Parasol - User contributions [en]

ISMS

2020-11-05T07:57:46Z

Justus Heinser: /* Arbeitsanweisungen */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!16
|[https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis]
|Welche Cloud-Dienste werden von der Parasol Island GmbH genutzt?
|}
==='''Musterdokumente'''===
{|
!04
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|} 

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits

2020-11-05T07:56:45Z

Justus Heinser: Created page with "Zurück zur ISMS Übersicht ==Audits== Um ein hohes Maß an Informationssicherheit zu gewährleisten, müssen in regelmäßigen Abständen interne Audits durchgefüh..."

Zurück zur [[ISMS|ISMS Übersicht]]

==Audits==
Um ein hohes Maß an Informationssicherheit zu gewährleisten, müssen in regelmäßigen Abständen interne Audits durchgeführt werden.

Die Terminierung der Audits liegt im Zuständigkeitsbereich des Informationssicherheitsbeauftragten.

Es empfiehlt sich, unter anderem aufgrund der Schnelllebigkeit von IT-Berechtigungen, wechselnder Anwendungen und Systeme, die Audits in einem vierteljährlichen Intervall vorzunehmen.

Aufgabe des Informationssicherheitsbeauftragten ist es, die Terminierung aller Audits bereits am Anfang eines Jahres für das gesamte Kalenderjahr vorzunehmen. Dabei ist es zwingend erforderlich alle Betroffenen und Entscheider, wie Systemadministrator und/oder Datenschutzbeauftragten, entsprechend zu benachrichtigen und einzuladen.

Eine Audit Verschiebung sollte nur dann erfolgen, wenn Informationssicherheitsbeauftragter und/oder Systemadministrator und/oder Datenschutzbeauftragter aus dringlichen Gründen, wie z.B. Krankheit, verhindert sind. Es empfiehlt sich eine Verschiebung und Neuterminierung eines Audits um maximal zwei Wochen um den Rhythmus der quartalsweisen Audits aufrechtzuerhalten und eine kontinuierliche Prüfung zu gewährleisten.

Im Anschluss an die Terminierung erfolgt die Durchführung der Audits.

Hierzu trägt der Informationssicherheitsbeauftragte im Vorfeld alle benötigten Daten zusammen und stellt sie dem Teilnehmerkreis, inklusive einer Termin Agenda, zur Verfügung.

Die Ergebnisse des Audits werden in [[Asana]], dem von Parasol Island genutzten Ticketsystem, festgehalten um anschließend, gemeinsam mit der Geschäftsführung, notwendige Maßnahmen abzuleiten.

== Maßnahmenableitung ==
Nicht später als zwei Wochen nach einem Audit findet eine Ergebnisbesprechung und Maßnahmenableitung zwischen Informationssicherheitsbeauftragten, Geschäftsführung und gegebenenfalls Systemadministrator oder Datenschutzbeauftragten statt.

Die Terminierung nimmt ebenfalls der Informationssicherheitsbeauftragte vor und lädt den entsprechenden Teilnehmerkreis frühzeitig ein. Sollte die Verschiebung eines Audits zwingend notwendig sein, siehe 1., ist auch die Anpassung des Termins zur Maßnahmenableitung entsprechend anzupassen und neu zu terminieren.

Der Informationssicherheitsbeauftragte verschickt eine Termin Agenda und alle notwendigen Dokumente bereits im Vorfeld, mindestens einen Tag im voraus, zur Vorbereitung an den Teilnehmerkreis.

Im Termin informiert der Informationssicherheitsbeauftragte die Teilnehmer über die Ergebnisse der Audits. Gemeinsam werden notwendige Maßnahmen abgeleitet und zur Umsetzung beschlossen.

Die erarbeiteten Maßnahmen werden direkt mit Zuständigkeiten und Umsetzungsterminen im Ticketsystem hinterlegt und nach Möglichkeit im Termin oder im Anschluss der Umsetzungsverantwortliche genauer informiert.

Alle Besprechungsergebnisse, sowie einen aktualisierten Maßnahmenplan, lässt der Informationssicherheitsbeauftragte den Besprechungsteilnehmern zukommen. Bis zum nächsten Audittermin obliegt es seiner Verantwortung, den Stand der Umsetzung der beschlossenen Maßnahmen zu erfragen, zu dokumentieren und gegebenenfalls zu eskalieren.

== Agenda ==

=== Rechte ===
Ein wichtiger Teil eines jeden Audits ist die Überprüfung von Rechten innerhalb der Firma. Systemadministrator und Informationssicherheitsbeauftragter gehen bei jedem Audittermin die Benutzerrechte der gängigen Systeme und Anwendungen durch um diese Auf Unregelmäßigkeiten zu überprüfen.

=== Prüfung der Systeme ===
Neben der Rechtevergabe wird untersucht welche Systeme auf Geschwindigkeit, Sicherheit und Zuverlässigkeit geprüft werden müssen. Daraus wird abgeleitet welche Tests durchgeführt oder veranlasst werden müssen.

* Weitere Informationen finden sich in der [[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration (02_02)]] im Kapitel “[[02 02 PSL ISMS Richtlinie für IT-Administration#.C3.9Cberpr.C3.BCfung von Informationssystemen|12. Überprüfung von Informationssystemen]]”

=== Sicherheitsereignisse ===
Vorfälle und Sicherheitsereignisse des letzten Quartals, die dem Informationssicherheitsbeauftragten zugetragen wurden, werden evaluiert und mögliche Absicherungen oder Schutzmaßnahmen beschlossen.

== Dokumentation ==
Alle aus den Audits resultierenden Maßnahmen, Aufgaben und Zuständigkeiten werden über das Ticketsystem verteilt. Auf diese Art und Weise lässt sich nachvollziehen, ob die Aufgaben in der vorgegebenen Zeit umgesetzt wurden oder ob eventuelle Rückfragen entstanden sind.

Eine Zusammenfassung der jeweiligen Termine wird in den jeweiligen Tickets zur nachverfolgung hinterlegt.

ISMS

2020-11-05T07:51:24Z

Justus Heinser: /* Arbeitsanweisungen */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|Arbeitsanweisung zur Umsetzung von internen Audits
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!16
|[https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis]
|Welche Cloud-Dienste werden von der Parasol Island GmbH genutzt?
|}
==='''Musterdokumente'''===
{|
!04
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|} 

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

02 03 PSL ISMS Sicherheitszonen Richtlinie

2020-11-04T10:25:50Z

Justus Heinser: /* Geltungsbereich der Sicherheitszonen-Richtlinie */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck der Sicherheitszonen-Richtlinie==
Die Sicherheitszonen-Richtlinie soll Informationen über die Einstufung und Verteilung von Sicherheitszonen in den Räumlichkeiten der Parasol Island GmbH bieten.

==Geltungsbereich der Sicherheitszonen-Richtlinie==
Diese Sicherheitszonen-Richtlinie gilt für die Räumlichkeiten der Firma Parasol Island GmbH in der Neusser Strasse 125 in 40219 Düsseldorf, sowie in der Rudi-Dutschke-Straße 26 in 10969 Berlin.

Bei Außeneinsätzen sind für die Arbeiten Bereiche und Räumlichkeiten zu wählen, welche den gegebenen Anforderungen entsprechen.

Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alle älteren Versionen automatisch für ungültig erklärt

==Verteilung der Sicherheitszonen==
[[File:Parasol layout v002 jH.jpg|none|thumb|1000x1000px]]

==Zutrittsmanagement==
Die Auswahl der Zutrittsrechte zu den definierten Sicherheitszonen erfolgt durch die Geschäftsführung. Die Vergabe der Zutrittsrechte erfolgt durch die IT.

Die Protokollierung und Erfassung der Schlüsselvergabe ist festzuhalten und jede Änderung ist dort zu protokollieren und festzuhalten.

Sicherheitszonen werden ausschließlich von der Geschäftsführung mit Beratung des ISB definiert und sind alle sechs Monate neu zu bewerten.

==Sicherheitszonen==
Neben dem öffentlichen Raum sind drei Sicherheitszonen definiert.

===Übersicht===
{| style="border-spacing:0;width:15.875cm;"
|-
| style="border-top:none;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |
! style="background-color:#6aa84f;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |'''Intern (grün)'''
! style="background-color:#f1c232;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |'''Vertraulich (gelb)'''
! style="background-color:#e06666;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:1pt solid #a5a5a5;padding:0.176cm;color:#ffffff;" |'''Geheim (rot)'''
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Erläuterung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich mit technischen oder organisatorisch gesteuerten Sicherheitsmaßnahmen, nicht frei zugänglich, üblicherweise interne Umfänge
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich mit zusätzlichen Sicherungsmaßnahmen, restriktiv, Schutz besonderer Umfänge, begrenzte Personenanzahl, üblicherweise auch vertrauliche Umfänge.
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Bereich mit höchsten Sicherheitsanforderungen, Schutz sensibelster Werte, streng reglementierte Zugangsberechtigungen, üblicherweise auch geheime Umfänge
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Einsehbarkeit'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Clear Desk und Clear Screen
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |temporärer Sichtschutz / Geräuschdämpfung
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |permanenter Sichtschutz / Geräuschdämpfung
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Besucher'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Nur registrierte Besucher, expliziter Hinweis auf Vertraulichkeit/ Geheimhaltung
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Eingeschränkter Besucherkreis, schriftliche Bestätigung der Geheimhaltung, in ständiger persönlicher Begleitung durch eigenes Personal
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |nur in Ausnahmefällen: zusätzlich zu „Gelb“ 4-Augen-Prinzip, Zustimmung Unternehmensleitung
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Überwachung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Alarmanlage mit VDS, Zulassung über Bewegungsmelder
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Alarmanlage mit VDS, Zulassung über Bewegungsmelder
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Alarmanlage mit VDS Zulassung über Bewegungsmelder
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Schloss'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich muss vor unbefugtem Zugang geschützt werden
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Schließanlage mit Zugang für eingeschränkten Kreis
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Schließanlage mit Zugang für sehr eingeschränkten Kreis, Auswahl der Zutrittsrechte durch die Unternehmensleitung, Vergabe durch IT.
Zutritt ist zu protokollieren
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Fotografieren/ Optiknutzung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Keine internen Informationen, sonst nur mit dienstlichen Geräten
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |keine Nutzung von privaten Geräten, dienstliche Geräte nur bei fachlichem Auftrag
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |keine privaten Geräte, dienstliche Geräte nur in Ausnahmefällen: 4-Augen-Prinzip, Zustimmung Unternehmensleitung
|-
|}

===Kontrollierter Bereich - Intern (grün)===
Zutritt zu diesen Räumlichkeiten ist nur durch vorherige Sichtprüfung durch Mitarbeiter möglich. Keine der Türen ist selbsttätig von außerhalb der Sicherheitszone zu öffnen. Die Mitarbeiter sind verpflichtet, diese Türen stets geschlossen zu halten und die Tür immer im Blick zu haben.

Zusätzlich sind technische Maßnahmen vorhanden, damit die Türen von selbst ins Schloss fallen und nicht von außen über einen Türgriff aufzudrücken sind (Türschließer, Türknauf).

Unberechtigte Personen bzw. Besucher müssen durch Mitarbeiter begleitet werden und sind gegebenenfalls im Vorfeld den Mitarbeitern anzukündigen bzw. vorzustellen.

Der letzte Mitarbeiter, der die Sicherheitszone verlässt, muss prüfen, ob alle Türen abgeschlossen sind.

Informationen dürfen nur mit firmeneigenen Geräten und für den Dienstgebrauch mit Optiken oder Aufzeichnungsgeräten festgehalten werden.

===Eingeschränkter Bereich - Vertraulich (gelb)===
Dieser Bereich ist für alle Mitarbeiter, die den internen Bereich betreten dürfen, ebenfalls zugänglich. Besucher und andere Personen, die den internen Bereich betreten haben, benötigen hier einen erneuten Zugang. Dieser kann durch die begleitende Person (ein Mitarbeiter von Parasol Island GmbH) gewährt werden. Keine externe Person darf diese Bereiche ohne Begleitung betreten.

Der Bereich kann bei Bedarf mit zusätzlichen Zutrittsbeschränkungen versehen werden, in Abhängigkeit von den dort laufenden Projekten.

Die Türen müssen stets verschlossen sein und dürfen nicht unbeobachtet offenstehen.

Der Gebrauch von Optiken oder Aufzeichnungsgeräten ist in dieser Sicherheitszone nur mit firmeneigenen Geräten und für den Dienstgebrauch gestattet.

===Stark eingeschränkter Bereich - Geheim (rot)===
Zutritt zu diesen Räumlichkeiten ist nur dem IT-Personal, dem ISB und drei weitere Mitarbeitern mit besonderen Rechten und Kompetenzen gestattet (Backup Tapes wechseln oder Renderfarm neustarten). Grundsätzlich gilt, es sollten so wenig Mitarbeiter wie möglich die Berechtigung haben, jedoch genug damit immer ein befugter Mitarbeiter vor Ort ist. Unbefugte Mitarbeiter haben hier keinen Zutritt und dürfen nur in Begleitung oder zur Unterstützung von berechtigten Mitarbeitern diese Räume betreten.

Alle Türen zu diesen Bereichen sind stets abzuschließen und dürfen nur offenstehen, wenn eine zugangsberechtigte Person diese immer im Blick hat.

Unberechtigte Personen bzw. Besucher dürfen nur in Begleitung und unter ständiger Beobachtung einer zugangsberechtigten Person Zutritt erhalten bzw. sich in der Sicherheitszone aufhalten.

Die Personen, die Schlüssel zu den verschiedenen Sicherheitszonen besitzen, werden in einer zentralen Schlüsselliste verwaltet. Die Schlüsselausgabe erfolgt nur nach vorheriger Bedarfsprüfung und gegen Unterzeichnung einer entsprechenden Empfangsbestätigung, die gleichzeitig über die Sicherheitsrichtlinien und Haftungsregelungen informiert.

==Ausdehnung der Sicherheitsbereiche==
Bei dringendem Bedarf kann der gelbe Sicherheitsbereich auf weitere Teile des sonst grünen Bereichs im Büros temporär ausgeweitet werden, dafür sind jedoch die Anforderungen an die Sicherheitszone einzuhalten. Konkrete Maßnahmen sind:

*Gemeinsame Entscheidung von Geschäftsführung und Informationssicherheitsbeauftragten
*Genaue Festlegung des Zeitraumes für die temporäre Änderung
*Prüfung der Risiken in diesem Zeitraum (Besuchstermine, Wartungsbesuche, etc.)
*Einschränkung von Besuchern
*'''Alle''' Besucher müssen eine schriftliche Geheimhaltungsvereinbarung unterzeichnen
*Herunterlassen des Sichtschutzes während der Arbeitszeit
*Schließen der Brandschutztüren und diese permanent geschlossen halten
*Lieferanten dürfen den Eingangsbereich nicht verlassen.

Die Erweiterung kann nur erfolgen, wenn alle im gelben Sicherheitsbereich befindlichen Mitarbeiter die Vertraulichkeitsanforderungen erfüllen, was bei großen Projekten durchaus der Fall ist. Im Zweifel müssen Arbeitsplätze in andere Bereiche verlegt werden, die von der Erweiterung ausgeschlossen sind. 
[[Category:ISMS]]

02 03 PSL ISMS Sicherheitszonen Richtlinie

2020-11-04T09:19:42Z

Justus Heinser: /* Sicherheitszonen */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck der Sicherheitszonen-Richtlinie==
Die Sicherheitszonen-Richtlinie soll Informationen über die Einstufung und Verteilung von Sicherheitszonen in den Räumlichkeiten der Parasol Island GmbH bieten.

==Geltungsbereich der Sicherheitszonen-Richtlinie==
Diese Sicherheitszonen-Richtlinie gilt für die Räumlichkeiten der Firma Parasol Island GmbH in der Neusser Strasse 125 in 40219 Düsseldorf, sowie in der Rudi-Dutschke-Straße 26 in 10969 Berlin.

Bei Außeneinsätzen sind für die Arbeiten Bereiche und Räumlichkeiten zu wählen, welche den gegebenen Anforderungen entsprechen.

Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alle älteren Versionen automatisch für ungültig erklärt

==Verteilung der Sicherheitszonen==
[[File:Parasol layout v002 jH.jpg|none|thumb|1000x1000px]]

==Zutrittsmanagement==
Die Auswahl der Zutrittsrechte zu den definierten Sicherheitszonen erfolgt durch die Geschäftsführung. Die Vergabe der Zutrittsrechte erfolgt durch die IT.

Die Protokollierung und Erfassung der Schlüsselvergabe ist festzuhalten und jede Änderung ist dort zu protokollieren und festzuhalten.

Sicherheitszonen werden ausschließlich von der Geschäftsführung mit Beratung des ISB definiert und sind alle sechs Monate neu zu bewerten.

==Sicherheitszonen==
Neben dem öffentlichen Raum sind drei Sicherheitszonen definiert.

===Übersicht===
{| style="border-spacing:0;width:15.875cm;"
|-
| style="border-top:none;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |
! style="background-color:#6aa84f;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |'''Intern (grün)'''
! style="background-color:#f1c232;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |'''Berechtigt (gelb)'''
! style="background-color:#e06666;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:1pt solid #a5a5a5;padding:0.176cm;color:#ffffff;" |'''Sicher (rot)'''
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Erläuterung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich mit technischen oder organisatorisch gesteuerten Sicherheitsmaßnahmen, nicht frei zugänglich, üblicherweise interne Umfänge
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich mit zusätzlichen Sicherungsmaßnahmen, restriktiv, Schutz besonderer Umfänge, begrenzte Personenanzahl, üblicherweise auch vertrauliche Umfänge.
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Bereich mit höchsten Sicherheitsanforderungen, Schutz sensibelster Werte, streng reglementierte Zugangsberechtigungen, üblicherweise auch geheime Umfänge
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Einsehbarkeit'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Clear Desk und Clear Screen
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |temporärer Sichtschutz / Geräuschdämpfung
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |permanenter Sichtschutz / Geräuschdämpfung
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Besucher'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Nur registrierte Besucher, expliziter Hinweis auf Vertraulichkeit/ Geheimhaltung
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Eingeschränkter Besucherkreis, schriftliche Bestätigung der Geheimhaltung, in ständiger persönlicher Begleitung durch eigenes Personal
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |nur in Ausnahmefällen: zusätzlich zu „Gelb“ 4-Augen-Prinzip, Zustimmung Unternehmensleitung
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Überwachung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Alarmanlage mit VDS, Zulassung über Bewegungsmelder
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Alarmanlage mit VDS, Zulassung über Bewegungsmelder
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Alarmanlage mit VDS Zulassung über Bewegungsmelder
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Schloss'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich muss vor unbefugtem Zugang geschützt werden
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Schließanlage mit Zugang für eingeschränkten Kreis
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Schließanlage mit Zugang für sehr eingeschränkten Kreis, Auswahl der Zutrittsrechte durch die Unternehmensleitung, Vergabe durch IT.
Zutritt ist zu protokollieren
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Fotografieren/ Optiknutzung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Keine internen Informationen, sonst nur mit dienstlichen Geräten
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |keine Nutzung von privaten Geräten, dienstliche Geräte nur bei fachlichem Auftrag
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |keine privaten Geräte, dienstliche Geräte nur in Ausnahmefällen: 4-Augen-Prinzip, Zustimmung Unternehmensleitung
|-
|}

===Intern (grün)===
Zutritt zu diesen Räumlichkeiten ist nur durch vorherige Sichtprüfung durch Mitarbeiter möglich. Keine der Türen ist selbsttätig von außerhalb der Sicherheitszone zu öffnen. Die Mitarbeiter sind verpflichtet, diese Türen stets geschlossen zu halten und die Tür immer im Blick zu haben.

Zusätzlich sind technische Maßnahmen vorhanden, damit die Türen von selbst ins Schloss fallen und nicht von außen über einen Türgriff aufzudrücken sind (Türschließer, Türknauf).

Unberechtigte Personen bzw. Besucher müssen durch Mitarbeiter begleitet werden und sind gegebenenfalls im Vorfeld den Mitarbeitern anzukündigen bzw. vorzustellen.

Der letzte Mitarbeiter, der die Sicherheitszone verlässt, muss prüfen, ob alle Türen abgeschlossen sind.

Informationen dürfen nur mit firmeneigenen Geräten und für den Dienstgebrauch mit Optiken oder Aufzeichnungsgeräten festgehalten werden.

===Berechtigt (gelb)===
Dieser Bereich ist für alle Mitarbeiter, die den internen Bereich betreten dürfen, ebenfalls zugänglich. Besucher und andere Personen, die den internen Bereich betreten haben, benötigen hier einen erneuten Zugang. Dieser kann durch die begleitende Person (ein Mitarbeiter von Parasol Island GmbH) gewährt werden. Keine externe Person darf diese Bereiche ohne Begleitung betreten.

Der Bereich kann bei Bedarf mit zusätzlichen Zutrittsbeschränkungen versehen werden, in Abhängigkeit von den dort laufenden Projekten.

Die Türen müssen stets verschlossen sein und dürfen nicht unbeobachtet offenstehen.

Der Gebrauch von Optiken oder Aufzeichnungsgeräten ist in dieser Sicherheitszone nur mit firmeneigenen Geräten und für den Dienstgebrauch gestattet.

===Sicher (rot)===
Zutritt zu diesen Räumlichkeiten ist nur dem IT-Personal, dem ISB und drei weitere Mitarbeitern mit besonderen Rechten und Kompetenzen gestattet (Backup Tapes wechseln oder Renderfarm neustarten). Grundsätzlich gilt, es sollten so wenig Mitarbeiter wie möglich die Berechtigung haben, jedoch genug damit immer ein befugter Mitarbeiter vor Ort ist. Unbefugte Mitarbeiter haben hier keinen Zutritt und dürfen nur in Begleitung oder zur Unterstützung von berechtigten Mitarbeitern diese Räume betreten.

Alle Türen zu diesen Bereichen sind stets abzuschließen und dürfen nur offenstehen, wenn eine zugangsberechtigte Person diese immer im Blick hat.

Unberechtigte Personen bzw. Besucher dürfen nur in Begleitung und unter ständiger Beobachtung einer zugangsberechtigten Person Zutritt erhalten bzw. sich in der Sicherheitszone aufhalten.

Die Personen, die Schlüssel zu den verschiedenen Sicherheitszonen besitzen, werden in einer zentralen Schlüsselliste verwaltet. Die Schlüsselausgabe erfolgt nur nach vorheriger Bedarfsprüfung und gegen Unterzeichnung einer entsprechenden Empfangsbestätigung, die gleichzeitig über die Sicherheitsrichtlinien und Haftungsregelungen informiert.

==Ausdehnung der Sicherheitsbereiche==
Bei dringendem Bedarf kann der gelbe Sicherheitsbereich auf weitere Teile des sonst grünen Bereichs im Büros temporär ausgeweitet werden, dafür sind jedoch die Anforderungen an die Sicherheitszone einzuhalten. Konkrete Maßnahmen sind:

*Gemeinsame Entscheidung von Geschäftsführung und Informationssicherheitsbeauftragten
*Genaue Festlegung des Zeitraumes für die temporäre Änderung
*Prüfung der Risiken in diesem Zeitraum (Besuchstermine, Wartungsbesuche, etc.)
*Einschränkung von Besuchern
*'''Alle''' Besucher müssen eine schriftliche Geheimhaltungsvereinbarung unterzeichnen
*Herunterlassen des Sichtschutzes während der Arbeitszeit
*Schließen der Brandschutztüren und diese permanent geschlossen halten
*Lieferanten dürfen den Eingangsbereich nicht verlassen.

Die Erweiterung kann nur erfolgen, wenn alle im gelben Sicherheitsbereich befindlichen Mitarbeiter die Vertraulichkeitsanforderungen erfüllen, was bei großen Projekten durchaus der Fall ist. Im Zweifel müssen Arbeitsplätze in andere Bereiche verlegt werden, die von der Erweiterung ausgeschlossen sind. 
[[Category:ISMS]]

Onboarding Termin 1

2020-11-02T10:35:30Z

Justus Heinser: /* Arbeitsschutz bei Parasol Island */

'''PSL Onboarding'''

Onboarding Termin 1 (Tools & Workflows)

Kurze Vorstellung der PSL Tools 

==''' Gmail / Kalender'''==
Tages-, Wochen- und Monatsansichten, Einladungen für Gäste, Kalender im Web.

 ULR: https://mail.google.com/

Zugangsdaten: siehe Schreiben

WIKI: [[Gmail FAQ]]

[[Kalender|WIKI: Kalender]] 

[[Kalender Abwesenheiten|WIKI: Kalender Abwesenheiten]] 

[[File:GMail.jpg|400px]]
==DAS Integrated Monthly Morning Meeting==
Jeden ersten Montag im Monat um 10 Uhr findet unser IMMM statt.
Alle Mitarbeiter nehmen an diesem Meeting teil.
Details siehe hier:
[[Das IMMM]]

An anderen Montagen finden die Department-bezogenen Montagsmeetings statt

=='''my/Parasol'''==
''myParasol ist die Schaltzentrale für alle Tools und Informationen die Du rund um die Insel oder darüber hinaus benötigst. Hier findest du verschiedene Pinnboards um Ideen und Inspirationen zu teilen oder dein altes Fahrrad an den Kollegen/in zu bringen. Alle Parasol-Tools und Kontakte findest du in der Navigation am rechten Bildrand''

Parasol Island Dashboard.

You just need to log in with your Parasol Island Google Account.

URL: https://my.parasol-island.com

Zugangsdaten: Gmail LogIn

[[File:myparasol.png|400px]]

=='''Zeiterfassung'''==

Die Arbeitszeit jedes Mitarbeiters wird in der Agentursoftware erfasst. Die Zeiterfassung dient, wie häufig fälschlich angenommen, nicht dazu die quantitative Anwesenheit der Mitarbeiter zu kontrollieren, sondern vielmehr um die auf bestimmte Projekte verbuchten Aufwendungen zu dokumentieren. 

[[Zeiterfassung|WIKI: Zeiterfassung]]

[[File:Timeboard.png|400px]]

=='''Parasol Wiki'''==
Anyone can contribute. You just need to log in with your Parasol Island Google Account.

 URL: https://wiki.parasol-island.com/

Zugangsdaten: Gmail LogIn

[[File:Wiki.jpg|400px]]

=='''Parasol wichtige Vorlagen'''==
Hier geht es zum ''Jumpgate'' aller wichtigen Dokumentvorlagen: [[Vorlagen]]

=='''Arbeitsschutz bei Parasol Island'''==
Bitte beachtet unsere [[Arbeitsschutz|Arbeitsschutz und Gesundheitsschutz]] Vorgaben!

== '''Datenschutz bei Parasol Island''' ==
Bitte beachtet unsere [[Datenschutz-Grundverordnung (DSGVO)|Datenschutz]] Vorgaben!

== '''Informationssicherheit bei Parasol Island''' ==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern. [[ISMS|Informationen zu unserem ISMS findest du hier.]]

=='''Parasol Ressourcenplanung'''==
Der Zugang zur Ressourcenplanung ist aktuell nur über Lan-Kabel, das Parasol-Private WIFI oder VPN möglich!

URL:https://os.parasol-island.com/resourceplanning/

'''Du bist KAD, Projektmanager oder Producer? Bitte beachte dabei auch diesen Artikel:''' 
https://wiki.parasol-island.com/Ressourcenmeeting

[[File:resources.png|400px]]

=='''Google Drive'''==
''Mit der Nutzung von Google Drive haben alle Projekt-Team-Mitglieder nun die Möglichkeit immer und von überall auf den Ordner ihres Projektes zuzugreifen. Bei uns im Interactive-Department hat das „Drive“ mittlerweile den stationären Fileserver abgelöst.''

 URL: https://drive.google.com/

Zugangsdaten: Gmail LogIn

[[Parasol Meets Google Drive|WIKI: Parasol Meets Google Drive]] 

[[File:Drive.jpg|400px]]

=='''PSL Server'''==
Der zentrale Fileserver / Server ist "pslsrv10". Dieser ist auf den Schnittplätzen automatisch als Festplatte verfügbar und auf den Netzwerk Clients als X: verbunden oder über die Netzwerkumgebung verfügbar.

Windows Clients verbinden sich über: \\pslsrv10\pslsrv10 
OSX Clients über Serververbindung (Apfel+k) bei geöffnetem Finder 
 
smb://pslsrv10 
smb://10.100.10.10 

Zugangsdaten: s. [[Netzwerk, Accounts & Administration]]

[[Fileserver|WIKI: Fileserver]] 

[[File:Server.jpg|400px]]

==''' Invision'''==
The world's most powerful design prototyping tool. Just upload your designs and add hotspots to transform your static screens into clickable, interactive prototypes complete with gestures, transitions, and animations.

 URL: http://www.invisionapp.com/

User: hombre@parasol-island.com

Pass: K4ZizQfXfs9hEb 

[[File:Invision.jpg|400px]]

==''' Asana'''==
Wir verwenden asana als generelles Ticketsystem. In diesem System ist das „Ticket“ das worum sich alles dreht. Die Aufgaben des Tickets sind es, z.B.: Teilaufgaben der Entwicklung einer Software zu definieren und einzelnen Personen (z.B. Entwickler, Projekt Manager oder Kunde) zuzuweisen. Des Weiteren wird das Ticket zur Erfassung und Bearbeitung von Fehlern im System genutzt, welche direkt von den Entwicklern selbst oder Testern festgestellt worden sind.

