Parasol - User contributions [en]

03 42 PSL ISMS ITDienstleister

2023-10-23T09:51:08Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Lieferanten und Dienstleister haben Zugriff auf Ressourcen Parasol Islands, die Informationssicherheitsanforderungen unterliegen. Daher ist es wichtig, dass der Umgang mit Lieferanten aus Sicht der Informationssicherheit genau festgelegt ist. Dies wird bereits in der Richtlinie zu externen Dienstleistern (ISMS, 02_11) beschrieben.

Diese Arbeitsanweisung ergänzt die allgemeinen Richtlinien zum Umgang mit Dienstleistern und Lieferanten um spezielle Regelungen für IT-Dienstleister.

== Geltungsbereich ==
Dieses Regelwerk gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Dokumentation ==
Jeder Dienstleister mit Zugriff auf IT-Systeme muss in der Liste IT-Dienstleister erfasst werden. Jedem Dienstleister sind dabei folgende Informationen zuzuordnen:
{| class="wikitable"
|Titel
|Der Name des Dienstleistungsunternehmens
|-
|Beschreibung
|Eine kurze Beschreibung des Unternehmens
|-
|Funktion
|Die Aufgaben, die das Unternehmen, bei Parasol Island übernimmt
|-
|Verantwortliche Person
|Die Person, die bei der Parasol Island für dieses Unternehmen verantwortlich ist
|-
|Ansprechpartner
|Der Hauptansprechpartner beim Dienstleistungsunternehmen
|-
|Vertraulichkeitsfreigabe
|Welche Informationen darf dieser Dienstleister sehen?
|-
|Verarbeitete Werte
|Sofern es sich um relevante Informationswerte handelt, sollten sie hier aufgeführt werden
|}

== Kontrolle ==
Jeder IT-Dienstleister ist jährlich hinsichtlich der Aufgabenverteilung, der Einhaltung der Informationssicherheit und des Vertragsverhältnisses zu prüfen. Diese Prüfung erfolgt durch die Geschäftsführung, die IT-Administration und den Informationssicherheitsbeauftragten. Die Koordination übernimmt der Informationssicherheitsbeauftragte.

02 15 PSL ISMS Schulungen

2023-10-23T09:48:37Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Ein effektives Schulungsprogramm zur Informationssicherheit muss aufgebaut und aufrechterhalten werden. Ziel eines solchen Programms ist es, die Wahrnehmung der Mitarbeiter für Sicherheitsrisiken zu schärfen und ihnen die notwendigen Kenntnisse und Kompetenzen für sicherheitsbewusstes Verhalten zu vermitteln. Das vorliegende Dokument beschreibt die Vorgaben an Schulungszeitpunkte und Schulungsinhalte. Es wichtig, dass alle Mitarbeiter Informationssicherheit und Datenschutz als selbstverständlichen Teil ihrer Tätigkeit verinnerlichen und täglich in ihrer Arbeit leben. Regelmäßige Schulungen tragen dazu maßgeblich bei.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Schulungszeitpunkte ==
Jeder Mitarbeiter und jede Mitarbeiterin der Parasol Island wird zu Beginn ihrer Tätigkeit in alle sie für sie wichtigen Bereiche eingewiesen. Dazu gehören insbesondere Informationssicherheit und Datenschutz. Außerdem wird mit regelmäßigen Schulungsmaßnahmen dafür Sorge getragen, dass dieses Wissen zum einen aufgefrischt wird, zum anderen aktualisiert wird. Darüber hinaus können anlassbezogene Schulungen veranstaltet werden, z.B. bei Änderungen gesetzlicher Anforderungen, Umstellung eines Geschäftsprozess oder Einführung einer neuen Software. Da die Parasol Island projektbezogen arbeitet, kann es auch zu Projektbeginn zu Schulungen der Projektteilnehmer kommen, in der projektspezifische Inhalte vermittelt werden.
Diese Arten von Schulungen werden im Folgenden genauer beschrieben.

=== Beginn des Beschäftigungsverhältnisses ===
Jeder Beschäftige der Parasol Island GmbH ist zu Beginn seines Beschäftigungsverhältnisses zu den Themen Informationssicherheit und Datenschutz zu schulen. Aufgrund der Informationsfülle, denen ein neuer Mitarbeiter in den ersten Schulungen ausgesetzt ist, sind die Inhalte auf das Wichtigste zu beschränken, um sicherzustellen, dass die Informationen in Erinnerung bleiben. Danach sind diese kontinuierlich zu wiederholen und zu erweitern.

Folgende Themen sollen insbesondere behandelt werden:

* Richtlinien zur Informationssicherheit und zum Datenschutz
* Umgang mit Sicherheitsvorfällen
* Richtlinien zu Benutzerkonten und Anmeldeinformationen (z. B. Passwortrichtlinie)
* Prototypenschutz (wenn für den Mitarbeiter oder die Mitarbeiterin erforderlich)

=== Anlassbezogene Schulungen ===
Es gibt unterschiedliche Anlässe, warum Mitarbeiter verpflichtend geschult werden sollten. Bei Einführung einer neuen Software, deren Benutzer Einfluss auf Informationssicherheit und Datenschutz hat, sollten die Anwender im Umgang damit geschult werden. Dies hilft, Fehler zu vermeiden und damit versehentlich ausgelöste Sicherheitsvorfälle zu vermeiden.

Ähnliches gilt für die Änderung wichtiger Geschäftsprozesse oder Anpassungen an den geltenden Richtlinien und Arbeitsanweisungen.

=== Projektspezifische Schulungen ===
Sollten in einem Projekt besondere Anforderungen oder Regelungen gelten (insbesondere fällt darunter der Umgang mit Prototypen), oder z.B. eine Software eingesetzt werden, die nur in diesem Projekt eingesetzt wird, so sollte vor Projektbeginn eine Einweisung aller Projektteilnehmer stattfinden. Dies sollte auch dann zutreffen, wenn für ein Projekt personenbezogene Daten verarbeitet werden.

Diese Regelungen sind schriftlich festzuhalten und für alle Projektmitglieder zugänglich abzulegen. Projektmitglieder, die später in das Projektteam aufgenommen werden, sind vor ihrem Tätigkeitsbeginn darüber aufzuklären.

=== Kontinuierliche Schulungsangebote ===
Der Informationssicherheits- und der Datenschutzbeauftragte sollten in regelmäßigen Abständen Kurzschulungen zu verschiedenen Themengebieten anbieten, an denen jeder Mitarbeiter teilnehmen darf. Im Idealfall sind diese Schulungen aufzuzeichnen und online zur Verfügung zu stellen.

Hintergrund ist nicht nur die stetige Weiterbildung der Mitarbeiter, sondern auch das Kennenlernen der Mitarbeiter und der Sicherheitsbeauftragten untereinander sowie das Schaffen von Awareness für die Themen Datenschutz und Informationssicherheit.

Die folgende Tabelle listet die (Höchst-)Intervalle zu den verschiedenen Themen auf:
{| class="wikitable"
|Themengebiet
|Intervall
|-
|Informationssicherheit
|1 Jahr
|-
|Datenschutz
|2 Jahre
|-
|Prototypenschutz
|1 Jahr
|}

== Schulungsinhalte ==
Alle Schulungsinhalte sind regelmäßig auf Aktualität zu überprüfen. Den Schulungsunterlagen ist ein Informationseigentümer zuzuweisen, der die Aufgabe hat, diese regelmäßig zu prüfen und zu aktualisieren. Dies ist unabhängig davon, ob eine konkrete Schulung in einem Bereich angesetzt ist, da die Schulungsunterlagen auch zum Nachschlagen dienen sollen.

Im Folgenden ist eine Liste der Themengebiete aufgeführt, die die Schulungsmaßnahmen der Parasol Island abdecken müssen.

=== Informationssicherheit ===

* Richtlinie zur Informationssicherheit
* Nutzung des ISMS
* Melden von Informationssicherheitsereignissen
* Verhalten beim Auftreten von Schadsoftware
* Richtlinien zu Benutzerkonten und Anmeldeinformationen
** Passwortrichtlinie
** Welche Accounts/welche Systeme
* Compliance-Themen der Informationssicherheit
* Anforderungen und Verfahren zum Einsatz von Geheimhaltungsvereinbarungen bei der Weitergabe von schutzbedürftigen Informationen
* Einsatz organisationsfremder IT-Dienste
* Welche Software und welche Tools dürfen verwendet werden? Sollte eine Software nicht dabei sein, an wen kann ich mich wenden? Welche Software ist wofür zu verwenden?
* Transfer großer Dateien
* Wie werden welche Informationen kommuniziert? Welche Kommunikationswege stehen zur Verfügung? Welche sind wofür geeignet und wofür nicht?

=== Datenschutz ===

* Was sind personenbezogene Daten?
* Umgang mit Datenschutzvorfällen
* Bearbeitung und Erstellung des Verzeichnisses von Verarbeitungstätigkeiten (VVT)
* Einführung in die DSGVO

=== Prototypenschutz ===
„Durch Schulungen/Sensibilisierungen zum Prototypenschutz müssen die Mitarbeiter die notwendigen Kenntnisse und Kompetenzen für sicherheitsbewusstes Verhalten im Umgang mit als schutzbedürftig klassifizierten Fahrzeugen, Komponenten und Bauteilen erwerben.“ (8.2.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

* Allgemeiner Umgang mit Prototypen
* Schutzbedarfe im Prototypenschutz und daraus resultierende Maßnahmen

= Dokumentation von Schulungsergebnissen =
Die Teilnahme jedes Mitarbeiters oder Mitarbeiterin an einer internen oder externen Veranstaltung zur Fort- und Weiterbildung ist der Personalabteilung zu melden und dort zu dokumentieren. Aus den Daten muss der Wissensstand eines Mitarbeiters erkenntlich sein, so dass die Sicherstellung eines angemessenen Wissensstands ermöglicht wird.

