutzes) sind allen Mitarbeitern bekannt und für jeden einsehbar. Darüber hinaus bestehen Handlungsanweisungen für bekannte Szenarien, die in regelmäßigen Abständen geprobt werden.
Hinsichtlich der Meldung von Datenschutzvorfällen sei an dieser Stelle auch auf die „Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten“ (Artikel 29 Datenschutzgruppe, 2018) verwiesen.