 URL: http://asana.com/

Zugangsdaten: Dein Mitarbeiter Google-Suite-LogIn 
[[Asana|hier geht es zum asana Wikiartikel]] 



==''' Filebeam'''==
Filebeam ist ein hilfreiches Tool, welches uns erlaubt auf schnellstem Wege Daten, sowohl intern als auch mit unseren Kunden, auszutauschen und sollte als einziges Tool dafür genutzt werden. So können wir als Firma dort Daten hochladen, es können uns aber auch unsere Kunden Files zur Verfügung stellen.

 URL: https://beam.parasol-island.com/

Zugang über deinen Google Mail Account
[[Parasol OS/ Filebeam]] 

==''' 1 Password'''==
1 Password für Unternehmen ist ein einfacher Passwortmanager für Gruppenpasswörter, mithilfe zentralisierter Passwortverwaltung und einer Cloud-Lösung mit Einmalanmeldungsunterstützung (SSO).
[[1password|Hier geht es zum Wikiartikel 1password]]

=='''Smartsheet'''==
Smartsheet ist eine führende App für Online-Aufgaben- und Projektmanagement mit einzigartigen, individuell gestaltbaren Funktionen. Mit der praktischen und vertrauten Arbeitsblatt-Benutzeroberfläche können Sie einfach die Erledigung von Aufgabenlisten nachverfolgen, Veranstaltungen koordinieren, Daten und Kalender synchronisieren, Dokumente an andere weitergeben und jede Art von Projekt verwalten.

 URL: https://app.smartsheet.com/b/home

Zugangsdaten: Gmail LogIn

Unser Video-Tutorial:

<html>
<iframe width="640" height="480" src="https://www.youtube.com/embed/JgANrLScbrY?rel=0" frameborder="0" allowfullscreen></iframe>
</html>

https://www.youtube.com/embed/JgANrLScbrY

=='''Nächster Termin: [[Onboarding Interactive Termin 2|Onboarding Termin 2 (Agentursoftware in der Praxis / LINK)]]'''==

ISMS

2020-10-29T16:14:48Z

Justus Heinser: /* Information Security Management System */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!16
|[https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis]
|Welche Cloud-Dienste werden von der Parasol Island GmbH genutzt?
|}
==='''Musterdokumente'''===
{|
!04
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|} 

== Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS ==

* [https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
* [https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

Datenschutz-Grundverordnung (DSGVO)

2020-10-29T14:56:50Z

Justus Heinser: /* Fragen? Fragen! */

==DSGVO/Was ist das==
Im Zuge der Umsetzung der Datenschutz-Grundverordnung (DSGVO) sind Unternehmen dazu angehalten, personenbezogene Daten „sparsam“ zu sammeln, also u.A. nach einer gewissen Zeit zu löschen. Die Grundregel lautet, das das Speichern von personenbezogenen Daten einen Zweck erfüllen muss. Die meisten Regeln sind für die Anwendung in Deutschland nicht neu, dennoch verursachen die hohen Bussgelder eine gewisse Unsicherheit.

Generell ist folgendes zu beachten:

===Infoblatt Handhabung des Datenschutzes im Arbeitsalltag===
In Deutsch: 

[[:File:pl_s_200307_infofaltblatt_betrieblicher_datenschutz.pdf]] 

In Englisch: 

[[:File:pl_s_200307_flyer-data-protection.pdf]] 

===Datenschutz Bekanntmachung===
Jede Webseite brauchte eine direkt zu erreichende "Datenschutz" Seite. Den Inhalt dieser Seite sollte der Datenschutz beauftragte des Kunden zur Verfügung stellen. Alternativ haben wir einen Zugang zu eRecht24, dort kann mit dem [https://www.e-recht24.de/mitglieder/tools/dsgvo-generator/ DSGVO Datenschutz Generator] eine entsprechende Datenschutz Seite (deutsch und englisch) konfiguriert werden. Dieses deckt auch vielfältige Anforderungen für den Einsatz von Social Plugins und Tracking-Pixeln ab.

===Cookie Bar===
Jede Webseite muss den User darüber informieren, dass sie Cookies benutzt.

===Tracking/Analytics===
Eine Besonderheit gilt der Integration von Webtracking. Wie ihr Google Analytics konform einsetzt, findet ihr hier: [[Google Analytics Datenschutz-Grundverordnung (DSGVO) konform einsetzten]]

===Plugins, Tools und Social===
Eine weitere Besonderheit gilt der Integration von Plugins und Tools (Inkl. YouTube, Facebook etc.). Diese müssen explizit (inkl. Nennung des Drittanbieter, erfasste Daten usw.) in der Datenschutzerklärung hinterlegt sein.

===Newsletter===
Die Speicherung von Empfängerdaten bei einem Drittanbieter muss explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein. Ein unverbindlicher [[Datenschutz-Grundverordnung (DSGVO)#Unverbindlicher_Textvorschlag_Newsletter|Textvorschlag]]. Sollte unsere Kunden diesen nutzen wollen, weist diese bitte ausdrücklich und schriftlich darauf hin, das wir für diese nicht haften.

===Kontaktformulare/Registrierung===
Da die Eingabe in Kontaktformulare bzw. von Registrierungsdaten (inkl. Facebook Connect) automatisch mit der Speicherung von Daten einhergeht, muss diese explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein.

===Fragen? Fragen!===
[mailto:sebastian.druschel@parasol-island.com Sebastian Druschel] oder an Datenschutzbeauftragten

Guido Petermann
Siemensstr. 34
40227 Düsseldorf
Telefon: 0211 72139550
Telefax: 0211 7260312
eMail: parasol.island@planitas.de

==Q&A==
===Soft Opt-In für Newsletter Empfänger===
Viele Anbieter senden Ihren Newsletter Empfängern eine Information zur "Änderung Ihrer Datenschutz Bestimmungen und AGB" mit der Möglichkeit für die Empfänger, den Newsletter abzubestellen. Ob diese "Soft Op-In" Massnahme angemessen ist, ist umstritten, da der Empfänger ja a.) bereits aktiv per "Opt-In" zugestimmt hat und b.) die Daten durch die Art ihrer Erhebung zweckgebunden sind. Entscheiden muss dies am Ende der Datenschutzbeauftragte des Kunden.

Auf jeden Fall muss die Speicherung von Empfängerdaten bei einem Drittanbieter explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein. Ein unverbindlicher [[Datenschutz-Grundverordnung (DSGVO)#Unverbindlicher_Textvorschlag_Newsletter|Textvorschlag]]. Sollte unsere Kunden diesen nutzen wollen, weist diese bitte ausdrücklich und schriftlich darauf hin, das wir für diese nicht haften.

====Datenschutzrichtlinie, Unverbindlicher Textvorschlag Newsletter====
<syntaxhighlight lang="html">
<h2>Newsletter</h2>
<h3>Newsletterdaten</h3>
Wenn Sie den auf der Website angebotenen Newsletter beziehen möchten, benötigen wir von Ihnen eine E-Mail-Adresse sowie Informationen, welche uns die Überprüfung gestatten, dass Sie der Inhaber der angegebenen E-Mail-Adresse sind und mit dem Empfang des Newsletters einverstanden sind. Weitere Daten werden nicht bzw. nur auf freiwilliger Basis erhoben. Diese Daten verwenden wir ausschließlich für den Versand der angeforderten Informationen und geben diese nicht an Dritte weiter.
Die Verarbeitung der in das Newsletteranmeldeformular eingegebenen Daten erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die erteilte Einwilligung zur Speicherung der Daten, der E-Mail-Adresse sowie deren Nutzung zum Versand des Newsletters können Sie jederzeit widerrufen, etwa über den "Austragen"-Link im Newsletter. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter gespeichert und nach der Abbestellung des Newsletters gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden (z.B. E-Mail-Adressen für den Mitgliederbereich) bleiben hiervon unberührt.
<h3>Mailjet</h3>
Diese Website nutzt Mailjet für den Versand von Newslettern. Anbieter ist die Mailjet SAS, 13-13 bis, rue de l’Aubrac, 75012 Paris, France. Mailjet ist ein Dienst, mit dem der Newsletterversand organisiert und analysiert werden kann. Die von Ihnen zwecks Newsletterbezug eingegebenen Daten (z.B. E-Mail-Adresse) werden auf den Servern von Mailjet in Deutschland bzw. Frankreich gespeichert.
Unsere mit Mailjet versandten Newsletter ermöglichen uns die Analyse des Verhaltens der Newsletterempfänger. Hierbei kann u. a. analysiert werden, wie viele Empfänger die Newsletternachricht geöffnet haben und wie oft welcher Link im Newsletter angeklickt wurde. Mit Hilfe des sogenannten Conversion-Trackings kann außerdem analysiert werden, ob nach Anklicken des Links im Newsletter eine vorab definierte Aktion (z.B. Kauf eines Produkts auf unserer Website) erfolgt ist. Weitere Informationen zur Datenanalyse durch Mailjet-Newsletter erhalten Sie unter: https://www.mailjet.de/privacy-policy/
Die Datenverarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, indem Sie den Newsletter abbestellen. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Wenn Sie keine Analyse durch Mailjet wollen, müssen Sie den Newsletter abbestellen. Hierfür stellen wir in jeder Newsletternachricht einen entsprechenden Link zur Verfügung. Des Weiteren können Sie den Newsletter auch direkt auf der Website abbestellen.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter gespeichert und nach der Abbestellung des Newsletters sowohl von unseren Servern als auch von den Servern von Mailjet gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden (z.B. E-Mail-Adressen für den Mitgliederbereich) bleiben hiervon unberührt.
 Näheres entnehmen Sie den Datenschutzbestimmungen von Mailjet unter: https://www.mailjet.de/privacy-policy/.

<h3>Abschluss eines Vertrags über Auftragsdatenverarbeitung</h3>
Wir sind mit Mailjet einen Vertrag zur Auftragsdatenverarbeitung eingegangen und setzen die strengen Vorgaben der deutschen Datenschutzbehörden bei der Nutzung von Mailjet vollständig um.
</syntaxhighlight>

Datenschutz-Grundverordnung (DSGVO)

2020-10-29T14:12:04Z

Justus Heinser: /* Fragen? Fragen! */

==DSGVO/Was ist das==
Im Zuge der Umsetzung der Datenschutz-Grundverordnung (DSGVO) sind Unternehmen dazu angehalten, personenbezogene Daten „sparsam“ zu sammeln, also u.A. nach einer gewissen Zeit zu löschen. Die Grundregel lautet, das das Speichern von personenbezogenen Daten einen Zweck erfüllen muss. Die meisten Regeln sind für die Anwendung in Deutschland nicht neu, dennoch verursachen die hohen Bussgelder eine gewisse Unsicherheit.

Generell ist folgendes zu beachten:

===Infoblatt Handhabung des Datenschutzes im Arbeitsalltag===
In Deutsch: 

[[:File:pl_s_200307_infofaltblatt_betrieblicher_datenschutz.pdf]] 

In Englisch: 

[[:File:pl_s_200307_flyer-data-protection.pdf]] 

===Datenschutz Bekanntmachung===
Jede Webseite brauchte eine direkt zu erreichende "Datenschutz" Seite. Den Inhalt dieser Seite sollte der Datenschutz beauftragte des Kunden zur Verfügung stellen. Alternativ haben wir einen Zugang zu eRecht24, dort kann mit dem [https://www.e-recht24.de/mitglieder/tools/dsgvo-generator/ DSGVO Datenschutz Generator] eine entsprechende Datenschutz Seite (deutsch und englisch) konfiguriert werden. Dieses deckt auch vielfältige Anforderungen für den Einsatz von Social Plugins und Tracking-Pixeln ab.

===Cookie Bar===
Jede Webseite muss den User darüber informieren, dass sie Cookies benutzt.

===Tracking/Analytics===
Eine Besonderheit gilt der Integration von Webtracking. Wie ihr Google Analytics konform einsetzt, findet ihr hier: [[Google Analytics Datenschutz-Grundverordnung (DSGVO) konform einsetzten]]

===Plugins, Tools und Social===
Eine weitere Besonderheit gilt der Integration von Plugins und Tools (Inkl. YouTube, Facebook etc.). Diese müssen explizit (inkl. Nennung des Drittanbieter, erfasste Daten usw.) in der Datenschutzerklärung hinterlegt sein.

===Newsletter===
Die Speicherung von Empfängerdaten bei einem Drittanbieter muss explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein. Ein unverbindlicher [[Datenschutz-Grundverordnung (DSGVO)#Unverbindlicher_Textvorschlag_Newsletter|Textvorschlag]]. Sollte unsere Kunden diesen nutzen wollen, weist diese bitte ausdrücklich und schriftlich darauf hin, das wir für diese nicht haften.

===Kontaktformulare/Registrierung===
Da die Eingabe in Kontaktformulare bzw. von Registrierungsdaten (inkl. Facebook Connect) automatisch mit der Speicherung von Daten einhergeht, muss diese explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein.

===Fragen? Fragen!===
[http://mailto:sebastian.druschel@parasol-island.com Sebastian Druschel <sebastian.druschel@parasol-island.com>] oder an Datenschutzbeauftragten

Guido Petermann
Siemensstr. 34
40227 Düsseldorf
Telefon: 0211 72139550
Telefax: 0211 7260312
eMail: parasol.island@planitas.de

==Q&A==
===Soft Opt-In für Newsletter Empfänger===
Viele Anbieter senden Ihren Newsletter Empfängern eine Information zur "Änderung Ihrer Datenschutz Bestimmungen und AGB" mit der Möglichkeit für die Empfänger, den Newsletter abzubestellen. Ob diese "Soft Op-In" Massnahme angemessen ist, ist umstritten, da der Empfänger ja a.) bereits aktiv per "Opt-In" zugestimmt hat und b.) die Daten durch die Art ihrer Erhebung zweckgebunden sind. Entscheiden muss dies am Ende der Datenschutzbeauftragte des Kunden.

Auf jeden Fall muss die Speicherung von Empfängerdaten bei einem Drittanbieter explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein. Ein unverbindlicher [[Datenschutz-Grundverordnung (DSGVO)#Unverbindlicher_Textvorschlag_Newsletter|Textvorschlag]]. Sollte unsere Kunden diesen nutzen wollen, weist diese bitte ausdrücklich und schriftlich darauf hin, das wir für diese nicht haften.

====Datenschutzrichtlinie, Unverbindlicher Textvorschlag Newsletter====
<syntaxhighlight lang="html">
<h2>Newsletter</h2>
<h3>Newsletterdaten</h3>
Wenn Sie den auf der Website angebotenen Newsletter beziehen möchten, benötigen wir von Ihnen eine E-Mail-Adresse sowie Informationen, welche uns die Überprüfung gestatten, dass Sie der Inhaber der angegebenen E-Mail-Adresse sind und mit dem Empfang des Newsletters einverstanden sind. Weitere Daten werden nicht bzw. nur auf freiwilliger Basis erhoben. Diese Daten verwenden wir ausschließlich für den Versand der angeforderten Informationen und geben diese nicht an Dritte weiter.
Die Verarbeitung der in das Newsletteranmeldeformular eingegebenen Daten erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die erteilte Einwilligung zur Speicherung der Daten, der E-Mail-Adresse sowie deren Nutzung zum Versand des Newsletters können Sie jederzeit widerrufen, etwa über den "Austragen"-Link im Newsletter. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter gespeichert und nach der Abbestellung des Newsletters gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden (z.B. E-Mail-Adressen für den Mitgliederbereich) bleiben hiervon unberührt.
<h3>Mailjet</h3>
Diese Website nutzt Mailjet für den Versand von Newslettern. Anbieter ist die Mailjet SAS, 13-13 bis, rue de l’Aubrac, 75012 Paris, France. Mailjet ist ein Dienst, mit dem der Newsletterversand organisiert und analysiert werden kann. Die von Ihnen zwecks Newsletterbezug eingegebenen Daten (z.B. E-Mail-Adresse) werden auf den Servern von Mailjet in Deutschland bzw. Frankreich gespeichert.
Unsere mit Mailjet versandten Newsletter ermöglichen uns die Analyse des Verhaltens der Newsletterempfänger. Hierbei kann u. a. analysiert werden, wie viele Empfänger die Newsletternachricht geöffnet haben und wie oft welcher Link im Newsletter angeklickt wurde. Mit Hilfe des sogenannten Conversion-Trackings kann außerdem analysiert werden, ob nach Anklicken des Links im Newsletter eine vorab definierte Aktion (z.B. Kauf eines Produkts auf unserer Website) erfolgt ist. Weitere Informationen zur Datenanalyse durch Mailjet-Newsletter erhalten Sie unter: https://www.mailjet.de/privacy-policy/
Die Datenverarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, indem Sie den Newsletter abbestellen. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Wenn Sie keine Analyse durch Mailjet wollen, müssen Sie den Newsletter abbestellen. Hierfür stellen wir in jeder Newsletternachricht einen entsprechenden Link zur Verfügung. Des Weiteren können Sie den Newsletter auch direkt auf der Website abbestellen.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter gespeichert und nach der Abbestellung des Newsletters sowohl von unseren Servern als auch von den Servern von Mailjet gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden (z.B. E-Mail-Adressen für den Mitgliederbereich) bleiben hiervon unberührt.
 Näheres entnehmen Sie den Datenschutzbestimmungen von Mailjet unter: https://www.mailjet.de/privacy-policy/.

<h3>Abschluss eines Vertrags über Auftragsdatenverarbeitung</h3>
Wir sind mit Mailjet einen Vertrag zur Auftragsdatenverarbeitung eingegangen und setzen die strengen Vorgaben der deutschen Datenschutzbehörden bei der Nutzung von Mailjet vollständig um.
</syntaxhighlight>

02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie

2020-10-29T07:58:15Z

Justus Heinser: /* Clear Desk / Clean Screen */

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung==
Als zielgruppenorientierte Richtlinie bietet die Allgemeine Informationssicherheits-Richtlinie allen Mitarbeitern einen zentralen und detaillierten Überblick über die gängigsten sicherheitsrelevanten Themen im Alltag.

Die Allgemeine Sicherheitsrichtlinie leitet aus den Vorgaben der Sicherheitsleitlinie konkrete organisatorische und technische Anforderungen, die für alle Projekte und Prozesse gelten. Diese Anforderungen sind die Grundlage für die Standard-Sicherheitsmaßnahmen und legen das angestrebte Sicherheitsniveau fest.

Der grundlegende Umgang mit den Parasol Island Systemen soll reglementiert werden und einen Leitfaden für jeden Benutzer über die Unternehmensstrukturen und Vorgehensweisen bieten. Viele in dieser Richtlinie aufgeführten Bereiche werden durch eigene Richtlinien noch detaillierter beschrieben.

Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Auch beim Abschluss von Verträgen mit externen Dienstleistern ist darauf zu achten, dass die Vorgaben dieser Richtlinie beachtet werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in der Informationssicherheitsleitlinie ausdrücklich aufgeführt. Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

==Rechtsvorschriften==
Beim Umgang mit Informationen und dem ISMS sind einschlägige Gesetze und Vorschriften einzuhalten. Beispielsweise:

*Datenschutzgesetze
*Urhebergesetze
*Arbeitnehmer Vertretungsregelungen
*Brandschutzvorschriften
*Verträge mit Kunden oder Partnern
*Aufbewahrungsfristen für Unterlagen

Weitere Dokumente hierzu:

*[[02 06 PSL ISMS Richtlinie zum Schutz personenbezogener Daten|Richtlinie zum Schutz Personenbezogener Daten (02_06)]]
*[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit geistigem Eigentum (02_07)]]
*[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikobeurteilungen (05_025, 05_026)]

==Organisation==
[[File:02 01 PSL ISMS Allgemeine ISRL Organisation.png|none|thumb|1280x1280px]]

===Informationssicherheitsbeauftragter===
Der Informationssicherheitsbeauftragte ist für die Pflege und Weiterentwicklung der Sicherheitsrichtlinien zuständig. Er arbeitet zusammen mit leitenden Angestellten der verschiedenen Abteilungen Maßnahmen und Möglichkeiten aus, um die Sicherheit stetig zu verbessern.

Er definiert und kontrolliert die Sicherheitszonen innerhalb der Geschäftsräume und er definiert und kontrolliert ebenso den gesicherten Transport von Gütern und Medien, die in das Betriebsgelände eingebracht oder hinaus transportiert werden.

Der ISB führt jährlich oder nach größeren Änderungen Mitarbeiterschulungen durch und ist dafür zuständig, dass neue Mitarbeiter in die Informationssicherheitsleitlinie durch ihn oder einen seiner Stellvertreter eingeführt werden.

Der ISB ist zur Erreichung der Informationssicherheitsziele in alle IT-Projekte frühzeitig einzubeziehen. Wenn Projektziele den Sicherheitsanforderungen entgegenstehen, obliegt der Geschäftsleitung die Entscheidung, welche Anforderungen eine höhere Priorität haben.

Sicherheitsereignisse und Auffälligkeiten werden in einem Logbuch vermerkt und ausgewertet. Bei akuter Gefährdungslage oder bei Verstößen gegen die Sicherheitsrichtlinie werden alle Mitarbeiter zur Sensibilisierung im regelmäßig stattfindenden Wochenmeeting oder per Rundmail informiert.

===Administrator===
Die organisationsweiten IT-Dienste sind durch die bestellten Administratoren zu administrieren und zu warten. Um Sicherheitslücken zu schließen, haben sich der ISB und die Administratoren regelmäßig zu informieren. Der ISB und die Administratoren unterstützen und beraten die IT-Benutzer.

Der Administrator verwaltet das Anlegen von Benutzerkennungen und die Einrichtung der 2FA (Zwei-Faktor-Authentifizierung).

Jede Administratortätigkeit ist zu loggen und zu dokumentieren und vor Veränderung im Rahmen der technischen Machbarkeit zu schützen. Der Administrator hat in seiner Rolle nicht die Befugnis, zugriffsbeschränkte Daten einzusehen.

*[[02 02 PSL ISMS Richtlinie für IT-Administration|Weitere Informationen finden sich in der Richtlinie für IT-Administration (02_02)]]

===Abteilungsleiter===
Die Abteilungsleiter unterstützen den ISB beim Erarbeiten der Richtlinien, indem sie die Machbarkeit der Anforderungen unter dem Ziel der Informationssicherheit mit ihm erörtern. Daraus folgt eine konkrete Ausarbeitung in Form einer Arbeitsanweisung und die regelmäßige Kontrolle über die Einhaltung.

===Produktion / Projektleitung===
Die Produktion trägt dafür Sorge, dass die Abwicklung eines Projekts unter Einhaltung der Sicherheitsziele abläuft. Der Producer bewertet externe Dienstleister und Kunden schon vor dem Vertragsabschluss auf ihre Sicherheit. Eintreffende Informationen und Daten werden von ihm anhand der Sicherheitsstufen klassifiziert und zur Weiterverarbeitung an die berechtigten Mitarbeiter weitergereicht. Eine Risikobewertung ist in einer frühen Projektphase durchzuführen.

Weitere Informationen:

*[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten (03_02)]]
*[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]

===Vertretungsregeln===
Für den Fall der Abwesenheit (Dienstreise, Urlaub, Krankheit) sind Vertreter zu benennen, die vom Stelleninhaber einzuweisen und zu informieren sind.

==Sensibilisierung==
IT-Benutzer und Administratoren sind vor der erstmaligen Nutzung der jeweiligen IT-Dienste zu schulen. Schulungsinhalte sind:

*Handhabung der jeweilig verwendeten IT-Dienste
*Inhalte der Sicherheitsleitlinie und der Sicherheitsrichtlinien zu verschiedenen Themen sowie die umzusetzenden Sicherheitsmaßnahmen
*Sensibilisierungsmaßnahmen („Warum ist Informationssicherheit so wichtig für mich und meinen Arbeitgeber?“)
*Die Schulungen sind für alle Mitarbeiter regelmäßig zu wiederholen. Mindestens einmal im Jahr oder nach größeren Änderungen

==Geheimhaltungsvereinbarungen==

===Mitarbeiter===
Mitarbeiter und Freelancer sind zur Einhaltung der Informationssicherheitsrichtlinien vertraglich zu verpflichten.

Im Falle einer Bearbeitung sensibler Daten ist zusätzlich eine separate Geheimhaltungsvereinbarung abzuschließen.

Die Verpflichtungen müssen über das Arbeitsverhältnis hinausgehen und eine Vorgehensweise bei Vertragsverstößen vorgeben.

===Zulieferer und Subunternehmer===
Partner und Dienstleister der Parasol Island GmbH müssen in Abhängigkeit von ihrem Aufgabenbereich bzw. ihrer Auftragserfüllung ebenfalls zur Geheimhaltung verpflichtet werden.

Dies gilt besonders für Dienstleister, die Zugang zu Teilen der Sicherheitsbereiche haben. (Reinigungskräfte, Handwerker, etc.)

===Besucher===
Besucher müssen über die Geheimhaltung informiert werden.

Wenn Besucher Kontakt zu vertraulichem oder geheimem Material haben könnten, ist eine schriftliche Geheimhaltungsvereinbarung zu unterzeichnen.

*[[03 03 PSL ISMS Besucherregelung|Näheres regelt die Besucherregelung (03_03)]]

==Dokumentenebenen des ISMS==
Aus zahlreichen Gründen ist die Dokumentation des Informationssicherheitsprozesses auf allen Ebenen entscheidend für dessen Erfolg. Nur durch eine ausreichende Dokumentation

*werden getroffene Entscheidungen nachvollziehbar,
*sind Prozesse wiederholbar und standardisierbar,
*können Schwächen und Fehler erkannt und zukünftig vermieden werden.

Abhängig vom Gegenstand und vom Verwendungszweck einer Dokumentation werden folgende Arten von Dokumentationen unterschieden:[[File:02 01 PSL ISMS Allgemeine ISRL Dokumentenebenen.png|none|thumb|1092x1092px]]
 
===01 Die Leitlinie===
Die Leitlinie definiert globale Ziele und Anforderungen im Rahmen der Informationssicherheit, welche durch unterschiedliche Richtlinien, Arbeitsanweisungen und Aufzeichnungen umgesetzt werden.

*Die Genehmigung und Veröffentlichung dieser Daten und Dokumente darf nur durch die Geschäftsleitung erfolgen. Eine Delegierung ist nicht möglich.

===02 Richtlinien===
In den Richtlinien wird beschrieben, wie die Anforderungen aus den Leitlinien realisiert werden sollen.

*Die Berechtigung zur Prüfung, Genehmigung und Veröffentlichung hat nur der Informationssicherheitsbeauftragte der Parasol Island GmbH.

===03 Arbeitsanweisungen===
In den Arbeitsanweisungen werden die anzuwendenden Sicherheitsmaßnahmen in Form von Anleitungen für die Mitarbeiter verständlich dokumentiert.

*Die Berechtigung zur Prüfung, Genehmigung und Veröffentlichung aller Dokumente der dritten Ebene haben nur der Informationssicherheitsbeauftragte und die Leiter der jeweiligen Abteilungen der Parasol Island GmbH.

===04 Aufzeichnungen===
Aufzeichnungen müssen erstellt und instand gehalten werden, um den Nachweis der Konformität mit den Anforderungen und des wirksamen Funktionierens des ISMS zu liefern. Beispiele für Aufzeichnungen sind Managemententscheidungen, Audioaufzeichnungen, technische Dokumentationen und ausgefüllte Formulare für Zugangsberechtigungen.

*Die Klassifikation der Daten sowie die Regelung der Zugriffsberechtigung und Einhaltung der Sicherheitsvorgaben der vierten Dokumentenebene sowie aller weiteren Daten und Dokumente innerhalb der Parasol Island GmbH erfolgen durch die jeweiligen Informationseigentümer (Verantwortlichen).

==Klassifizierung von Daten==
Alle Informationen müssen anhand ihres Schutzbedarfs klassifiziert werden. Die Schutzbedarfskategorien werden vom ISB zusammen mit den Abteilungsleitern definiert und von der Leitung verabschiedet.

Der Klassifikation liegen die drei Schutzziele '''Vertraulichkeit, Integrität''' und '''Verfügbarkeit''' zugrunde. Ziel ist es, Informationen entsprechend ihres Schutzbedarfs zu verarbeiten. Aus dem Schutzbedarf der Informationen leitet sich auch der Schutzbedarf der IT-Systeme ab, auf denen die Informationen verarbeitet werden.

Alle Daten und Dokumente müssen vom jeweiligen Informationseigentümer einer dieser Stufen zugeordnet werden. Die Zuordnung muss gut lesbar und für jeden offensichtlich aus den jeweiligen Daten bzw. Dokumenten hervorgehen.

Die Höhe der Stufe richtet sich nach dem entstandenen Schaden bei Nichteinhaltung.

===Vertraulichkeit===
Für die Einstufung der Vertraulichkeit stellt sich die Frage: Für wen ist es notwendig, diese Daten zu sehen? Der Personenkreis, der Informationen einsehen darf, sollte so klein wie möglich gehalten werden.

Nicht gekennzeichnete Informationen werde generell als Interne Vertraulichkeitsstufe klassifiziert.