03 38 PSL ISMS Authentifizierungskonzept

2023-10-23T09:41:26Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Die genutzten Dienste werden aufgelistet und nach Risiko bewertet. Daraus folgen konkrete Anweisungen für den Nutzer.

Es soll vor allem das Verständnis für die Passwortregeln und Anforderungen geschärft, sowie Hilfestellungen zum Erstellen und Merken sicherer Passwörter gegeben werden.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für IT-Administratoren an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Authentifikationsmethoden ==
Authentifikation beschreibt die Möglichkeit einer eindeutigen Identifikation der Person. Grundsätzlich unterscheidet man schwache Authentifikation und starke Authentifikation.

=== Schwache Authentifikation ===
Schwache Authentifikation nutzt nur eines der folgenden Merkmale zur Identitätsprüfung:

* Wissen (z.B. Passwort, Pin)
* Besitz (z.B. Software Zertifikate, Schlüssel, Yubikey)
* Eigenschaften (z.B. Fingerabdruck)

=== Starke Authentifikation ===
Starke Authentifikation nutzt hingegen zwei der oben genannten Merkmale.

* Der Einsatz biometrischer Verfahren ist prinzipiell für starke Authentifizierung geeignet, da bei Kompromittierung keine Erneuerung möglich ist.
* Das Merkmal Besitz ist über die nachfolgenden Eigenschaften definiert:
** Befindet sich im Besitz der zu authentifizierenden Person und steht dieser exklusiv zur Verfügung.
** Eine Vervielfältigung ist nicht ohne weiteres möglich (Ausnahmen können z.B. in der ausstellenden / ausgebenden Stelle liegen).

Das Merkmal „Besitz“:

* darf nicht auf der zu authentifizierenden Instanz installiert / verortet sein.
* darf nicht beliebig vervielfältigbar sein.

Als „Besitz“ Merkmal wird bei der Parasol Island GmbH eine Authenticator App auf dem Smartphone benutzt. Diese erfüllt bei sachgerechter Nutzung alle geforderten Kriterien. Sie wird mit Hilfe vom Administrator beim ersten Login aktiviert.

== Anforderungen in Abhängigkeit der Vertraulichkeit ==

#

{| class="wikitable"
|Einstufung / Klassifikation
|Anforderung Authentifizierung
|-
|Öffentlich
|keine
|-
|Intern
|schwache

Authentifikation
|-
|Vertraulich
|starke

Authentifikation *
|-
|Streng Vertraulich
|starke

Authentifikation
|}
<nowiki>*</nowiki> Sofern eine starke Authentifikation technisch nicht möglich ist, ist der Einsatz einer schwachen Authentifikation mit einer weiteren Absicherung wie eine zusätzlich authentisierte Ablageverschlüsselung gestattet. Hierbei ist zu beachten, dass für beide Verfahren unterschiedliche Authentifizierungsinformationen und -instanzen (z.B. unterschiedliche Passwörter in verschiedenen Systemen) zu verwenden sind.

== Authentifikationsmittel ==

=== Passwörter ===

==== Generelle Anforderungen ====
{| class="wikitable"
|Regel
|Begründung
|-
|Min. 10 Zeichen lang
|Zeit-Analysen von Bruteforce-Attacken zeigen, dass die Länge des Passwortes wichtiger ist als dessen Komplexität.

10 Zeichen Länge wird von Parasol Island derzeit als guter Kompromiss aus Länge und noch gut zu merkende Anforderung angesehen.
|-
|3 aus 4 Zeichenklassen
|Durch ausreichend Komplexität potenziert sich die Passwortsicherheit. Da mehr Kombinationen möglich sind, erhöht sich die Zeit für eine Bruteforce-Attacke exponentiell.

Aus den folgenden Zeichenklassen müssen mindestens 3 vertreten sein

* Großbuchstaben
* Kleinbuchstaben
* Ziffern
* Sonderzeichen
|-
|Keine Wörter aus dem Wörterbuch
|Diese werden bei Bruteforce-Attacken als erstes ausprobiert und sind in Sekunden geknackt.
|-
|Keine persönlichen Informationen
|z.B. Namen, Kfz-Kennzeichen, Geburtsdatum - diese können von gezielten Angreifern systematisch erraten werden.
|-
|Keine voreingestellten Passwörter
|Voreingestellte Passwörter in Geräten müssen bei der Installation geändert werden, da die Passwörter oft einem Muster entspringen und Angreifer dies ausnutzen können.
|-
|Keine fremdvergebenen Passwörter
|Vom Administrator vergebene Passwörter müssen bei der ersten Anmeldung geändert werden, um sicherzustellen, dass das Passwort nur dem Nutzer bekannt ist.
|-
|unbeobachtete Eingabe
|Der Nutzer muss sichergehen, dass er bei der Eingabe von Authentifizierungen nicht beobachtet werden kann.
|-
|Keine privaten Passwörter
|Passwörter, die privat benutzt werden, dürfen nicht für geschäftliche Zwecke benutzt werden.
|-
|Keine Notizen
|Kein Notieren von Anmeldeinformationen oder unverschlüsselte Speicherung. Der Nutzer muss sichergehen, dass das Passwort von niemandem gelesen werden kann.
|}

==== Anforderungen für besondere Passwörter ====
{| class="wikitable"
|Administratorpasswörter
|Administratorpasswörter bergen ein besonders großes Risiko. Daher müssen diese besonders lang sein.

16 Zeichen werden derzeit von Parsol Island als sinnvoll eingestuft. Die anderen Passwortregeln sind davon unberührt.
|-
|Pins für Smartphones oder Tabletts
|Pins für Smartphones und Tablets sollten aus mindestens 6 Zeichen oder Buchstaben bestehen, vorausgesetzt das Gerät sperrt sich nach 3 Fehlversuchen.
|-
|Vertrauliche Informationen
|Abhängig von der Risikobewertung wurde das Authentifizierungsverfahren durch ergänzende Maßnahmen verstärkt (z. B. dauerhaftes Monitoring der Zugriffe auf Unregelmäßigkeiten oder Einsatz einer starken Authentifizierung).
|-
|Streng vertrauliche Informationen
|Der Zugang zu vertraulichen und streng vertraulichen Informationen ist in jedem Fall durch einen 2. Faktor zu stärken. (VDA ISA Vorgabe)
|}
Wenn es technisch möglich ist, müssen die Systeme so konfiguriert sein, dass Passwörter, die nicht in dieses Muster passen, automatisch abgelehnt werden.

==== Passwortwechsel ====
Ein Passwortwechsel bietet den Vorteil, dass unentdeckte Kompromittierungen eliminiert werden und keinen langfristigen Schaden anrichten können. Nutzer neigen jedoch dazu, die Komplexität des Passwortes zu vereinfachen, da man sich oft wechselnde Passwörter nur schwer merken kann.

Ein Passwort muss nicht geändert werden, solange es als sicher eingestuft ist, und nicht kompromittiert wurde. Es steht einem Nutzer frei, die Sicherheit durch regelmäßige Wechsel zu erhöhen, allerdings nur mit Rücksicht auf ausreichende Komplexität. Folgezahlen anzuhängen, erhöht die Sicherheit kaum.

Ein Passwortwechsel ist durchzuführen, wenn das Passwort unautorisierten Personen bekannt geworden ist oder ein begründeter Verdacht besteht.

=== Möglichkeiten zur alternativen Stärkung der Authentifizierung ===
Ist eine Stärkung durch einen 2. Faktor technisch nicht möglich oder sinnvoll, kann die Stärkung über andere Maßnahmen kompensiert werden, wie z.B.

* Sperrung nach Fehlversuchen
* Zeitverzögerung nach Fehlversuchen

=== Weitergabe von Identifikationsmitteln ===
Ein Passwort dient zur Authentifizierung einer Identität, das bedeutet, ein Mensch wird eindeutig einem Account zugeordnet.

Alle Elemente der Authentifikation wie Passwörter oder Schlüssel oder 2-Faktor-Geräte, die einem eindeutigen Account zugeordnet sind, dürfen niemals geteilt oder weitergegeben werden.

Auch Administratoren oder Supportmitarbeiter dürfen die Passwörter nicht kennen.

== Passwortmanager 1Password ==
Parasol Island stellt seinen Mitarbeitern einen Passwortmanager zur Verfügung, um Passwörter verschlüsselt und sicher abzuspeichern. Passwörter sollten durch einen Random Prozess erzeugt werden, um durch Bruteforce-Attacken schwer zu entziffern zu sein.

Für das Login in diesen Passwortmanager muss ein sehr sicheres Passwort gewählt werden. Um sich dieses zu merken, wird eine Passphrase empfohlen, ein ganzer Satz, welcher für den Nutzer leicht zu merken ist, aber aus möglichst vielen unterschiedlichsten Buchstaben, Satzzeichen und Sonderzeichen besteht.

Beispiel: „Ich_kann_mir_Passwoerter_mit_%_nicht_laenger_als 3_Tage_merken!“

03 24 PSL ISMS EvaluationCloudDiensten

2023-10-23T09:34:46Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Ziel dieses Dokumentes ist es, Auswahlkriterien für Cloud-Dienstleister festzulegen und einen entsprechenden Prozess zu definieren, nach dem neue Cloud-Dienstleister evaluiert und freigegeben werden. Es konkretisiert die Anforderungen, die sich aus der Richtlinie für den Umgang mit Cloud-Diensten ergeben (ISMS, 02_27).

