02 05 PSL ISMS Change Management Richtlinie

Zurück zur ISMS Übersicht

Zweck

„Ziel ist es sicherzustellen, dass bei Änderungen in der Organisation, den Geschäftsprozessen und an IT-Systemen (Change Management) Aspekte der Informationssicherheit berücksichtigt werden, damit die Änderungen nicht zu einer ungeregelten Verringerung des Informationssicherheitsniveaus führen.“ (5.2.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Die Changemanagement-Richtlinie soll den Umgang mit Änderungen an den Prozessen und den IT-Systemen der Parasol Island GmbH regeln und bei dem Planungsprozess helfen.

Die Changemanagement-Richtlinie gilt für alle Mitarbeiter der Parasol Island GmbH und für alle Personen, die für die Parasol Island GmbH tätig werden

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Änderungen der Organisation und der Prozesse

Bei geplanten Änderungen an der Organisation und den Prozessen wird der Informationssicherheitsbeauftragte frühestmöglich durch die Geschäftsführung in die Planung einbezogen. Er stellt sicher, dass notwendige Anpassungen am ISMS erfolgen. Bei Bedarf unterstützt er durch die Erstellung von informationssicherheitsspezifischen Risikoanalysen und übernimmt die Koordination von notwendigen Maßnahmen im Rahmen des ISMS.

Änderungen an IT-Systemen

Notwendige Änderungen an IT-Systemen sollen kontrolliert, effizient und unter Minimierung von Risiken für den Betrieb und die Leistungserbringung der Parasol Island GmbH durchgeführt werden.

Änderungen an IT-Systemen fallen in drei Klassen, die jeweils angemessen den Change-Management Prozess durchlaufen: Normale Changes, Standard Changes und Emergency Changes.

Normale Changes

Sind Änderungen an den IT-Systemen nötig, wird der Änderungswunsch durch den Antragsteller formuliert und der Geschäftsführung zur Freigabe vorgelegt.

Bei Bedarf unterstützt der ISB bei der Formulierung des Änderungsantrages und/oder bei der Bewertung und Freigabe durch die Geschäftsführung (u.a. durch die Erstellung einer ggf. notwendigen Risikoanalyse bzw. der Neubewertung bereits erfasster Risiken). Spätestens nach der positiven Entscheidung über eine Änderung wird der ISB einbezogen, um notwendige Änderungen am ISMS planen und durchführen zu können wie z.B. Anpassungen an Dokumentation, Risikolage, Schulungsinhalten.

Nach erfolgreicher Umsetzung der Änderung ist der ISB zu informieren und er setzt die Änderungen des ISMS in Kraft.

Der gesamte Prozess von Antragstellung über Durchführung bis zur Anpassung des ISMS ist durchgehend zu dokumentieren.

Standard-Changes

Notwendige Änderungen im normalen betrieblichen Ablauf, die keine hohen Risiken beinhalten und sich nur lokal auswirken, können als sogenannte Standard-Changes erfasst werden. Diese werden einmalig durch die Geschäftsführung auf Basis einer Risikoanalyse durch den Informationssicherheitsbeauftragten freigegeben werden. Sobald dies geschehen ist, dürfen Benutzer diese eigenständig in ihrem eigenen Ermessen durchführen.

Bei der Freigabe kann auch festgelegt werden, dass dieser Change nicht mehr dokumentiert werden muss. Andernfalls unterliegt ein solcher Change weiterhin der Dokumentationspflicht.

Emergency-Changes

Ist eine nicht als Standard-Change freigegebene Änderung kurzfristig notwendig und der normale Freigabeprozess kann nicht durchlaufen werden (weil z.B. keiner der Geschäftsführer erreichbar ist, oder der Prozess erfahrungsgemäß zu lange dauert), so wird die Entscheidung über die Umsetzung durch einen IT-Administrator oder seinen Vertreter getroffen. Bei Verfügbarkeit kann der ISB hinzugezogen werden.

