03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten

Zurück zur ISMS Übersicht

Ziel der Arbeitsanweisung zur Sicherheitsklassifizierung von Projekten

Die Arbeitsanweisung zur Klassifizierung von Projekten dient als Grundlage der Entscheidung wie mit Projekten umgegangen wird und welche Strukturen und Richtlinien zu beachten sind.

Geltungsbereich der Arbeitsanweisung

Die Arbeitsanweisung zur Klassifizierung von Projekten gilt für alle Mitarbeiter von Parasol Island GmbH, als auch alle projektbeteiligten Dienstleister beachten.

Die Regelungen gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen der Arbeitsanweisung sind nicht zulässig, es sei denn, sie sind in dieser ausdrücklich ausgeführt.

Beim Erscheinen einer neuen Version werden alle vorherigen Versionen automatisch ungültig.

Bezug zur Allgemeinen Sicherheitsrichtlinie

Der Klassifikation liegen die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit zugrunde.

Ziel ist es, Informationen entsprechend ihres Schutzbedarfs zu verarbeiten. Aus dem Schutzbedarf der Informationen leitet sich auch der Schutzbedarf der IT-Systeme ab, auf denen die Informationen verarbeitet werden.

Alle Daten und Dokumente müssen vom jeweiligen Informationseigentümer einer dieser Stufen zugeordnet werden. Die Zuordnung muss gut lesbar und für jeden offensichtlich aus den jeweiligen Daten bzw. Dokumenten hervorgehen.

Die Höhe der Stufe richtet sich nach dem entstandenen Schaden bei Nichteinhaltung.

Vertraulichkeitsstufen

Sämtliche Informationen werden in den Stufen Öffentlich, Intern, Vertraulich und Streng Vertraulich klassifiziert.

Für die Einstufung der Vertraulichkeit stellt sich die Frage: Für wen ist es notwendig, diese Daten zu sehen? Der Personenkreis, der Informationen einsehen darf, sollte so klein wie möglich gehalten werden.

Zuweisen einer Klassifizierung

Alle Informationen müssen anhand ihres Schutzbedarfs klassifiziert werden. Die Schutzbedarfskategorien werden vom ISB zusammen mit den Abteilungsleitern definiert und von der Leitung verabschiedet. Die klassifizierung eines Projekts wird von Kundenseite vorgegeben und ist übergreifend auf alle Projektinhalte. Nicht klassifizierte Informationen oder Projekte werden generell als Vertraulichkeitsstufe Intern klassifiziert.

Risikobewertung von Projekten

In einer frühen Projektphase ist eine Risikoeinschätzung des Projektablaufs durchzuführen und in den Projektunterlagen festzuhalten. Die genauen Anforderungen hierzu finden sich in der Risikomanagement-Richtlinie (02_12):

Projektnachbesprechung

Nach Abschluss eines größeren Projektes ist eine Projektnachbesprechung durchzuführen, um neben dem Projektablauf auch zu überprüfen, ob alle relevanten Sicherheitsmaßnahmen eingehalten wurden. Es sind möglichst viele Projektbeteiligte in die Nachbesprechung einzubeziehen, um möglichst viele Auffälligkeiten aus allen Hierarchieebenen zur Kenntnis zu nehmen. Ziel ist es vor allem, Erkenntnisse für die Durchführung zukünftiger Projekte zu erlangen.

Punkte für die Nachbesprechung können sein:

• Sind die Schutzklassen eingehalten worden?
• Sind trotz Einhaltung der Schutzklassen möglicherweise Schäden entstanden?
• Sind Risiken eingetreten, die in der vorangegangenen Risikobewertung nicht berücksichtigt wurden?
• Wie zuverlässig waren die am Projekt beteiligte Freelancer?
• Sind Projektstrukturen eingehalten worden und liegen alle Daten an den für sie vorgesehenen Orten?
• Gab es Anforderungen, die nicht durch Standardmaßnahmen abgedeckt waren?
• Ergeben sich hieraus Verbesserungsansprüche an das ISMS?

In der Nachbesprechung ist zu beschließen, wie lange das Projekt noch auf dem Arbeitsserver verbleibt, um für eventuelle Nachbesserungen noch zur Verfügung zu stehen. Nach der Lagerzeit ist das Projekt zu archivieren.

Umgang mit Dienstleistern

Sollten projektbezogene Aufgaben an Dienstleister ausgelagert werden, welche im gleichen Zuge Informationen einsehen müssen, sind bei einer Klassifizierung der Sicherheitsstufe Öffentlich keine weiteren Vorkehrungen zu treffen, als in der Allgemeinen Sicherheistrichtlinie (02_01) beschrieben.

Bei Bereitstellung von Informationen der Sicherheitsstufen Intern, Vertraulich und

Streng Vertraulich müssen Dienstleister im Voraus die Geheimhaltungserklärung / NDA von Parasol Island. Bei Bereitstellung von Informationen der Sicherheitsstufen Vertraulich und

Streng Vertraulich müssen Dienstleister auch die Sicherheitscheckliste für Dienstleister ausfüllen (04_Checkliste_Dienstleister_vXXX) und dem Projektleiter zurücksenden.

Maximal können in der Checkliste 23 Punkte erreicht werden. Für eine Klassifizierung ab Vertraulich sind mindestens 17 Punkte (>70%) notwendig.

In Ausnahmefällen kann durch die Projektleitung die Bereitstellung von Informationen ohne Erreichen der von 17 Punkten (<70%) beantragt werden. Dies setzt eine schriftliche Begründung, sowie eine Risiko Einschätzung voraus, welche vom Geschäftsführer zu genehmigen ist.