PSL ISMS Technische und organisatorische Maßnahmen
Anmerkung:
[edit]Der Inhalt dieses Dokuments wird auch innerhalb der AVVs von Parasol Island verwendet. Daher darf nicht auf weitere Dokumente verwiesen werden, sondern alle Maßnahmen müssen innerhalb dieses Dokumentes beschrieben werden.
Zur Sicherstellung der Einhaltung und der stetigen Optimierung des Datenschutzes und Informationssicherheit hat Parasol Island umfassende Maßnahmen ergriffen. Hierzu wurden Dokumentationen und Unterlagen wie das Datenschutz- und Sicherheitskonzept, die Datenschutzrichtlinie, sowie das Information Security Management System entwickelt.
Die Unterlagen werden regelmäßig geprüft und an die aktuellen Begebenheiten angepasst. Dieses Dokument beschreibt den aktuellen Stand der technischen und organisatorischen Maßnahmen zum Erhalt, der Erhöhung und der Überwachung der Informationssicherheit.
Zutrittskontrolle
[edit]Der unbefugte Zutritt zu allen Räumlichkeiten von Parasol Island und insbesondere zu den Serverräumen ist durch geeignete Schutzmaßnahmen verhindert.
Die Räume von Parasol Island sind durch ein Transponder-Schließsystem vor unbefugtem Zutritt geschützt. Das Schlüsselkonzept sieht verschiedene Berechtigungen für unterschiedliche Personen vor. Neben der Protokollierung der Schlüsselausgabe wird auch die Nutzung per Logfiles erfasst. Mitarbeiter können sich mit ihrem Transponder ausschließlich in dem für sie notwendigen Bereich bewegen.
Der Zutritt zu den Serverräumen ist nur einem sehr kleinen Kreis entsprechend berechtigten Personen gestattet.
Besucher und externe Dienstleister werden an der Rezeption in Empfang genommen und persönlich zu dem gewünschten Ansprechpartner im Haus geleitet. Sie werden außerdem auf die Geheimhaltungsregelungen hingewiesen. In Abhängigkeit der Gebäudeteile, die sie betreten, und der Daten, die sie eventuell sehen könnten, müssen sie eine Geheimhaltungsvereinbarung unterzeichnen. Der Aufenthalt betriebsfremder Personen ist in den meisten Bereichen nur in Anwesenheit von Mitarbeitern gestattet.
Vor dem gewaltsamen Zutritt sind die Gebäude der Parasol Island per Alarmanlage gesichert. Kritische Bereiche sind zusätzlich durch Alarmanlagen gesichert und werden per Video überwacht. Alle Außentüren schließen selbsttätig.
Zugangskontrolle
[edit]Die Nutzung der Datenverarbeitungssysteme ist Unbefugten verwehrt. Maßnahmen zur Gewährleistung der Zugangsverweigerung sind die zwingende Authentifizierung mit Benutzernamen und Passwort. Die Passwortanforderungen verlangen eine hinreichend sichere Kombination aus Passwortlänge, Verwendung verschiedener Zeichenklassen sowie keine Nutzung bekannter Wörter oder Namen. Die Mitarbeiter sind verpflichtet, die Passwörter streng geheim zu halten. Jeder Mitarbeiter hat seinen eigenen persönlichen Account, dessen Anmeldeinformationen nicht weitergegeben werden. Der Zugriff auf kritische Systeme und das Ändern administrativer Einstellungen wird protokolliert.
Die Verwaltung von Benutzern und Berechtigungen erfolgt zentral anhand eines definierten Prozesses. Berechtigungen werden regelmäßig überprüft. Benutzer und Berechtigungen werden entfernt, sobald diese nicht mehr benötigt werden. Dabei wird entsprechend des geltenden Rechte- und Rollenkonzepts darauf geachtet, dass jeder Benutzer nur diejenigen Berechtigungen erhält, die er für seine Rolle benötigt.
Es gibt Richtlinien für die Informationssicherheit, den Datenschutz, den Umgang mit firmeneigenen IT-Geräten. Darüber hinaus ist auch das Arbeiten von unterwegs oder von zu Hause geregelt sowie die Verwendung privater Geräte. Ein Mobile Device Management ist im Einsatz.
Auffälligkeiten bei der Anmeldung führen zu einer automatischen Sperre eines Benutzers.
Arbeitsplatzrechner und Mobilgeräte werden automatisch gesperrt, sollte keine Benutzeraktivität erfolgen. Zum Entsperren ist die Eingabe einer PIN/eines Passworts o.ä. erforderlich. Alle Datenträger und Mobilgeräte sind verschlüsselt.
