Informationswerte

Zweck

Dieses Dokument beschreibt die Inventarisierung primärer Informationswerte sowie die Erfassung von Anforderungen an Informationsträger in Abhängigkeit des Schutzbedarfs.

Geltungsbereich

Dieses Regelwerk gilt verbindlich für Informationssicherheitsbeauftragter an allen Standorten. Verstöße gegen die Inhalte können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Erfassung von Informationswerten

Die Erfassung von (primären) Informationswerten erfolgt in einer Google Tabelle des ISMS, die unter der folgenden URL erreichbar ist: Informationswerte

Es müssen nur diejenigen Informationswerte erfasst werden, die für Parasol Island besonders relevant sind (aka „Kronjuwelen“).

Folgende Informationen werden zu den Informationswerten erfasst:

• Name
• Beschreibung
• Verantwortliche Person
• Kategorie personenbezogener Daten
  • Keine
  • Gewöhnlich
  • Besonders schutzbedürftig (DSGVO Art. 9)
• Schutzbedarf Vertraulichkeit
• Schutzbedarf Integrität
• Schutzbedarf Verfügbarkeit
• Gesamtschutzbedarf
• Begründung Schutzbedarf

Kategorien von Informationsträgern

Die Anforderungen an Informationsträger werden in der gleichen Google Tabelle erfasst, allerdings im Reiter „Schutzbedarf Informationsträger“.

Folgende Informationen werden zu Informationsträgern erfasst:

• Name
• Definition
• Zuständige Person
• Anforderungen bzgl. Vertraulichkeit
  • Schutzbedarf sehr hoch
  • Schutzbedarf hoch
  • Schutzbedarf normal
  • Schutzbedarf gering
• Anforderungen bzgl. Integrität
  • Schutzbedarf sehr hoch
  • Schutzbedarf hoch
  • Schutzbedarf normal
  • Schutzbedarf gering
• Anforderungen bzgl. Verfügbarkeit
  • Schutzbedarf sehr hoch
  • Schutzbedarf hoch
  • Schutzbedarf normal
  • Schutzbedarf gering

Anforderungen an den Datenschutz sind zu beachten (AVV, Erwähnung in ToMs).

Inventarisierung von Informationsträgern

Für jede Kategorie von Informationsträgern existiert eine eigene Arbeitsanweisung. Z. B.: Arbeitsanweisung zur Inventarisierung von Cloud-Diensten (i.e. IT-Dienste). Dabei sollte berücksichtigt werden, welche Informationswerte von einem konkreten Informationsträger verarbeitet werden.

Beispiel:

Als Cloud-Dienst für die Personalabteilung verarbeitet Personio Mitarbeiterstammdaten. Diese haben den Schutzbedarf „sehr hoch“ für das Schutzziel Vertraulichkeit. Personio muss daher alle Anforderungen an einen solchen Cloud-Dienst erfüllen. Dies ist in der Liste der IT-Dienste so zu vermerken.