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für IT-Administratoren an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Anforderungen ==
Vor dem Einsatz eines neuen Cloud-Dienstes ist dieser dahingehend zu prüfen, ob er den Anforderungen der Parasol Island gerecht wird. Diese Anforderungen sind maßgeblich von denjenigen Informationswerten abhängig, die von dem Dienst verarbeitet werden, und dem daraus resultierenden Schutzbedarf. Weitere Informationen zu Informationswerten und Schutzbedarf finden sich in der Richtlinie zu Informationswerten (ISMS, 02_20).

Konkrete Anforderungen an Cloud-Dienste werden in der folgenden Google Tabelle (Reiter: Schutzbedarf Informationsträger) gepflegt: [https://docs.google.com/spreadsheets/d/1HM8dZE3CpwVsJBay2DtKy5Bh9OSO8FaiVZOzXPxLvyA/edit#gid=1781768477 Informationswerte]. Diese Anforderungen sind einmal im Jahr vom Informationssicherheitsbeauftragten in Zusammenarbeit mit dem IT-Administrator zu kontrollieren und anzupassen.

== Dokumentation ==
Zur Dokumentation der evaluierten und genutzten Cloud-Dienste dient das IT-Diensteverzeichnis:

[https://docs.google.com/spreadsheets/d/1DEQSE168bAh92S2DdJAfeGmZYoRee48O0QyydrIQ2Xs/edit#gid=1768952291 IT-Diensteverzeichnis]

Dies ist eine Google-Tabelle, in der auf dem ersten Tabellenblatt („Übersicht“) tabellarisch die freigegebenen (und auch die verbotenen) Cloud-Dienste aufgelistet werden. Nicht evaluierte Cloud-Dienste – also solche, die nicht aufgelistet sind – dürfen allerdings auch nicht genutzt werden.

Alle weiteren Detailinformationen werden pro Cloud-Dienst auf einem eigenen Tabellenblatt aufgeführt. Diese werden im Folgenden beschrieben.

=== Verantwortlichkeiten ===
Als für einen Dienst „verantwortlich“ gelten diejenigen Personen, die für die Sicherheit und korrekte Benutzung des Dienstes zuständig sind. Sie prüfen auch, ob die Mitarbeiter diesen korrekt verwenden und organisieren notwendige Schulungsmaßnahmen.

Die „Administratoren“ sind für die korrekte Konfiguration des Dienstes zuständig, legen Benutzer an (sperren diese) und vergeben Berechtigungen.

Für die Freigabe von Anträgen zur Änderung von Berechtigung oder Anlage neuer Benutzer ist grundsätzlich die Geschäftsführung zuständig, daher werden diese nicht pro Dienst aufgeführt.

=== Informationssicherheit ===
Zur Feststellung der Informationssicherheit sind die folgenden Aspekte zu analysieren:

==== Verschlüsselung ====
Es muss festgestellt werden, wie Transport- und Ablageverschlüsselung aussehen. Darüber hinaus ist auch wichtig, ob Parasol Island im Schlüsselbesitz ist oder nur der Dienstanbieter.

==== Zertifizierungen ====
Hat das Unternehmen bzw. der Dienst Zertifizierungen im Bereich Informationssicherheit. Dies können z.B. TISAX, ISO 270xx oder auch SOC sein.

==== Mandantentrennung ====
Wird der Dienst von verschiedenen Kunden verwendet (dies dürfte bei allen Dienstanbietern der Fall sein), so ist sicherzustellen, dass die Daten unterschiedlicher Kunden strikt voneinander getrennt sind. Folgende Punkte sind zu berücksichtigen:

* Separierung von Daten, Funktionen, Applikationen, Betriebssystem, Speicher und Netzwerk.
* Risikobewertung für den Betrieb von Fremdsoftware innerhalb der geteilten Umgebung.

Sollte ein Dienst über keine Mandantentrennung verfügen, weil er z.B. keine Daten speichert, sondern nur Einzelanfragen beantwortet, so muss dennoch sichergestellt sein, dass es nicht zu einer Mischung von Daten kommen kann.

==== Identity- und Accessmanagement ====
Wie sicher lässt sich die Anmeldung gestalten? Und wie erfolgt diese. Besteht die Möglichkeit zur Multifaktor-Authentifizierung? Wenn ja, welche zusätzlichen Faktoren stehen zur Verfügung? Gibt es evtl. die Möglichkeit Single-Sign-On mit einem bereits bei Parasol Island etablierten Identity-Provider (z.B. Microsoft Azure Active Directory) zu nutzen?

==== Ausstiegsstrategie ====
Sollte die Nutzung des Cloud-Dienstes enden, wie kann dann sichergestellt werden, dass a) alle Daten an einen anderen Ort transferiert werden und b) keine Daten beim Dienstanbieter verbleiben? Schon vor Beginn der Nutzung ist für beide Punkte ein Plan zu erstellen.

==== Spezielle Risiken ====
Die Nutzung eines jeden Cloud-Dienstes bringt auch neue Risiken mit sich. Diese müssen mit in das Risikomanagement aufgenommen werden. Weitere Informationen finden sich in der Richtlinie zum Risikomanagement (ISMS, 02_12).

=== Datenschutz ===
Insbesondere für Cloud-Dienste relevant, die auch personenbezogene Daten verarbeiten, sind die folgenden Informationen:

==== Standort der Rechenzentren und Sitz des Unternehmens ====
Wo werden die Daten gespeichert? In Deutschland, im Europäischen Wirtschaftsraum (also im direkten Einflussbereich der DSGVO), in einem sicheren Drittland oder in einem unsicheren Drittland? Die gleichen Fragen stellen sich auch beim Sitz des Unternehmens, denn davon sind die gesetzlichen Bedingungen abhängig, denen das Unternehmen unterliegt.

Bei einem Anbieter in einem unsicheren Drittland verlangt die DSGVO die Erstellung eines Transfer Impact Assessments, bzw. einer Datenschutzfolgeabschätzung. Mehr dazu in der Richtlinie für Datenschutz (ISMS, 02_06).

==== Auftragsverarbeitungsverträge oder Data Protection Addendums ====
Vor der Nutzung des Cloud-Dienstes sollten die Auftragsverarbeitungsverträge geprüft werden. Je nachdem wie der Anbieter seinen Vertrag bereitstellt, sollte eine URL auf die Webseite gespeichert werden oder die Datei im ISMS abgelegt und darauf verlinkt werden.

==== Technische und organisatorische Maßnahmen ====
Die technischen und organisatorischen Maßnahmen sind verpflichtender Teil des Auftragsverarbeitungsvertrages. Sie beschreiben alle Maßnahmen, die zum Schutz der Daten getroffen wurden.

Die ToMs müssen nicht separat dokumentiert werden. Wenn sie als eigene Datei oder Webseite zur Verfügung gestellt wurden, empfiehlt es sich aber, sie separat zu verlinken.

== Risikobetrachtung ==
Werden nicht alle Anforderungen an Cloud-Dienste erfüllt, so ist eine Risikobetrachtung durchzuführen, ob der Einsatz des Dienstes dennoch in Frage kommt. Dabei geht es darum, festzustellen, ob die nicht erfüllten Anforderungen in Summe ein so hohes Restrisiko ergeben, dass der Dienst nicht eingesetzt werden kann, oder ob z.B. risikominimierende Maßnahmen getroffen werden können, um den Einsatz zu rechtfertigen.

Die offizielle Freigabe erfolgt nach Prüfung durch den Informationssicherheitsbeauftragten durch die Geschäftsführung. Dabei wird grundsätzlich überprüft, inwieweit der Cloud-Dienst die Anforderungen an die unterschiedlichen Schutzziele erfüllt und welche Informationswerte daher verarbeitet werden dürfen.

Es gelten die allgemeinen Bedingungen aus dem Change-Management (ISMS, 02_05).

Entsprechend des Ergebnisses müssen die Listen im Wiki der Parasol Island aktualisiert werden, die erlaubte und verbotene Dienste aufführen.

== Kontrolle ==
Die bei Parasol Island verwendeten Cloud-Dienste werden regelmäßig überprüft. D.h. auf der einen Seite wird überprüft, ob die verwendeten Dienste noch den Anforderungen entsprechen, auf der anderen Seite muss aber auch überprüft werden, dass nur freigegebene Dienste verwendet werden. Die Prüfung erfolgt einmal im Jahr und wird von der IT in Zusammenarbeit mit dem Informationssicherheitsbeauftragten durchgeführt. Die Koordination übernimmt der Informationssicherheitsbeauftragte.

03 41 PSL ISMS KontrolleCloudDienste

2023-10-23T09:28:30Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Parasol Island beschränkt die zu verwendenden Cloud-Dienste auf diejenigen, die im IT-Diensteverzeichnis angegeben sind. Wie in der Richtlinie zum Umgang mit Cloud-Diensten (ISMS, 02_27) beschrieben, muss dies regelmäßig kontrolliert werden. Diese Arbeitsanweisung beschreibt, wie solche Kontrollen durchzuführen sind.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Informationssicherheitsbeauftragter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Durchführung der Kontrollen ==
Circa alle drei Monate führt der Informationssicherheitsbeauftragte kurze Interviews mit einzelnen ausgewählten Mitarbeitern oder Mitarbeiterinnen, um herauszufinden, welche Cloud-Dienste diese verwenden.

Bei der Auswahl ist zu beachten, dass jedes Jahr circa 30% der Mitarbeiterinnen und Mitarbeiter Parasol Islands befragt werden. Ziel der Befragung ist es, sicherzustellen, dass nur freigegebene Cloud-Dienste verwendet werden. Abweichungen werden erfasst, geeignete Maßnahmen zur Unterbindung der Verwendung besprochen und umgesetzt. Darüber hinaus dient dieses Interview auch dazu, festzustellen, welche weiteren Cloud-Dienste die Mitarbeiterinnen und Mitarbeiter für sinnvoll erachten, um diese eventuell in den Freigabeprozess aufzunehmen.

