02 08 PSL ISMS Virenschutzkonzept

Zurück zur ISMS Übersicht

Ziel

Ziel ist es, den Schutz der persönlichen IT-Systeme der Mitarbeiter der Parasol Island gegen Schadsoftware sicherzustellen. Dazu beschreibt dieses Dokument die technischen und organisatorischen Maßnahmen.

Geltungsbereich

Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Schadensszenarien

Durch Schadsoftware (z.B. Viren) ist die Verfügbarkeit ganzer IT-Systeme gefährdet. Schadsoftware kann Festplatten unbrauchbar machen, sodass es zu Fristversäumnissen durch eine verzögerte Bearbeitung von Aufträgen aufgrund nicht funktionsfähiger IT-Systeme kommen kann. Des Weiteren können finanzielle Schäden durch den Verlust von Daten entstehen, da diese unter Umständen nur mit erheblichem Aufwand rekonstruiert werden können.

Ein Virenbefall kann beispielsweise zum Verlust der Integrität der Daten oder des IT-Systems führen. Es können aufgrund einer falschen Datenbasis oder durch einen fehlerhaften Programmablauf fehlerhafte Ergebnisse generiert werden.

Durch ein Trojanisches Pferd kann die Vertraulichkeit von Daten gefährdet werden, indem persönliche oder weitere vertrauliche Informationen „gestohlen“ werden. Der Verlust personenbezogener Daten oder Zugangsdaten kann zudem einen Verstoß gegen Datenschutzgesetze darstellen.

Wenn Computerviren an Kunden oder Geschäftspartner weitergegeben werden, kann ein Imageschaden entstehen. Darüber hinaus können Imageschädigungen dadurch eintreten, dass Geschäftsprozesse oder einzelne Dienstleistungen nicht aufrechterhalten werden können und somit Verzögerungen entstehen.

Infektionswege

IT-Systeme können durch Schadsoftware auf verschiedene Weisen infiziert werden. Nachfolgend sind die häufigsten Infektionswege aufgezeigt. Die Reihenfolge der dargestellten Wege orientiert sich an der Wahrscheinlichkeit bzw. der Häufigkeit des Auftretens. Die größte Gefahr besteht in der Öffnung der internen Netze nach außen, sodass die Gefahren insbesondere aus externer E-Mail-Kommunikation und dem Internetzugang resultieren. Das interne Netz kann die Ausbreitung im Betrieb „begünstigen“.

E-Mail

E-Mails sind der Haupt Kommunikationsweg bei Parasol Island. Mit Hilfe von Attachments (Datei-Anhänge oder Links zu freigegebenen Dateien) können Dateien effizient versendet und E-Mails als Groupware-Lösung genutzt werden. Die angehängten Dateien können mit einem Virus infiziert sein und mittels E-Mail von außen in die Parasol Island eingebracht und dort weiterverbreitet werden.

Internet

Gefährlich sind Schadprogramme, die sich über das Internet verbreiten und technisch so konstruiert sind, dass sie über eine nicht geschlossene Sicherheitslücke eines Programms (z. B. Browser oder Betriebssystem) direkt den Rechner infizieren. Auch Dateien und Programme, die aus dem Internet heruntergeladen werden, können infiziert sein.

Internes Netz

Der interne Austausch von E-Mails und die Vernetzung der Rechner können die Ausbreitung eines Computervirus oder anderer Schadprogramme innerhalb des Betriebs herbeiführen. Die standortübergreifende Vernetzung und die Einwahl aus dem Internet in das Intranet (z. B. Virtual Private Network) ermöglicht die Verbreitung auch auf weitere Standorte der Parasol Island.

Auch Rechner, die nur temporär in das Netz eingebunden sind, sind durch Viren bedroht. So können durch fehlende oder mangelhafte Anpassungen an Veränderungen des IT-Systems Sicherheitslücken entstehen.

Wechseldatenträger

Über Wechseldatenträger (CDs, DVDs, USB-Sticks etc.) können Dateien oder Programme mit Schadsoftware IT-Systeme infizieren.