Die Mitarbeiter sind angehalten, keine Daten auf USB-Sticks und ähnlichen Datenträgern zu speichern. Erfolgt eine Datenspeicherung auf ein externes Medium, werden die Daten dort verschlüsselt gespeichert. Der elektronische Versand von Daten ist per Unternehmensrichtlinie geregelt. Vertrauliche Daten sind nur verschlüsselt zu versenden.
Server und Arbeitsplatzrechner sind durch eine Firewall sowie eine regelmäßig aktualisierte Anti-Viren-Software vor unberechtigtem Zugriff von außen geschützt.
Der externe Zugriff auf das Netzwerk (beispielsweise von anderen Standorten wie Berlin oder bei der Arbeit von zuhause) geschieht über eine gesicherte VPN-Verbindung.
Zugriffskontrolle
[edit]Jeder Zugriff auf ein Datenverarbeitungssystem der Parasol Island GmbH ist über ein Berechtigungskonzept geregelt. Dadurch ist gewährleistet, dass jeder Mitarbeiter nur zu den Daten, die für seinen Arbeitsprozess relevant sind, Zugang hat. Praktisch geschieht dies durch die Organisation in Gruppen, welche die Berechtigungen nach den Erfordernissen der Arbeitsfelder erhalten. Hierbei wird sich an das Prinzip der minimalen Berechtigung gehalten.
Eine Richtlinie klärt den Umgang mit vertraulichen Daten am Arbeitsplatz. Diese beschreibt z.B. den Umgang mit Papierdokumenten, mögliche Einsehbarkeit von Bildschirmen und der Verwendung von Bildschirmsperren.
Die Vernichtung von Akten in Papierform wird ausreichend durch den Gebrauch von Aktenvernichtern gesichert. Elektronische Datenträger werden physisch zerstört. Eine technische Aufbereitung und Wiederverwendung finden nicht statt.
Sämtliche Zugriffe auf Anwendungen (sofern mit dem Datenschutz vereinbar), insbesondere bei der Eingabe, Änderung und Löschung von Daten, werden protokolliert.
Die Vergabe von Benutzerrechten erfolgt durch die IT-Administration. Die Vergabe administrativer Rechte erfolgt nur nach Freigabe durch die Geschäftsführung und beschränkt sich ebenfalls auf die minimal notwendigen Rechte.
Die oben genannte Firewall sowie die Maßnahmen zur Benutzerauthentifizierung dienen auch der Zugriffskontrolle.
Weitergabekontrolle
[edit]Daten werden nur übermittelt, wenn dies zur Erfüllung von vertraglich vereinbarten oder gesetzlich vorgegebenen Leistungen notwendig und unvermeidbar ist.
Die Mitarbeiter sind per Firmenrichtlinie angehalten, keine externen Medien wie USB-Sticks oder mobile Festplatten zu nutzen. Falls im Einzelfall die Nutzung eines transportablen Mediums unvermeidbar ist, werden sensible Daten verschlüsselt transportiert und persönlich übergeben. Daten in Papierform werden in abschließbaren oder versiegelten Behältnissen transportiert. E-Mails mit vertraulichen Daten sind verschlüsselt zu versenden. Die Möglichkeiten zum Datentransfer sind in einer Arbeitsanweisung detailliert beschrieben und festgelegt. Insbesondere ist darauf zu achten, dass sowohl Sender als auch Empfänger der Daten klar erkenntlich sind.
Unterlagen und Datenträger, die ihren Zweck erfüllt haben und zu denen die Aufbewahrungsfristen erloschen sind, werden sicher entsorgt.
Eingabekontrolle
[edit]Die Eingabe, Änderung und Löschung von Daten wird inklusive des Benutzernamens des jeweiligen Mitarbeiters protokolliert. Die Vergabe von Rechten zur Durchführung dieser Aktivitäten geschieht auf Basis eines Berechtigungskonzepts.
Es existiert eine Übersicht mit welchen Programmen welche Daten geändert werden können, in welchen Datenbanken diese gespeichert und auf welchen Servern diese abgelegt sind.
Die berechtigten Zugriffe auf das Firmennetz per VPN werden ebenfalls protokolliert, sodass auch in diesem Fall die Eingabekontrolle gewährleistet ist.
