03 41 PSL ISMS KontrolleCloudDienste
Zweck
[edit]Parasol Island beschränkt die zu verwendenden Cloud-Dienste auf diejenigen, die im IT-Diensteverzeichnis angegeben sind. Wie in der Richtlinie zum Umgang mit Cloud-Diensten (ISMS, 02_27) beschrieben, muss dies regelmäßig kontrolliert werden. Diese Arbeitsanweisung beschreibt, wie solche Kontrollen durchzuführen sind.
Geltungsbereich
[edit]Diese Arbeitsanweisung gilt verbindlich für Informationssicherheitsbeauftragter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
Durchführung der Kontrollen
[edit]Circa alle drei Monate führt der Informationssicherheitsbeauftragte kurze Interviews mit einzelnen ausgewählten Mitarbeitern oder Mitarbeiterinnen, um herauszufinden, welche Cloud-Dienste diese verwenden.
Bei der Auswahl ist zu beachten, dass jedes Jahr circa 30% der Mitarbeiterinnen und Mitarbeiter Parasol Islands befragt werden. Ziel der Befragung ist es, sicherzustellen, dass nur freigegebene Cloud-Dienste verwendet werden. Abweichungen werden erfasst, geeignete Maßnahmen zur Unterbindung der Verwendung besprochen und umgesetzt. Darüber hinaus dient dieses Interview auch dazu, festzustellen, welche weiteren Cloud-Dienste die Mitarbeiterinnen und Mitarbeiter für sinnvoll erachten, um diese eventuell in den Freigabeprozess aufzunehmen.
Ein regelmäßiges Gespräch zwischen Informationssicherheitsbeauftragtem und Mitarbeiter oder Mitarbeiterin, soll auch dazu dienen, die Gewärtigkeit für Informationssicherheit zu stärken und den Stellenwert für Parasol Island zu betonen.
Protokollierung
[edit]Die Durchführung dieser Interviews erfolgt im Logbuch des ISMS als „Interview“. Erfasst werden dabei die folgenden Daten:
| Titel | Kontrolle Cloud-Dienste |
| Teilnehmer | Die befragten Mitarbeiter |
| Datum | Wann haben die Interviews stattgefunden |
| Kurzbeschreibung | Eine Beschreibung dessen, was gefragt worden ist. |
| Beschreibung des Ergebnisses | Welche Erkenntnisse haben die Interviews geliefert. |
Sollte festgestellt werden, dass jemand nicht-freigegebene Cloud-Dienste verwendet hat, so ist dies als Sicherheitsereignis zu erfassen. Siehe dazu auch die „Arbeitsanweisung zur Protokollierung von Sicherheitsereignissen“ (ISMS, 03_40).