Zur Verschlüsselung ist IT-Benutzern auf Antrag ein Programm zur Verfügung zu stellen. 
{| style="border-spacing:0;width:15.919cm;"
|- style="background-color:#a6c5e5;border:1pt solid #bfbfbf;padding:0.176cm;"
! colspan="2" |
====Vertraulichkeitsstufe Öffentlich====
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Personenkreis
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Daten dürfen in einem nicht veränderbaren Format (z.B. *.pdf) mit jedem geteilt werden.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Übertragung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Speicherung
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten können in beliebiger Form gespeichert und transportiert werden.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Vernichtung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten können mit den Betriebssystem inhärenten Möglichkeiten gelöscht werden.
Papierbasierte Daten können über den Papiermüll entsorgt werden.
|-
|} 
{| style="border-spacing:0;width:15.919cm;"
|- style="background-color:#bcd6ac;border:1pt solid #bfbfbf;padding:0.176cm;"
! colspan="2" |

====Vertraulichkeitsstufe Intern====
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Personenkreis
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen nur von Mitarbeitern der Parasol Island GmbH eingesehen und genutzt werden. Ausnahmen können durch den Informationseigentümer oder durch ihn berechtigte Personen festgelegt werden.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Übertragung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Speicherung
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten können in beliebiger Form gespeichert und transportiert werden. Dies gilt auch für papierbasierte Daten.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Vernichtung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten können mit den Betriebssystem inhärenten Möglichkeiten gelöscht werden.
Papierbasierte Daten müssen über einen beliebigen Aktenvernichter entsorgt werden.
|-
|} 
{| style="border-spacing:0;width:15.919cm;"
|- style="background-color:#fce5a3;border:1pt solid #bfbfbf;padding:0.176cm;"
! colspan="2" |

====Vertraulichkeitsstufe Vertraulich====
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Personenkreis
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen nur von speziell berechtigten Personengruppen oder Außenstehenden eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen und Ausnahmen werden durch den Informationseigentümer oder speziell von ihm berechtigten Personen getroffen.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Übertragung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH unverschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH darf nur verschlüsselt erfolgen (verschlüsseltes VPN, verschlüsselte E-Mail, im Veracrypt Container). Die papierbasierte Übertragung außerhalb der Parasol Island GmbH darf nur in verschlossenen Umschlägen erfolgen.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Speicherung
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH in beliebiger Form gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, müssen die Daten verschlüsselt abgelegt werden. (z.B. Veracrypt mit AES 128 bit)
Papierbasierte Daten müssen nach dem täglichen Arbeitsende in einem verschließbaren Schrank gelagert werden.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Vernichtung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (min. US DoD 5220.22-M (8-306. / E) (3 Passes)).
Papierbasierte Daten müssen über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 4) entsorgt werden.
|-
|} 
{| style="border-spacing:0;width:15.919cm;"
|- style="background-color:#de9d9b;border:1pt solid #bfbfbf;padding:0.176cm;"
! colspan="2" |
===='''Vertraulichkeitsstufe Streng Vertraulich (Geheim)'''====
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Personenkreis
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen nur vom Informationseigentümer und von ihm speziell berechtigten Personen eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen wird ausschließlich durch den Informationseigentümer getroffen.
Die Klassifizierung ist auf jeder Seite kenntlich zu machen (Fußzeile).
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Übertragung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH ist nicht zulässig. Dies gilt auch für papierbasierte Daten.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Speicherung
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, dürfen diese Daten nicht gespeichert werden.
Die papierbasierte Aufbewahrung ist nur in verschlossenen Datenschränken zulässig.
|-
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:1pt solid #bfbfbf;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Vernichtung
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (Gutmann 35 Passes).
Papierbasierte Daten müssen vom Informationseigentümer oder einer speziell von ihm berechtigten Person über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 5) entsorgt werden.
|-
|}

===Integrität===
Wie fehlerbehaftet oder beschädigt dürfen Daten sein, ohne dass ein Schaden entsteht? Das beinhaltet auch den Schutz vor Veränderung durch Unbefugte. Kann man einen Verlust der Daten kompensieren?

Die Klassifizierung ist wichtig für das angemessene Maß der Planung von Zugriffsrechten, Schutzmaßnahmen und Einhaltung der Backup Planung.
{| style="border-spacing:0;width:15.919cm;"
|-
| style="background-color:#a5a5a5;border-top:1pt solid #ffffff;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:none;padding:0.176cm;color:#ffffff;" |Klasse
| style="background-color:#a5a5a5;border-top:1pt solid #ffffff;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Beschreibung
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Gering
| style="background-color:#dbdbdb;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Eine Verletzung beeinträchtigt weder den Geschäftsbetrieb, noch das Ansehen der Firma.
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Mittel
| style="background-color:#ededed;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Eine Verletzung hat nur geringe Auswirkungen und stört den Arbeitsablauf nur geringfügig.
*Schadensersatzforderungen sind unwahrscheinlich.
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Hoch
| style="background-color:#dbdbdb;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Eine Verletzung bringt merkbare Beeinträchtigungen mit sich.
*Arbeitsabläufe werden verzögert.
*Umsatzzahlen werden negativ beeinflusst.
*Kunden könnten die Zusammenarbeit beenden.
*Schadensersatzforderungen sind anzunehmen.
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Sehr Hoch
| style="background-color:#ededed;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Eine Verletzung hat erhebliche Auswirkungen.
*Starke negative Auswirkung auf die Umsätze.
*Lange Ausfallzeiten in der Produktion.
*Schadensersatzforderung durch mehrere Einzelpersonen oder Organisationen sind zu erwarten.
|-
|}

===Verfügbarkeit===
Wie kritisch ist die Verfügbarkeit von IT-Systemen und Infrastruktur?
{| style="border-spacing:0;width:15.919cm;"
|-
| style="background-color:#a5a5a5;border-top:1pt solid #ffffff;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:none;padding:0.176cm;color:#ffffff;" |Klasse
| style="background-color:#a5a5a5;border-top:1pt solid #ffffff;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Beschreibung
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Gering
| style="background-color:#dbdbdb;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Die Verfügbarkeit darf weniger als 95% betragen ohne dass ein nennenswerter Schaden entsteht.
*Beispiel: Intranet mit unkritischen Benutzeranwendungen.
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Mittel
| style="background-color:#ededed;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Die Verfügbarkeit muss mindestens 95% betragen
*Beispiel: Firmenwiki
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Hoch
| style="background-color:#dbdbdb;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Die Verfügbarkeit muss mindestens 98% betragen.
*Produktionsrelevantes IT-System, dessen Ausfall Teilbereiche der Produktion stoppen kann.
*Beispiel: Buchhaltung, Renderfarm in unkritischen Projektphasen
|-
| style="background-color:#a5a5a5;border-top:none;border-bottom:1pt solid #ffffff;border-left:1pt solid #ffffff;border-right:1pt solid #ffffff;padding:0.176cm;color:#ffffff;" |Sehr Hoch
| style="background-color:#ededed;border-top:none;border-bottom:1pt solid #ffffff;border-left:none;border-right:1pt solid #ffffff;padding:0.176cm;" |
*Die Verfügbarkeit muss mindestens 99% betragen.
*Produktionsrelevantes IT-System, dessen Ausfall einen Produktionsstopp zur Folge hat.
*Beispiel: Server, Renderfarm gegen Projektende
|-
|}

===Kontrolle===
Aus den Anforderungen für die Sicherheitsziele erwächst die Notwendigkeit der Kontrolle.

Die Daten und IT-Systeme müssen entsprechend ihrer Klassifikationen Maßnahmen unterworfen werden, die einen sachgemäßen Umgang gewährleisten. Die Einhaltung der Maßnahmen muss kontrolliert werden und Änderungen müssen nachvollziehbar sein.

==Dokumenteneigenschaften==
An jedem Dokument mit einer höheren Sicherheitsklassifizierung als „Intern“ und an allen Leitlinien, Richtlinien, Verfahrensanweisungen und Aufzeichnungen sind die nachfolgenden Eigenschaften anzubringen und aktuell zu halten:
{| class="wikitable" style="border-spacing:0;width:15.875cm;"
|- style="border:1pt solid #000000;padding:0.176cm;"
||Dateiname:
||Gibt den Namen an, unter dem das Dokument gespeichert wird.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Dokumentenebene:
||Gibt Auskunft über die entsprechende Dokumentenebene des Dokuments (siehe [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie#Dokumentenebenen des ISMS|Dokumentenebene des ISMS]])
|- style="border:1pt solid #000000;padding:0.176cm;"
||Erstellt von:
||Gibt Auskunft über den Ersteller des Dokuments.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Version:
||Gibt den Versionsstand des Dokuments an.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Status:
||Dokumentiert den Dokumentenstatus:
Entwurf, Freigegeben, In Bearbeitung, Außer Kraft.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Letzte Aktualisierung am/von:
||Dokumentiert, wer wann das entsprechende Dokument zuletzt aktualisiert hat.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Exportiert am:
||Zeigt an, wann das Dokument letztmals gedruckt wurde.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Prüfungsintervall:
||Hier definiert der Informationseigentümer, in welchen Abständen das Dokument standardmäßig überprüft werden soll, um es aktuell zu halten.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Letzte Prüfung:
||Datum der letzten Prüfung.
|- style="border:1pt solid #000000;padding:0.176cm;"
||Vertraulichkeitsklassifizierung:
||Hier trägt der Informationseigentümer die Sicherheitsstufe für das Dokument ein:
Öffentlich, Intern, Vertraulich, Geheim.
|-
|VDA ISA Referenz:
|Referenz zum Fragenkatalog des VDA
|-
|}
Jedes Dokument der Dokumentenebene Richtlinie und Arbeitsanweisung hat ein eindeutiges Kennzeichen, um Verweise zwischen den Dokumenten zu ermöglichen. Die ersten 2 Ziffern geben dabei die Dokumentenebene wieder: 02 = Richtlinie, 03 =Arbeitsanweisung. Die Zweite Ziffer wird fortlaufend vergeben und darf sich nicht wiederholen. Die Höhe der zweiten Ziffer hat keine Bedeutung für die Gewichtung der definierten Regelungen. Eine Vergabe von Kennzeichen bei Dokumentationen (04) ist ratsam kann aber je nach form entfallen.

==Benutzerkennungen==
Benutzerkennungen werden zentral durch die zuständige Person vergeben. Jede Person mit Zugriff auf die Parasol Island IT-Systeme, erhält eine eigene, eindeutige Benutzerkennung. Gruppenkennungen sind nicht vorgesehen.

Beispiele für Benutzerkennungen sind: Domänenzugriff, E-Mail, Intranet

Der Erhalt der Kennung und die damit einhergehende Einräumung von Rechten ist vom Nutzer schriftlich zu bestätigen. Der Nutzer ist im notwendigen Umfang über die Sicherheitsregeln zu belehren.

Benutzerkennungen sind unmittelbar nach dem Verlassen der Person aus dem Unternehmen stillzulegen.

*Näheres ist im Kapitel "[[02 02 PSL ISMS Richtlinie für IT-Administration#Regelung zur Benutzerregistrierung|Regelung zur Benutzerregistrierung]]" in der "[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]" aufgeführt.

==Mobile IT-Systeme==
Um die Sicherheitseinrichtungen des Firmennetzwerkes für mobile Geräte zu nutzen, ist der Zugang über firmenfremde Netzwerke (Hotspot, Privates W-Lan) ausschließlich zum Verbindungsaufbau von VPN Verbindungen zum Firmennetzwerk zu nutzen. Ein privater Gebrauch ist ausgeschlossen.

Auf Reisen ist sicherzustellen, dass vertrauliche Daten nicht von Unbefugten eingesehen werden können. Bei Notebooks ist für diesen Zweck eine Blickschutzfolie zu benutzen, sofern im öffentlichen Raum gearbeitet wird. Der Nutzer hat darauf zu achten, dass ihm nicht über die Schulter gesehen werden kann.

Vertrauliche Daten müssen im Falle eines Verlustes so geschützt sein, dass diese nicht von Unbefugten nutzbar sind. Hierzu müssen die Daten verschlüsselt mitgeführt werden. Eine Komplettverschlüsselung des Gerätes ist auf Notebooks standardmäßig umgesetzt.

*Nähere Informationen in der "[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]"

==Clear Desk / Clear Screen==
Jeder Mitarbeiter ist für die Ordnung seines Arbeitsplatzes selbst verantwortlich. Gemeinschaftsarbeitsplätze müssen konstant ordentlich gehalten werden.

Alle Dokumente der Sicherheitsstufe Vertraulich oder Geheim müssen beim Verlassen des Arbeitsplatzes abgedeckt oder zugeklappt werden.

Zum Feierabend müssen diese Dokumente in einem verschließbaren Schrank oder Raum verstaut werden.

Bildschirme, White-Boards und andere großflächige Dokumentationsflächen dürfen nicht öffentlich einsehbar sein, wenn sie als Geheim eingestufte Informationen enthalten. Gegebenenfalls sind die Fenster vorher zu verdunkeln. Als Vertraulich eingestufte Informationen dürfen nur so lange wie unbedingt nötig auf diesen Dokumentationsflächen sichtbar sein. Vor Besuchen von fremden Personen sind diese rechtzeitig im Vorfeld zu entfernen.

Um den Bildschirm zu sperren, ist ein Bildschirmschoner einzusetzen, der bei Verlassen des Arbeitsplatzes vom Benutzer aktiviert wird. Findet das manuelle Aktivieren nicht statt, muss sich die Sperrung nach spätestens drei Minuten automatisch aktivieren. Bei Reaktivierung muss eine Authentifizierung erfolgen, entweder mit einem Mitarbeiterzugang oder mit einem gerätespezifischen Zugangsschutz.

Der Bildschirmschoner kann einen beliebigen Inhalt haben, darf jedoch keine schutzbedürftigen Inhalte zeigen. Ebenfalls ist darauf zu achten, dass die Inhalte für das Firmenumfeld angemessen sind (Safe-for-Work).

Diese Regelung gilt für alle Betriebsmittel der Parasol Island GmbH, für welche dies technisch möglich bzw. für den Arbeitsablauf durchführbar ist.

Automatisierte Informationsterminals und Testsysteme benötigen keinen Bildschirmschutz, sofern sie weder Daten einer Schutzstufe enthalten noch mit anderen Komponenten des Netzwerks verbunden sind.

==Schutz vor Schadsoftware==
Auf allen Arbeitsrechnern und Servern ist eine Antivirus Software zu installieren, die zentral vom Administrator gepflegt und überwacht wird. Sie überprüft regelmäßig alle Laufwerke und alle ein- und ausgehenden Daten auf Viren inklusive des E-Mail-Verkehrs. Eine Veränderung der Einstellung wird direkt vom Administrator bemerkt und behoben.

*[[02 08 PSL ISMS Virenschutzkonzept|Eine nähere Definition findet sich im Virenschutzkonzept (02_08)]]

==Patchmanagement==
Sämtliche Arbeitsstationen sowie die dort installierten Betriebssysteme, Software, die automatische Updates unterstützen (z.B. Firefox, Flash, Chrome), sind so einzurichten, dass sie automatisch aktualisiert werden und dadurch die neuesten Sicherheitspatches enthalten.

Server- und zeitkritische Systeme werden nach vorheriger Prüfung vom Administrator aktualisiert, um einen Ausfall des Systems durch das Update auszuschließen. Dies kann bedeuten, dass in besonderen Fällen ein Testsystem verwendet oder nur eine beschränkte Menge an Systemen aktualisiert wird, um die Auswirkungen auf das restliche IT-System zu prüfen. Dies kann ggf. auch in Zusammenarbeit mit den Abteilungen geschehen.

Patches und sicherheitsrelevante Updates müssen grundsätzlich sofort installiert werden. Die einzige Ausnahme tritt dann ein, wenn der einwandfreie Betrieb der Systeme durch das Update gefährdet sein könnte. Aufgrund der vielfach verwendeten Spezialsoftware kann dies auch bedeuten, dass eine potentiell fehlerhafte Software eingesetzt wird. Dies wird in Zusammenarbeit mit den betroffenen Abteilungen diskutiert und muss abschließend von der Geschäftsleitung unter Abwägung der Risiken genehmigt werden.

*[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Siehe auch: Arbeitsanweisung zum Durchführen von Patches (03_11)]]

==Umgang mit entfernbaren Medien==
Grundsätzlich ist die Verwendung von entfernbaren Medien nur für den betrieblichen Zweck erlaubt.

Die Datenträger müssen stets aufgeräumt werden und dürfen nur die Daten enthalten, die für den gerade erforderlichen Fall notwendig sind, damit beim Einsatz auf fremden Geräten keine geschützten Daten unbemerkt ausgelesen werden können. Ist ein wiederbeschreibbarer Datenträger (USB Stick) in einem fremden Gerät verwendet worden, ist dieser wie ein externer Datenträger zu behandeln und entsprechend zu prüfen.

Datenträger, die von Außenstehenden in den Betrieb kommen, müssen durch die Administration an einem entsprechend ausgerüsteten System auf Viren oder andere Schadprogramme hin überprüft werden. Erst dann dürfen die Daten ausgelesen und an den Verantwortlichen weitergereicht werden.

==Umgang mit Sicherheitsereignissen==
Sicherheitsereignisse sind Auffälligkeiten, die in der Erfüllung der Sicherheitsziele relevant sind.

Die Mitarbeiter sind angehalten, Auffälligkeiten an den Informationssicherheitsbeauftragten oder den Administrator zu melden. Es ist nicht erforderlich, dass auf jede Meldung hin eine Maßnahme erfolgen muss. Es liegt im Ermessen des Informationssicherheitsbeauftragten, die Ereignisse ihrer Schwere entsprechend einzusortieren (Leicht, Mittel, Hoch) und gegebenenfalls Sofortmaßnahmen einzuleiten.

Der Informationssicherheitsbeauftragte ist dazu verpflichtet, sämtliche Sicherheitsereignisse im Bereich der IT-Systeme zu erfassen und zu protokollieren sowie sich über neue Bedrohungen und Gefahren zu informieren.

Administration und ISB besprechen in regelmäßigen Abständen, jedoch mindestens einmal im Monat, die aufgetretenen Meldungen und beschließen daraufhin geeignete Maßnahmen, um auf die Ereignisse zu reagieren.

Ein Sicherheitsprotokoll wird der Geschäftsleitung regelmäßig vorgelegt.

Beispiele für Sicherheitsereignisse:

*Auftretende Störungen
*Verstöße gegen das Regelwerk
*Verdacht auf Befall mit Schadsoftware
*Auffallen von Schwachstellen von IT-Systemen

Vorfälle können direkt [Mailto:informationssicherheit@parasol-island.com informationssicherheit@parasol-island.com] gemeldet werden.
[[Category:ISMS]]

ISMS

2020-10-28T09:09:09Z

Justus Heinser: /* Musterdokumente */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!16
|[https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis]
|Welche Cloud-Dienste werden von der Parasol Island GmbH genutzt?
|}
==='''Musterdokumente'''===
{|
!04
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

ISMS

2020-10-27T15:33:07Z

Justus Heinser: /* Musterdokumente */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!16
|[https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis]
|Welche Cloud-Dienste werden von der Parasol Island GmbH genutzt?
|}
==='''Musterdokumente'''===
{|
!04
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

Useful Links

2020-10-27T15:25:57Z

Justus Heinser:

__NOTOC__
__NOEDITSECTION__

{{col-begin|width=100%}}
{{col-break|width=33%}}
=== Arbeiten in Zeiten von Corona ===
Hier 2 wichtige Wikiartikel zum Thema:
* [[Corona - unsere Maßnahmen]]
* [[Corona Weiterbildungsangebot]]

===NewBiz===
[[Anfrage/Board]] anstoßen. [mailto:boards@parasol-island.com?subject={{urlencode:[Titel des Projektes] New Inquiry|PATH}}&body={{urlencode:Projekt:
Kunde:
Agentur:
Timing:
Budget:
Information:

Do not answer this mail, but choose recipients carefully. Once a decision on the further process is taken, please inform boards@parasol-island.com about the decision.|PATH}} eMail]

[[NewBiz Dokumentation |Einen Kundenkontakt dokumentieren]] [mailto:documentation.sales@parasol-island.com eMail]

[https://myapi3.parasol-island.com/app_powermap/frontend/build/docs/index.php PowerMap (Kunden Beziehungs-Management) App]

===Kundentermine===

[[Kundentermine/Meetings]] vorbereiten. [mailto:meeting@parasol-island.com?subject=Kundenmeeting&body=Datum%20und%20Uhrzeit%3A%0A(Von%2C%20Bis)%0A%0A%0A%0ARaum%3A%0A(Lounge%20EG%2C%20Konferenzraum%201.OG%2C%20Suite%201.OG%2C%20Lounge%202.OG%2C%20...)%0A%0A%0A%0AAnzahl%20Personen%20(mit%20Parasols)%3A%0A%0A%0A%0AProjektnummer%3A%0A%0A%0A%0AGew%C3%BCnschte%20Bewirtung%3A%0A(Essenvorschlag%3B%20Fr%C3%BChst%C3%BCck%2C%20Br%C3%B6tchen%2C%20Kuchen%20oder%20nur%20Getr%C3%A4nke%20etc.)%0A%0A%0A%0AF%C3%BCr%20Bewirtungsabrechnung%20-%20Namen%20aller%20Beteiligten%20%2B%20Anlass%3A%0A%0A%0A%0AParkpl%C3%A4tze%3A%0A%0A%0A%0AGew%C3%BCnschte%20technische%20Unterst%C3%BCtzung%3A%0A%0A%0A%0ASonstiges%20(Raumgestaltung%2C%20Speise-Intoleranzen) eMail]

[[Geschäftsreisen]] planen. [mailto:travel@parasol-island.com?subject=Gesch%C3%A4ftsreise&body=Hallo%20Travel%20Team%2C%0A%0A%0Abitte%20bucht%20folgende%20Reise%3A%0A%0A%0AName%20des%20oder%20der%20Reisenden%3A%0A%0A%0ADatum%20von%20wann%20bis%20wann%3A%0A%0A%0AWovon%20und%20wohin%3A%0A%0A%0AAusgew%C3%A4hltes%20Verkehrsmittel%20%26%20konkreter%20Reisezeitpunkt%20(Screenshot%20der%20recherchierten%20Zugverbindung%20oder%20verbindliche%20Flugauswahl)%3A%0A%0A%0ADiese%20Unterkunft%20soll%20gebucht%20werden%2C%20Screenshot%2C%20Zimmer-Art%20(DZ%2FEZ)%3A%0A%0A%0AFr%C3%BChst%C3%BCck%20j%2Fn%0A%0A%0AProjektnummer%3A%0A%0A%0AGeld%20(V-Geld%2C%20Geld%20wechseln%20bitte%20mit%202%20Werktagen%20Vorlauf)%3A eMail]

Konfis, Autos, Suiten, etc. buchen. nur noch über [[Kalender_Termine_und_Ressourcen|Termine & Ressourcen buchen]]

===ISMS===
[[ISMS|Information Security Management System]]
{{col-break|width=34%}}

===Urlaub & Abwesenheit===
[[Urlaub|Urlaub beantragen]]

[[Krankmeldung/Arbeitsverhinderung]] melden: [mailto:absence@parasol-island.com?subject=Krankmeldung%20/%20Arbeitsverhinderung&body=Name%20des%20Mitarbeiters:%0AGrund%20(Aus%20Datenschutzgruenden%20bitte%20kein%20Konkretes%20Krankheitsbild/Krankheitsgrund%20angeben)%20der%20Arbeitsverhinderung%20(Krankheit/Arztbesuch):%0AVoraussichtliche%20Dauer:%0A%0AHat%20der%20Mitarbeiter%20seinen%20direkten%20Vorgesetzten%20beziehungsweise%20verantwortlichen%20Geschaeftsfuehrer%20telefonisch%20informiert?%0AWenn%20nicht,%20aus%20welchem%20Grund:%0AVordringlich%20zu%20erledigende%20Arbeiten:%0A%0AWeitere%20Informationen%20zu%20dem%20Thema:%0Ahttps://wiki.parasol-island.com/index.php/Krankmeldung/Arbeitsverhinderung eMail]

[[Remote-Office]] melden: [mailto:remoteoffice@parasol-island.com?subject=Remote-Office&body=Name%20des%20Mitarbeiters%3A%0A%0ADatum%20bzw.%20Dauer%20der%20Remote-Office%20T%C3%A4tigkeit%3A%0A%0AVordringlich%20zu%20erledigende%20Arbeiten%3A%0A%0A%5B%20%20%5D%20Kalender%20und%20mit%20den%20Kollegen%20auf%20Termine%20gepr%C3%BCft.%20%0A%5B%20%20%5D%20Mind.%2020h%20vorher%20angemeldet.%0A%5B%20%20%5D%20In%20AGS%20eingetragen.%0A%5B%20%20%5D%20Telefon%20wird%20umgestellt.%0A%0AWeitere%20Informationen%20zu%20dem%20Thema%3A%0Ahttps%3A%2F%2Fwiki.parasol-island.com%2FRemote-Office Parasol-Remote-Office Verteiler].

[[Telefon_und_die_Telefonanlage|Telefon]] umstellen: [https://voip.parasol-island.com/index.php?page=delegates https://voip.parasol-island.com]

===Helpdesk===
Hilfe und Support über das [[Ticketsystem]]: eMail an [mailto:help@parasol-island.com help@parasol-island.com]

===FMA Booking===

Freelancer suchen, anfragen, optieren, beauftragen- hier geht es zum [https://app.asana.com/0/1152762030264207/board FMA Booking in Asana]

=== Facility Management ===

[[Office_Guideline_Facility_Management|Facility Management]] beauftragen, Office bugs melden [mailto:frontdesk@parasol-island.com?subject=Office%20bug%2FSchadensmeldung&body=Hallo%20Front%20Office%20Team%2C%0A%0A%0Ahiermit%20melde%20ich%20folgenden%20Office-Bug%2FMissstand%3A%0A%0A%0AWO%3F%0A%0AGeb%C3%A4ude%20%5B%20Vorderhaus%20%7C%20Flachbau%20%7C%20Hinterhaus%20%5D%3A%0A%0A%0AEtage%20%5B%20EG%20%7C%201.OG%20%7C%20...%5D%3A%0A%0A%0ARaum%20%5B%20B%C3%BCro%20%7C%20Treppenhaus%20%7C%20Bad%20%7C%20...%20%5D%3A%0A%0A%0A%0AWAS%3F eMail]

{{col-break|width=33%}}

===The most important email addresses===
Sales Documentation [mailto:documentation.sales@parasol-island.com documentation.sales@parasol-island.com] 
HR Documentation [mailto:eindruck@parasol-island.com?&subject=vorname.nachname%40parasol-island.com&body=Anlass%3A%20bitte%20in%20der%20ersten%20Zeile%20kurz%20den%20Anlass%20erl%C3%A4utern%0AKommentar%3A%20beschreibe%20hier%20detailiert%20deinen%20Eindruck%20%C3%BCber%20den%20Mitarbeiter eindruck@parasol-island.com] 

===Sound/Music===
Beauftragung Jonathan Wulfes [mailto:jonathan.wulfes@parasol-island.com?subject=Beauftragung%20Jonathan%20Wulfes&body=Job%20%2F%20Jobnummer%3A%0A%0A%0AProjektverantwortlicher%20Auftraggeber%3A%0A%0A%0AKurzbeschreibung%20der%20Leistung%3A%0A(Musikkomposition%2C%20Sound-Design%2C%20Sound-Mix%2C..)%0A%0A%0Agemeinsam%20vereinbartes%20Budget%3A%0A%0A%0ALeistungszeitraum%2FDeadline%3A%0A eMail]
 
<big>Bei Dir funktionieren die eMail-Links nicht?</big> siehe hier: [[GMail_als_Standard_Mailclient]]

===Useful Information===
The Epic Project-Split --> [[Projekt-Split]] 
Google Drive --> [[Parasol Meets Google Drive]] & [[Techtip Google Drive]] 
Internal Communication Channels --> [[InhouseMedia]] 
Parasol Island Language Style Guide --> [[Internallanguage]] 
Ausser Haus sein ohne Out of Office Benachrichtigung und trotzdem Kollegen informieren? --> [[Teleport_Reisen]]

{{col-end}}

03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

2020-10-27T15:21:09Z

Justus Heinser: /* Bestand */

{{DISPLAYTITLE:03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten}}

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung==
Das vorliegende Datenschutz- und Sicherheitskonzept bildet die Grundlage für den Einsatz von IT-Systemen bei Parasol Island.

Das Ziel des Konzeptes ist die stetige Optimierung der Informationssicherheit bei Parasol Island und trägt dazu bei, bestehende und künftige Prozesse im Hinblick auf eine sichere Verarbeitung der Daten zu verbessern.

Durch Sicherstellen der Verfügbarkeit, Integrität und Vertraulichkeit wird die Leistungsfähigkeit von Parasol Island auf Grundlage der Informationstechnik sichergestellt.

Bei den Unternehmens- und personenbezogenen Daten, die im Rahmen unserer Geschäftsprozesse anfallen, legen wir Wert auf das höchste Schutzniveau.

Das Sicherheitsniveau bezieht sich auf alle im Unternehmen eingesetzten technischen Systeme und Verfahrensabläufe die personenbezogene Daten oder Informationen zu Betriebs- und Geschäftsgeheimnissen speichern oder verarbeiten.

In diesem Datenschutz und Sicherheitskonzept werden die zentralen Räumlichkeiten, IT-Systeme und IT-Anwendungen dokumentiert. Diese stellen die bei Parasol Island verwendeten technischen Grundlagen dar, um die erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der Daten zu wahren.