Ein regelmäßiges Gespräch zwischen Informationssicherheitsbeauftragtem und Mitarbeiter oder Mitarbeiterin, soll auch dazu dienen, die Gewärtigkeit für Informationssicherheit zu stärken und den Stellenwert für Parasol Island zu betonen.

== Protokollierung ==
Die Durchführung dieser Interviews erfolgt im Logbuch des ISMS als „Interview“. Erfasst werden dabei die folgenden Daten:
{| class="wikitable"
|Titel
|Kontrolle Cloud-Dienste
|-
|Teilnehmer
|Die befragten Mitarbeiter
|-
|Datum
|Wann haben die Interviews stattgefunden
|-
|Kurzbeschreibung
|Eine Beschreibung dessen, was gefragt worden ist.
|-
|Beschreibung des Ergebnisses
|Welche Erkenntnisse haben die Interviews geliefert.
|}
Sollte festgestellt werden, dass jemand nicht-freigegebene Cloud-Dienste verwendet hat, so ist dies als Sicherheitsereignis zu erfassen. Siehe dazu auch die „Arbeitsanweisung zur Protokollierung von Sicherheitsereignissen“ (ISMS, 03_40).

02 22 PSL ISMS Projektbezogene Informationssicherheit

2023-10-23T09:25:37Z

Niels.debruijn@parasol-island.com: KApitel "Prototypenschutz" hinzugefügt

== Zweck ==
''„Bei der Durchführung von Projekten ist es wichtig, dass die Informationssicherheitsanforderungen berücksichtigt. werden. Dies gilt für Projekte der Organisation, unabhängig von der Art des Projekts. Durch eine geeignete Verankerung des Informationssicherheitsprozesses in den Projektmanagementmethoden der Organisation wird sichergestellt, dass keine Anforderungen übersehen werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

Diese Richtlinie beschreibt den Umgang mit Informationssicherheit im Projektkontext. Zusätzlich zur Klassifikation eines Projektes bzgl. seines Schutzbedarfs ist für jedes Projekt eine Risikoanalyse erforderlich. Risiken, die in allen Projekten auftreten, müssen identifiziert und global behandelt werden.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Projektleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Klassifizierung von Projekten ==
Jedes (Kunden-)Projekt ist bezüglich seines Schutzbedarfes zu klassifizieren. Die Klassifikation erfolgt anhand der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Entsprechende Klassen und die Konsequenzen dieser Einstufungen sind definiert und allen Mitarbeiter bekannt.

Die Klassifizierung erfolgt so früh wie möglich. Sie sollte bereits in der Angebotsphase mit dem Kunden besprochen und festgelegt werden. Projektindividuelle Anpassungen sind erlaubt, sind aber schriftlich festzuhalten.

Vor Projektbeginn sind alle Projektteilnehmer über die Klassifikation, daraus abgeleitete Regeln sowie über projektspezifische Vereinbarungen zu informieren.

Wenn sich die Klassifizierung während oder nach der Projektlaufzeit ändert, so ist dies umgehend zu dokumentieren. Alle Projektbeteiligten sind über diese Änderung und die daraus resultierenden Konsequenzen zu informieren.

=== Prototypenschutz ===
Die Klassifizierung eines Projektes schließt unabhängig von den oben genannten Schutzzielen auch die Tatsache mit ein, ob und inwieweit im Umfang des Projektes Prototypen verwendet werden. Zwar liegt der direkte Umgang mit Prototypen nicht bei Parasol Island, dennoch bedarf es in solchen Projekten besonderer Sorgfalt und Vorbereitung.

Daher gelten für Projekte mit Prototypen zusätzlich zu den o.g. Schutzzielen folgende Regelungen:

# Mitarbeiter und Projektbeteiligte sind vor Projekteinstieg über die Regelungen und Maßnahmen in Bezug auf den Umgang mit Prototypen zu schulen. Dies schließt insbesondere projektspezifische Regelungen mit ein.
# Je nach Projektfortschritt sind solche Schulungen in Bezug auf die für den jeweiligen Projektabschnitt geltenden Regelungen und Maßnahmen zu wiederholen.
# Mitarbeiter, die regelmäßig in Projekten mit Prototypen umgehen, sind unabhängig von ihren Projekten im Umgang mit Prototypen zu schulen. Dies wird in der Richtlinie zu Schulungen und Weiterbildungen (ISMS, 02_15) festgelegt.

== Risikomanagement in Projekten ==
In jedem Projekt wird zu Projektbeginn, im besten Fall bereits während der initialen Projektplanung eine Risikoanalyse vorgenommen. Notwendig ist eine Analyse der Risiken bezüglich der Informationssicherheit, aber es empfiehlt sich, auch andere Projektrisiken zu betrachten. Auf Basis der Analyse sind Maßnahmen zur Risikobehandlung abzuleiten. Die Risikoanalyse ist vom Projektleiter durchzuführen. Auf Wunsch kann der Informationssicherheitsberater dabei unterstützen. Bei streng vertraulichen Projekten ist der Informationssicherheitsberater verpflichtend mit einzubeziehen.

Risiken, die die Parasol Island im Ganzen behandeln kann, werden im Zuge des allgemeinen Risikomanagements betrachtet (ISMS, 02_12), so dass nur die projektspezifischen Risiken betrachtet werden müssen.

Ergeben sich während des Projektverlaufs Änderungen an den Risikofaktoren, so ist die Risikoanalyse zu wiederholen und die Maßnahmen gegebenenfalls an die neuen Verhältnisse anzupassen. Insbesondere bei Projekten mit hohem Schutzbedarf oder Projekten mit langem Projektzeitraum, sind die Risiken und Maßnahmen regelmäßig zu überprüfen und eventuell neu zu bewerten.

In einzelnen Projekten gewonne Erkenntnisse, die sich aus den Risiken und Maßnahmen ableiten lassen, und die zu einer Verbesserung der Informationssicherheit bzw. im Umgang mit Projektrisiken führen, sind auf alle Projekte zu übertragen.

02 05 PSL ISMS Change Management Richtlinie

2023-10-23T09:15:47Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
''„Ziel ist es sicherzustellen, dass bei Änderungen in der Organisation, den Geschäftsprozessen und an IT-Systemen (Change Management) Aspekte der Informationssicherheit berücksichtigt werden, damit die Änderungen nicht zu einer ungeregelten Verringerung des Informationssicherheitsniveaus führen.“ (5.2.1) (Verband der Automobilindustrie e.V. (VDA), 2020)''

Die Changemanagement-Richtlinie soll den Umgang mit Änderungen an den Prozessen und den IT-Systemen der Parasol Island GmbH regeln und bei dem Planungsprozess helfen.

Die Changemanagement-Richtlinie gilt für alle Mitarbeiter der Parasol Island GmbH und für alle Personen, die für die Parasol Island GmbH tätig werden

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Änderungen der Organisation und der Prozesse ==
Bei geplanten Änderungen an der Organisation und den Prozessen wird der Informationssicherheitsbeauftragte frühestmöglich durch die Geschäftsführung in die Planung einbezogen. Er stellt sicher, dass notwendige Anpassungen am ISMS erfolgen. Bei Bedarf unterstützt er durch die Erstellung von informationssicherheitsspezifischen Risikoanalysen und übernimmt die Koordination von notwendigen Maßnahmen im Rahmen des ISMS.

== Änderungen an IT-Systemen ==
Notwendige Änderungen an IT-Systemen sollen kontrolliert, effizient und unter Minimierung von Risiken für den Betrieb und die Leistungserbringung der Parasol Island GmbH durchgeführt werden.

Änderungen an IT-Systemen fallen in drei Klassen, die jeweils angemessen den Change-Management Prozess durchlaufen: Normale Changes, Standard Changes und Emergency Changes.

=== Normale Changes ===
Sind Änderungen an den IT-Systemen nötig, wird der Änderungswunsch durch den Antragsteller formuliert und der Geschäftsführung zur Freigabe vorgelegt.

Bei Bedarf unterstützt der ISB bei der Formulierung des Änderungsantrages und/oder bei der Bewertung und Freigabe durch die Geschäftsführung (u.a. durch die Erstellung einer ggf. notwendigen Risikoanalyse bzw. der Neubewertung bereits erfasster Risiken). Spätestens nach der positiven Entscheidung über eine Änderung wird der ISB einbezogen, um notwendige Änderungen am ISMS planen und durchführen zu können wie z.B. Anpassungen an Dokumentation, Risikolage, Schulungsinhalten.

Nach erfolgreicher Umsetzung der Änderung ist der ISB zu informieren und er setzt die Änderungen des ISMS in Kraft.

Der gesamte Prozess von Antragstellung über Durchführung bis zur Anpassung des ISMS ist durchgehend zu dokumentieren.

=== Standard-Changes ===
Notwendige Änderungen im normalen betrieblichen Ablauf, die keine hohen Risiken beinhalten und sich nur lokal auswirken, können als sogenannte Standard-Changes erfasst werden. Diese werden einmalig durch die Geschäftsführung auf Basis einer Risikoanalyse durch den Informationssicherheitsbeauftragten freigegeben werden. Sobald dies geschehen ist, dürfen Benutzer diese eigenständig in ihrem eigenen Ermessen durchführen.

Bei der Freigabe kann auch festgelegt werden, dass dieser Change nicht mehr dokumentiert werden muss. Andernfalls unterliegt ein solcher Change weiterhin der Dokumentationspflicht.

=== Emergency-Changes ===
Ist eine nicht als Standard-Change freigegebene Änderung kurzfristig notwendig und der normale Freigabeprozess kann nicht durchlaufen werden (weil z.B. keiner der Geschäftsführer erreichbar ist, oder der Prozess erfahrungsgemäß zu lange dauert), so wird die Entscheidung über die Umsetzung durch einen IT-Administrator oder seinen Vertreter getroffen. Bei Verfügbarkeit kann der ISB hinzugezogen werden.