Die Geschäftsführung und der ISB sind über die Durchführung eines Emergency-Changes baldmöglichst zu informieren. Außerdem ist der Change als solcher so dokumentieren.

Risikomanagement

Vor größeren Änderungen an Arbeitsprozessen oder IT-Systemen ist eine Risikoanalyse auf Basis der Richtlinie zum Risikomanagement durchzuführen, um die Auswirkungen der Änderung auf den Betriebsablauf abzuschätzen.

Für Systeme mit erhöhtem Schutzbedarf ist eine erneute Prüfung nach vollzogener Änderung durchzuführen, in der die entstandenen Risiken neu ermittelt werden, um sicherzustellen, dass die Risikominimierung wie geplant eingetreten ist. Wenn nötig sind die Risikostrategien anzupassen, um das Risiko weiter zu senken.

Risikoeinschätzungen für bestehende Assets werden in einem Ampelsystem (1. Grün, 2. Gelb, 3. Rot) in der Assetliste festgehalten.

Einführung neuer Hard- oder Software

Für die Beschaffung von Hard- und Software ist als Grundlage ein Anforderungsprofil zu erstellen, das neben fachlichen und technischen Ausstattungsmerkmalen sowie ergonomischen Aspekten auch Anforderungen an die Informationssicherheit beschreibt. Nach Möglichkeit sollten Arbeitsplätze standardisiert ausgestattet werden, um Verwaltung und Administration zu erleichtern.

Es ist zu beachten, dass die Integration in die vorhandene oder geplante, informationstechnische Infrastruktur gewährleistet ist. Hierbei hat die möglichst reibungslose Funktionstüchtigkeit der IT-Komponenten oberste Priorität. Dies impliziert auch, dass Installationen gegebenenfalls auf einen Zeitraum verlegt werden, in denen keine zeitkritischen Projekte in Bearbeitung sind.

Es sind im Rahmen der Kommunikation und Archivierung bevorzugt Programme zu beschaffen, die eine Verschlüsselung ermöglichen.

Vor dem Einsatz ist neue Soft- und Hardware zu testen. Dabei sollten nach Möglichkeit Testsystem und Produktivbetrieb getrennt werden.

Es sind Test- und Freigabeverfahren zwischen der IT-Abteilung und den Fachbereichen abzusprechen. Nicht freigegebene Hard- und Software ist nicht einzusetzen.

Da durch die erforderliche Verwendung von hochspezialisierter Hard- und Software nicht sämtliche Eventualitäten oder Fehlerquellen effektiv ausgeräumt werden können, muss auch der Einsatz von fehlerbehafteten Komponenten möglich sein.

Hierzu wird in Zusammenarbeit von der IT und der Projektleitung eine Risikoeinschätzung durchgeführt und ein mögliches Vorgehen für den jeweiligen Einzelfall definiert.

Soft- und Hardware sind durch die Administratoren möglichst so zu konfigurieren, dass ohne weiteres Zutun der IT-Benutzer optimale Sicherheit erreicht werden kann.

Allowlist und Denylist

Die im ISMS angegebenen Listen sollen als Hilfestellung dienen, bereits getroffene Entscheidungen über die Auswahl von IT-Systemen in Form von Software, Betriebssystemen, Programmen, Hardware, Apps, oder Webdiensten zu dokumentieren.

Da die Allowlist aufgrund der vorherrschenden Prozessstruktur als nicht vollständig zu definieren ist, wird zusätzliche eine Denylist geführt.

Die Aufnahme in eine der Listen ist erst nach sorgfältiger Abwägung der Risiken für die Sicherheitsziele von Administration, Abteilungsleitern und Informationssicherheitsbeauftragten freizugeben.

Eine Einstufung der Software auf der Allowlist autorisiert den Nutzer nicht zur eigenmächtigen Installation ohne Einwilligung des Administrators, auch nicht bei lokalen Administratorrechten.

Installation von Raubkopien oder Software, die nicht für die Parasol Island GmbH lizenziert wurde, ist generell verboten.