==Bestand==

===Zentrale Räume===
Siehe Dokument:

*[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie (02_03)]]
**3. Verteilung der Sicherheitszonen

===Zentrale IT-Systeme===
Siehe Dokument:

*[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung (03_09)]]
**4. Server

===IT-Anwendungen===
Siehe Dokument:

*[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist (05_01)]
**2. Allowlist

===IT-Netzwerkplan===
Siehe Dokument:

*[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung (03_09)]]
**6. Netzwerkdiagramm

== Schwachstellenanalyse und Maßnahmen ==

=== Übersicht der Gefahren ===

==== Höhere Gewalt ====
Personalausfall, Blitz, Feuer, Wasser, Kabelbrand, hohe Temperatur, hohe Luftfeuchtigkeit, Ausfall externer Netze, usw.

==== Menschliche Fehler ====
Nichtbeachtung von IT-Sicherheitsmaßnahmen, Gefährdung durch Reinigungs- oder Fremdpersonal, fehlerhafte Nutzung des IT-Systems, fehlerhafte Administration des IT-Systems, fehlerhafte Administration von Zugangsrechten, unbeabsichtigtes Löschen von Programmen bzw. Daten, unerlaubte private Nutzung, usw.

==== Organisatorische Mängel ====
Fehlende oder unzureichende Anweisungen, unzureichende Kenntnisse, fehlende oder unzureichende Wartung, unbefugter Zutritt zu schutzbedürftigen Räumen, unzureichende Dokumentation der Verkabelung, mangelhafte Kennzeichnung der Datenträger, unzureichendes Schlüsselmanagement, usw.

==== Technische Mängel ====
Ausfall der Stromversorgung, Ausfall der Sicherungseinrichtungen, defekte Datenträger, Bekanntwerden von Softwareschwachstellen, Übertragungsfehler, fehlende Speicherkapazität, Ausfall von Datenbanken, usw.

==== Vorsätzliche Handlungen ====
Manipulation von IT-Systemen, Manipulation von Daten, Diebstahl, Vandalismus, Manipulation der Infrastruktur, unberechtigte IT-Nutzung, Missbrauch von Fernwartungszugängen, Systematisches Ausprobieren von Kennworten, Missbrauch von Administratorrechten, Unberechtigtes Kopieren der Datenträger, usw.

=== Schwachstellenanalyse ===
Im Rahmen des Information Security Management System (ISMS) hat Parasol Island Richtlinien und Arbeitsanweisungen entwickelt, die den möglichen Schwachstellen und Gefahren entgegentreten.

Die ISMS Unterlagen werden regelmäßig (jährlich) überarbeitet und optimiert.

Die ISMS Leitlinie, Richtlinien, Arbeitsanweisungen, Dokumente und Übersichtslisten sind in einer gesonderten Dokumentation ausgelagert.

Die ISMS Richtlinien beinhalten Aspekte wie Richtlinie für IT-Administration, Richtlinie zum Schutz personenbezogener Daten, Virenschutzkonzept, Datensicherungs-Richtlinie, Risikomanagement Richtlinie.

Die ISMS Arbeitsanweisungen beinhalten Zuständigkeiten und Ansprechpartner, Besucherregelung, Handlungsanweisungen für ausgewählte Schadensereignisse und Arbeitsanweisungen zum Datenaustausch.

== Technische und organisatorische Maßnahmen ==
Bei Parasol Island sind technische und organisatorische Maßnahmen getroffen worden, um den Schutz personenbezogener Daten im Hinblick auf ihren Schutzbedarf und unter Berücksichtigung der wirtschaftlichen Zumutbarkeit zu gewährleisten.

Die technischen und organisatorischen Maßnahmen sind in einem separaten Dokument zusammengefasst.

== Auftragsverarbeitung ==
Neben dem Einsatz der eigenen IT-Infrastruktur nutzt Parasol Island qualifizierte Partner, um die Geschäftsprozesse optimal umzusetzen.

Soweit Daten im Auftrag verarbeitet werden oder externe Spezialisten der Zugang zu der eigenen IT-Infrastruktur gewährt wird, verpflichtet Parasol Island die Partner auf Vertraulichkeit und Datenschutz.

Dies erfolgt grundsätzlich in Form von Verträgen zur Auftragsverarbeitung.

== Datenschutzrichtlinie ==
Der Schutz der personenbezogenen Daten hat für Parasol Island oberste Priorität. Daher sehen wir es als unsere Pflicht an, die Erfassung und Verarbeitung nach Vorgaben unterschiedlicher gesetzlicher Anforderungen sicherzustellen.

Hierzu verfügt Parasol Island über eine Datenschutzrichtlinie. Unsere Mitarbeiter sind verpflichtet, unsere Datenschutzrichtlinie einzuhalten und die jeweiligen Datenschutzgesetze zu wahren.

Die Datenschutzrichtlinie steht in einem separaten Dokument zur Verfügung.

== Notfallplan ==
Soweit die Funktionsfähigkeit der IT-Systeme beeinträchtigt ist, kommt bei Parasol Island folgendes Dokument zur Anwendung:

* [[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse (03_10)]]

== Aktualität ==
Dieses Datenschutz- und Sicherheitskonzept wird regelmäßig überarbeitet und an die Mitarbeiter kommuniziert. Die Überprüfung erfolgt spätestens nach einem Jahr.
[[Category:ISMS]]

ISMS

2020-10-27T15:16:25Z

Justus Heinser: /* Arbeitsanweisungen */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|}
==='''Musterdokumente'''===
{|
!04
!
|
|
|-
!
!
|
|
|-
!
!
|
|
|-
|
!
|
|
|-
|
!
|
|
|-
|
!
|
|
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 14 Arbeitsanweisung zum Umgang mit personenbezogenen Daten

2020-10-27T15:15:31Z

Justus Heinser: Justus Heinser moved page 03 14 Arbeitsanweisung zum Umgang mit personenbezogenen Daten to 03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

#REDIRECT [[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]

03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

2020-10-27T15:15:31Z

Justus Heinser: Justus Heinser moved page 03 14 Arbeitsanweisung zum Umgang mit personenbezogenen Daten to 03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

2020-10-27T15:14:01Z

Justus Heinser:

03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

2020-10-27T15:11:01Z

Justus Heinser: Created page with "Zurück zur ISMS Übersicht ==Einleitung== Das vorliegende Datenschutz- und Sicherheitskonzept bildet die Grundlage für den Einsatz von IT-Systemen bei Parasol Isla..."

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung==
Das vorliegende Datenschutz- und Sicherheitskonzept bildet die Grundlage für den Einsatz von IT-Systemen bei Parasol Island.

Das Ziel des Konzeptes ist die stetige Optimierung der Informationssicherheit bei Parasol Island und trägt dazu bei, bestehende und künftige Prozesse im Hinblick auf eine sichere Verarbeitung der Daten zu verbessern.

Durch Sicherstellen der Verfügbarkeit, Integrität und Vertraulichkeit wird die Leistungsfähigkeit von Parasol Island auf Grundlage der Informationstechnik sichergestellt.

Bei den Unternehmens- und personenbezogenen Daten, die im Rahmen unserer Geschäftsprozesse anfallen, legen wir Wert auf das höchste Schutzniveau.

Das Sicherheitsniveau bezieht sich auf alle im Unternehmen eingesetzten technischen Systeme und Verfahrensabläufe die personenbezogene Daten oder Informationen zu Betriebs- und Geschäftsgeheimnissen speichern oder verarbeiten.

In diesem Datenschutz und Sicherheitskonzept werden die zentralen Räumlichkeiten, IT-Systeme und IT-Anwendungen dokumentiert. Diese stellen die bei Parasol Island verwendeten technischen Grundlagen dar, um die erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der Daten zu wahren.

== Bestand ==

=== 2.1. Zentrale Räume ===
Siehe Dokument:

* Sicherheitszonen Richtlinie (02_03)
** 3. Verteilung der Sicherheitszonen

=== 2.2. Zentrale IT-Systeme ===
Siehe Dokument:

* Arbeitsanweisung zur Netzwerkeinrichtung (03_09)
** 4. Server

=== 2.3. IT-Anwendungen ===
Siehe Dokument:

* [https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist (05_01)]
** 2. Allowlist

=== 2.4. IT-Netzwerkplan ===
Siehe Dokument:

* Arbeitsanweisung zur Netzwerkeinrichtung (03_09)
** 6. Netzwerkdiagramm

[[Category:ISMS]]

ISMS

2020-10-27T15:04:30Z

Justus Heinser: /* Arbeitsanweisungen */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|Arbeitsanweisung zum Umgang mit personenbezogenen Daten
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|}
==='''Musterdokumente'''===
{|
!04
!
|
|
|-
!
!
|
|
|-
!
!
|
|
|-
|
!
|
|
|-
|
!
|
|
|-
|
!
|
|
|}
==='''Auflistungen'''===
{|
!05
!00
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!01
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!02
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch

2020-10-27T14:50:01Z

Justus Heinser: /* Übersicht Matrix */

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung / Scope==
Die Arbeitsanweisung zum Datenaustausch soll konkrete Vorgaben über die Nutzung von Wegen zum Austausch von Informationen und Daten geben.

Risiken und Umgehungsmaßnahmen werden konkret vorgegeben, um den Mitarbeitern eine einfache und praktikable Möglichkeit an die Hand zu geben, um Informationen sicher zu versenden und zu empfangen.

Die Voraussetzung für eine sichere Übertragung ist die vorherige Klassifizierung der Information. Diese hat gemäß der [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeinen Sicherheitsrichtlinie ''(02_01)'']] stattzufinden.

Die Inhalte dieser Arbeitsanweisung sind verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen automatisch ungültig.

==Allgemeines==

===Verfügbarkeit===
Ein Transport von Informationen ist gleichzeitig auch immer ein potenzielles Verlustrisiko, daher sind Daten niemals ohne redundante Kopie auf den lokalen Systemen zu versenden. Der Erhalt der Daten ist vom Kommunikationspartner zu bestätigen. Nachdem die Daten nicht mehr benötigt werden, sind diese sachgerecht zu vernichten. Siehe auch [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Sicherheitsrichtlinie. ''(02_01)'']]

===Verschlüsselung===
Vertrauliche und streng vertrauliche Daten sind in jedem Fall für die Datenübertragung zu verschlüsseln. Ein Versand dieser Vertraulichkeitsstufen ohne Verschlüsselung ist ausgeschlossen. Die sicheren Verschlüsselungsmethoden finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']]. Dienste, die von sich aus eine sichere Verschlüsselung mitbringen, sind vorzugsweise zu benutzen.

=== Authentifizierung ===
Es ist sicherzustellen, dass ausgetauschte Informationen ausschließlich vom vorgesehenen Empfänger zu sehen sind. Dies gilt sowohl für Versand von Datenträgern (Einschreiben, Verschlüsselter Container mit separat getauschtem Passwort) als auch für Clouddienste (Individuelle Useraccounts, individuelle Gästeaccounts, nach Möglichkeit starke Authentifizierung).

=== Versand ===
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen (bis 34 MB) empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder Parasol Filebeam versendet werden.

Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie (03_05)]].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

==Das IT-Dienstverzeichnis==
Im separaten [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstleisterverzeichnis ''(03_16)''] gibt es eine Übersicht der Dienste, die für den Datenaustausch genutzt werden dürfen. Dienste, die nicht auf der Liste stehen sind nicht freigegeben.

Die verschiedenen Dienste sind anhand der vier Datenklassifizierungen eingestuft.

=== Öffentlich ===

* Freigabe nur von öffentlichen eingestuften Materialien zu Marketingzwecken

=== Intern ===

* Eine Risikoanalyse muss erfolgen
* Die Administratoren müssen ausreichend vertrauenswürdig und bekannt sein.

=== Vertraulich ===

* Der Dienstanbieter muss vertrauenswürdig sein. Beispielsweise durch eine TISAX Zertifizierung
* Der Transport muss verschlüsselt sein
* Der Dienst muss eine starke Authentifizierung oder wirksame alternativen unterstützen
* Die Server müssen innerhalb der EU liegen
* Mandantentrennung muss gewährleistet sein
* Es muss eine Ausstiegsstrategie geben, welche vorgibt wie Parasol Island die Verträge beenden kann ohne dass Vertraulichkeit und Verfügbarkeit gefährdet sind

=== Streng Vertraulich ===

* Ende zu Ende Verschlüsselung mit Schlüsselhoheit bei Parasol Island
* Streng Vertrauliche Informationen können auch über einen Vertraulichen Dienst ausgetauscht werden sofern die Informationen in einem Container Ende zu Ende verschlüsselt werden

== E-Mail-Verkehr ==

===Allgemein===
Bis zu einer Größe von 25 Megabyte lassen sich Anhänge mit E-Mails von Parasol Island aus versenden. Bei Anhängen über 5 Megabyte ist zu kontrollieren, ob das Postfach des Kommunikationspartners die Dateigröße annehmen kann. Dies funktioniert am besten mit einer kurzen Bestätigungsantwort auf die E-Mail.

Parasol Island besitzt keinen eigenen Mailserver. Daher ist die Transportverschlüsselung des E-Mail-Providers nicht ausreichend, um Informationen mit einer höheren Klassifizierung als intern zu versenden.

E-Mails mit vertraulichem Inhalt oder höherer Klassifizierung müssen Ende zu Ende verschlüsselt sein. Eine Verschlüsselung des Providers bietet keinen Ersatz, da dieser mitlesen kann.

Auch interne E-Mails gehen über das Internet, daher dürfen auch E-Mails der Mitarbeiter untereinander nicht unverschlüsselt sein.

Den Benutzern ist die Möglichkeit zu geben, Daten zu verschlüsseln. Auf Anfrage müssen ihnen Tools zur Verfügung gestellt werden.

===Anleitung zur Einrichtung der E-Mail-Verschlüsselung mit GPG===
(Asymmetrische Verschlüsslung)

Begriffserklärung:

*Die Passphrase ist ähnlich einem Passwort und nicht mit dem Schlüssel zu verwechseln. Mithilfe der Passphrase wird über komplizierte Mathematik ein Schlüsselpaar generiert. Die Schlüssel werden in Form einer Datei auf dem Computer gespeichert.
*Der Public Key wird benötigt, um E-Mails zu verschlüsseln. Er wird in Form einer Datei weitergegeben und darf öffentlich geteilt werden. Mit diesem Schlüssel lassen sich keine Daten entschlüsseln. Um eine Mail zu senden benötigt man also den Public Key des Empfängers, völlig unabhängig von den eigenen Schlüsseln.
*Der Private Key wird benutzt, um mit hilfe der Passphrase die E-Mail zu entschlüsseln. Er darf niemals geteilt werden und sollte gesichert werden, da beim Verlust alte E-Mails nicht mehr zu öffnen sind. Die Sicherung darf niemandem zugänglich sein.

Windows / Mac

*Das Google Plug-In '''Mailvelope''' ist zu installieren
*Ein Schlüsselpaar muss mit GPG Tools erstellt werden
**Am PC: Gnupg4Win
**Am Mac: Gpgtools

Verschlüsselung mit anderen Mailclients

Es gibt zahlreiche GPG-Lösungen für diverse Mailclients, die untereinander problemlos kompatibel sein sollten.

===Verschlüsselung mit S/MIME===
(Asymmetrische Verschlüsselung)

Eine elegantere Variante der Verschlüsselung sind S/MIME-Zertifikate. Das Prinzip ist dem GPG sehr ähnlich, nur dass hier anstatt mit Schlüsseln, mit Zertifikaten gearbeitet wird. Die öffentlichen Zertifikate werden von einem vertrauenswürdigen Anbieter verwaltet, die privaten Zertifikate können auf einer Smartcard vorliegen. Aufgrund der besseren Benutzerfreundlichkeit ist in Zukunft eine Einrichtung einer solchen Verschlüsselungsinfrastruktur anzustreben.

===Alternativlösung===
(Symmetrische Verschlüsselung)

Als Lösungsansatz für schnelle Handlungsfähigkeit kann eine verschlüsselte Datei per E-Mail oder Upload übertragen werden. Der Schlüssel ist dabei allerdings auf einem anderen sicheren Weg zu übertragen. Am besten ist dieser im Vorfeld bei einem direkten Gespräch zu vereinbaren oder gegebenenfalls in Teile aufzusplitten, um den Weg über unsichere Kommunikationsplattformen auf verschiedene Wege aufzuteilen (zum Beispiel Telefon, SMS).

Bei einer E-Mail mit verschlüsseltem Anhang ist der Inhalt trotzdem offen lesbar und sollte auf keinem Fall vertrauliche Informationen oder gar Schlüssel zu den angehängten Containern enthalten.

==Telefon==
Die Verletzung einer Vertraulichkeit über das Telefon (VOIP) ist zwar unwahrscheinlich, jedoch nicht auszuschließen. Daher ist auch der Austausch von vertraulichen oder streng vertraulichen Daten über das Telefon nicht sicher.

==Datencontainer==
Datencontainer lassen sich der symmetrischen Verschlüsselung zuordnen. Der Key ist dabei beiden Partnern bekannt und muss auf einem sicheren Weg ausgetauscht werden.

=== Veracrypt ===
Das Verschlüsselungstool Veracrypt zeichnet sich vor allem dadurch aus, dass ein Container mit definierter Größe vorangelegt wird und Inhalte in einem Container hinter „falschen Daten“ versteckt werden können. Veracrypt eignet sich vor allem zum Verschlüsseln ganzer Datenträger (mobile Festplatten, USB-Sticks etc.).

Die sicheren Algorithmen zur Verschlüsselung sind den Tabellen oben zu entnehmen.

Veracrypt verfügt über portable Versionen, welche auf einem USB-Stick mitgeliefert oder dem Kunden zur Verfügung gestellt werden können, ohne dies zu installieren.

Zum Ausführen werden allerdings lokale Administratorenrechte benötigt, da der Container als Laufwerk gemountet wird.

Der Administrator oder Informationssicherheitsbeauftragte helfen bei Bedarf beim Einrichten.

=== 7Zip ===
7Zip ist ein klassisches Komprimierungstool (ähnlich *.zip, *.rar) und verfügt neben der Kompression auch über Verschlüsselungsalgorithmen, welche beim Erstellen der Datei eingestellt werden können. Die sicheren Algorithmen zur Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

7Zip eignet sich vor allem für E-Mail-Anhänge. Leider gibt es derzeit keine offizielle Version für Apple Betriebssysteme.

==Kundeneigene Datenaustauschplattformen==
Viele Kunden in der Industrie besitzen aufgrund ihrer gut ausgebauten Infrastruktur bereits eigene Methoden für den Datenaustausch. Sofern diese als sicher eingestuft sind, ist die Vorgabe des Kunden in den meisten Fällen das geeignetste Mittel. Diese Methode eignet sich selbstverständlich nur im Datenaustausch mit dem entsprechenden Kunden selbst. Den Vorgaben des Kunden ist Folge zu leisten.

==Übersicht Matrix==
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder dem Parasol Island eigenem Filebeam versendet werden.
{| style="border-spacing:0,5;"
| style="background: #efefef;padding:0.176cm;" |
| style="background: #efefef;padding:0.176cm;" |'''Intern'''
| style="background: #efefef;padding:0.176cm;" |'''Vertraulich'''
| style="background: #efefef;padding:0.176cm;" |'''Streng Vertraulich'''
|-
| style="background: #efefef;padding:0.176cm;" |'''VOIP Telefonie'''
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
| style="background: #de9d9b;padding:0.176cm;" |Unsicher
| style="background: #de9d9b;padding:0.176cm;" |Unsicher
|-
| style="background: #efefef;padding:0.176cm;" |'''E-Mail (gehostet)'''
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
| style="background: #fce5a3;padding:0.176cm;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
| style="background: #fce5a3;padding:0.176cm;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
|-
| style="background: #efefef;padding:0.176cm;" |'''E-Mail'''

'''(GPG oder S/MIME)'''
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
|-
| style="background: #efefef;padding:0.176cm;" |'''Datenträger - Bote, Postversand, Courier'''
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
| style="background: #fce5a3;padding:0.176cm;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
| style="background: #fce5a3;padding:0.176cm;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
|-
| style="background: #efefef;padding:0.176cm;" |'''Andere Kundenplattformen'''
| style="background: #bcd6ac;padding:0.176cm;" |Sicher
| style="background: #fce5a3;padding:0.176cm;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
| style="background: #fce5a3;padding:0.176cm;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
|}
Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

Eine auflistung aller genutzten Cloud- und Übertragungsdienste und deren Sicherheitseinstufung findet sich im [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis ''(03_16)''].
[[Category:ISMS]]

03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch

2020-10-27T14:49:14Z

Justus Heinser: /* Übersicht Matrix */

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung / Scope==
Die Arbeitsanweisung zum Datenaustausch soll konkrete Vorgaben über die Nutzung von Wegen zum Austausch von Informationen und Daten geben.

Risiken und Umgehungsmaßnahmen werden konkret vorgegeben, um den Mitarbeitern eine einfache und praktikable Möglichkeit an die Hand zu geben, um Informationen sicher zu versenden und zu empfangen.

Die Voraussetzung für eine sichere Übertragung ist die vorherige Klassifizierung der Information. Diese hat gemäß der [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeinen Sicherheitsrichtlinie ''(02_01)'']] stattzufinden.

Die Inhalte dieser Arbeitsanweisung sind verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen automatisch ungültig.

==Allgemeines==

===Verfügbarkeit===
Ein Transport von Informationen ist gleichzeitig auch immer ein potenzielles Verlustrisiko, daher sind Daten niemals ohne redundante Kopie auf den lokalen Systemen zu versenden. Der Erhalt der Daten ist vom Kommunikationspartner zu bestätigen. Nachdem die Daten nicht mehr benötigt werden, sind diese sachgerecht zu vernichten. Siehe auch [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Sicherheitsrichtlinie. ''(02_01)'']]

===Verschlüsselung===
Vertrauliche und streng vertrauliche Daten sind in jedem Fall für die Datenübertragung zu verschlüsseln. Ein Versand dieser Vertraulichkeitsstufen ohne Verschlüsselung ist ausgeschlossen. Die sicheren Verschlüsselungsmethoden finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']]. Dienste, die von sich aus eine sichere Verschlüsselung mitbringen, sind vorzugsweise zu benutzen.

=== Authentifizierung ===
Es ist sicherzustellen, dass ausgetauschte Informationen ausschließlich vom vorgesehenen Empfänger zu sehen sind. Dies gilt sowohl für Versand von Datenträgern (Einschreiben, Verschlüsselter Container mit separat getauschtem Passwort) als auch für Clouddienste (Individuelle Useraccounts, individuelle Gästeaccounts, nach Möglichkeit starke Authentifizierung).

=== Versand ===
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen (bis 34 MB) empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder Parasol Filebeam versendet werden.

Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie (03_05)]].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

==Das IT-Dienstverzeichnis==
Im separaten [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstleisterverzeichnis ''(03_16)''] gibt es eine Übersicht der Dienste, die für den Datenaustausch genutzt werden dürfen. Dienste, die nicht auf der Liste stehen sind nicht freigegeben.

Die verschiedenen Dienste sind anhand der vier Datenklassifizierungen eingestuft.

=== Öffentlich ===

* Freigabe nur von öffentlichen eingestuften Materialien zu Marketingzwecken

=== Intern ===

* Eine Risikoanalyse muss erfolgen
* Die Administratoren müssen ausreichend vertrauenswürdig und bekannt sein.

=== Vertraulich ===

* Der Dienstanbieter muss vertrauenswürdig sein. Beispielsweise durch eine TISAX Zertifizierung
* Der Transport muss verschlüsselt sein
* Der Dienst muss eine starke Authentifizierung oder wirksame alternativen unterstützen
* Die Server müssen innerhalb der EU liegen
* Mandantentrennung muss gewährleistet sein
* Es muss eine Ausstiegsstrategie geben, welche vorgibt wie Parasol Island die Verträge beenden kann ohne dass Vertraulichkeit und Verfügbarkeit gefährdet sind

=== Streng Vertraulich ===

* Ende zu Ende Verschlüsselung mit Schlüsselhoheit bei Parasol Island
* Streng Vertrauliche Informationen können auch über einen Vertraulichen Dienst ausgetauscht werden sofern die Informationen in einem Container Ende zu Ende verschlüsselt werden

== E-Mail-Verkehr ==

===Allgemein===
Bis zu einer Größe von 25 Megabyte lassen sich Anhänge mit E-Mails von Parasol Island aus versenden. Bei Anhängen über 5 Megabyte ist zu kontrollieren, ob das Postfach des Kommunikationspartners die Dateigröße annehmen kann. Dies funktioniert am besten mit einer kurzen Bestätigungsantwort auf die E-Mail.

Parasol Island besitzt keinen eigenen Mailserver. Daher ist die Transportverschlüsselung des E-Mail-Providers nicht ausreichend, um Informationen mit einer höheren Klassifizierung als intern zu versenden.

E-Mails mit vertraulichem Inhalt oder höherer Klassifizierung müssen Ende zu Ende verschlüsselt sein. Eine Verschlüsselung des Providers bietet keinen Ersatz, da dieser mitlesen kann.

Auch interne E-Mails gehen über das Internet, daher dürfen auch E-Mails der Mitarbeiter untereinander nicht unverschlüsselt sein.

Den Benutzern ist die Möglichkeit zu geben, Daten zu verschlüsseln. Auf Anfrage müssen ihnen Tools zur Verfügung gestellt werden.

===Anleitung zur Einrichtung der E-Mail-Verschlüsselung mit GPG===
(Asymmetrische Verschlüsslung)

Begriffserklärung:

*Die Passphrase ist ähnlich einem Passwort und nicht mit dem Schlüssel zu verwechseln. Mithilfe der Passphrase wird über komplizierte Mathematik ein Schlüsselpaar generiert. Die Schlüssel werden in Form einer Datei auf dem Computer gespeichert.
*Der Public Key wird benötigt, um E-Mails zu verschlüsseln. Er wird in Form einer Datei weitergegeben und darf öffentlich geteilt werden. Mit diesem Schlüssel lassen sich keine Daten entschlüsseln. Um eine Mail zu senden benötigt man also den Public Key des Empfängers, völlig unabhängig von den eigenen Schlüsseln.
*Der Private Key wird benutzt, um mit hilfe der Passphrase die E-Mail zu entschlüsseln. Er darf niemals geteilt werden und sollte gesichert werden, da beim Verlust alte E-Mails nicht mehr zu öffnen sind. Die Sicherung darf niemandem zugänglich sein.

Windows / Mac

*Das Google Plug-In '''Mailvelope''' ist zu installieren
*Ein Schlüsselpaar muss mit GPG Tools erstellt werden
**Am PC: Gnupg4Win
**Am Mac: Gpgtools

Verschlüsselung mit anderen Mailclients

Es gibt zahlreiche GPG-Lösungen für diverse Mailclients, die untereinander problemlos kompatibel sein sollten.

===Verschlüsselung mit S/MIME===
(Asymmetrische Verschlüsselung)

Eine elegantere Variante der Verschlüsselung sind S/MIME-Zertifikate. Das Prinzip ist dem GPG sehr ähnlich, nur dass hier anstatt mit Schlüsseln, mit Zertifikaten gearbeitet wird. Die öffentlichen Zertifikate werden von einem vertrauenswürdigen Anbieter verwaltet, die privaten Zertifikate können auf einer Smartcard vorliegen. Aufgrund der besseren Benutzerfreundlichkeit ist in Zukunft eine Einrichtung einer solchen Verschlüsselungsinfrastruktur anzustreben.

===Alternativlösung===
(Symmetrische Verschlüsselung)

Als Lösungsansatz für schnelle Handlungsfähigkeit kann eine verschlüsselte Datei per E-Mail oder Upload übertragen werden. Der Schlüssel ist dabei allerdings auf einem anderen sicheren Weg zu übertragen. Am besten ist dieser im Vorfeld bei einem direkten Gespräch zu vereinbaren oder gegebenenfalls in Teile aufzusplitten, um den Weg über unsichere Kommunikationsplattformen auf verschiedene Wege aufzuteilen (zum Beispiel Telefon, SMS).

Bei einer E-Mail mit verschlüsseltem Anhang ist der Inhalt trotzdem offen lesbar und sollte auf keinem Fall vertrauliche Informationen oder gar Schlüssel zu den angehängten Containern enthalten.

==Telefon==
Die Verletzung einer Vertraulichkeit über das Telefon (VOIP) ist zwar unwahrscheinlich, jedoch nicht auszuschließen. Daher ist auch der Austausch von vertraulichen oder streng vertraulichen Daten über das Telefon nicht sicher.

==Datencontainer==
Datencontainer lassen sich der symmetrischen Verschlüsselung zuordnen. Der Key ist dabei beiden Partnern bekannt und muss auf einem sicheren Weg ausgetauscht werden.

=== Veracrypt ===
Das Verschlüsselungstool Veracrypt zeichnet sich vor allem dadurch aus, dass ein Container mit definierter Größe vorangelegt wird und Inhalte in einem Container hinter „falschen Daten“ versteckt werden können. Veracrypt eignet sich vor allem zum Verschlüsseln ganzer Datenträger (mobile Festplatten, USB-Sticks etc.).

Die sicheren Algorithmen zur Verschlüsselung sind den Tabellen oben zu entnehmen.

Veracrypt verfügt über portable Versionen, welche auf einem USB-Stick mitgeliefert oder dem Kunden zur Verfügung gestellt werden können, ohne dies zu installieren.