Die Geschäftsführung und der ISB sind über die Durchführung eines Emergency-Changes baldmöglichst zu informieren. Außerdem ist der Change als solcher so dokumentieren.

== Risikomanagement ==
Vor größeren Änderungen an Arbeitsprozessen oder IT-Systemen ist eine Risikoanalyse auf Basis der Richtlinie zum Risikomanagement durchzuführen, um die Auswirkungen der Änderung auf den Betriebsablauf abzuschätzen.

Für Systeme mit erhöhtem Schutzbedarf ist eine erneute Prüfung nach vollzogener Änderung durchzuführen, in der die entstandenen Risiken neu ermittelt werden, um sicherzustellen, dass die Risikominimierung wie geplant eingetreten ist. Wenn nötig sind die Risikostrategien anzupassen, um das Risiko weiter zu senken.

Risikoeinschätzungen für bestehende Assets werden in einem Ampelsystem (1. Grün, 2. Gelb, 3. Rot) in der Assetliste festgehalten.

== Einführung neuer Hard- oder Software ==
Für die Beschaffung von Hard- und Software ist als Grundlage ein Anforderungsprofil zu erstellen, das neben fachlichen und technischen Ausstattungsmerkmalen sowie ergonomischen Aspekten auch Anforderungen an die Informationssicherheit beschreibt. Nach Möglichkeit sollten Arbeitsplätze standardisiert ausgestattet werden, um Verwaltung und Administration zu erleichtern.

Es ist zu beachten, dass die Integration in die vorhandene oder geplante, informationstechnische Infrastruktur gewährleistet ist. Hierbei hat die möglichst reibungslose Funktionstüchtigkeit der IT-Komponenten oberste Priorität. Dies impliziert auch, dass Installationen gegebenenfalls auf einen Zeitraum verlegt werden, in denen keine zeitkritischen Projekte in Bearbeitung sind.

Es sind im Rahmen der Kommunikation und Archivierung bevorzugt Programme zu beschaffen, die eine Verschlüsselung ermöglichen.

Vor dem Einsatz ist neue Soft- und Hardware zu testen. Dabei sollten nach Möglichkeit Testsystem und Produktivbetrieb getrennt werden.

Es sind Test- und Freigabeverfahren zwischen der IT-Abteilung und den Fachbereichen abzusprechen. Nicht freigegebene Hard- und Software ist nicht einzusetzen.

Da durch die erforderliche Verwendung von hochspezialisierter Hard- und Software nicht sämtliche Eventualitäten oder Fehlerquellen effektiv ausgeräumt werden können, muss auch der Einsatz von fehlerbehafteten Komponenten möglich sein.

Hierzu wird in Zusammenarbeit von der IT und der Projektleitung eine Risikoeinschätzung durchgeführt und ein mögliches Vorgehen für den jeweiligen Einzelfall definiert.

Soft- und Hardware sind durch die Administratoren möglichst so zu konfigurieren, dass ohne weiteres Zutun der IT-Benutzer optimale Sicherheit erreicht werden kann.

== Allowlist und Denylist ==
Die Deny- und Allowlist soll als Hilfestellung dienen, bereits getroffene Entscheidungen über die Auswahl von IT-Systemen in Form von Software, Betriebssystemen, Programmen, Hardware, Apps, oder Webdiensten zu dokumentieren.

Da die Allowlist aufgrund der vorherrschenden Prozessstruktur als nicht vollständig zu definieren ist, wird zusätzliche eine Denylist geführt.

Die Aufnahme in eine der Listen ist erst nach sorgfältiger Abwägung der Risiken für die Sicherheitsziele von Administration, Abteilungsleitern und Informationssicherheitsbeauftragten freizugeben.

Eine Einstufung der Software auf der Allowlist autorisiert den Nutzer nicht zur eigenmächtigen Installation ohne Einwilligung des Administrators, auch nicht bei lokalen Administratorrechten.

Installation von Raubkopien oder Software, die nicht für die Parasol Island GmbH lizenziert wurde, ist generell verboten.
[[Category:ISMS]]

02 02 PSL ISMS Richtlinie für IT-Administration

2023-10-23T09:10:41Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

== Zweck ==
Diese Richtlinie beschreibt die Regeln für den Umgang und die Bereitstellung zentraler Systeme für die Parasol Island GmbH. Zielgruppe sind damit vorrangig IT-Administratoren. Die Prinzipien dieser Richtlinie gelten allerdings für alle Systeme und Mitarbeiter der Parasol Island GmbH. Um auf die besonderen Anforderungen der Nutzung persönlicher IT-Systeme einzugehen, steht außerdem die „Richtlinie zur Nutzung persönlicher IT-Systeme“ (ISMS, 02_17) zur Verfügung.

== Geltungsbereich der Richtlinie ==
Diese Richtlinie für IT-Administration gilt für alle IT-Administratoren der Parasol Island.

Die Regelungen dieser Sicherheitsrichtlinie gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Sicherheitsrichtlinie sind nicht zulässig, es sei denn, sie sind in der Sicherheitsrichtlinie ausdrücklich aufgeführt.

Mit Erscheinen einer neueren Version werden alle veralteten Versionen automatisch ungültig.

== Schadsoftware ==
''Ziel ist es, den Schutz der IT-Systeme vor Schadsoftware technisch und organisatorisch sicherzustellen.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

=== Erfassung der bedrohten IT-Systeme ===
Für einen effektiven und effizienten Schutz vor Schadsoftware sind die potenziell bedrohten IT-Systeme zu identifizieren, um angemessene Maßnahmen zu veranlassen. Es ist eine Übersicht aller IT-Systeme zu erstellen, die im Einsatz sind oder deren Einsatz geplant ist. Daraus können die IT-Systeme herausgefiltert werden, für die Viren eine Bedrohung darstellen oder über die Viren verteilt werden können.
Prinzipiell sind alle IT-Systeme durch Schadsoftware gefährdet. Man kann IT-Systeme zum besseren Verständnis in drei Komponenten zerlegen:

* IT-Komponenten der technischen Ebene: Netzwerkkomponenten und Applikationen der Netzwerkebene inkl. Verzeichnisdienste
* Serversysteme, die Applikationen im Netzwerk bereitstellen
* Endpoints (PCs, Laptops, Handys, Tablett-PCs, etc.)

=== Festlegung der Sicherheitsmaßnahmen ===
Alle Mitarbeiter werden entsprechend ihrer Rolle und Vorbildung regelmäßig geschult.

Generell ist zu prüfen, inwiefern alle Rechner zwingend an das interne Netz angeschlossen bzw. mit anderen Rechnern verbunden werden müssen. Durch die Vernetzung von IT-Systemen wird das Risiko der Verbreitung von Schadsoftware erhöht. Durch die Abkopplung vom Netz wird die Übertragung von Schadsoftware von einem auf einen anderen Rechner erschwert und eine mögliche Infektion bleibt lokal isoliert.

Folgende Sicherheitsmaßnahmen sind zu installieren.

* Es ist ein zentraler Schutz sicherzustellen durch den Einsatz eines zentralen, residenten Schadsoftware-Schutzprogrammes (z.B. eset Security Management Center). Zusätzlich sollen auch auf lokalen Computern Schadsoftware-Schutzprogramme eingesetzt werden.
** Es sind technische Richtlinien zu implementieren nach denen die unterschiedlichen Endpoints überwacht und/ oder regelmäßig geprüft werden.
** In der Regel genügt es, nur ausführbare Dateien, Skripte, Makrodateien etc. zu überprüfen. Ein vollständiges Durchsuchen aller Dateien empfiehlt sich trotzdem in regelmäßigen Abständen (z. B. vor einer Tages- oder Monatssicherung).
* Es dürfen grundsätzlich keine Geräte ohne residenten Virenschutz betrieben werden (dies schließt Laptops mit ein).
* Ein- und ausgehende E-Mails sind zentral am Gateway auf Schadsoftware hin zu prüfen. Dies erfolgt derzeit durch den E-Mail-Dienstleister Google.
* Die Internetnutzung ist sicher zu gestalten, indem aktive Inhalte möglichst vermieden werden. Dazu ist von allen Mitarbeitern der entsprechende Wiki Artikel zu beachten. [https://wiki.parasol-island.com/Sicherheitsvorf%C3%A4lle <nowiki>[https://wiki.parasol-island.com/Sicherheitsvorf%C3%A4lle]</nowiki>]
* Das automatische Ausführen von Makros ist in der Normalumgebung zu verhindern.
* Die Funktion des Browsers, heruntergeladene Daten automatisch zu öffnen, ist zu deaktivieren. Aktive Inhalte dürfen bei der Anzeige in E-Mail-Clients nicht automatisch ausgeführt werden (Vorschaufunktion deaktivieren).
* Innerhalb der Default-Einstellungen ist sicherzustellen, dass Dateiendungen nicht unterdrückt werden. Andernfalls wird es dem Nutzer erschwert, Dateitypen (z. B. Textverarbeitungs- oder Anwendungsdateien) zu unterscheiden und Gefährdungspotentiale einzuschätzen.

=== Zuständigkeiten bei der Bekämpfung von Schadsoftware ===
Der Informationssicherheitsbeauftragte legt in Absprache mit der IT-Administration Richtlinien für den Umgang mit Schadsoftware fest. Die Durchführung der Richtlinien ist Aufgabe der IT-Administration. Diese wird vom Informationssicherheitsbeauftragten kontrolliert.