Auftragskontrolle
[edit]In der Regel werden benötigte Rechenzentren vom Kunden und nicht von Parasol Island beauftragt. Sollte Parasol Island selber ein Rechenzentrum beauftragen, geschieht dies nach sorgfältiger Prüfung, insbesondere im Hinblick auf den Datenschutz und die Datensicherheit. Geltende Vertragliche Regelungen bzgl. des Datenschutzes werden an Unterauftragsverarbeiter weitergegeben.
Auch anderweitige infrage kommende Auftragnehmer werden an Maßstäben des Datenschutzes und der Datensicherheit vor einer etwaigen Beauftragung geprüft. Für die Unterbeauftragung hält sich die Parasol Island ebenfalls an das Gebot des Minimalismus und prüft zunächst die Unvermeidbarkeit.
Alle Mitarbeiter von Parasol Island sind auf das Datengeheimnis verpflichtet. Es gibt konkrete Richtlinien und Arbeitsanweisungen zum Umgang mit personenbezogenen Daten innerhalb der Auftragsverarbeitung. Dies schließt ein, dass sichergestellt wird, dass die Daten nach Beendigung des Vertragsverhältnisses oder auf entsprechende Weisung des Auftraggebers vernichtet werden.
Verfügbarkeitskontrolle
[edit]In den Serverräumen befinden sich Feuerlöschgeräte, Klimaanlagen sowie Geräte zur Überwachung der Temperatur und Feuchtigkeit. Es existieren dort Schutzsteckdosenleisten, Überspannungsschutz und unterbrechungsfreie Stromversorgung (USV). Die Serverräume befinden sich zur Verringerung des Risikos für einen Wasserschaden nicht unterhalb sanitärer Anlagen.
Die Serverräume sind mit Alarmanlagen und im Einzelfall mit Videoüberwachung ausgestattet, um einen möglichen Datenverlust durch Diebstahl zu verhindern.
Für relevante Teile der Daten gibt es Datensicherungen an einem ausgelagerten sicheren Ort. Datensicherungen werden regelmäßig erstellt und die Datenwiederherstellung getestet.
Redundant ausgelegte Systeme sowie ein Virenschutzkonzept erhöhen die mögliche Verfügbarkeit weiterhin.
Es wird gewährleistet, dass die Infrastruktur stets in einem definierten Zustand und vor unberechtigtem Zugriff geschützt ist. Ausfällen wird nach Möglichkeit (Stand der Technik) proaktiv vorgebeugt. Kritische Leistungsparameter der Infrastruktur werden automatisiert überwacht. Eine Benachrichtigung der Administratoren erfolgt selbsttätig. Diese entscheiden im Einzelfall über das angemessene weitere Vorgehen.
Trennungsgebot
[edit]Durch die genutzten Verfahren wird eine unzulässige und unerwünschte Zusammenführung von Daten mit unterschiedlichen Zwecken verhindert. Die Trennung kann je nach Anforderung auf Anwendungsebene oder physikalisch erforderlich und umgesetzt sein.
Mandantendaten werden auf den Systemen logisch getrennt gespeichert. Parasol Island nimmt grundsätzlich die Trennung von Produktiv- und Testsystemen vor.
Datenschutz-Management
[edit]Die Parasol Island führt ein integriertes Managementsystem für Datenschutz und Informationssicherheit. Die darin veröffentlichten Richtlinien, Arbeitsanweisungen und Dokumentationen stehen allen Mitarbeitern zur Verfügung. Diese sind per Arbeitsvertrag auf die Einhaltung dieser Richtlinien sowie zur Geheimhaltung verpflichtet. Eine TISAX-Zertifizierung, die auch den Datenschutz beinhaltet, liegt vor, d.h. dass die Parasol Island regelmäßig durch eine externe Stelle auditiert wird.
Ein Datenschutzbeauftragter wurde benannt:
Robert Kulis, COARTIFACT GmbH
Von-Werth-Straße 33-35
50670 Köln
Alle Mitarbeiter werden regelmäßig bzgl. Datenschutz und Informationssicherheit geschult. Die Teilnahme an Schulungen wird protokolliert.
Umgang mit Datenschutzvorfällen
[edit]Es existieren dokumentierte Vorgehensweisen zur Erkenntnis und Meldung von Sicherheitsereignissen und -vorfällen. Dies schließt die Meldung an Aufsichtsbehörden mit ein. Der Datenschutzbeauftragte ist in alle Prozesse mit eingebunden.
Aufgetretene Datenschutz- und Sicherheitsereignisse werden protokolliert und ausgewertet. Dies wird u. a. genutzt, um bestehende Prozesse und Systeme zu verbessern.