Zum Ausführen werden allerdings lokale Administratorenrechte benötigt, da der Container als Laufwerk gemountet wird.

Der Administrator oder Informationssicherheitsbeauftragte helfen bei Bedarf beim Einrichten.

=== 7Zip ===
7Zip ist ein klassisches Komprimierungstool (ähnlich *.zip, *.rar) und verfügt neben der Kompression auch über Verschlüsselungsalgorithmen, welche beim Erstellen der Datei eingestellt werden können. Die sicheren Algorithmen zur Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

7Zip eignet sich vor allem für E-Mail-Anhänge. Leider gibt es derzeit keine offizielle Version für Apple Betriebssysteme.

==Kundeneigene Datenaustauschplattformen==
Viele Kunden in der Industrie besitzen aufgrund ihrer gut ausgebauten Infrastruktur bereits eigene Methoden für den Datenaustausch. Sofern diese als sicher eingestuft sind, ist die Vorgabe des Kunden in den meisten Fällen das geeignetste Mittel. Diese Methode eignet sich selbstverständlich nur im Datenaustausch mit dem entsprechenden Kunden selbst. Den Vorgaben des Kunden ist Folge zu leisten.

==Übersicht Matrix==
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder dem Parasol Island eigenem Filebeam versendet werden.
{| style="border-spacing:0,5;"
| style="background: #efefef;" |
| style="background: #efefef;" |'''Intern'''
| style="background: #efefef;" |'''Vertraulich'''
| style="background: #efefef;" |'''Streng Vertraulich'''
|-
| style="background: #efefef;" |'''VOIP Telefonie'''
| style="background: #bcd6ac;" |Sicher
| style="background: #de9d9b;" |Unsicher
| style="background: #de9d9b;" |Unsicher
|-
| style="background: #efefef;" |'''E-Mail (gehostet)'''
| style="background: #bcd6ac;" |Sicher
| style="background: #fce5a3;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
| style="background: #fce5a3;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
|-
| style="background: #efefef;" |'''E-Mail'''

'''(GPG oder S/MIME)'''
| style="background: #bcd6ac;" |Sicher
| style="background: #bcd6ac;" |Sicher
| style="background: #bcd6ac;" |Sicher
|-
| style="background: #efefef;" |'''Datenträger - Bote, Postversand, Courier'''
| style="background: #bcd6ac;" |Sicher
| style="background: #fce5a3;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
| style="background: #fce5a3;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
|-
| style="background: #efefef;" |'''Andere Kundenplattformen'''
| style="background: #bcd6ac;" |Sicher
| style="background: #fce5a3;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
| style="background: #fce5a3;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
|}
Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

Eine auflistung aller genutzten Cloud- und Übertragungsdienste und deren Sicherheitseinstufung findet sich im [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis ''(03_16)''].
[[Category:ISMS]]

03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch

2020-10-27T14:48:26Z

Justus Heinser: /* Übersicht Matrix */

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung / Scope==
Die Arbeitsanweisung zum Datenaustausch soll konkrete Vorgaben über die Nutzung von Wegen zum Austausch von Informationen und Daten geben.

Risiken und Umgehungsmaßnahmen werden konkret vorgegeben, um den Mitarbeitern eine einfache und praktikable Möglichkeit an die Hand zu geben, um Informationen sicher zu versenden und zu empfangen.

Die Voraussetzung für eine sichere Übertragung ist die vorherige Klassifizierung der Information. Diese hat gemäß der [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeinen Sicherheitsrichtlinie ''(02_01)'']] stattzufinden.

Die Inhalte dieser Arbeitsanweisung sind verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen automatisch ungültig.

==Allgemeines==

===Verfügbarkeit===
Ein Transport von Informationen ist gleichzeitig auch immer ein potenzielles Verlustrisiko, daher sind Daten niemals ohne redundante Kopie auf den lokalen Systemen zu versenden. Der Erhalt der Daten ist vom Kommunikationspartner zu bestätigen. Nachdem die Daten nicht mehr benötigt werden, sind diese sachgerecht zu vernichten. Siehe auch [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Sicherheitsrichtlinie. ''(02_01)'']]

===Verschlüsselung===
Vertrauliche und streng vertrauliche Daten sind in jedem Fall für die Datenübertragung zu verschlüsseln. Ein Versand dieser Vertraulichkeitsstufen ohne Verschlüsselung ist ausgeschlossen. Die sicheren Verschlüsselungsmethoden finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']]. Dienste, die von sich aus eine sichere Verschlüsselung mitbringen, sind vorzugsweise zu benutzen.

=== Authentifizierung ===
Es ist sicherzustellen, dass ausgetauschte Informationen ausschließlich vom vorgesehenen Empfänger zu sehen sind. Dies gilt sowohl für Versand von Datenträgern (Einschreiben, Verschlüsselter Container mit separat getauschtem Passwort) als auch für Clouddienste (Individuelle Useraccounts, individuelle Gästeaccounts, nach Möglichkeit starke Authentifizierung).

=== Versand ===
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen (bis 34 MB) empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder Parasol Filebeam versendet werden.

Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie (03_05)]].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

==Das IT-Dienstverzeichnis==
Im separaten [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstleisterverzeichnis ''(03_16)''] gibt es eine Übersicht der Dienste, die für den Datenaustausch genutzt werden dürfen. Dienste, die nicht auf der Liste stehen sind nicht freigegeben.

Die verschiedenen Dienste sind anhand der vier Datenklassifizierungen eingestuft.

=== Öffentlich ===

* Freigabe nur von öffentlichen eingestuften Materialien zu Marketingzwecken

=== Intern ===

* Eine Risikoanalyse muss erfolgen
* Die Administratoren müssen ausreichend vertrauenswürdig und bekannt sein.

=== Vertraulich ===

* Der Dienstanbieter muss vertrauenswürdig sein. Beispielsweise durch eine TISAX Zertifizierung
* Der Transport muss verschlüsselt sein
* Der Dienst muss eine starke Authentifizierung oder wirksame alternativen unterstützen
* Die Server müssen innerhalb der EU liegen
* Mandantentrennung muss gewährleistet sein
* Es muss eine Ausstiegsstrategie geben, welche vorgibt wie Parasol Island die Verträge beenden kann ohne dass Vertraulichkeit und Verfügbarkeit gefährdet sind

=== Streng Vertraulich ===

* Ende zu Ende Verschlüsselung mit Schlüsselhoheit bei Parasol Island
* Streng Vertrauliche Informationen können auch über einen Vertraulichen Dienst ausgetauscht werden sofern die Informationen in einem Container Ende zu Ende verschlüsselt werden

== E-Mail-Verkehr ==

===Allgemein===
Bis zu einer Größe von 25 Megabyte lassen sich Anhänge mit E-Mails von Parasol Island aus versenden. Bei Anhängen über 5 Megabyte ist zu kontrollieren, ob das Postfach des Kommunikationspartners die Dateigröße annehmen kann. Dies funktioniert am besten mit einer kurzen Bestätigungsantwort auf die E-Mail.

Parasol Island besitzt keinen eigenen Mailserver. Daher ist die Transportverschlüsselung des E-Mail-Providers nicht ausreichend, um Informationen mit einer höheren Klassifizierung als intern zu versenden.

E-Mails mit vertraulichem Inhalt oder höherer Klassifizierung müssen Ende zu Ende verschlüsselt sein. Eine Verschlüsselung des Providers bietet keinen Ersatz, da dieser mitlesen kann.

Auch interne E-Mails gehen über das Internet, daher dürfen auch E-Mails der Mitarbeiter untereinander nicht unverschlüsselt sein.

Den Benutzern ist die Möglichkeit zu geben, Daten zu verschlüsseln. Auf Anfrage müssen ihnen Tools zur Verfügung gestellt werden.

===Anleitung zur Einrichtung der E-Mail-Verschlüsselung mit GPG===
(Asymmetrische Verschlüsslung)

Begriffserklärung:

*Die Passphrase ist ähnlich einem Passwort und nicht mit dem Schlüssel zu verwechseln. Mithilfe der Passphrase wird über komplizierte Mathematik ein Schlüsselpaar generiert. Die Schlüssel werden in Form einer Datei auf dem Computer gespeichert.
*Der Public Key wird benötigt, um E-Mails zu verschlüsseln. Er wird in Form einer Datei weitergegeben und darf öffentlich geteilt werden. Mit diesem Schlüssel lassen sich keine Daten entschlüsseln. Um eine Mail zu senden benötigt man also den Public Key des Empfängers, völlig unabhängig von den eigenen Schlüsseln.
*Der Private Key wird benutzt, um mit hilfe der Passphrase die E-Mail zu entschlüsseln. Er darf niemals geteilt werden und sollte gesichert werden, da beim Verlust alte E-Mails nicht mehr zu öffnen sind. Die Sicherung darf niemandem zugänglich sein.

Windows / Mac

*Das Google Plug-In '''Mailvelope''' ist zu installieren
*Ein Schlüsselpaar muss mit GPG Tools erstellt werden
**Am PC: Gnupg4Win
**Am Mac: Gpgtools

Verschlüsselung mit anderen Mailclients

Es gibt zahlreiche GPG-Lösungen für diverse Mailclients, die untereinander problemlos kompatibel sein sollten.

===Verschlüsselung mit S/MIME===
(Asymmetrische Verschlüsselung)

Eine elegantere Variante der Verschlüsselung sind S/MIME-Zertifikate. Das Prinzip ist dem GPG sehr ähnlich, nur dass hier anstatt mit Schlüsseln, mit Zertifikaten gearbeitet wird. Die öffentlichen Zertifikate werden von einem vertrauenswürdigen Anbieter verwaltet, die privaten Zertifikate können auf einer Smartcard vorliegen. Aufgrund der besseren Benutzerfreundlichkeit ist in Zukunft eine Einrichtung einer solchen Verschlüsselungsinfrastruktur anzustreben.

===Alternativlösung===
(Symmetrische Verschlüsselung)

Als Lösungsansatz für schnelle Handlungsfähigkeit kann eine verschlüsselte Datei per E-Mail oder Upload übertragen werden. Der Schlüssel ist dabei allerdings auf einem anderen sicheren Weg zu übertragen. Am besten ist dieser im Vorfeld bei einem direkten Gespräch zu vereinbaren oder gegebenenfalls in Teile aufzusplitten, um den Weg über unsichere Kommunikationsplattformen auf verschiedene Wege aufzuteilen (zum Beispiel Telefon, SMS).

Bei einer E-Mail mit verschlüsseltem Anhang ist der Inhalt trotzdem offen lesbar und sollte auf keinem Fall vertrauliche Informationen oder gar Schlüssel zu den angehängten Containern enthalten.

==Telefon==
Die Verletzung einer Vertraulichkeit über das Telefon (VOIP) ist zwar unwahrscheinlich, jedoch nicht auszuschließen. Daher ist auch der Austausch von vertraulichen oder streng vertraulichen Daten über das Telefon nicht sicher.

==Datencontainer==
Datencontainer lassen sich der symmetrischen Verschlüsselung zuordnen. Der Key ist dabei beiden Partnern bekannt und muss auf einem sicheren Weg ausgetauscht werden.

=== Veracrypt ===
Das Verschlüsselungstool Veracrypt zeichnet sich vor allem dadurch aus, dass ein Container mit definierter Größe vorangelegt wird und Inhalte in einem Container hinter „falschen Daten“ versteckt werden können. Veracrypt eignet sich vor allem zum Verschlüsseln ganzer Datenträger (mobile Festplatten, USB-Sticks etc.).

Die sicheren Algorithmen zur Verschlüsselung sind den Tabellen oben zu entnehmen.

Veracrypt verfügt über portable Versionen, welche auf einem USB-Stick mitgeliefert oder dem Kunden zur Verfügung gestellt werden können, ohne dies zu installieren.

Zum Ausführen werden allerdings lokale Administratorenrechte benötigt, da der Container als Laufwerk gemountet wird.

Der Administrator oder Informationssicherheitsbeauftragte helfen bei Bedarf beim Einrichten.

=== 7Zip ===
7Zip ist ein klassisches Komprimierungstool (ähnlich *.zip, *.rar) und verfügt neben der Kompression auch über Verschlüsselungsalgorithmen, welche beim Erstellen der Datei eingestellt werden können. Die sicheren Algorithmen zur Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

7Zip eignet sich vor allem für E-Mail-Anhänge. Leider gibt es derzeit keine offizielle Version für Apple Betriebssysteme.

==Kundeneigene Datenaustauschplattformen==
Viele Kunden in der Industrie besitzen aufgrund ihrer gut ausgebauten Infrastruktur bereits eigene Methoden für den Datenaustausch. Sofern diese als sicher eingestuft sind, ist die Vorgabe des Kunden in den meisten Fällen das geeignetste Mittel. Diese Methode eignet sich selbstverständlich nur im Datenaustausch mit dem entsprechenden Kunden selbst. Den Vorgaben des Kunden ist Folge zu leisten.

==Übersicht Matrix==
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder dem Parasol Island eigenem Filebeam versendet werden.
{| class="wikitable"
| style="background: #efefef;" |
| style="background: #efefef;" |'''Intern'''
| style="background: #efefef;" |'''Vertraulich'''
| style="background: #efefef;" |'''Streng Vertraulich'''
|-
| style="background: #efefef;" |'''VOIP Telefonie'''
| style="background: #bcd6ac;" |Sicher
| style="background: #de9d9b;" |Unsicher
| style="background: #de9d9b;" |Unsicher
|-
| style="background: #efefef;" |'''E-Mail (gehostet)'''
| style="background: #bcd6ac;" |Sicher
| style="background: #fce5a3;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
| style="background: #fce5a3;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
|-
| style="background: #efefef;" |'''E-Mail'''

'''(GPG oder S/MIME)'''
| style="background: #bcd6ac;" |Sicher
| style="background: #bcd6ac;" |Sicher
| style="background: #bcd6ac;" |Sicher
|-
| style="background: #efefef;" |'''Datenträger - Bote, Postversand, Courier'''
| style="background: #bcd6ac;" |Sicher
| style="background: #fce5a3;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
| style="background: #fce5a3;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
|-
| style="background: #efefef;" |'''Andere Kundenplattformen'''
| style="background: #bcd6ac;" |Sicher
| style="background: #fce5a3;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
| style="background: #fce5a3;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
|}
Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

Eine auflistung aller genutzten Cloud- und Übertragungsdienste und deren Sicherheitseinstufung findet sich im [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis ''(03_16)''].
[[Category:ISMS]]

03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch

2020-10-27T14:42:20Z

Justus Heinser: /* Allgemeines */

Zurück zur [[ISMS|ISMS Übersicht]]

==Einleitung / Scope==
Die Arbeitsanweisung zum Datenaustausch soll konkrete Vorgaben über die Nutzung von Wegen zum Austausch von Informationen und Daten geben.

Risiken und Umgehungsmaßnahmen werden konkret vorgegeben, um den Mitarbeitern eine einfache und praktikable Möglichkeit an die Hand zu geben, um Informationen sicher zu versenden und zu empfangen.

Die Voraussetzung für eine sichere Übertragung ist die vorherige Klassifizierung der Information. Diese hat gemäß der [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeinen Sicherheitsrichtlinie ''(02_01)'']] stattzufinden.

Die Inhalte dieser Arbeitsanweisung sind verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen automatisch ungültig.

==Allgemeines==

===Verfügbarkeit===
Ein Transport von Informationen ist gleichzeitig auch immer ein potenzielles Verlustrisiko, daher sind Daten niemals ohne redundante Kopie auf den lokalen Systemen zu versenden. Der Erhalt der Daten ist vom Kommunikationspartner zu bestätigen. Nachdem die Daten nicht mehr benötigt werden, sind diese sachgerecht zu vernichten. Siehe auch [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Sicherheitsrichtlinie. ''(02_01)'']]

===Verschlüsselung===
Vertrauliche und streng vertrauliche Daten sind in jedem Fall für die Datenübertragung zu verschlüsseln. Ein Versand dieser Vertraulichkeitsstufen ohne Verschlüsselung ist ausgeschlossen. Die sicheren Verschlüsselungsmethoden finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']]. Dienste, die von sich aus eine sichere Verschlüsselung mitbringen, sind vorzugsweise zu benutzen.

=== Authentifizierung ===
Es ist sicherzustellen, dass ausgetauschte Informationen ausschließlich vom vorgesehenen Empfänger zu sehen sind. Dies gilt sowohl für Versand von Datenträgern (Einschreiben, Verschlüsselter Container mit separat getauschtem Passwort) als auch für Clouddienste (Individuelle Useraccounts, individuelle Gästeaccounts, nach Möglichkeit starke Authentifizierung).

=== Versand ===
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen (bis 34 MB) empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder Parasol Filebeam versendet werden.

Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie (03_05)]].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

==Das IT-Dienstverzeichnis==
Im separaten [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstleisterverzeichnis ''(03_16)''] gibt es eine Übersicht der Dienste, die für den Datenaustausch genutzt werden dürfen. Dienste, die nicht auf der Liste stehen sind nicht freigegeben.

Die verschiedenen Dienste sind anhand der vier Datenklassifizierungen eingestuft.

=== Öffentlich ===

* Freigabe nur von öffentlichen eingestuften Materialien zu Marketingzwecken

=== Intern ===

* Eine Risikoanalyse muss erfolgen
* Die Administratoren müssen ausreichend vertrauenswürdig und bekannt sein.

=== Vertraulich ===

* Der Dienstanbieter muss vertrauenswürdig sein. Beispielsweise durch eine TISAX Zertifizierung
* Der Transport muss verschlüsselt sein
* Der Dienst muss eine starke Authentifizierung oder wirksame alternativen unterstützen
* Die Server müssen innerhalb der EU liegen
* Mandantentrennung muss gewährleistet sein
* Es muss eine Ausstiegsstrategie geben, welche vorgibt wie Parasol Island die Verträge beenden kann ohne dass Vertraulichkeit und Verfügbarkeit gefährdet sind

=== Streng Vertraulich ===

* Ende zu Ende Verschlüsselung mit Schlüsselhoheit bei Parasol Island
* Streng Vertrauliche Informationen können auch über einen Vertraulichen Dienst ausgetauscht werden sofern die Informationen in einem Container Ende zu Ende verschlüsselt werden

== E-Mail-Verkehr ==

===Allgemein===
Bis zu einer Größe von 25 Megabyte lassen sich Anhänge mit E-Mails von Parasol Island aus versenden. Bei Anhängen über 5 Megabyte ist zu kontrollieren, ob das Postfach des Kommunikationspartners die Dateigröße annehmen kann. Dies funktioniert am besten mit einer kurzen Bestätigungsantwort auf die E-Mail.

Parasol Island besitzt keinen eigenen Mailserver. Daher ist die Transportverschlüsselung des E-Mail-Providers nicht ausreichend, um Informationen mit einer höheren Klassifizierung als intern zu versenden.

E-Mails mit vertraulichem Inhalt oder höherer Klassifizierung müssen Ende zu Ende verschlüsselt sein. Eine Verschlüsselung des Providers bietet keinen Ersatz, da dieser mitlesen kann.

Auch interne E-Mails gehen über das Internet, daher dürfen auch E-Mails der Mitarbeiter untereinander nicht unverschlüsselt sein.

Den Benutzern ist die Möglichkeit zu geben, Daten zu verschlüsseln. Auf Anfrage müssen ihnen Tools zur Verfügung gestellt werden.

===Anleitung zur Einrichtung der E-Mail-Verschlüsselung mit GPG===
(Asymmetrische Verschlüsslung)

Begriffserklärung:

*Die Passphrase ist ähnlich einem Passwort und nicht mit dem Schlüssel zu verwechseln. Mithilfe der Passphrase wird über komplizierte Mathematik ein Schlüsselpaar generiert. Die Schlüssel werden in Form einer Datei auf dem Computer gespeichert.
*Der Public Key wird benötigt, um E-Mails zu verschlüsseln. Er wird in Form einer Datei weitergegeben und darf öffentlich geteilt werden. Mit diesem Schlüssel lassen sich keine Daten entschlüsseln. Um eine Mail zu senden benötigt man also den Public Key des Empfängers, völlig unabhängig von den eigenen Schlüsseln.
*Der Private Key wird benutzt, um mit hilfe der Passphrase die E-Mail zu entschlüsseln. Er darf niemals geteilt werden und sollte gesichert werden, da beim Verlust alte E-Mails nicht mehr zu öffnen sind. Die Sicherung darf niemandem zugänglich sein.

Windows / Mac

*Das Google Plug-In '''Mailvelope''' ist zu installieren
*Ein Schlüsselpaar muss mit GPG Tools erstellt werden
**Am PC: Gnupg4Win
**Am Mac: Gpgtools

Verschlüsselung mit anderen Mailclients

Es gibt zahlreiche GPG-Lösungen für diverse Mailclients, die untereinander problemlos kompatibel sein sollten.

===Verschlüsselung mit S/MIME===
(Asymmetrische Verschlüsselung)

Eine elegantere Variante der Verschlüsselung sind S/MIME-Zertifikate. Das Prinzip ist dem GPG sehr ähnlich, nur dass hier anstatt mit Schlüsseln, mit Zertifikaten gearbeitet wird. Die öffentlichen Zertifikate werden von einem vertrauenswürdigen Anbieter verwaltet, die privaten Zertifikate können auf einer Smartcard vorliegen. Aufgrund der besseren Benutzerfreundlichkeit ist in Zukunft eine Einrichtung einer solchen Verschlüsselungsinfrastruktur anzustreben.

===Alternativlösung===
(Symmetrische Verschlüsselung)

Als Lösungsansatz für schnelle Handlungsfähigkeit kann eine verschlüsselte Datei per E-Mail oder Upload übertragen werden. Der Schlüssel ist dabei allerdings auf einem anderen sicheren Weg zu übertragen. Am besten ist dieser im Vorfeld bei einem direkten Gespräch zu vereinbaren oder gegebenenfalls in Teile aufzusplitten, um den Weg über unsichere Kommunikationsplattformen auf verschiedene Wege aufzuteilen (zum Beispiel Telefon, SMS).

Bei einer E-Mail mit verschlüsseltem Anhang ist der Inhalt trotzdem offen lesbar und sollte auf keinem Fall vertrauliche Informationen oder gar Schlüssel zu den angehängten Containern enthalten.

==Telefon==
Die Verletzung einer Vertraulichkeit über das Telefon (VOIP) ist zwar unwahrscheinlich, jedoch nicht auszuschließen. Daher ist auch der Austausch von vertraulichen oder streng vertraulichen Daten über das Telefon nicht sicher.

==Datencontainer==
Datencontainer lassen sich der symmetrischen Verschlüsselung zuordnen. Der Key ist dabei beiden Partnern bekannt und muss auf einem sicheren Weg ausgetauscht werden.

=== Veracrypt ===
Das Verschlüsselungstool Veracrypt zeichnet sich vor allem dadurch aus, dass ein Container mit definierter Größe vorangelegt wird und Inhalte in einem Container hinter „falschen Daten“ versteckt werden können. Veracrypt eignet sich vor allem zum Verschlüsseln ganzer Datenträger (mobile Festplatten, USB-Sticks etc.).

Die sicheren Algorithmen zur Verschlüsselung sind den Tabellen oben zu entnehmen.

Veracrypt verfügt über portable Versionen, welche auf einem USB-Stick mitgeliefert oder dem Kunden zur Verfügung gestellt werden können, ohne dies zu installieren.

Zum Ausführen werden allerdings lokale Administratorenrechte benötigt, da der Container als Laufwerk gemountet wird.

Der Administrator oder Informationssicherheitsbeauftragte helfen bei Bedarf beim Einrichten.

=== 7Zip ===
7Zip ist ein klassisches Komprimierungstool (ähnlich *.zip, *.rar) und verfügt neben der Kompression auch über Verschlüsselungsalgorithmen, welche beim Erstellen der Datei eingestellt werden können. Die sicheren Algorithmen zur Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

7Zip eignet sich vor allem für E-Mail-Anhänge. Leider gibt es derzeit keine offizielle Version für Apple Betriebssysteme.

==Kundeneigene Datenaustauschplattformen==
Viele Kunden in der Industrie besitzen aufgrund ihrer gut ausgebauten Infrastruktur bereits eigene Methoden für den Datenaustausch. Sofern diese als sicher eingestuft sind, ist die Vorgabe des Kunden in den meisten Fällen das geeignetste Mittel. Diese Methode eignet sich selbstverständlich nur im Datenaustausch mit dem entsprechenden Kunden selbst. Den Vorgaben des Kunden ist Folge zu leisten.

==Übersicht Matrix==
Die Wahl des Übertragungssystems wird vor allem durch die Kooperation des Kommunikationspartners und der Datenmenge vorgegeben. Für kleinere Datenmengen empfiehlt sich eine verschlüsselte E-Mail oder eine E-Mail mit verschlüsseltem Anhang. Datenmengen darüber müssen über kundeneigene Plattformen oder dem Parasol Island eigenem Filebeam versendet werden.
{| class="wikitable"
| style="background: #c8ccd1;" |
| style="background: #c8ccd1;" |'''Intern'''
| style="background: #c8ccd1;" |'''Vertraulich'''
| style="background: #c8ccd1;" |'''Streng Vertraulich'''
|-
| style="background: #c8ccd1;" |'''VOIP Telefonie'''
| style="background: #98FB98;" |Sicher
| style="background: #FA8072;" |Unsicher
| style="background: #FA8072;" |Unsicher
|-
| style="background: #c8ccd1;" |'''E-Mail (gehostet)'''
| style="background: #98FB98;" |Sicher
| style="background: #FFFFE0;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
| style="background: #FFFFE0;" |Unsicher

(Anhang sicher, wenn verschlüsselt)

Empfehlung: 7Zip
|-
| style="background: #c8ccd1;" |'''E-Mail'''

'''(GPG oder S/MIME)'''
| style="background: #98FB98;" |Sicher
| style="background: #98FB98;" |Sicher
| style="background: #98FB98;" |Sicher
|-
| style="background: #c8ccd1;" |'''Datenträger - Bote, Postversand, Courier'''
| style="background: #98FB98;" |Sicher
| style="background: #FFFFE0;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
| style="background: #FFFFE0;" |Sicher, wenn verschlüsselt Empfehlung: Veracrypt
|-
| style="background: #c8ccd1;" |'''Andere Kundenplattformen'''
| style="background: #98FB98;" |Sicher
| style="background: #FFFFE0;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
| style="background: #FFFFE0;" |Unklar, Absprache mit Kunden notwendig, im Zweifel verschlüsseln
|}
Die Liste der sicheren Algorithmen für Verschlüsselung finden sich in der [[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zu Authentifizierung und Kryptografie ''(03_05)'']].

Die Schlüssel einer symmetrischen Verschlüsselung dürfen nicht auf demselben Wege wie die verschlüsselten Informationen übertragen werden.

Eine auflistung aller genutzten Cloud- und Übertragungsdienste und deren Sicherheitseinstufung findet sich im [https://docs.google.com/spreadsheets/d/1PRk0YsfQzQaeDouOlBL9IDICC586YODwRDe79v0IYbA/edit?usp=sharing IT-Dienstverzeichnis ''(03_16)''].
[[Category:ISMS]]

03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen

2020-10-27T14:28:26Z

Justus Heinser:

Zurück zur [[ISMS|ISMS Übersicht]]

==Zielsetzung der Arbeitsanweisung==
Umgang und Klassifizierung mit und von Fremdfirmen – von der ersten Kontaktaufnahme bis zur ersten Projektabwicklung. Welche Schritte sind verbindlich einzuhalten um sicher zu stellen, dass alle definierten Grundlagen der Informationssicherheitsrichtlinien von den beauftragten Fremdfirmen eingehalten werden – vor allem hinsichtlich der Anforderungen Verfügbarkeit, Vertraulichkeit und Integrität.

==Grundsätze==
Ohne das Vorliegen einer Vertraulichkeits-/Geheimhaltungsvereinbarung zwischen Auftragnehmer und Parasol Island GmbH werden keine Zutritts-/Zugangs- und/oder Zugriffsberechtigungen erteilt.

Soweit Auftragnehmer Zutritts-/Zugangs- und/oder Zugriffsberechtigungen erhalten, sind diese nur im Rahmen der vereinbarten Aufgaben oder Tätigkeiten persönlich zu verwenden.

Bereitgestellte Informationen sowie Arbeitsergebnisse dürfen nicht bzw. nur nach schriftlicher Freigabe durch den autorisierten Mitarbeiter an Dritte weitergegeben werden.

Die Mitnahme von überlassenen Dokumenten, Arbeitsergebnissen, Datenträgern oder IT-Systemen außerhalb des Betriebsgeländes ist nur nach entsprechender schriftlicher Vereinbarung zulässig.

Der Anschluss von fremden mobilen Geräten (z. B. USB-Stick, externe Festplatten, etc.) an Parasol Island IT-Infrastruktur ist grundsätzlich untersagt. In Ausnahmenfällen – wenn dies zur Aufgabenerfüllung erforderlich ist – bedarf dies der schriftlichen Freigabe.

Schützenswerte Informationen, u. a. E-Mail-Adresse und andere personenbezogene Daten (DSGVO), dürfen unabhängig vom Kommunikationsweg nur im Rahmen der geschäftlichen Notwendigkeit genutzt/weitergegeben werden.

Das Urheberrecht muss im Bedarfsfall dokumentiert werden.

Auftragnehmer dürfen nur die Bereiche betreten, die zur Erfüllung ihrer Aufgaben erforderlich sind.