=== Verhaltensregeln zur Vorbeugung ===
Soft- und Hardware sind durch den Administrator möglichst so zu konfigurieren, dass ohne weiteres Zutun des Benutzers optimale Sicherheit erreicht wird. Default-Einstellungen sind zu prüfen und Default-Passwörter zu ändern. Die Programme sind sicher einzustellen und vorhandene Sicherheitsfunktionen zu aktivieren, z. B. Schutz vor Makroviren innerhalb von Office-Programmen.

* Das Abschalten der Sicherheitsfunktionen durch den Benutzer ist nach Möglichkeit technisch zu verhindern.
* Vor dem Einsatz ist neue Soft- und Hardware zu testen. Dabei sollten nach Möglichkeit Testsystem und Produktivbetrieb getrennt werden.
* Software, die ins Standardrepertoire der Parasol Island aufgenommen werden soll, muss vor dem Einsatz im IT-Jour Fix freigegeben werden. Softwareanpassungen machen eine erneute Freigabe erforderlich. Siehe hierzu auch die Richtlinie zum Change Management (ISMS, 02_05)
* Das automatische Ausführen von Makros ist zu verhindern.
* Um Sicherheitslücken zu schließen, hat sich der Administrator regelmäßig über sicherheitsrelevante Patches, Updates oder sonstige Anleitungen zur Behebung, beispielsweise beim Hersteller oder in einschlägigen Informationsquellen, zu informieren.
* Es sind die von den Herstellern veröffentlichten Patches und Updates zu beschaffen, insbesondere für Virenschutzprogramme und andere sicherheitsrelevante Programme wie Browser und Betriebssystem, und auf dem jeweiligen IT-System zu installieren. Sind keine entsprechenden Updates oder Patches verfügbar, müssen zusätzliche Sicherheitsmaßnahmen (Installation von Sicherheitssoft- und Hardware) ergriffen werden.
* Wichtig ist, dass Patches und Updates, wie jede andere Software, nur aus vertrauenswürdigen Quellen bezogen werden dürfen. Zusätzlich sind diese mit Hilfe eines aktuellen Virenschutzprogramms zu prüfen, bevor ein Update oder Patch installiert wird.
* Da Virenschutzprogramme mit der Zeit ihre Wirksamkeit verlieren, muss eine regelmäßige Aktualisierung erfolgen (Update der Virensignaturen).
* Bei der Installation von Updates ist insbesondere darauf zu achten, dass durch voreingestellte Parameter die bestehende Konfiguration des Computer Virenschutzprogramms nicht verändert wird.
* Die Schadsoftware-Signaturen sind darüber hinaus zu gegebenen Anlässen, z. B. aufgrund neuer Viren, zu aktualisieren. Es sind mindestens einmal in der Woche, idealerweise täglich, die Informationen des Herstellers abzufragen. Sofern Aktualisierungen notwendig sind, sind diese herunterzuladen und zu installieren.
* Innerhalb eines vernetzten IT-Systems sind die Aktualisierungen der Viren-Signaturen auch an den Clients sicherzustellen. Hierbei ist sinnvollerweise durch den Server auf den Clients eine Aktualisierung zu initiieren und somit das Virenschutzprogramm der Clients automatisch ohne Zutun des Nutzers zu aktualisieren (Push-Prinzip).
* Zu beachten gilt, dass auch Rechner, die keiner bestimmten Person zugeordnet werden können, ebenfalls bei den Aktualisierungen berücksichtigt werden. Dies gilt insbesondere für mobile Rechner (Laptops): Es ist sicherzustellen, dass auch diejenigen Laptops, die sich während der planmäßigen Aktualisierungen nicht im Haus befinden, zeitnah aktualisiert werden.
* Es sind sporadische Kontrollen der Rechner vorzunehmen: So ist die Funktionalität und die Aktualität des Virenschutzprogramms zu überprüfen. Weiterhin sollte geprüft werden, ob nicht-freigegebene oder verbotene Soft- und Hardware genutzt wird oder Benutzer unzulässige Rechte haben.
* Je nach Betriebssystem sind die notwendigen Schritte bei Virenbefall vorzubereiten, die zur Entfernung der Viren notwendig sind und den Wiederanlauf ermöglichen, wie beispielsweise das Rückspielen von Datensicherungen. Dies ist zu dokumentieren.

Die Benutzer sind bei der Arbeit und der Umsetzung von IT-Sicherheitsmaßnahmen zu unterstützen. Hierbei sind die Laptop-Benutzer im Speziellen zu unterstützen. Alle Benutzer und der Informationssicherheitsbeauftragte sind regelmäßig über Neuerungen (Bedrohungen und Sicherheitsmaßnahmen) zu informieren.

=== Verhaltensregeln bei Auftreten von Schadsoftware ===
Die IT-Administration hat bei Auftreten eines Sicherheitsvorfalls alle erforderlichen Maßnahmen einzuleiten. Dazu gehören:

* Verhinderung einer weiteren Ausbreitung
* Informieren des Informationssicherheitsverantwortlichen
* Beseitigung oder angemessene technische Behandlung der Schadsoftware
* Beweissicherung, Recherche, Feststellung der Quelle
* Analyse des Schadens (beispielsweise hinsichtlich Veränderung oder Löschung von Daten)
** gegebenenfalls Warnung der Mitarbeiter
** gegebenenfalls Warnung von Externen
** gegebenenfalls Deaktivierung von IT-Systemen oder bestimmten Diensten
* Bei begründetem Verdacht durchführen weitergehender Maßnahmen wie z.B. der Überprüfung aller Rechner und Kontrolle der Datensicherungen

Anschließend ist der Sicherheitsvorfall durch den Informationssicherheitsbeauftragten zu analysieren, um ein mögliches erneutes Eintreten des Notfalls technisch und/oder organisatorisch zu verhindern. Die Dokumentation und die Analyse bilden eine Grundlage für die Aktualisierung der Schadsoftware-Richtlinie (ISMS, 02_08).

=== Schulung ===
Ein Administrator hat sich hinsichtlich der Gefahren und der Möglichkeiten, diesen zu begegnen, ausführlich regelmäßig zu informieren. Die Geschäftsleitung stellt dazu ausreichende Ressourcen zur Verfügung.

== Überwachung und Protokollierung ==
''„Ereignisprotokolle unterstützen die Rückverfolgbarkeit von Ereignissen im Falle eines Sicherheitsvorfalls. Dies setzt voraus, dass Ereignisse, die zur Ermittlung der Ursachen notwendig sind, aufgezeichnet und gespeichert werden. Darüber hinaus ist die Protokollierung und Analyse von Aktivitäten gemäß der geltenden Gesetzgebung (z. B. Datenschutz- oder Betriebsverfassungsgesetz) erforderlich, um festzustellen, welches Benutzerkonto Änderungen an IT-Systemen vorgenommen hat.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

=== Anforderungen an die Ereignisprotokollierung ===
In IT-Systemen, die Ereignisprotokolle führen, darf die Protokollierung nicht deaktiviert oder umgangen werden. Das Default Log-Level ist zu benutzen, sofern die Applikation eine Default Konfiguration anbietet. Die Minimal-Anforderungen sind die Protokollierung von Warnungen und Fehlern. Wo möglich sind die Zeitzonen der Logging-Aktivitäten zu vereinheitlichen (Ziel: einheitliche Verwendung von Zeitstempeln innerhalb aller Parasol gemanagten IT-Systeme). Das Log-Level muss bei konkreten Anlässen angepasst werden, wie z.B. bei der Häufung von fehlgeschlagenen User Anmeldungen in der Domäne, Phishing Emails, Ransomware Attacken, etc.

Ereignisprotokolle dürfen nur im Rahmen der gesetzlichen und betrieblichen Bestimmungen genutzt werden, in keinem Fall aber zur individuellen Leistungsbeurteilung einzelner Mitarbeiter der Parasol Island.

Alle Ereignisprotokolle müssen gegen unbefugte Änderungen geschützt sein.

In Projekten mit hohem und sehr hohem Schutzbedarf muss geprüft werden, ob weitere Anforderungen an die Ereignisprotokollierung gestellt werden. Grundsätzlich sollte jeder Zugriff auf Informationen mit sehr hohem Schutzbedarf protokolliert werden.

Folgende IT-Systeme der Parasol Island müssen Ereignisprotokolle führen:

* Laptops und Workstations
* Aktive Netzwerkkomponenten (Router/ Switch)
* Server im Parasol Island Netz
** z.B. bei Domänen-Controllern
*** Kontoanmeldungsereignisse
*** Kontoverwaltung
*** Anmeldeereignisse
*** Objektzugriff
*** Richtlinienänderung
*** Berechtigungen
*** Systemereignisse
* Cloud-Anwendungen
** Google Workspace, speziell Google Workspace-Admin (Sicherheitscenter: Sicherheitsbedrohungen verhindern, erkennen und beheben), <nowiki>https://support.google.com/a/topic/7492529?hl=de&ref_topic=7556782</nowiki>)
*** Nutzer-Protokollereignisse
*** Administrator-Protokollereignisse
*** Benachrichtigungen wenn ein neues Administratoren Konto hinzugefügt wurde
** 1Password
** Azure Active Directory (AAD)
** Parasol Island Agentursoftware (sog. ‘Parasol OS’)
** Parsec
** Office 365
** Personio

Die Protokollierung personenbezogener Daten ist zu dokumentieren.