Verhaltensregeln zur Vorbeugung

Die Benutzer tragen dafür Verantwortung, IT-Systeme so zu nutzen, dass eine Infektion mit Schadsoftware vermieden wird. Dies heißt im Einzelnen:

• Alle verdächtigen Ereignisse (s. u.) sind unverzüglich den Verantwortlichen zu melden (siehe dazu Wiki Artikel der Parasol Island).
• Verdächtige Dateien dürfen nicht selbständig geöffnet werden. In Zweifelsfällen muss der IT-Verantwortliche um Rat gefragt werden.
• Virenschutzprogramme dürfen nicht deaktiviert werden.
• Vorgegebene Sicherheitseinstellungen dürfen nicht deaktiviert oder umgangen werden.
• Software darf nur von berechtigten Administratoren oder in Absprache mit diesen installiert werden.
• Sofern die Nutzung privater Hardware (z. B. Smartphones) zusammen mit betrieblicher Hardware oder zur sonstigen betrieblichen Nutzung genehmigt wurde, sind die technischen und organisatorischen Maßnahmen im Rahmen des Computer Virenschutzes zu beachten.
• IT-Systeme sollten sorgfältig hinsichtlich möglicher Gefahren beobachtet werden.
• Jeder Verdacht auf Schadsoftware muss sofort gemeldet werden.
• Eingehende und ausgehende Dateien sind im Falle eines Datenträgeraustauschs einer Viren-Prüfung zu unterziehen.
• Jeder IT-Benutzer hat vor der ersten Nutzung von IT-Diensten an den angebotenen Schulungen teilzunehmen.

Verhaltensregeln bei Auftreten von Schadsoftware

Anzeichen für einen Virenbefall

Folgende Anzeichen können auf Schadsoftware hindeuten:

• häufige Programmabstürze
• Programmdateien werden länger
• unerklärliches Systemverhalten
• „unerklärliche“ System-Fehlermeldungen
• Nutzung unbekannter Dienste
• nicht auffindbare Dateien
• veränderte Dateiinhalte
• ständige Verringerung des freien Speicherplatzes, ohne dass etwas abgespeichert wurde

Verhaltensregeln für den IT-Benutzer

Beim „Auftreten“ von Schadsoftware ist zu verhindern, dass weitere IT-Systeme infiziert werden. Daher ist ein entdecktes Schadprogramm (bzw. der Verdacht) unverzüglich dem Administrator persönlich oder telefonisch zu melden. Ist dies nicht umgehend möglich, muss sofort der Sicherheitsbeauftragte oder die Firmenleitung verständigt werden.

Bis zur Klärung des Sachverhalts durch den Verantwortlichen darf das betroffene IT-System nicht mehr benutzt werden und sollte unverändert belassen werden, um keine Spuren zu verwischen.

Wer einen Schadsoftware Vorfall verschleiert oder ignoriert, muss mit arbeitsrechtlichen Konsequenzen rechnen. Wer dagegen einen Vorfall meldet und alles tut, um schlimmeren Schaden zu verhüten, wird nicht bestraft, auch wenn er durch fahrlässiges Verhalten z.B. den Virenbefall verursacht hat.

Schulung

Die Benutzer werden vor der erstmaligen Nutzung der jeweiligen IT-Dienste hinsichtlich der Gefahren sensibilisiert und auf die Sicherheitsmaßnahmen geschult (ISMS, 02_15). Schulungsinhalte sind:

• Sensibilisierungsmaßnahmen
  • („Warum ist das IT-System so wichtig für mich und meinen Arbeitgeber?“)
• Beschreibung der verschiedenen Arten von Schadsoftware
  • Gefährdungspotential durch Computerviren und andere Taktiken die zu einem Sicherheitsvorfall führen können (z.B. auch Phishing)
  • „Welche Gefahren bestehen für mich und meinen Arbeitgeber durch Virenbefall?“
• Schulung auf das Erkennen von Computerviren
  • „Was sind Symptome für einen Virenbefall?“
• Sichere Nutzung der sonstigen IT-Dienste
• Verhalten bei Auftreten eines Computervirus (Meldewege etc.)

Mitarbeiter müssen auf das Problem von Falschmeldungen über Viren hingewiesen und darüber informiert werden, was beim Empfang einer Meldung zu tun ist.