Auftragnehmer dürfen ohne Genehmigung durch den jeweiligen Verantwortlichen der IT kein Zugang zu IT- Systemen gewährt werden. Ausgenommen hiervon sind W-LAN Gast-Zugänge, die vom Koordinator beantragt werden können.

==Geheimhaltung==
Jeder Dienstleister unterzeichnet vor Projektbeginn die unter Anlage “04_PSL_ISMS_Freelance_Datengeheimnis” definierte Geheimhaltungsvereinbarung. Die Geheimhaltungserklärung wird spezifisch für ein Projekt erstellt und kann im Bedarfsfall ausgedehnt werden. Die Geheimhaltungerklärung ist als vertrauliches Dokument innerhalb der definierten Projektstruktur in den gesicherten Ablagebereichen abzulegen.

Diese Arbeitsanweisung gilt für alle Projekte, die als nicht vertraulich klassifiziert werden (Kriterien siehe Checkliste „Projektbewertung“).

Dienstleister, die an Projekte mitarbeiten, die den Status „vertraulich“ oder „streng vertraulich“ erhalten, werden um die Beantwortung eines Informationssicherheits-Fragebogens (siehe Dokument “[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing 04_PSL_ISMS_Checkliste_Dienstleister]”) gebeten (siehe Arbeitsanweisung 4)

==Fragebogen und AUDIT==
Im Falle einer bevorstehenden Beteiligung von Fremdfirmen an vertraulichen oder streng vertraulichen Projekten, ist ein Auditverfahren anzuwenden.

Der Fremdfirma wird eine Checkliste zugesendet. Hier sind alle wichtigen Fragen zur Informationssicherheit im Falle einer Projektbeteiligung bzw. Outsourcing von Projekten enthalten. Die Zusendung muss rechtzeitig vor Projektbeginn erfolgen, so dass die Fremdfirma Gelegenheit hat den Bogen rechtzeitig auszufüllen (mindestens 72 Stunden vor Projektbeginn).

Noch vor Beginn der eigentlichen Projektarbeit überprüft der Informationssicherheitsbeauftragte anhand der vorliegenden Checkliste die Angaben der Fremdfirma. Im Falle von fehlenden Angaben oder nicht zufriedenstellenden, erfolgt ein kurzfristiges Audit bei der Fremdfirma vor Ort, wiederum basierend auf der Checkliste.

Zusätzlich sind alle in der Richtlinie „Outsourcing“ definierten Punkte durch den Projektleiter oder den verantwortlichen Producer zu hinterfragen:

*Referenzen

*Kompetenz und Verfügbarkeit des Ansprechpartners
*Vertrauenswürdigkeit der Mitarbeiter
*Notfallplanung
*Zertifizierungen
*garantierte Verfügbarkeit (maximale Ausfallzeit)
*Sicherheitskonzept und Sicherheitsrichtlinien.

Auf Basis der Fragenliste und das Ergebnis der Checkliste wird vor Vergabe des Projektes die Vertrauenswürdigkeit des Anbieters eingestuft – und zwar in 3 Kategorien – Vertrauenswürdig ohne Einschränkungen (nahezu 100% der Checkliste erfüllt) – Vertrauenswürdig mit Einschränkungen (nur 75% der Checkliste erfüllt) und nicht geeignet für vertrauliche Daten (unter 75% der Checkliste erfüllt).

Alle Dienstleister, die wir bei größeren, als vertraulich gekennzeichneten Vorhaben einbinden, muss eine vor-Ort Besichtigung des Outsourcing-Dienstleisters erfolgen.

==Regelung der Zusammenarbeit==
Alle sehr vertraulichen Projekte können ausschließlich in den Räumlichkeiten der Parasol Island GmbH erfolgen, einzige Ausnahmen sind Projekte, die als „vertraulich“ klassifiziert worden sind.

Bei vertraulichen Projekten ist nur die Zuarbeit, nicht die Arbeit an vertraulich klassifizierten Teilbereichen des Projektes möglich.

Alle nicht vertraulichen Daten können unter Maßgabe der Geheimhaltung, Kundenschutz und Urheberschutz an den externen Dienstleister übergeben werden und müssen auch in diesem Falle nach Abwicklung des Projektes von diesem sicher gelöscht werden.

Vertrauliche Daten, wie z.B. 3D Daten des Herstellers werden grundsätzlich nur im Hause bearbeitet, jeder externe Dienstleister muss hierzu gesonderte Gast-Zugangsrechte erhalten.

Der interne Zugriff auf sehr vertrauliche Daten ist für jeden externen Dienstleister strikt untersagt und auch im Rahmen der Server Zugangsrechte nicht möglich.

Die einzige Möglichkeit des Datenzugriffes auf sehr verstrauliche Daten, ist der Zugang innerhalb eines Projekt-Teams nach dem 4- Augen Prinzip. Der interne Projektmitarbeiter überwacht den Zugriff zu jeder Zeit und das Projekt (wie z.B. die Umsetzung einer Prototypen Animation) wird mit dem externen Dienstleister gemeinsam in Form eines Teams umgesetzt. Eine unbeaufsichtigte Einzelbearbeitung ist nicht zulässig.

Hierzu ist folgendes zu berücksichtigen:

*Die Projektbearbeitung wird zu jeder Zeit überwacht

*3D Daten können aus dem gesicherten Bereich nur durch am Projekt beteiligte interne Mitarbeiter in die 3D Software geladen werden
*Die Bearbeitung erfolgt immer nur innerhalb der dezidierten Software
*Der externe Mitarbeiter wird zu jeder Zeit beaufsichtigt
*Nach Fertigstellung des Teilbereiches des Externen werden die Daten unmittelbar wieder im geschützten Serverbereich abgelegt, dies gilt für alle weiterführenden Daten, die Prototypeninformationen enthalten oder nutzen.

Diese Anweisungen sind für alle Mitarbeiter verbindliche anzuwenden, Ausnahmen sind nur möglich, nach schriftlicher Anweisung und Risikoabwägung durch die Geschäftsleitung.
[[Category:ISMS]]

03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen

2020-10-27T13:56:07Z

Justus Heinser: /* Grundsätze */

03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches

2020-10-27T13:52:27Z

Justus Heinser:

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel des Patchplans==
Der Patchplan soll die Anforderungen der Change Management Richtlinie konkret planen.

Er soll Checklisten für die Nutzer von IT-Systemen und besonders den Administrator bieten, um Sicherheitslücken schnellstmöglich zu schließen. Gleichzeitig ist es erforderlich, den laufenden Betrieb nicht übermäßig zu stören oder gar zu gefährden.

Daher ist es notwendig, Patches vorher zu planen und Absprache mit allen Abteilungen zu halten.

Bei Gefahr im Verzug gilt die Regel Sicherheit vor Verfügbarkeit, was bedeuten kann, dass Systeme zugunsten der Sicherheit zeitweise aus dem Betriebsablauf entfernt werden müssen, um Sicherheitslücken zu schließen.

Administratoren und Informationssicherheitsbeauftragter haben die Pflicht, sich durchgehend über mögliche Sicherheitslücken zu Informieren, um gegebenenfalls außerplanmäßige Updates zu veranlassen.

==Definitionen==
'''Server''' sind für den Dauerbetrieb bestimmt, sie werden allerdings nicht vom Benutzer selbst gesteuert. Durch die zentralisierte Datenspeicherung entsteht ein großes Risiko, welches regelmäßig auf das kleinstmögliche Niveau gebracht werden muss.

'''Workstations''' sind Arbeitsrechner, welche vom Benutzer gesteuert werden. Auf ihnen liegen keine Daten und die Zugriffsrechte sind eingeschränkt. Allerdings kann das Fehlverhalten von Nutzern hohe Risiken mit sich bringen, weshalb hier vor allem Sicherheitsschulungen für die Nutzer durchgeführt werden müssen. Durch die direkte Internetnutzung besteht zudem ein stark erhöhtes Risiko durch Schadsoftware.

Lokale Administratorrechte sind nur eingeschränkt zu vergeben und die Rechner sind stichprobenartig vom Administrator oder ISB zu kontrollieren.

Die Nutzer haben den Administrator in seiner Tätigkeit zu unterstützen, indem sie Updates selber durchführen, sofern ihnen das möglich ist, oder den Administrator zu informieren, sobald sicherheitsrelevante Software geupdatet werden kann.

'''Renderblades''' sind leistungsstarke Maschinen zum Verarbeiten von Daten. Sie werden nicht durch den Nutzer selbst gesteuert und auf ihnen liegen keine Daten, weshalb das Risiko kleiner ist als bei Servern.

'''Peripherie''' sind alle Geräte, welche zwar an unsere IT-Systeme angeschlossen sind, jedoch durch ihren Komplexitätsgrad und ihre Funktionsweise nur ein geringes Risiko darstellen. (z.B. Drucker, Switches, Telefone)

==Auflistung der zu patchenden Systeme==
{| class="wikitable"
!Name
!Typ
!Risiko
|-
|'''Domaincontroller'''
|Server
|Hoch
|-
|'''Fileserver'''
|Server
|Hoch
|-
|'''Linux-Server'''
|Server
|Hoch
|-
|'''Windows-Server'''
|Server
|Hoch
|-
|'''Windows Workstations'''
|Workstation
|Hoch
|-
|'''Mac Workstations'''
|Workstation
|Hoch
|-
|'''Mobilgeräte'''
|Workstation
|Hoch
|-
|'''Drucker'''
|Peripherie
|Gering
|-
|'''Switches'''
|Peripherie
|Gering
|-
|'''WLAN AccessPoints'''
|Peripherie
|Gering
|}

==Zu patchende Software auf Server==
Da die Server untereinander vernetzt sind, ist das Schließen von Sicherheitslücken nur so effektiv wie die schwächste Komponente, woraus folgt, dass alle Server mit höchster Priorität zu patchen sind.

Besondere Aufmerksamkeit erfordern:

*Betriebssystem

*Antivirus Software

Updates werden automatisch vom System heruntergeladen und installiert, müssen jedoch manuell neu gestartet werden.

Jedoch mindestens einmal im Monat sind die Server auf den Bedarf eines Neustartes zu kontrollieren und nach Absprache durchzuführen.

Dafür ist die erste Woche eines Monates festzuhalten. Es ist Rücksprache mit allen Abteilungsleitern zu halten um Rechenoperationen von zeitkritischen Projekten nicht zu gefährden. Bei Auffälligkeiten oder Bekanntwerden einer akuten Gefährdungslage ist ein Neustart sofort durchzuführen.

==Patches auf Workstations==
Updates des Virenscanners und des Betriebssystems werden automatisch installiert Besonders durch Internetnutzung ist eine erhöhte Gefährdung durch Schadsoftware anzunehmen und Virenscanner sind bei sofortigen Erscheinen von Patches zu aktualisieren.

Der erforderliche Neustart sollte wenn möglich unverzüglich ausgeführt werden, jedoch spätestens am Ende des Arbeitstages.

Software die direkt mit dem Internet benutzt wird, ist ebenso kritisch, wird jedoch nicht zentral verwaltet und erfordern daher eine Kontrolle an der Workstation selbst. Der Nutzer hat trotz automatischer Updates regelmäßig zu kontrollieren, dass seine Software nicht veraltet ist.

==Patches von Peripherie==
Peripherie ist nur selten Angriffsziel von Schadsoftware, das Risiko ist jedoch nicht auszuschließen. Daher ist eine regelmäßige Kontrolle auf neue Firmware-Updates erforderlich.

Einmal jährlich sollten Peripheriegeräte kontrolliert werden und wenn möglich Updates durchgeführt werden. Der Zeitpunkt ist so zu wählen, dass ein Ausfall des Systems kurzzeitig vertretbar ist. Bei den meisten Geräten empfiehlt sich, wenn möglich ein Backup der Settings oder ein vorheriges zu notieren.

==Patches von Grafiksoftware==
Die Gefahren von Sicherheitslücken in Grafiksoftware sind als sehr gering einzuschätzen, weshalb Updates nicht automatisch bezogen werden.

Die Gefahr von Inkompatibilität bei neueren Versionen ist hier relevanter, so dass diese Softwarepakete oder damit verbundene Plug-Ins nur nach vorheriger Planung, möglichst ohne Zeitdruck durchgeführt werden.

==Kontrolle über ESET==
Der Administrator kann zentral die Aktualität des Betriebssystems und der Virenscanner über ESET kontrollieren und Updates sowie Neustarts ausführen. Dies betrifft Server und Workstations gleichermaßen.

==Firewall==
Die Firewall aktualisiert sich bei Erscheinen von Patches automatisch, eine Einschränkung des Betriebsablaufes ist hierdurch nicht zu erwarten. Allerdings ist die Lizenz einmal jährlich rechtzeitig zu erneuern. Geschieht das nicht, werden keine neuen Updates geladen.

==Übersicht==
{| class="wikitable"
!Typ
!Patches
!Häufigkeit
|-
|Server
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit, aber mindestens 1x monatlich.
*Wöchentliche Kontrolle
|-
| rowspan="2" |Renderblades
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit.
|-
|
*Deadline
*Grafiksoftware
|
*nach vorheriger Planung
*zentralisiert
|-
| rowspan="3" |Workstation
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit
|-
|
*Browser
*Java
*
|
*Automatische Installation
*Neustart unverzüglich nach Aufforderung, wenn möglich
|-
|
*Grafiksoftware
*Deadline
|
*nach vorheriger Planung
|-
|Peripherie
|
*Firmware
|
*Nach Bedarf, mindestens jährlich
|}
[[Category:ISMS]]

03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches

2020-10-27T13:52:03Z

Justus Heinser: /* Übersicht */

03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches

2020-10-27T13:51:51Z

Justus Heinser: /* Übersicht */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel des Patchplans==
Der Patchplan soll die Anforderungen der Change Management Richtlinie konkret planen.

Er soll Checklisten für die Nutzer von IT-Systemen und besonders den Administrator bieten, um Sicherheitslücken schnellstmöglich zu schließen. Gleichzeitig ist es erforderlich, den laufenden Betrieb nicht übermäßig zu stören oder gar zu gefährden.

Daher ist es notwendig, Patches vorher zu planen und Absprache mit allen Abteilungen zu halten.

Bei Gefahr im Verzug gilt die Regel Sicherheit vor Verfügbarkeit, was bedeuten kann, dass Systeme zugunsten der Sicherheit zeitweise aus dem Betriebsablauf entfernt werden müssen, um Sicherheitslücken zu schließen.

Administratoren und Informationssicherheitsbeauftragter haben die Pflicht, sich durchgehend über mögliche Sicherheitslücken zu Informieren, um gegebenenfalls außerplanmäßige Updates zu veranlassen.

==Definitionen==
'''Server''' sind für den Dauerbetrieb bestimmt, sie werden allerdings nicht vom Benutzer selbst gesteuert. Durch die zentralisierte Datenspeicherung entsteht ein großes Risiko, welches regelmäßig auf das kleinstmögliche Niveau gebracht werden muss.

'''Workstations''' sind Arbeitsrechner, welche vom Benutzer gesteuert werden. Auf ihnen liegen keine Daten und die Zugriffsrechte sind eingeschränkt. Allerdings kann das Fehlverhalten von Nutzern hohe Risiken mit sich bringen, weshalb hier vor allem Sicherheitsschulungen für die Nutzer durchgeführt werden müssen. Durch die direkte Internetnutzung besteht zudem ein stark erhöhtes Risiko durch Schadsoftware.

Lokale Administratorrechte sind nur eingeschränkt zu vergeben und die Rechner sind stichprobenartig vom Administrator oder ISB zu kontrollieren.

Die Nutzer haben den Administrator in seiner Tätigkeit zu unterstützen, indem sie Updates selber durchführen, sofern ihnen das möglich ist, oder den Administrator zu informieren, sobald sicherheitsrelevante Software geupdatet werden kann.

'''Renderblades''' sind leistungsstarke Maschinen zum Verarbeiten von Daten. Sie werden nicht durch den Nutzer selbst gesteuert und auf ihnen liegen keine Daten, weshalb das Risiko kleiner ist als bei Servern.

'''Peripherie''' sind alle Geräte, welche zwar an unsere IT-Systeme angeschlossen sind, jedoch durch ihren Komplexitätsgrad und ihre Funktionsweise nur ein geringes Risiko darstellen. (z.B. Drucker, Switches, Telefone)

==Auflistung der zu patchenden Systeme==
{| class="wikitable"
!Name
!Typ
!Risiko
|-
|'''Domaincontroller'''
|Server
|Hoch
|-
|'''Fileserver'''
|Server
|Hoch
|-
|'''Linux-Server'''
|Server
|Hoch
|-
|'''Windows-Server'''
|Server
|Hoch
|-
|'''Windows Workstations'''
|Workstation
|Hoch
|-
|'''Mac Workstations'''
|Workstation
|Hoch
|-
|'''Mobilgeräte'''
|Workstation
|Hoch
|-
|'''Drucker'''
|Peripherie
|Gering
|-
|'''Switches'''
|Peripherie
|Gering
|-
|'''WLAN AccessPoints'''
|Peripherie
|Gering
|}

==Zu patchende Software auf Server==
Da die Server untereinander vernetzt sind, ist das Schließen von Sicherheitslücken nur so effektiv wie die schwächste Komponente, woraus folgt, dass alle Server mit höchster Priorität zu patchen sind.

Besondere Aufmerksamkeit erfordern:

*Betriebssystem

*Antivirus Software

Updates werden automatisch vom System heruntergeladen und installiert, müssen jedoch manuell neu gestartet werden.

Jedoch mindestens einmal im Monat sind die Server auf den Bedarf eines Neustartes zu kontrollieren und nach Absprache durchzuführen.

Dafür ist die erste Woche eines Monates festzuhalten. Es ist Rücksprache mit allen Abteilungsleitern zu halten um Rechenoperationen von zeitkritischen Projekten nicht zu gefährden. Bei Auffälligkeiten oder Bekanntwerden einer akuten Gefährdungslage ist ein Neustart sofort durchzuführen.

==Patches auf Workstations==
Updates des Virenscanners und des Betriebssystems werden automatisch installiert Besonders durch Internetnutzung ist eine erhöhte Gefährdung durch Schadsoftware anzunehmen und Virenscanner sind bei sofortigen Erscheinen von Patches zu aktualisieren.

Der erforderliche Neustart sollte wenn möglich unverzüglich ausgeführt werden, jedoch spätestens am Ende des Arbeitstages.

Software die direkt mit dem Internet benutzt wird, ist ebenso kritisch, wird jedoch nicht zentral verwaltet und erfordern daher eine Kontrolle an der Workstation selbst. Der Nutzer hat trotz automatischer Updates regelmäßig zu kontrollieren, dass seine Software nicht veraltet ist.

==Patches von Peripherie==
Peripherie ist nur selten Angriffsziel von Schadsoftware, das Risiko ist jedoch nicht auszuschließen. Daher ist eine regelmäßige Kontrolle auf neue Firmware-Updates erforderlich.

Einmal jährlich sollten Peripheriegeräte kontrolliert werden und wenn möglich Updates durchgeführt werden. Der Zeitpunkt ist so zu wählen, dass ein Ausfall des Systems kurzzeitig vertretbar ist. Bei den meisten Geräten empfiehlt sich, wenn möglich ein Backup der Settings oder ein vorheriges zu notieren.

==Patches von Grafiksoftware==
Die Gefahren von Sicherheitslücken in Grafiksoftware sind als sehr gering einzuschätzen, weshalb Updates nicht automatisch bezogen werden.

Die Gefahr von Inkompatibilität bei neueren Versionen ist hier relevanter, so dass diese Softwarepakete oder damit verbundene Plug-Ins nur nach vorheriger Planung, möglichst ohne Zeitdruck durchgeführt werden.

==Kontrolle über ESET==
Der Administrator kann zentral die Aktualität des Betriebssystems und der Virenscanner über ESET kontrollieren und Updates sowie Neustarts ausführen. Dies betrifft Server und Workstations gleichermaßen.

==Firewall==
Die Firewall aktualisiert sich bei Erscheinen von Patches automatisch, eine Einschränkung des Betriebsablaufes ist hierdurch nicht zu erwarten. Allerdings ist die Lizenz einmal jährlich rechtzeitig zu erneuern. Geschieht das nicht, werden keine neuen Updates geladen.

==Übersicht==
 
{| class="wikitable"
!Typ
!Patches
!Häufigkeit
|-
|Server
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit, aber mindestens 1x monatlich.
*Wöchentliche Kontrolle
|-
| rowspan="2" |Renderblades
|
*Betriebssystem
*Virenscanner
|
* Automatische Installation
* Neustart bei Gelegenheit.
|-
|
* Deadline
* Grafiksoftware
|
* nach vorheriger Planung
* zentralisiert
|-
| rowspan="3" |Workstation
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit
|-
|
*Browser
*Java
*
|
*Automatische Installation
*Neustart unverzüglich nach Aufforderung, wenn möglich
|-
|
*Grafiksoftware
*Deadline
|
*nach vorheriger Planung
|-
|Peripherie
|
*Firmware
|
*Nach Bedarf, mindestens jährlich
|}

03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches

2020-10-27T13:48:55Z

Justus Heinser: /* Definitionen */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel des Patchplans==
Der Patchplan soll die Anforderungen der Change Management Richtlinie konkret planen.

Er soll Checklisten für die Nutzer von IT-Systemen und besonders den Administrator bieten, um Sicherheitslücken schnellstmöglich zu schließen. Gleichzeitig ist es erforderlich, den laufenden Betrieb nicht übermäßig zu stören oder gar zu gefährden.

Daher ist es notwendig, Patches vorher zu planen und Absprache mit allen Abteilungen zu halten.

Bei Gefahr im Verzug gilt die Regel Sicherheit vor Verfügbarkeit, was bedeuten kann, dass Systeme zugunsten der Sicherheit zeitweise aus dem Betriebsablauf entfernt werden müssen, um Sicherheitslücken zu schließen.

Administratoren und Informationssicherheitsbeauftragter haben die Pflicht, sich durchgehend über mögliche Sicherheitslücken zu Informieren, um gegebenenfalls außerplanmäßige Updates zu veranlassen.

==Definitionen==
'''Server''' sind für den Dauerbetrieb bestimmt, sie werden allerdings nicht vom Benutzer selbst gesteuert. Durch die zentralisierte Datenspeicherung entsteht ein großes Risiko, welches regelmäßig auf das kleinstmögliche Niveau gebracht werden muss.

'''Workstations''' sind Arbeitsrechner, welche vom Benutzer gesteuert werden. Auf ihnen liegen keine Daten und die Zugriffsrechte sind eingeschränkt. Allerdings kann das Fehlverhalten von Nutzern hohe Risiken mit sich bringen, weshalb hier vor allem Sicherheitsschulungen für die Nutzer durchgeführt werden müssen. Durch die direkte Internetnutzung besteht zudem ein stark erhöhtes Risiko durch Schadsoftware.

Lokale Administratorrechte sind nur eingeschränkt zu vergeben und die Rechner sind stichprobenartig vom Administrator oder ISB zu kontrollieren.

Die Nutzer haben den Administrator in seiner Tätigkeit zu unterstützen, indem sie Updates selber durchführen, sofern ihnen das möglich ist, oder den Administrator zu informieren, sobald sicherheitsrelevante Software geupdatet werden kann.

'''Renderblades''' sind leistungsstarke Maschinen zum Verarbeiten von Daten. Sie werden nicht durch den Nutzer selbst gesteuert und auf ihnen liegen keine Daten, weshalb das Risiko kleiner ist als bei Servern.

'''Peripherie''' sind alle Geräte, welche zwar an unsere IT-Systeme angeschlossen sind, jedoch durch ihren Komplexitätsgrad und ihre Funktionsweise nur ein geringes Risiko darstellen. (z.B. Drucker, Switches, Telefone)

==Auflistung der zu patchenden Systeme==
{| class="wikitable"
!Name
!Typ
!Risiko
|-
|'''Domaincontroller'''
|Server
|Hoch
|-
|'''Fileserver'''
|Server
|Hoch
|-
|'''Linux-Server'''
|Server
|Hoch
|-
|'''Windows-Server'''
|Server
|Hoch
|-
|'''Windows Workstations'''
|Workstation
|Hoch
|-
|'''Mac Workstations'''
|Workstation
|Hoch
|-
|'''Mobilgeräte'''
|Workstation
|Hoch
|-
|'''Drucker'''
|Peripherie
|Gering
|-
|'''Switches'''
|Peripherie
|Gering
|-
|'''WLAN AccessPoints'''
|Peripherie
|Gering
|}

==Zu patchende Software auf Server==
Da die Server untereinander vernetzt sind, ist das Schließen von Sicherheitslücken nur so effektiv wie die schwächste Komponente, woraus folgt, dass alle Server mit höchster Priorität zu patchen sind.

Besondere Aufmerksamkeit erfordern:

*Betriebssystem

*Antivirus Software

Updates werden automatisch vom System heruntergeladen und installiert, müssen jedoch manuell neu gestartet werden.

Jedoch mindestens einmal im Monat sind die Server auf den Bedarf eines Neustartes zu kontrollieren und nach Absprache durchzuführen.

Dafür ist die erste Woche eines Monates festzuhalten. Es ist Rücksprache mit allen Abteilungsleitern zu halten um Rechenoperationen von zeitkritischen Projekten nicht zu gefährden. Bei Auffälligkeiten oder Bekanntwerden einer akuten Gefährdungslage ist ein Neustart sofort durchzuführen.

==Patches auf Workstations==
Updates des Virenscanners und des Betriebssystems werden automatisch installiert Besonders durch Internetnutzung ist eine erhöhte Gefährdung durch Schadsoftware anzunehmen und Virenscanner sind bei sofortigen Erscheinen von Patches zu aktualisieren.

Der erforderliche Neustart sollte wenn möglich unverzüglich ausgeführt werden, jedoch spätestens am Ende des Arbeitstages.

Software die direkt mit dem Internet benutzt wird, ist ebenso kritisch, wird jedoch nicht zentral verwaltet und erfordern daher eine Kontrolle an der Workstation selbst. Der Nutzer hat trotz automatischer Updates regelmäßig zu kontrollieren, dass seine Software nicht veraltet ist.

==Patches von Peripherie==
Peripherie ist nur selten Angriffsziel von Schadsoftware, das Risiko ist jedoch nicht auszuschließen. Daher ist eine regelmäßige Kontrolle auf neue Firmware-Updates erforderlich.

Einmal jährlich sollten Peripheriegeräte kontrolliert werden und wenn möglich Updates durchgeführt werden. Der Zeitpunkt ist so zu wählen, dass ein Ausfall des Systems kurzzeitig vertretbar ist. Bei den meisten Geräten empfiehlt sich, wenn möglich ein Backup der Settings oder ein vorheriges zu notieren.

==Patches von Grafiksoftware==
Die Gefahren von Sicherheitslücken in Grafiksoftware sind als sehr gering einzuschätzen, weshalb Updates nicht automatisch bezogen werden.

Die Gefahr von Inkompatibilität bei neueren Versionen ist hier relevanter, so dass diese Softwarepakete oder damit verbundene Plug-Ins nur nach vorheriger Planung, möglichst ohne Zeitdruck durchgeführt werden.

==Kontrolle über ESET==
Der Administrator kann zentral die Aktualität des Betriebssystems und der Virenscanner über ESET kontrollieren und Updates sowie Neustarts ausführen. Dies betrifft Server und Workstations gleichermaßen.

==Firewall==
Die Firewall aktualisiert sich bei Erscheinen von Patches automatisch, eine Einschränkung des Betriebsablaufes ist hierdurch nicht zu erwarten. Allerdings ist die Lizenz einmal jährlich rechtzeitig zu erneuern. Geschieht das nicht, werden keine neuen Updates geladen.

==Übersicht==
 
{| class="wikitable"
!Typ
!Patches
!Häufigkeit
|-
|Server
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit, aber mindestens 1x monatlich.
*Wöchentliche Kontrolle
|-
| rowspan="3" |Renderblades
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit
|-
|
*Browser
*Java
*
|
*Automatische Installation
*Neustart unverzüglich nach Aufforderung, wenn möglich
|-
|
*Grafiksoftware
*Royal Render
|
*nach vorheriger Planung
|-
|Peripherie
|
*Firmware
|
*Nach Bedarf, mindestens jährlich
|}

03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse

2020-10-27T13:45:27Z

Justus Heinser: /* Hardwareausfall aufgrund technischer Defekte */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Handlungsanweisungen für ausgewählte Schadensereignisse==
Schadensereignisse bzw. Notfälle erfordern schnelles Handeln, um die Auswirkung der Vorfälle so gering wie möglich zu halten und sie nicht durch unüberlegtes Handeln zu vergrößern.

Für eine Auswahl an möglichen Szenarien sollen hier konkrete Maßnahmen beschrieben werden, um schnell reagieren zu können.

==Geltungsbereich der Handlungsanweisungen für ausgewählte Schadensereignisse==
Die Handlungsanweisungen für ausgewählte Schadensereignisse gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für die Parasol Island GmbH tätig werden.

Die Regelungen dieser Handlungsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Handlungsanweisung sind nicht zulässig, es sei denn, sie sind ausdrücklich aufgeführt.

Mit Erscheinen einer neuen Version werden vorangegangene Versionen automatisch ungültig.