=== Umgang mit Regelverstößen und Auffälligkeiten ===
Es muss geprüft werden, ob Benachrichtigungen zu Regelverstößen und Auffälligkeiten in der Ereignisprotokollierung konfiguriert werden können. Wo möglich müssen auf den oben genannten Systemen solche Benachrichtigungen aktiviert werden. Auf System-Benachrichtigungen ist zeitnah durch den IT-Support zu reagieren:

# Benachrichtigungen erreichen zuerst den IT-Support, werden dort priorisiert und in Abhängigkeit der Schwere (d.h. betroffenes System + Einschränkung der Schutzziele Vertraulichkeit/ Verfügbarkeit/ Integrität + sonstige Auswirkungen) werden der Informationssicherheitsbeauftragte und die Geschäftsführung informiert
# Der IT-Support entscheidet, ggf. nach Rücksprache mit dem Informationssicherheitsbeauftragten oder der Geschäftsführung, ob:
## die Benachrichtigung durch den Incident-Prozess gelöst werden kann, oder
## die Benachrichtigung auf einen IT-Notfall hindeutet (ISMS, 02_04).

=== Überwachen und Aufzeichnen von informationssicherheitsrelevanten Aktionen im Netzwerk ===
Das interne Netzwerk ist durch eine entsprechende IT-Anwendung (Netzwerkangriffsschutz, IDS – Intrusion Detection System) zu überwachen. Dabei soll der Inhalt von Netzwerkverkehr analysiert werden und vor Angriffen aus dem Netzwerk schützen

Falls möglich ist die Botnet-Erkennung zu aktivieren – d.h. die Kommunikation mit schädlichen Steuerungszentralen ist zu blockieren.

=== Anforderungen an Ereignisprotokolle aus Verträgen ===
Anforderungen von Kunden und Geschäftspartnern der Parasol Island hinsichtlich der Ereignisprotokollierung sind vor einem evtl. Vertragsschluss zu prüfen und, wo möglich zu berücksichtigen. Die Herausgabe von Logfiles an Kunden und Geschäftspartner ist im Rahmen der gesetzlichen und betrieblichen Bestimmungen vertraglich zu definieren.

=== Auf- und Abbau von organisationsfremden Netzwerkverbindungen ===
Der Auf- und Abbau von organisationsfremden Netzwerkverbindungen zum Parasol Island Netzwerk soll auf das wirtschaftlich, technisch notwendige Maß reduziert werden. Beispiele dafür sind:

* Home-Office infolge von
** Pandemie
** Notfällen (eingeschränkte physische Sicherheit im/ am Büro)
* Remote-Arbeiten der Mitarbeiter im Zuge von Projekttätigkeiten
* Erforderliche administrative Tätigkeiten
* Support-Dienste der Softwarezulieferer

Die genutzten Anwendungen zum Fernzugriff müssen eine Ereignisprotokollierung (Audit-Log) bieten. Dabei müssen mindestens folgende Informationen in den Ereignisprotokollen enthalten sein:

* Zeitstempel
* Durchgeführte Aktion (Authentifizierung, Berechtigung, Verbindungsauf- und -abbau, etc.)
* Protokollierung der Zugriffe auf Dateien
* Client IP
* Host IP

== Schwachstellen ==
''„Schwachstellen erhöhen das Risiko für die IT-Systeme. Anforderungen an Vertraulichkeit, Verfügbarkeit und Integrität nicht erfüllen zu können. Unter anderem können Angreifer durch Ausnutzung einer Schwachstelle Zugriff zum IT-System erlangen oder dessen Betriebsstabilität gefährden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

=== Sammeln und Einholen von Informationen über technische Schwachstellen ===
Die organisationsweiten IT-Dienste sind durch die bestellten Administratoren zu verwalten und zu warten. Um Sicherheitslücken zu schließen, haben sich der Informationssicherheitsbeauftragte und die IT-Administratoren regelmäßig zu informieren. Der Informationssicherheitsbeauftragte und die IT-Administratoren unterstützen und beraten die IT-Benutzer.
Folgende Quellen sind bei der Sammlung von Informationen über technische Schwachstellen mindestens zu berücksichtigen. Des Weiteren muss eine Einschätzung erfolgen zur potenziellen Auswirkung auf die Systeme der Parasol Island.

Quellen (Typ, Angaben)

* Newsletter BSI (Bürger CERT), Heise (heise Security)
* CVSS https://www.cvedetails.com/
* System-Audits 1x jährlich Netzwerkscan (vulnerability scan mit Testbericht)

=== Identifikation potenziell betroffener IT-Systeme und Software ===
Hinsichtlich technischer Schwachstellen sind geeignete Informationsquellen zur Identifikation von potenziell betroffenen IT-Systemen und Software zu verwenden.

==== Internes Netzwerk ====

* ESET ESET Security Management Center (lokale Installation)

==== Mobile Endgeräte ====

* Jamf Apple Enterprise Management (Endpointverwaltung)

=== Patch-Management (Verwaltung & Organisation von Software-Aktualisierungen) ===
Die Verwaltung und Organisation von Software-Aktualisierungen gliedern sich unabhängig vom Patch/ IT-System in folgende Schritte:
{| class="wikitable"
|Nr
|Prozess-Schritt
|Ziel
|Verantwortung
|-
|1
|Sammeln von Informationen zu technischen Schwachstellen mit Bezug zu IT-Systemen der Parasol Island
|Erkennung / Sammlung pot. Risiken
|
|-
|2
|Identifikation von konkreten Schwachstellen in einzelnen Instanzen der genutzten IT- Systeme
|Risikobewertung
|
|-
|3
|Prüfung der bereitgestellten Patches / Updates
|Sicherstellung der techn. Kompatibilität
|
|-
|4
|Einspielen des Patches auf Instanzen einer Testumgebung, oder auf einer (unkritischen) Teilmenge an Instanzen in der Produktivumgebung
|Erprobung des Patches
|
|-
|5
|Prüfen, ob die Instanz funktionsfähig ist
|Prüfung und Test der Funktion/ Seiteneffekte
|
|-
|6
|Ausrollen des Patches/ Updates auf alle betroffenen Instanzen
|Schließen der Sicherheitslücke
|
|}

== Netzwerkdienste ==
''„IT-Systeme in einem Netzwerk sind unterschiedlichen Risiken ausgesetzt oder haben einen unterschiedlichen Schutzbedarf. Um einen ungewollten Datenaustausch oder Zugriffe zwischen diesen IT-Systemen zu erkennen oder zu unterbinden, werden diese in geeignete Segmente unterteilt und die Zugriffe durch Sicherheitstechnologien gesteuert und überwacht.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

=== Netzwerksegmentierung ===
Das Parasol Island Netzwerk ist geeignet in Segmente (z.B. Server, Workstations, Renderfarm, etc.) zu unterteilen, entsprechend dem Schutzbedarf und den jeweiligen Anforderungen der Nutzer des Segmentes (z.B. VFX, etc.). Gäste, Besucher und alle Personen ohne NDA dürfen keinen Zugang zum internen Netzwerk erhalten. Dafür ist ein Gäste-WLAN einzurichten.
Die Netzwerkadministration muss, wie alle anderen Admin-Tätigkeiten auch, mit dedizierten Admin-Accounts erfolgen. Diese müssen klar getrennt verwaltet werden von den Standard-Benutzer-Accounts. Der Zugang zu Managementschnittstellen der Netzwerkkomponenten ist beschränkt auf Parasol Mitarbeiter mit (dedizierten) Admin-Accounts und dem zuständigen IT-Administrator.

Eine geeignete Netzwerküberwachung ist zu etablieren (ESET-Netzwerküberwachung, Schutz vor Netzwerkangriffen). Bei der Segmentierung des Netzwerkes sind folgende Aspekte zu berücksichtigten:

* Beschränkungen bei der Anbindung von IT-Systemen an das Netzwerk,
* Einsatz von Sicherheitstechnologien (Beispiel. ESET),
* das erhöhte Risiko durch aus dem Internet erreichbare Netzwerkdienste (z.B. Nutzung von DMZ-Netzwerken),
* technologie-spezifische Trennungsmöglichkeiten (z. B. durch eine Firewall) bei Nutzung von organisationsfremden IT-Diensten,

=== Remote Zugang zum Parasol Netzwerk ===
Der Remotezugriff von außerhalb ist nur über sichere Verbindungswege gestattet. Voraussetzung ist eine Ende-zu-Ende-verschlüsselte Übertragung und eine flüchtige Speicherung von Informationen.

* Genaueres regelt die Arbeitsanweisung zum Entfernen von Betriebsmitteln (03_04).
* PARSEC (Steuerung einer Workstation im Netzwerk der Parasol Island)
* VPN-Zugang (direkt, Voraussetzung AD Account (Account + Passwort), Server ID)

== Überprüfung von Informationssystemen ==
''„Ziel der technischen Überprüfung ist die Ermittlung von Zuständen, die zu einer Gefährdung der Verfügbarkeit, Vertraulichkeit oder Integrität von IT-Systemen führen können.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

=== Anforderungen an Systemaudits und deren Umfang ===
In regelmäßigen Abständen, jedoch mindestens jährlich, sind die informationsverarbeitenden Systeme zu warten und auf technische Fehler zu prüfen (Systemaudit). Ziel soll es sein, die Zuverlässigkeit und somit auch die Sicherheit des Systems zu bewahren sowie Fehler zu beheben, die möglicherweise unangemessenen Datenzugriff ermöglichen.
Hierfür empfiehlt sich ein Zeitraum mit geringer Auslastung des Betriebs, zum Beispiel zwischen zwei Projekten. Der Zeitpunkt und die Dauer sind mit den betroffenen Departments frühzeitig abzustimmen. Die Systemnutzer sollten den Administrator/ Auditor bei seiner Tätigkeit während des Audits nach Möglichkeit unterstützen.

Systemaudits sollen bevorzugt von ausgebildeten Spezialisten (z.B. Pentester, Netzwerkspezialisten, Firewall-Experten) durchgeführt oder begleitet werden. Zudem müssen für Systemaudits geeignete Werkzeuge genutzt werden (z. B. Schwachstellen-Scanner).