==Brand, Explosion==

===kleiner Brand / schwache Explosion (Verpuffung) lokal begrenzt===
'''Sofortmaßnahmen:'''

*durch lautes Rufen Kollegen auf die Gefahr aufmerksam machen
*ggf. um verletzte Personen kümmern (Ersthelfer informieren - Notarzt falls nötig)
*mit Feuerlöscher Brand bekämpfen
*Brandherd weiter beobachten
*Vorgesetzten informieren
*Sicherheitsbeauftragten informieren
*Sicherheitsfachkraft informieren
*Weitere Maßnahmen durch die Sicherheitsfachkraft

===Rauch entsteht, großer Brand / starke Explosion, Ausbreitungsgefahr besteht===
'''Sofortmaßnahmen:'''

*durch lautes Rufen Kollegen auf die Gefahr aufmerksam machen und Feuerwehr rufen
*verletzte/behinderte Personen aus dem Gefahrenbereich bringen
*ggf. um verletzte Personen kümmern (Ersthelfer informieren - Notarzt falls nötig)
*brennbare Materialien (Karton, Kunststoffe, Putzlappen, Ölpapier etc.) und Gefahrstoffe (Spraydosen, Öle, Lösemittel etc.) aus dem Gefahrenbereich bringen, ggf. Löschversuche unternehmen
*Vorgesetzten informieren
*Sicherheitsbeauftragten informieren
*Türen zum Brandherd schließen (aber nicht abschließen!)
*Rettungsdienste (Feuerwehr, Notarzt) einweisen
*Sammelplatz aufsuchen
*auf der Anwesenheitsliste die sich in Sicherheit befindenden Mitarbeiter, Zeitarbeitskräfte, Besucher sowie die Mitarbeiter von Fremdfirmen abhaken, Verbleib der fehlenden Personen feststellen und ggf. Rettungsdienste über noch fehlende Personen informieren

==Stromausfall==
Bei Stromausfall ist zuerst zu prüfen, welchen Umfang der Stromausfall hat:

===Ein oder mehrere Zimmer===

*Administrator oder dessen Vertreter informieren
*Alle Geräte im betroffenen Bereich soweit möglich abschalten oder vom Netz trennen
*Der Administrator prüft, ob im Sicherungskasten eine Sicherung herausgesprungen ist, und aktiviert diese ggf. wieder.
*Sobald wieder Strom verfügbar ist, werden nacheinander alle Geräte im betroffenen Bereich wieder aktiviert. Kommt es durch Aktivierung eines Gerätes erneut zum Stromausfall, wird das betroffene Gerät für eine tiefergehende Überprüfung außer Betrieb gesetzt.
*Der Vorfall wird protokolliert und eine Schadensanalyse wird durchgeführt, um sicherzustellen, dass keine Geräte oder Daten beschädigt wurden, und um bei Häufungen entsprechend umfassendere Maßnahmen ergreifen zu können.

===Das ganze Haus ist ohne Strom===

*Administrator oder dessen Vertreter informieren
*Alle Geräte soweit möglich abschalten oder vom Netz trennen
*ggf. Vermieter bzw. Verwalter informieren
*Sobald wieder Strom verfügbar ist, werden nacheinander alle Geräte wieder aktiviert, um zu vermeiden, dass Stromspitzen zu einem erneuten Stromausfall am Sicherungskasten führen.
*Der Vorfall wird protokolliert und eine Schadensanalyse wird durchgeführt, um sicherzustellen, dass keine Geräte oder Daten beschädigt wurden, und um bei Häufungen entsprechend umfassendere Maßnahmen ergreifen zu können.

===Sämtliche Gebäude und elektrische Einrichtungen in der Umgebung sind ohne Strom===

*Administrator oder dessen Vertreter informieren
*Alle Geräte im betroffenen Bereich soweit möglich abschalten oder vom Netz trennen
*Abwarten
*ggf. Stromversorger informieren und um eine Prognose für die Wiederaufnahme der Stromversorgung bitten
*Sobald wieder Strom verfügbar ist, werden nacheinander alle Geräte wieder aktiviert, um zu vermeiden, dass Stromspitzen zu einem erneuten Stromausfall am Sicherungskasten führen.
*Ggf. ist zu koordinieren, ob und wer beim Hochfahren der Geräte vor Ort ist, um ein ordnungsgemäßes Starten zu gewährleisten.

==Hochwasser==
Ein Produktionsausfall durch die Beeinträchtigung von Gebäudeinfrastruktur bei einem Rheinhochwasser oder Regenhochwasser ist nicht vollständig auszuschließen.

Im Falle eines länger zu befürchtenden Ausfalls werden von der Geschäftsführung alternative Produktionsstätten organisiert.

Gegebenenfalls muss auf außerhalb gelagerte Backups zurückgegriffen werden. Die alternativen Büroräume müssen dabei den Sicherheitsansprüchen gerecht werden.

==Hardwareausfall durch technische Defekte==

===Ausfall der Klimaanlage===
Ein Ausfall eines Klimageräts wird von einem Temperatursensor erkannt. Sobald die Lufttemperatur im Serverraum über einen Schwellenwert steigt schaltet sich automatisch ein weiteres Klimagerät hinzu.

Die Klimageräte werden im regelmäßigen Abstand, spätestens alle 6 Monate, von einem Fachbetrieb gewartet.

===Ausfall einer Festplatte im Fileserver===
Beim Ausfall einer Festplatte im Fileserver wird automatisch der Systemadministrator sowie der Hersteller Support per E-Mail kontaktiert. Der Hersteller Support versendet umgehend eine Ersatz-Festplatte, so dass diese am nächsten Tag getauscht werden kann. Alle Festplatten im Fileserver befinden sich in RAID 6 Verbünden so dass ein Datenverlust nahezu auszuschließen ist.

==Virenbefall==
Alle Rechner der Parasol Island GmbH sind mit Virenscannern ausgestattet. Diese aktualisieren sich automatisch und melden Infektionen umgehend dem Benutzer.

Die Mitarbeiter sind angewiesen, sich bei Virenmeldungen sofort an den Administrator oder seinen Vertreter zu wenden, der dann weitere Maßnahmen ergreift.

Geeignete Mittel, die Vireninfektion zu bereinigen, obliegen dem Administrator und hängen von der Art und dem Grad der Infektion ab.

== Quarantäne/Pandemie ==
Mögliche Szenarien:

* Einzelfall Quarantäne Ein oder mehrere Mitarbeiter müssen zuhause bleiben, weil ein Arzt oder das Gesundheitsamt die Möglichkeit in Betracht zieht, dass sie Träger einer Krankheit sind (z.B. [[Corona - unsere Maßnahmen|COVID-19]]) ohne momentan Symptome zu zeigen. Daher dürfen sie ihr Haus nicht verlassen, sind aber in arbeitsfähiger Verfassung.
* Generelle Quarantäne Die Geschäftsleitung oder die Behörden beschließen das niemand mehr zur Arbeit erscheinen darf. Ein Großteil der Belegschaft ist aber fähig von zuhause zu arbeiten.

Da viele Tätigkeiten von den Mitarbeitern auch von Zuhause erledigt werden können ist der Betrieb durch eine Quarantäne nur mittelbar gefährdet (Absage von Aufträgen). Mitarbeiter haben ohnehin die Autorisierung und Mittel zur Homeoffice Arbeit und werden je nach Gefahrenlage rechtzeitig aufgefordert von Zuhause zu arbeiten.

* Nähere Informationen in der [[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln (03_04)]]

[[Category:ISMS]]

03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung

2020-10-27T13:41:12Z

Justus Heinser: /* Netzwerkdiagramm */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Handlungsanweisungen für ausgewählte Schadensereignisse==
Die Arbeitsanweisung für Netzwerkeinrichtung soll die Struktur und Konfiguration des Parasol Island Netzwerkes dokumentieren und helfen, Sicherheitslücken zu diagnostizieren, sowie im Falle eines Schadensereignisses die Einrichtung wieder zu rekonstruieren.

==Firewall Konfiguration==
Die Sophos SG230 Firewall erlaubt einen qualitativ hochwertigen Schutz des Intranets.

Features wie Anti-Virus und IDS (Intrusion Detektion Prävention), welche vom Hersteller Sophos regelmäßig und automatisch mit neuen Signaturen versorgt werden, sorgen für einen effektiven Schutz des Netzwerkes und für eine schnelle Erkennung von Bedrohungen.

===Interface Einstellungen:===

====WAN 1 (Händle & Korte)====

*185.6.68.160/27

====WAN 2 (QSC)====

*87.193.232.112/29
*83.236.171.192/29

====WAN 3 (Unitymedia)====

*130.180.99.168/30

====LAN 1====

*192.168.0.0/24

====VLAN 100 (Server)====

*10.100.0.0/16

====VLAN 110 (Client)====

*10.110.0.0/16

====VLAN 190 (DMZ)====

*10.190.0.0/16

===='''VLAN 20 (Private Wifi)'''====

*10.20.0.0/16

====VLAN 30 (Public Wifi)====

*10.30.0.0/16

====DNS Server====

*10.100.1.1
*10.100.1.2

Das Gerät ist bei Sophos zu registrieren und mit einer jährlich zu erneuern Lizenz für die Update Dienste auszustatten. Täglich wird auf Sicherheitsupdates geprüft und per Mail darüber informiert.

Die Lizenz ist vor dem Auslaufen zu erneuern, um keine Lücken im Schutz aufkommen zu lassen.

Regeln für Dienste wie AV und IDP sind zu erstellen und zu aktivieren. Die voreingestellten Presets sind dafür ausreichend.

==Wireless LAN==

===Mobile Arbeitsgeräte===
Für Mobile Arbeitsgeräte wird sowohl im Nord- als auch im Südteil des Büros ein Wireless LAN (ParasolPrivate) ausgesendet, welches direkten Zugang zum Firmennetzwerk hat. Der Zugriff auf Dateien erfordert zusätzlich eine offizielle Authentifizierung, welche von der Geschäftsleitung autorisiert und vom Administrator eingerichtet werden muss. Der Wireless LAN Zugang ist ausschließlich für firmeneigene Geräte und die Zugangsdaten können beim Administrator erfragt werden.

===Kunden===
Für Kunden steht ein eigenes Wireless LAN (ParasolPublic) im Nord- als auch im Südteil des Büros zur Verfügung dieses ist über die Firewall logisch vom internen Netzwerk getrennt und liefert ausschließlich einen Internetzugang.

==Server==

===pslsrv10 / pslsrv17===
Datenserver mit Projektdateien

===psldc01 / psldc02 / psldc03===
Domaincontroller

===pslsrv05===
Server für das Kopieren von Backups und Archivierungen

===Licenser (pslsrv24 / pslsrv25 / pslsrv09 / pslsrv11)===
Server zur Verwaltung von Lizenzen

==Trennung von Produktions- und Management-Netzwerken==
Durch die Anpassung der Netzwerkstruktur ist die Trennung von Management-Netzwerk und Produktions-Netzwerk umgesetzt worden. Dies wird mit der Nutzung von VLAN (Virtual Local Area Network) zur logischen Trennung beider Netze sichergestellt.

Folgende Komponenten werden über das Management-Netzwerk angesteuert:

===Switches:===
Die Management-Ports der Switches werden auf einen Port im VLAN gepatched.

===Firewall:===
Die Firewall ist so konfiguriert, dass nur Administratoren mit aktiver VPN Verbindung auf das Webinterface und das Management-Netzwerk zugreifen können.

===Wireless Access Points:===
Wireless Access Points bieten über nativen VLAN-Support die Möglichkeit, Management-Funktionen wie das Webinterface nur über ein spezifiziertes VLAN bereitzustellen.

Die Wireless Access Points werden über speziell konfigurierte VLAN-Ports am Switch angeschlossen.

==Netzwerkdiagramm==
Ein Netzwerkdiagramm von Parasol Island gibt es auf Anfrage an berechtigte Personen bei dem [mailto:peter.norenkemper@parasol-island.com Systemadministrator] oder dem [mailto:informationssicherheit@parasol-island.com Informationssicherheitsbeauftragten].
[[Category:ISMS]]

03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung

2020-10-27T13:39:55Z

Justus Heinser: /* Ziel der Handlungsanweisungen für ausgewählte Schadensereignisse */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Handlungsanweisungen für ausgewählte Schadensereignisse==
Die Arbeitsanweisung für Netzwerkeinrichtung soll die Struktur und Konfiguration des Parasol Island Netzwerkes dokumentieren und helfen, Sicherheitslücken zu diagnostizieren, sowie im Falle eines Schadensereignisses die Einrichtung wieder zu rekonstruieren.

==Firewall Konfiguration==
Die Sophos SG230 Firewall erlaubt einen qualitativ hochwertigen Schutz des Intranets.

Features wie Anti-Virus und IDS (Intrusion Detektion Prävention), welche vom Hersteller Sophos regelmäßig und automatisch mit neuen Signaturen versorgt werden, sorgen für einen effektiven Schutz des Netzwerkes und für eine schnelle Erkennung von Bedrohungen.

===Interface Einstellungen:===

====WAN 1 (Händle & Korte)====

*185.6.68.160/27

====WAN 2 (QSC)====

*87.193.232.112/29
*83.236.171.192/29

====WAN 3 (Unitymedia)====

*130.180.99.168/30

====LAN 1====

*192.168.0.0/24

====VLAN 100 (Server)====

*10.100.0.0/16

====VLAN 110 (Client)====

*10.110.0.0/16

====VLAN 190 (DMZ)====

*10.190.0.0/16

===='''VLAN 20 (Private Wifi)'''====

*10.20.0.0/16

====VLAN 30 (Public Wifi)====

*10.30.0.0/16

====DNS Server====

*10.100.1.1
*10.100.1.2

Das Gerät ist bei Sophos zu registrieren und mit einer jährlich zu erneuern Lizenz für die Update Dienste auszustatten. Täglich wird auf Sicherheitsupdates geprüft und per Mail darüber informiert.

Die Lizenz ist vor dem Auslaufen zu erneuern, um keine Lücken im Schutz aufkommen zu lassen.

Regeln für Dienste wie AV und IDP sind zu erstellen und zu aktivieren. Die voreingestellten Presets sind dafür ausreichend.

==Wireless LAN==

===Mobile Arbeitsgeräte===
Für Mobile Arbeitsgeräte wird sowohl im Nord- als auch im Südteil des Büros ein Wireless LAN (ParasolPrivate) ausgesendet, welches direkten Zugang zum Firmennetzwerk hat. Der Zugriff auf Dateien erfordert zusätzlich eine offizielle Authentifizierung, welche von der Geschäftsleitung autorisiert und vom Administrator eingerichtet werden muss. Der Wireless LAN Zugang ist ausschließlich für firmeneigene Geräte und die Zugangsdaten können beim Administrator erfragt werden.

===Kunden===
Für Kunden steht ein eigenes Wireless LAN (ParasolPublic) im Nord- als auch im Südteil des Büros zur Verfügung dieses ist über die Firewall logisch vom internen Netzwerk getrennt und liefert ausschließlich einen Internetzugang.

==Server==

===pslsrv10 / pslsrv17===
Datenserver mit Projektdateien

===psldc01 / psldc02 / psldc03===
Domaincontroller

===pslsrv05===
Server für das Kopieren von Backups und Archivierungen

===Licenser (pslsrv24 / pslsrv25 / pslsrv09 / pslsrv11)===
Server zur Verwaltung von Lizenzen

==Trennung von Produktions- und Management-Netzwerken==
Durch die Anpassung der Netzwerkstruktur ist die Trennung von Management-Netzwerk und Produktions-Netzwerk umgesetzt worden. Dies wird mit der Nutzung von VLAN (Virtual Local Area Network) zur logischen Trennung beider Netze sichergestellt.

Folgende Komponenten werden über das Management-Netzwerk angesteuert:

===Switches:===
Die Management-Ports der Switches werden auf einen Port im VLAN gepatched.

===Firewall:===
Die Firewall ist so konfiguriert, dass nur Administratoren mit aktiver VPN Verbindung auf das Webinterface und das Management-Netzwerk zugreifen können.

===Wireless Access Points:===
Wireless Access Points bieten über nativen VLAN-Support die Möglichkeit, Management-Funktionen wie das Webinterface nur über ein spezifiziertes VLAN bereitzustellen.

Die Wireless Access Points werden über speziell konfigurierte VLAN-Ports am Switch angeschlossen.

==Netzwerkdiagramm==
Ein Netzwerkdiagramm von Parasol Island gibt es auf Anfrage an berechtigte Personen bei der [mailto:peter.norenkemper@parasol-island.com IT] oder dem [mailto:justus.heinser@parasol-island.com ISB].
[[Category:ISMS]]

03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit

2020-10-27T13:34:42Z

Justus Heinser: /* Zielsetzung */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zielsetzung==
Zu Diagnosezwecken ist es wichtig, das Arbeitsverhalten auf den Systemen zu überwachen und auszuwerten. Einerseits sollen so Fehlverhalten der Benutzer entdeckt werden und damit zur Einhaltung der Sicherheitsrichtlinien beitragen. Andererseits können die Logfiles Aufschluss über mögliche Systemfehler oder bisher unentdeckte Schadsoftware Infizierungen geben.

==Zu loggende Systeme==
Auflistung der Systeme mit Benutzerzugriffen:

*pslsrv10 / pslsrv17

==Zu loggende Ereignisse==
Einstellungen der Überwachungsrichtlinien

===Für normale Nutzer===

*Anmeldeversuche (Fehler)
*Objektzugriffsversuche (Fehler)
*Systemereignisse (Erfolg/Fehler)
*Verzeichnisdienstzugriff (Fehler)

===Zusätzliche Events Admin===

*Kontenverwaltung (Erfolg/Fehler)
*Richtlinienänderung (Erfolg/Fehler)

===Zusätzlich bei sehr hohem Schutzbedarf:===

*Objektzugriffsversuche (Erfolg/Fehler)

===Kurzbeschreibungen===

====Anmeldeversuche überwachen====
Kontoanmeldungsereignisse werden generiert, wenn die Anmeldeinformationen eines Kontos geprüft werden.

====Objektzugriffsversuche überwachen====
Mit dieser Sicherheitseinstellung wird festgelegt, ob Benutzerzugriffe auf Nicht-Active-Directory-Objekte überwacht werden. Überwachung wird nur für Objekte generiert, für die eine eigene SACL (System Access Control List, Zugriffssteuerungsliste für das System) angegeben ist, und nur dann, falls der angeforderte Zugriffstyp (beispielsweise Schreiben, Lesen oder Ändern) und das Konto, von dem die Anforderung stammt, den Einstellungen in der SACL entspreche.

====Systemereignisse überwachen====

*Versuchte Änderung der Systemzeit
*Versuchtes Starten oder Herunterfahren des Sicherheitssystems
*Versuch, erweiterbare Authentifizierungskomponenten zu laden
*Verlust von überwachten Ereignissen aufgrund eines Fehlers im Überwachungssystem
*Größe des Sicherheitsprotokolls überschreitet einen konfigurierbaren Warnungsschwellenwert

====Verzeichnisdienstzugriff====
Mit dieser Sicherheitseinstellung wird bestimmt, ob Benutzerzugriffe auf Active-Directory-Objekte überwacht werden. Überwachung findet nur bei Objekten statt, für die die Systemzugriff-Steuerungsliste (SACL) angegeben wurde, und nur dann, wenn der angeforderte Zugriffstyp (beispielsweise Schreiben, Lesen oder Ändern) und das Konto, von dem die Anforderung stammt, den Einstellungen in der Systemzugriff-Steuerungsliste entsprechen.

====Kontenverwaltung überwachen====

*Ein Benutzerkonto oder eine Benutzergruppe wird erstellt, geändert oder gelöscht.
*Ein Benutzerkonto wird umbenannt, deaktiviert oder aktiviert.
*Ein Kennwort wird festgelegt oder geändert.

====Richtlinienänderungen überwachen====
Mit dieser Sicherheitseinstellung wird festgelegt, ob jede Instanz von Versuchen zur Änderung der Richtlinien für Benutzerrechtezuweisung, Überwachung, Konten oder Vertrauensstellung überwacht wird.

===Zusätzliche Aufzeichnungen===
Unabhängig von den generell zu erfassenden Benutzerlogs, welche permanent gesammelt werden, sind temporär zusätzliche Aufzeichnungen der Benutzeraktivität möglich. Dies ist zum Beispiel der Fall bei kundenspezifischen Wünschen, welche vertraglich beschlossen wurden, oder aber obligatorisch bei besonders sensiblen Projekten.

Bei Informationen mit sehr hohem Schutzbedarf sind die „Objektzugriffsversuche“ in den Überwachungsrichtlinien für Administratoren nicht nur bei Fehlern, sondern auch bei Erfolg aufzuzeichnen. Dadurch wird jeder Dateizugriff eines Benutzers aufgezeichnet.

Die Projektleitung hat den Administrator über die Anforderung zu informieren und den zeitlichen Rahmen für die Erweiterung der Aufzeichnungen festzusetzen. Der ISB ist ebenfalls zu informieren, da eine Richtlinienänderung andernfalls bei der Auswertung als Auffälligkeit gewertet werden würde.

Aus Gründen der Übersicht empfiehlt es sich, vor Änderung der Richtlinie die Benutzerlogs zu exportieren und dies zu Protokoll zu nehmen. Ebenso bei der Änderung zurück auf den Normalzustand.

*Exportprozess im Kapitel '''[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit#Auswertung|Auswertung]]''' beschrieben

==Auswertung==
Die ausgewählten Computer werden so im Betriebssystem konfiguriert, dass die systemeigenen Überwachungsrichtlinien die erforderlichen Ereignisse aufzeichnen.

Die Logfiles können anschließend im *.evtx Format gespeichert werden. Dieser Vorgang wird vom Administrator unter Aufsicht des Informationssicherheitsbeauftragten durchgeführt. Der Informationssicherheitsbeauftragte legt umgehend eine Roh-Kopie der Logfiles an, um diese vor Veränderung abzusichern. Ein Löschen der Files ist vom Informationssicherheitsbeauftragten im Protokoll zu vermerken. Eine Löschung außerhalb der protokollierten Zeit ist als schwere Auffälligkeit umgehend der Geschäftsführung zu melden, da dies den Verdacht auf Missbrauch durch den Administrator hindeuten kann.

Die Auswertung erfolgt stichprobenartig und manuell unter vier Augen von Systemadministrator und Informationssicherheitsbeauftragten und sollte mindestens einmal jährlich durchgeführt werden. Auffälligkeiten sind in einem Protokoll zu erfassen und auszuwerten. Bei größeren Auffälligkeiten oder möglichen Verstößen gegen die Sicherheitsrichtlinien ist die Geschäftsführung zu informieren.

Nach dem Export der Eventfiles können die Protokolle auf dem System unter vier Augen gelöscht werden, um Datenmüll zu vermeiden. Eine Löschung ist in dem Protokoll zu vermerken, um eine Lückenlosigkeit zu kontrollieren.

==Automatische Auswertung (SIEM)==
Ein Security Information and Event Management sammelt Eventlogs automatisch und wertet diese aus. Die Einrichtung eines solchen Systems hat sich für unsere Unternehmensgröße jedoch noch nicht als erforderlich erwiesen und ist daher noch nicht umgesetzt. Pläne zur Einrichtung eines solchen Systems sind allerdings in Arbeit.

Ziele und konkrete Pläne:

*Finden einer geeigneten Software für unsere Bedürfnisse:
**Geeignet für Firmengröße
**Überwachung von mehreren Systemen gleichzeitig und zentrale Sammlung
**Sicherung vor Veränderung oder Verlust
**Sicherung vor unbefugten Zugriffen
*Besonderer Schutz der Files vor Veränderung, insbesondere durch den Administrator.
*Automatische Auswertung der Logs in übersichtlicher Form.

[[Category:ISMS]]

03 07 PSL ISMS Datensicherungs- und Archivierungsplan

2020-10-27T13:04:50Z

Justus Heinser:

Zurück zur [[ISMS|ISMS Übersicht]]

==Zielsetzung==
Der Datensicherungsplan soll eine exakte Arbeitsanweisung für die Ausführung des Datensicherungskonzeptes und somit die konkrete Umsetzung Richtlinien.

Der Plan soll Definieren welche Daten wie oft auf welche Art gesichert werden unter Berücksichtigung der Sicherheitsziele.

Die vorherige Klassifizierung der Daten ist zu berücksichtigen.

==Spezifikation der zu sichernden Daten==
Prinzipiell werden folgende Anwendungsdaten aus Verzeichnissen im Netzwerk gesichert:

*\\pslsrv10\Pipeline
*\\pslsrv10\Resources
*\\pslsrv10\Projects
*\\pslsrv25\Shares
*\\pslsrv10\Media

==Datensicherungsart==
Für die Server und Verzeichnisse gelten folgende Regelungen.
{| class="wikitable"
|'''\\pslsrv10\*'''

'''\\pslsrv25\Shares'''
|'''Inkrementell'''
|'''Vollbackup'''
|'''Archivierung'''
|-
|'''Häufigkeit'''
|jeden Tag
|halbjährlich
|Nach Projekt Abschluss
|-
|'''Ausführung'''
|1-Fach
|1-Fach
|2-Fach
|-
|'''Verschlüsselung'''
|Ja (AES 256Bit)
|Ja (AES 256Bit)
|Ja (AES 256Bit)
|-
|'''Lagerung'''
|Intern
|Intern
|Intern + Extern
|-
|'''Methode'''
|Disk to Tape
|Disk to Tape
|Disk to Tape
|}

==Inkrementell==
Jeden Tag erfolgt ein verschlüsseltes inkrementelles Backup der Anwendungsdaten. Die Bandlaufwerke und Bänder befinden sich unter Verschluss in einem anderen Brandabschnitt.

Um den Rhythmus von inkrementellen Sicherungen zu erhöhen sind weitere Maßnahmen erforderlich:

*Verlegung des Datensicherungs Hard/Software Systems in einen anderen Brandabschnitt.
*Verlegung des Datensicherungsbestandes in einen anderen Brandabschnitt.

==Archivierung==
Da mit der betrieblichen Projektarbeit große Datenmengen anfallen, werden abgeschlossene Projekte verschlüsselt in zweifacher Ausführung auf Bänder archiviert und von den betreffenden Servern gelöscht. Der Zeitpunkt wird durch die Projektleiter festgesetzt.

Die Lagerung erfolgt jeweils unter Verschluss.

Vertrauliche Daten und sehr vertrauliche Daten werden bei der Archivierung nicht berücksichtigt sondern sicher gelöscht.

==pslsrv10 und mobile Raids==
Filmmaterial wird auf zwei jeweils gespiegelten (Raid-1) und verschlüsselten (AES 256) mobilen Raids getrennt (verschiedene Transport-Routen und -Mittel) vom Dreh zur Verarbeitung zu Parasol Island transportiert. Hier wird der Inhalt der Raids auf den zentralen Datenserver pslsrv10 kopiert. Ein Raid wird bis zum Projektende im 2. Serverraum in einem anderen Brandabschnitt als hochverfügbare Kopie gelagert.

==Infrastruktur==
Für die Datensicherung wird folgende Infrastruktur genutzt:

*Backupserver: pslsrv05
*Bandlaufwerke:
**2x Neo Overland 4000 LTO 5
**1x BDT LTO 6
**1x Quantum Scalar i40 LTO 5
*Bänder: LTO 2 / LTO 3 / LTO 5 / LTO 6

Es werden die von dem Hersteller des Datensicherungssystems spezifizierten Medien genutzt. Reinigungsintervalle der Bandlaufwerke werden gemäß Herstellerhandbuch oder nach Anzeige des Datensicherungsgeräts vorgenommen.

Als Datensicherungssoftware wird „Archiware P5“ eingesetzt.

==Zeitfenster für ein Backup==
Die Dauer einer Sicherung hängt im Wesentlichen von der Anzahl und der Größe der zu sichernden Dateien ab. Einen genauen Zeitpunkt für den Sicherungsbeginn der Anwendungsdaten kann deshalb nicht genannt werden. Der Beginn der inkrementellen Sicherungen ist täglich um 20:00 Uhr. Die Backupinfrastruktur ist so ausgelegt, dass am darauffolgenden Tag spätestens um 09:00 alle Daten gesichert wurden.

==Rekonstruktion von Daten==
Ohne Datensicherung besteht keine Möglichkeit, zerstörte oder gelöschte Datenbestände wieder zu rekonstruieren.

Prinzipiell werden alle spezifizierten Daten gesichert. Jedoch entstehen Lücken zwischen der letzten Datensicherung und dem aktuellen Zeitpunkt. Werden neue Daten in diesem Zeitraum erzeugt und auch wieder gelöscht, befinden sie sich noch nicht auf einem Sicherungsmedium. Die Daten sind in diesem Fall unwiederbringlich verloren. Beim Standardsicherungsverfahren kann der Zeitraum dieser Lücke maximal 1 Tage betragen. Jedoch verfügt der zentrale Datenserver pslsrv10 über eine Snapshot-Funktion, die in solchen Fällen die Verlustquote deutlich reduzieren kann.

Besteht für eine Anwendung ein Bedarf an einer Verkleinerung dieser Lücke, so muss speziell für die Anwendung ein Sonderverfahren zur Datensicherung mit den Datenverantwortlichen entwickelt werden.

==Rekonstruktionszeiten==
Die Wiederherstellungsdauer von Daten hängt im Wesentlichen von der Anzahl und der Größe der zu rekonstruierenden Dateien ab.

==Datensicherheit==
Die Tape-Library ist so dimensioniert, dass die letzten 60 Tage Backup-Datensicherung jederzeit abgerufen werden können. Die Magnetbänder für diese inkrementelle Sicherung müssen niemals das geschützte Gehäuse des Bandlaufwerks verlassen. Die geschriebenen Daten werden AES 256Bit verschlüsselt. Die Tape-Library befindet sich in einem anderen Brandabschnitt als die zu sichernden Daten. Zugriff haben nur die Mitarbeiter, zu deren Aufgaben die Datensicherung gehört.

==Kontrollen der Datensicherungen==
Anhand von Protokollen der Sicherungssoftware wird wöchentlich der korrekte Ablauf der Sicherungsjobs geprüft. Bei fehlerhaften oder abgebrochenen Datensicherungen, besteht die Gefahr, dass betroffene Daten nicht zurückgesichert werden können. Wird bei der Kontrolle der Datensicherungen eine fehlerhafte Sicherung festgestellt, wird das Problem behoben und die entsprechende Sicherung noch einmal manuell angestoßen, soweit der reguläre Betrieb nicht durch diese Maßnahme gestört wird. Falls der Betrieb gestört wird, erfolgt die nächste Sicherung erst wieder nach dem normalen Schema.

Zusätzlich wird regelmäßig geprüft, ob mit den vorhandenen Sicherungskopien der Daten eine Rekonstruktion durchgeführt werden kann. Dieses wird spätestens alle vier Wochen, mit zufällig ausgesuchten Daten, durchgeführt.

==Sicherung von Dateien der Benutzer==
Alle Mitarbeiter/Innen müssen sämtliche dienstliche Daten auf den spezifizierten Netzlaufwerken ablegen, da nur die Inhalte dieser Laufwerke auch bei der Datensicherung mitberücksichtigt werden.

Weiterhin sind Mitarbeiter/Innen dazu angehalten in allen Anwendungen angemessene Einstellungen für ein automatisches Sichern Ihrer Arbeit vorzunehmen.

Lokale Dateien sollten für den Betriebsablauf nur in Form von Systemdaten vorliegen. Es liegt in der Verantwortung des Benutzers, diese Daten selbst zu sichern.
[[Category:ISMS]]

03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage

2020-10-27T13:01:49Z

Justus Heinser: /* Berlin */

Zurück zur [[ISMS|ISMS Übersicht]]

__FORCETOC__
==Zielsetzung==
Diese Arbeitsanweisung soll den Mitarbeitern den sachgemäßen Umgang mit der Alarmanlage in den Räumen der Parasol Island GmbH schildern.

==Berlin==
Der Zugangscode für die Berliner Alarmanlage ist [https://start.1password.com/open/i?a=HMMAXSRMWVE7FDFVUJ34APZMUE&h=parasolisland.1password.eu&i=yfjtnk6a7zeg7ff7zemlih336i&v=bzbkhnu5rkuhy3si43hy67cc2u hier] in 1Password hinterlegt. Bei Fragen zur Alarmanlage wendet euch bitte an [mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com].

[[File:Screen Shot 2018-02-13 at 08.30.49.png|600px]]

Kurzanleitung: [https://drive.google.com/file/d/1jj2_wKv5nkokZrsPHAqhvMHB7hPpL6OY/view?usp=sharing PDF]

==Düsseldorf==
Die Arbeitsanweisung wird um alle wichtigen Informationen ergänzt, sobald die neue Alarmanlage am Düsseldorfer Standort installiert wurde.
[[Category:ISMS]]

03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage

2020-10-27T13:01:32Z

Justus Heinser:

Zurück zur [[ISMS|ISMS Übersicht]]

__FORCETOC__
==Zielsetzung==
Diese Arbeitsanweisung soll den Mitarbeitern den sachgemäßen Umgang mit der Alarmanlage in den Räumen der Parasol Island GmbH schildern.

==Berlin==
Der Zugangscode für die Berliner Alarmanlage ist [https://start.1password.com/open/i?a=HMMAXSRMWVE7FDFVUJ34APZMUE&h=parasolisland.1password.eu&i=yfjtnk6a7zeg7ff7zemlih336i&v=bzbkhnu5rkuhy3si43hy67cc2u hier] in 1Password hinterlegt. Bei Fragen zur Alarmanlage wendet euch bitte an [mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com]

[[File:Screen Shot 2018-02-13 at 08.30.49.png|600px]]

Kurzanleitung: [https://drive.google.com/file/d/1jj2_wKv5nkokZrsPHAqhvMHB7hPpL6OY/view?usp=sharing PDF]

==Düsseldorf==
Die Arbeitsanweisung wird um alle wichtigen Informationen ergänzt, sobald die neue Alarmanlage am Düsseldorfer Standort installiert wurde.
[[Category:ISMS]]

03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage

2020-10-27T13:01:12Z

Justus Heinser: /* Berlin */

Zurück zur [[ISMS|ISMS Übersicht]]

__FORCETOC__
==Zielsetzung==
Diese Arbeitsanweisung soll den Mitarbeitern den sachgemäßen Umgang mit der Alarmanlage in den Räumen der Parasol Island GmbH schildern.

==Berlin==
Der Zugangscode für die Berliner Alarmanlage ist [https://start.1password.com/open/i?a=HMMAXSRMWVE7FDFVUJ34APZMUE&h=parasolisland.1password.eu&i=yfjtnk6a7zeg7ff7zemlih336i&v=bzbkhnu5rkuhy3si43hy67cc2u hier] in 1Password hinterlegt. Bei Fragen zur Alarmanlage wendet euch bitte an peter.norenkemper@parasol-island.com

[[File:Screen Shot 2018-02-13 at 08.30.49.png|600px]]

Kurzanleitung: [https://drive.google.com/file/d/1jj2_wKv5nkokZrsPHAqhvMHB7hPpL6OY/view?usp=sharing PDF]

==Düsseldorf==
Die Arbeitsanweisung wird um alle wichtigen Informationen ergänzt, sobald die neue Alarmanlage am Düsseldorfer Standort installiert wurde.
[[Category:ISMS]]

Alarmanlage

2020-10-27T12:58:35Z

Justus Heinser: Redirected page to 03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage

#REDIRECT [[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage]]

==Berlin==

Code: 1458 

Scharfschaltung: 1458*

Unscharfschaltung: 1458

[[File:Screen Shot 2018-02-13 at 08.30.49.png|600px]]

Kurzanleitung: [https://drive.google.com/file/d/1jj2_wKv5nkokZrsPHAqhvMHB7hPpL6OY/view?usp=sharing PDF]

03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage

2020-10-27T12:57:01Z

Justus Heinser: /* Berlin */

Zurück zur [[ISMS|ISMS Übersicht]]

__FORCETOC__
==Zielsetzung==
Diese Arbeitsanweisung soll den Mitarbeitern den sachgemäßen Umgang mit der Alarmanlage in den Räumen der Parasol Island GmbH schildern.

==Berlin==
Der Zugangscode ist [https://start.1password.com/open/i?a=HMMAXSRMWVE7FDFVUJ34APZMUE&h=parasolisland.1password.eu&i=yfjtnk6a7zeg7ff7zemlih336i&v=bzbkhnu5rkuhy3si43hy67cc2u hier] in 1Password hinterlegt.

[[File:Screen Shot 2018-02-13 at 08.30.49.png|600px]]

Kurzanleitung: [https://drive.google.com/file/d/1jj2_wKv5nkokZrsPHAqhvMHB7hPpL6OY/view?usp=sharing PDF]

==Düsseldorf==
Die Arbeitsanweisung wird um alle wichtigen Informationen ergänzt, sobald die neue Alarmanlage am Düsseldorfer Standort installiert wurde.
[[Category:ISMS]]

03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage

2020-10-27T12:50:15Z

Justus Heinser:

Zurück zur [[ISMS|ISMS Übersicht]]

__FORCETOC__
==Zielsetzung==
Diese Arbeitsanweisung soll den Mitarbeitern den sachgemäßen Umgang mit der Alarmanlage in den Räumen der Parasol Island GmbH schildern.

==Berlin==
Code: 1458

*Scharfschaltung: 1458*
*Unscharfschaltung: 1458

[[File:Screen Shot 2018-02-13 at 08.30.49.png|600px]]

Kurzanleitung: [https://drive.google.com/file/d/1jj2_wKv5nkokZrsPHAqhvMHB7hPpL6OY/view?usp=sharing PDF]

==Düsseldorf==
Die Arbeitsanweisung wird um alle wichtigen Informationen ergänzt, sobald die neue Alarmanlage am Düsseldorfer Standort installiert wurde.
[[Category:ISMS]]

03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie

2020-10-27T12:49:05Z

Justus Heinser: /* Authentifikationsmethoden */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zielsetzung==
Dieser Leitfaden soll die vorangegangene Allgemeine Sicherheitsrichtlinie erweitern und konkretisieren.

Ziel der Arbeitsanweisung ist es, Regeln zur Nutzung von Kryptographie vorzugeben, und zu definieren, wann Kryptographie genutzt werden muss und welche Methoden sich dazu eignen.

==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für alle Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Die Regelungen dieser Richtlinie gelten uneingeschränkt. Sie dürfen nicht umgangen werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in der Richtlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie ''(02_01)'']] noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Verschlüsselungsarten==
Um die Integrität und Vertraulichkeit der Informationen sicherzustellen, ist es notwendig, dass ausschließlich Verfahren eingesetzt werden, welche nach derzeitigem Stand als sicher gelten.

Kryptographische Verfahren lassen sich in drei Arten einteilen:

*Symmetrische Verschlüsselungsverfahren
*Asymmetrische Verschlüsselungsverfahren
*Hash-Verfahren

Zugelassene symmetrische Verschlüsselungstechnik
{| class="wikitable"
!'''Algorithmus'''
!'''Minimale Schlüssellänge(Bit)'''
!'''Empfohlene Schlüssellänge (Bit)'''
|-
|'''AES'''
|128
|256
|-
|'''Triple-DES'''
|112
|112
|-
|'''RC4*'''
|128
|256
|-
|'''RC5'''
|128
|256
|-
|'''RC6'''
|128
|256
|-
|'''Blowfish'''
|128
|256
|-
|'''Twofish'''
|128
|256
|-
|'''CAST'''
|128
|256
|-
|'''Camelia'''
|128
|256
|}
''<nowiki>*Die Verwendung von RC4 ist nur für SSL/TLS auf Windows erlaubt, bis ein sicherer Algorithmus zur Verfügung steht. Jegliche andere Nutzung ist nicht erlaubt.</nowiki>''

Zugelassene asymmetrische Verschlüsselungsverfahren
{| class="wikitable"
!'''Algorithmus'''
!'''Minimale Schlüssellänge(Bit)'''
!'''Empfohlene Schlüssellänge (Bit)'''
|-
|'''RSA'''
|1024 / 2048 wenn möglich
|4096
|-
|'''DSA'''
|1024 / 2048 wenn möglich
|4096
|}
Zugelassene Hashfunktionen

*SHA-224
*SHA-256
*SHA-384
*SHA-512

Alternativ, falls die oben Genannten technisch nicht möglich sind

*SHA-160
*RIPEMD-160
*MD5
*Whirlpool-512

==Mobile Geräte==
Falls vertrauliche oder streng vertrauliche Daten auf mobilen Geräten vorliegen, sind diese nach aktuellstem Stand sicher zu verschlüsseln.

Es empfiehlt sich der Einfachheit halber eine generelle Verschlüsselung, sofern diese möglich ist.

==Authentifikationsmethoden==
Authentifikation beschreibt die Möglichkeit einer eindeutigen Identifikation der Person. Grundsätzlich unterscheidet man schwache Authentifikation und starke Authentifikation

=== Schwache Authentifikation ===
Schwache Authentifikation nutzt nur eines der folgenden Merkmale zur Identitätsprüfung:

* Wissen (z.B. Passwort, Pin)
* Besitz (z.B. Software Zertifikate, Schlüssel)
* Eigenschaften (z.B. Fingerabdruck)

=== Starke Authentifikation ===
Starke Authentifikation nutzt hingegen 2 der oben genannten Merkmale. Der Einsatz biometrischer Verfahren ist prinzipiell nicht erlaubt.

Das Merkmal „Besitz“ ist über die nachfolgenden Eigenschaften definiert:

* Befindet sich im Besitz der zu authentifizierenden Person.
* Steht dieser exklusiv zur Verfügung.
* Eine Vervielfältigung ist nicht ohne Weiteres möglich (Ausnahmen können z.B. in der ausstellenden / ausgebenden Stelle liegen).

Das Merkmal „Besitz“:

* darf nicht auf der authentifizierenden Instanz installiert / verortet sein.
* darf nicht beliebig vervielfältigbar sein.

Als „Besitz“ Merkmal wird bei der Parasol Island GmbH eine Authenticator App auf dem Smartphone benutzt. Diese erfüllt bei sachgerechter Nutzung alle geforderten Kriterien. Sie wird mit Hilfe vom Administrator beim ersten Login aktiviert.

==Anforderungen in Abhängigkeit zur Datenklassifikation==
{| style="border-spacing:0;width:15.919cm;"
|-
| style="border-top:1pt solid #dbdbdb;border-bottom:1.5pt solid #c9c9c9;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Einstufung / Klassifikation'''
| style="border-top:1pt solid #dbdbdb;border-bottom:1.5pt solid #c9c9c9;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Anforderung Verschlüsselung'''
| style="border-top:1pt solid #dbdbdb;border-bottom:1.5pt solid #c9c9c9;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Anforderung Authentifizierung'''
|-
| style="background-color:#3d85c6;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Öffentlich'''
| style="background-color:#3d85c6;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |keine
| style="background-color:#3d85c6;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |keine
|-
| style="background-color:#6aa84f;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Intern'''
| style="background-color:#6aa84f;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |keine
| style="background-color:#6aa84f;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |schwache
Authentifikation
|-
| style="background-color:#f1c232;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Vertraulich'''
| style="background-color:#f1c232;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |Transportverschlüsselung,
wenn möglich

Ablageverschlüsselung
| style="background-color:#f1c232;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |starke
Authentifikation *
|-
| style="background-color:#e06666;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Streng Vertraulich'''
| style="background-color:#e06666;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |Transportverschlüsselung und
Ablageverschlüsselung
| style="background-color:#e06666;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |starke
Authentifikation
|-
|}''<nowiki>* Sofern eine starke Authentifikation technisch nicht möglich ist, ist der Einsatz einer schwachen Authentifikation mit einer weiteren Absicherung wie eine zusätzlich authentisierte Ablageverschlüsselung gestattet. Hierbei ist zu beachten, dass für beide Verfahren unterschiedliche Authentifizierungsinformationen und -instanzen (z.B. unterschiedliche Passwörter in verschiedenen Systemen) zu verwenden sind.</nowiki>''

Administrative Tätigkeiten sind, soweit technisch möglich, stark zu authentifizieren. Sofern dies technisch nicht möglich ist, sind die folgenden Anforderungen einzuhalten:

Für administrative Benutzerkennungen, die personenbezogen zur Verwaltung von IT-Systemen auf der Basis von umfassenden Zugriffsrechten genutzt werden, ist für Passwörter eine mindestens 16-stellige Kombination aus mindestens 3 der folgenden 4 Kriterien zu verwenden:

*Großbuchstaben
*Kleinbuchstaben
*Ziffern
*Sonderzeichen

[[Category:ISMS]]

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:45:35Z

Justus Heinser:

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Intern
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
*in persönlicher Obhut
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Datenspeicher:
| style="background-color:#ffffff;padding:0.176cm;" |
*starke Verschlüsselung oder Fernlöschung
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Remote:
| style="background-color:#efefef;padding:0.176cm;" |
*stark authentifiziert und starke Transportverschlüsselung
|-
| style="background-color:#fce5a3;padding:0.176cm;" |Vertraulich
| style="background-color:#ffffff;padding:0.176cm;" |Papier:
| style="background-color:#ffffff;padding:0.176cm;" |
*ununterbrochen in persönlicher Obhut
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Datenspeicher:
| style="background-color:#efefef;padding:0.176cm;" |
*starke Verschlüsselung oder Fernlöschung möglich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Remote:
| style="background-color:#ffffff;padding:0.176cm;" |
*stark authentifiziert und starke Transportverschlüsselung
*Integrität des Zugriffsgeräts muss sichergestellt sein
*Daten flüchtig
|-
| style="background-color:#de9d9b;padding:0.176cm;" |Geheim
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
*verboten
|-
| style="background-color:#de9d9b;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Datenspeicher:
| style="background-color:#ffffff;padding:0.176cm;" |
*verboten
|-
| style="background-color:#de9d9b;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Remote:
| style="background-color:#efefef;padding:0.176cm;" |
*verboten
|-
|}

==Alternative Arbeitsumgebung (Home Office)==
 
{| style="border-spacing:0;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Intern
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
*abschließbare Büromöbel
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Datenspeicher:
| style="background-color:#ffffff;padding:0.176cm;" |
*starke Verschlüsselung oder Fernlöschung
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Remote:
| style="background-color:#efefef;padding:0.176cm;" |
*stark authentifiziert und starke Transportverschlüsselung
|-
| style="background-color:#fce5a3;padding:0.176cm;" |Vertraulich
| style="background-color:#ffffff;padding:0.176cm;" |Papier:
| style="background-color:#ffffff;padding:0.176cm;" |
*nur temporär
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Datenspeicher:
| style="background-color:#efefef;padding:0.176cm;" |
*starke Verschlüsselung oder Fernlöschung möglich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Remote:
| style="background-color:#ffffff;padding:0.176cm;" |
*stark authentifiziert und starke Transportverschlüsselung
*Integrität des Zugriffsgeräts muss sichergestellt sein
*Daten flüchtig
|-
| style="background-color:#de9d9b;padding:0.176cm;" |Geheim
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
*verboten
|-
| style="background-color:#de9d9b;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Datenspeicher:
| style="background-color:#ffffff;padding:0.176cm;" |
*verboten
|-
| style="background-color:#de9d9b;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Remote:
| style="background-color:#efefef;padding:0.176cm;" |
*verboten
|}
Bei der Mitnahme von mobilen Endgeräten bzw. Bearbeitung von Informationen in alternativen Arbeitsumgebungen müssen zusätzlich zu den üblichen Sicherheitsvorkehrungen weitere Anforderungen erfüllt werden, vor allem muss der Zugriff durch unberechtigte Personen verhindert werden.

Eine Entfernung von als vertraulich eingestuften Informationen ist nur nach einer Risikoeinschätzung möglich. Hierbei ist jeder Einzelfall separat zu prüfen.

Eine Bearbeitung streng vertraulicher (geheimer) Daten außerhalb der von Parasol Island kontrollierten Sicherheitsbereiche ist unter keinen Voraussetzungen zulässig.

==Entfernbare Endgeräte==
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.

Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

*Siehe [[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie (02_13)]]

===Fernlöschung===
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

===Entsorgung===
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

===Systempflege===
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.

===Sichtschutz===
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.

===Verlust===
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.

==Einsichtnahme von Behörden auf Dienstreisen==
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

*Projektleitung
*Geschäftsleitung

Verantwortlich für die Entsorgung:

*Administration

[[Category:ISMS]]

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:44:41Z

Justus Heinser: /* Temporäre Arbeitsumgebung */

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:42:38Z

Justus Heinser: /* Temporäre Arbeitsumgebung */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Intern
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
*in persönlicher Obhut
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Datenspeicher:
| style="background-color:#ffffff;padding:0.176cm;" |
* starke Verschlüsselung oder Fernlöschung
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Remote:
| style="background-color:#efefef;padding:0.176cm;" |
* stark authentifiziert und starke Transportverschlüsselung
|-
| style="background-color:#fce5a3;padding:0.176cm;" |Vertraulich
| style="background-color:#ffffff;padding:0.176cm;" |Papier:
| style="background-color:#ffffff;padding:0.176cm;" |
* ununterbrochen in persönlicher Obhut
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Datenspeicher:
| style="background-color:#efefef;padding:0.176cm;" |
* starke Verschlüsselung oder Fernlöschung möglich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Remote:
| style="background-color:#ffffff;padding:0.176cm;" |
* stark authentifiziert und starke Transportverschlüsselung
* Integrität des Zugriffsgeräts muss sichergestellt sein
* Daten flüchtig
|-
| style="background-color:#de9d9b;padding:0.176cm;" |Geheim
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
* verboten
|-
| style="background-color:#de9d9b;padding:0.176cm;" |
| style="background-color:#ffffff;padding:0.176cm;" |Datenspeicher:
| style="background-color:#ffffff;padding:0.176cm;" |
* verboten
|-
| style="background-color:#de9d9b;padding:0.176cm;" |
| style="background-color:#efefef;padding:0.176cm;" |Remote:
| style="background-color:#efefef;padding:0.176cm;" |
* verboten
|-
|}

==Alternative Arbeitsumgebung (Home Office)==
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|}

==Entfernbare Endgeräte==
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.

Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

*Siehe [[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie (02_13)]]

===Fernlöschung===
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

===Entsorgung===
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

===Systempflege===
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.

===Sichtschutz===
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.

===Verlust===
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.

==Einsichtnahme von Behörden auf Dienstreisen==
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

*Projektleitung
*Geschäftsleitung

Verantwortlich für die Entsorgung:

*Administration

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:36:03Z

Justus Heinser: /* Temporäre Arbeitsumgebung */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Intern
| style="background-color:#bcd6ac;padding:0.176cm;" |Papier:
| style="background-color:#bcd6ac;padding:0.176cm;" |
*in persönlicher Obhut
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#bcd6ac;padding:0.176cm;" |Datenspeicher:
| style="background-color:#fce5a3;padding:0.176cm;" |
* starke Verschlüsselung oder Fernlöschung
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#fce5a3;padding:0.176cm;" |Remote:
| style="background-color:#fce5a3;padding:0.176cm;" |
* stark authentifiziert und starke Transportverschlüsselung
|-
| style="background-color:#fce5a3;padding:0.176cm;" |Vertraulich
| style="background-color:#fce5a3;padding:0.176cm;" |Papier:
| style="background-color:#de9d9b;padding:0.176cm;" |
* ununterbrochen in persönlicher Obhut
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#de9d9b;padding:0.176cm;" |Datenspeicher:
| style="background-color:#de9d9b;padding:0.176cm;" |
* starke Verschlüsselung oder Fernlöschung möglich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#de9d9b;padding:0.176cm;" |Remote:
| style="background-color:#de9d9b;padding:0.176cm;" |
* stark authentifiziert und starke Transportverschlüsselung
* Integrität des Zugriffsgeräts muss sichergestellt sein
* Daten flüchtig
|-
| style="background-color:#efefef;padding:0.176cm;" |Geheim
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |
* verboten
|-
|
|Datenspeicher:
|
* verboten
|-
|
|Remote:
|
* verboten
|-
|}

==Alternative Arbeitsumgebung (Home Office)==
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|}

==Entfernbare Endgeräte==
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.

Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

*Siehe [[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie (02_13)]]

===Fernlöschung===
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

===Entsorgung===
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

===Systempflege===
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.

===Sichtschutz===
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.

===Verlust===
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.

==Einsichtnahme von Behörden auf Dienstreisen==
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

*Projektleitung
*Geschäftsleitung

Verantwortlich für die Entsorgung:

*Administration

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:34:12Z

Justus Heinser: /* Temporäre Arbeitsumgebung */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Intern
| style="background-color:#bcd6ac;padding:0.176cm;" |Papier:
| style="background-color:#bcd6ac;padding:0.176cm;" |
* in persönlicher Obhut
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#bcd6ac;padding:0.176cm;" |Datenspeicher:
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |
| style="background-color:#fce5a3;padding:0.176cm;" |Remote:
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
|-
| style="background-color:#fce5a3;padding:0.176cm;" |Vertraulich
| style="background-color:#fce5a3;padding:0.176cm;" |Papier:
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#de9d9b;padding:0.176cm;" |Datenspeicher:
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
|-
| style="background-color:#fce5a3;padding:0.176cm;" |
| style="background-color:#de9d9b;padding:0.176cm;" |Remote:
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
|-
| style="background-color:#efefef;padding:0.176cm;" |Geheim
| style="background-color:#efefef;padding:0.176cm;" |Papier:
| style="background-color:#efefef;padding:0.176cm;" |Hoch
|-
|
|Datenspeicher:
|
|-
|
|Remote:
|
|-
|}

==Alternative Arbeitsumgebung (Home Office)==
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|}

==Entfernbare Endgeräte==
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.

Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

*Siehe [[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie (02_13)]]

===Fernlöschung===
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

===Entsorgung===
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

===Systempflege===
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.

===Sichtschutz===
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.

===Verlust===
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.

==Einsichtnahme von Behörden auf Dienstreisen==
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

*Projektleitung
*Geschäftsleitung

Verantwortlich für die Entsorgung:

*Administration

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:32:06Z

Justus Heinser: /* Temporäre Arbeitsumgebung */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|-
|}

== Alternative Arbeitsumgebung (Home Office) ==
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|}

== Entfernbare Endgeräte ==
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.

Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

* Siehe [[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie (02_13)]]

=== Fernlöschung ===
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

=== Entsorgung ===
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

=== Systempflege ===
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.

=== Sichtschutz ===
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.

=== Verlust ===
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.

==Einsichtnahme von Behörden auf Dienstreisen==
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

* Projektleitung
* Geschäftsleitung

Verantwortlich für die Entsorgung:

* Administration

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:31:49Z

Justus Heinser: /* Temporäre Arbeitsumgebung */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|-
|}

== Alternative Arbeitsumgebung (Home Office) ==
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|}

== Entfernbare Endgeräte ==
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.

Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

* Siehe [[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie (02_13)]]

=== Fernlöschung ===
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

=== Entsorgung ===
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.

=== Systempflege ===
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.

=== Sichtschutz ===
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.

=== Verlust ===
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.

==Einsichtnahme von Behörden auf Dienstreisen==
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

* Projektleitung
* Geschäftsleitung

Verantwortlich für die Entsorgung:

* Administration

03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

2020-10-27T12:18:34Z

Justus Heinser: /* Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln */

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln==
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

==Geltungsbereich==
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

==Temporäre Arbeitsumgebung==
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
{| style="border-spacing:0,5;"
| style="background-color:#bcd6ac;padding:0.176cm;" |Best
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#efefef;padding:0.176cm;" |unvorstellbar
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#efefef;padding:0.176cm;" |unwahrscheinlich
|-
| style="background-color:#bcd6ac;padding:0.176cm;" |OK
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#efefef;padding:0.176cm;" |entfernt vorstellbar
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 1
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#efefef;padding:0.176cm;" |gelegentlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 1
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#efefef;padding:0.176cm;" |wahrscheinlich
|-
| style="background-color:#fce5a3;padding:0.176cm;" |ALARP 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 2
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 3
| style="background-color:#de9d9b;padding:0.176cm;" |Inakzeptabel 4
| style="background-color:#de9d9b;padding:0.176cm;" |Supergau
| style="background-color:#efefef;padding:0.176cm;" |häufig
|-
| style="background-color:#efefef;padding:0.176cm;" |Gering
| style="background-color:#efefef;padding:0.176cm;" |Mittel
| style="background-color:#efefef;padding:0.176cm;" |Hoch
| style="background-color:#efefef;padding:0.176cm;" |Sehr Hoch
| style="background-color:#efefef;padding:0.176cm;" |Katastrophal
| style="background-color:#efefef;padding:0.176cm;" | -
|-
|}

 

===Verschlüsselung===
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

===Weitergabe===
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

===Schnittstellen deaktivieren===
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

===Datensparsamkeit:===
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen. Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

===Einsichtnahme von Behörden auf Dienstreisen===
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

==Mitnahme in das private Umfeld==
Analog zur geschäftlichen Entfernung von Betriebsmitteln müssen auch bei der Mitnahme ins private Umfeld sämtliche Sicherheitsmaßnahmen erfolgen. Zusätzlich muss sichergestellt sein, dass auch im privaten Umfeld keine unberechtigten Personen Zugriff auf die enthaltenen Informationen erhalten.

Eine allgemeine Entfernungserlaubnis ist nur erteilbar, wenn die Betriebsmittel keine als Vertraulich oder Streng Vertraulich eingestuften Informationen erhalten.

Eine Entfernung von als Vertraulich oder Streng Vertraulich eingestuften Informationen ist nur nach einer Risikoeinschätzung möglich und erfordert die Genehmigung der Geschäftsleitung. Hierbei ist jeder Einzelfall separat zu prüfen und auch nur eine Ausnahmegenehmigung möglich.

==Entsorgung==
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

==Verlust==
Geht ein Betriebsmittel verloren, während es vom Betriebsgelände entfernt wurde, muss dies umgehend dem Projektleiter und der Geschäftsleitung mitgeteilt werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Die für die Betriebsmittel verantwortliche Person ist dazu verpflichtet, das Betriebsmittel wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als Vertraulich und Streng Vertraulich eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Für Betriebsmittel, die keine eigene Verschlüsselung bieten, ist eine erhöhte Sorgfaltspflicht erforderlich. Gemäß der Sicherheitseinstufung müssen hier ggf. mehrere verantwortliche Personen ernannt werden.

Jeder Verlust erfordert eine gesonderte Prüfung mit

*Betrachtung des Schadens,
*Gründen für den Verlust,
*Maßnahmen, um zukünftige Verluste zu verhindern.

Gegebenenfalls können Sanktionen gegen den Verantwortlichen erhoben werden.

==Verantwortlichkeiten==
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

*Projektleitung
*Geschäftsleitung

Verantwortlich für die Entsorgung:

*Administration