Vor dem Durchführen ist der Umfang festzulegen, ein Plan mit Zielen zu erstellen und die genaue Vorgehensweise festzulegen. Zu prüfende Parasol Systeme sind typischerweise:

* Lizenzserver
* Fileserver
* Renderfarm
* Firewall
* Klimaanalage
* Switches
* Workstations
* Backup und Archivierungssystem

Mögliche Tests und Diagnosen können sein:

* Sammeln von S.M.A.R.T. Daten
* Temperaturkontrollen
* Ram Test
* Kontrolle von Patches und Updates
* Kontrolle der Domänen Nutzergruppen
* Kontrolle der Inventarliste
* Portfreigaben kontrollieren
* Tiefgreifender Scan auf Schadsoftware
* Dienstleister für Klimaanlagenwartung

Mögliche Maßnahmen:

* Firmware-Updates bei Bedarf
* Erneuerung von Komponenten
* Reinigung von Computern
* Präventiv Festplatten austauschen
* Betriebssystem Neu-Installation

=== Dokumentation und Ableitung von Maßnahmen ===
Die Ergebnisse von Systemaudits werden zeitnah, nachvollziehbar dokumentiert, und als Teil der ISMS-Dokumentation gespeichert sowie an das Management berichtet. Dies kann im Rahmen der ISB-Regelmeetings mit der Geschäftsführung erfolgen. Sofern bei Prüfungen Schwachstellen entdeckt werden müssen diese (nach einer Risikobewertung) geeignet behandelt werden. Die Notwendigen Maßnahmen müssen definiert werden und deren Umsetzung muss sichergestellt sein.

== Beschaffung und Entwicklung von Informationssystemen ==
Bei der Beschaffung von Informationssystemen, deren Entwicklung und/ oder deren Änderung gilt grundsätzlich die Richtlinie zum Change Management (ISMS, 02_05).

Bevor Systeme angeschafft oder geändert werden, müssen (auch) die Anforderungen der Informationssicherheit (VDA ISA Katalog, ISO) berücksichtigt werden. Zur Ermittlung der Anforderungen müssen ggf. interne Mitarbeiter einbezogen werden. Bei Bedarf unterstützt der ISB. Es muss ausgeschlossen sein, dass IT-Systeme beschafft oder geändert werden, ohne dass die IT-Administration, der ISB oder die Geschäftsführung dies zuvor autorisiert haben.

Vor dem produktiven Einsatz sind entsprechende Tests oder Prüfungen durchzuführen, die belegen, dass das System die notwendigen Sicherheitsanforderungen geeignet erfüllt (Nachweise durch z.B. externe Zertifizierungen, PenTests, etc.).

Bei eigenentwickelten Informationssystemen müssen die Anforderungen dokumentiert werden und in den Spezifikationen oder der Begleitdokumentation (z.B. Lastenhefte, Change Dokumente) berücksichtigt werden. Gleiches gilt für die Weiterentwicklung eigenentwickelter Software.

Erforderliche Funktions-/ Integrations-/ Abnahmetests werden, wenn möglich mit Testdaten durchgeführt. Die Nutzung von produktiven Daten sollte auf ein Minimum reduziert werden, ansonsten müssen für das Testsystem die gleichen Schutzmaßnahmen gelten wie für das Produktivsystem.

Nicht mehr benötigte Testdaten müssen gelöscht werden.
[[Category:ISMS]]

ISMS

2023-10-23T08:58:03Z

Niels.debruijn@parasol-island.com: 02_02 - Titel angepasst

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Operation Security]]
|Welche wesentliche Vorgaben sind im Bezug der Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Dienste um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht der Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Wie ist der Umgang mit Anwendbaren Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen?
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevantesten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleister zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 29 PSL ISMS Prototypen

2023-10-23T08:54:45Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

= Zweck =
Diese Arbeitsanweisung beschreibt den Umgang mit Prototypen in Projekten der Parasol Island.

= Geltungsbereich =
Diese Arbeitsanweisung gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

= Umgang mit Prototypen =
Als Filmproduktion haben wir regelmäßig die Aufgabe, neue und damit geheime Fahrzeuge in Szene zu setzen, bevor sie der Öffentlichkeit präsentiert werden - sogenannte “Prototypen”. Die Beachtung der Geheimhaltung der Fahrzeuge ist hierbei integraler Bestandteil der Beauftragung und des Herstellungsprozesses. Hierbei stellen wir sicher, dass kein unbefugter Blick und keine unerlaubte Kamera das Fahrzeug erfasst, bevor es offiziell enthüllt wird.

Hierbei obliegt uns als Filmhersteller jederzeit die Verantwortung und Weisungsbefugnis in Bezug auf das Filmset bzw. den Drehort. Das geheime Fahrzeug ist davon aber zu jeder Zeit ausgenommen, da es sich in der Obhut des Herstellers selbst bzw. der von ihm dafür abgestellten oder beauftragten Personen (meist: Mitarbeitende) oder Dienstleister handelt. Zu diesen Dienstleistern zählen in der Regel Transportunternehmen sowie Sicherheitsdienst (oft der herstellereigene Werksschutz).

Der Prozess zur Gewährleistung der Geheimhaltung eines Fahrzeugprototypen während einer Filmproduktion besteht aus mehreren Schritten, die von verschiedenen Akteuren durchgeführt werden. Der Kunde, ein Fahrzeughersteller, beauftragt zunächst uns, die Filmproduktion, mit der Durchführung der Dreharbeiten. Weiterhin beauftragt der Hersteller einen Transporteur und einen Sicherheitsdienst, die für den sicheren Transport sowie die sichere Aufbewahrung des Prototyps verantwortlich sind. Die Filmproduktion ist verpflichtet, die Vorgaben dieser Dienstleister zu erfüllen und alle notwendigen Maßnahmen zu ergreifen, um das Fahrzeug vor unbefugten Blicken und Aufnahmen zu schützen.

Der Transporteur sorgt dafür, dass das Fahrzeug in einer geeigneten Verpackung oder Verhüllung transportiert wird, die keine Rückschlüsse auf das Aussehen oder die Funktion des Prototyps zulässt. Er wählt eine geeignete Route und einen geeigneten Zeitpunkt für den Transport aus, um das Risiko einer Entdeckung zu minimieren. Er liefert das Fahrzeug an den vorher festgelegten Drehort, der vom Sicherheitsdienst geprüft und freigegeben wurde. Der Transporteur ist auch für die Rückführung des Fahrzeugs nach dem Dreh verantwortlich.

Der Sicherheitsdienst übernimmt die Kontrolle über den Drehort und stellt sicher, dass dieser keine unerwünschten Einblicke oder Zugänge für Dritte bietet. Er überprüft auch die Identität und die Zutrittsberechtigung aller Mitglieder des Filmteams und sorgt dafür, dass alle Kameras an Mobilgeräten abgeklebt sind oder diese abgegeben werden. Er erlaubt nur die Verwendung der professionellen Kameras, die für die Filmproduktion notwendig sind. Er entscheidet auch, wann und wie lange das Fahrzeug enthüllt werden darf, und kann jederzeit eingreifen, um das Fahrzeug wieder zu verhüllen oder zu evakuieren, wenn er eine Gefährdung der Geheimhaltung befürchtet oder feststellt.

Die Filmproduktion hält sich an die Anweisungen des Sicherheitsdienstes (und ggf. des Transporteurs) und führt den Dreh nach dem vereinbarten Drehplan durch. Sie achtet darauf, dass keine unerlaubten Aufnahmen vom Fahrzeug gemacht werden und dass alle Daten sicher gespeichert und übertragen werden.

ISMS

2023-10-23T08:53:03Z

Niels.debruijn@parasol-island.com: Mehrere Seiten hinzugefügt: 03_29, 02:05, 02_22, 03_24, 03_38, 02_15 und 03_42

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Dienste um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht der Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Wie ist der Umgang mit Anwendbaren Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen?
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevantesten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleister zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 34 PSL ISMS RelevanteBestimmungen

2023-10-23T08:37:15Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
''„Alle relevanten gesetzlichen, regulatorischen, selbstauferlegten oder vertraglichen Anforderungen, sowie das Vorgehen der Organisation zur Einhaltung dieser Anforderungen sind für jedes Informationssystem und die Organisation ausdrücklich bestimmt und dokumentiert und werden auf dem neusten Stand gehalten.“ (A.18.1.1) (DIN Deutsches Institut für Normung e.V., 2015)''

Wie jedes Unternehmen unterliegt Parasol Island verschiedenen Anforderungen, die sich z.B. aus Gesetzen ergeben. Diese zu kennen ist essentiell für den Betrieb eines Unternehmens. Diese Arbeitsanweisung beschreibt die damit verbundenen Prozesse und Verantwortlichkeiten bei Parasol Island.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Durchführung ==
Alle für Parasol Island relevanten Bestimmungen werden in einer Google Tabelle im ISMS erfasst. Diese ist hier zu finden:

[https://docs.google.com/spreadsheets/d/1YMPFftsFLSa35bZvPRfX0I-68RTv4xDxQG3KM1X84no/edit#gid=0 Relevante Bestimmungen]

Die Pflege des Inhalts obliegt der Geschäftsführung und dem Informationssicherheitsbeauftragten. Änderungen oder Neuerungen sind bei Bekanntwerden umgehend in der Liste zu vermerken.

== Kontrolle ==
Der Informationssicherheitsbeauftragte überprüft die Liste einmal jährlich auf Korrektheit.

== Schulung/Awareness ==
Jeder Mitarbeiter ist über die für ihn relevanten Bestimmungen aufzuklären. Dies gilt insbesondere auch bei Änderungen. Dies übernimmt der Informationssicherheitsbeauftragte in den regulären Schulungen zum Thema Informationssicherheit.

ISMS

2023-10-23T08:35:04Z

Niels.debruijn@parasol-island.com: 03_34 hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Wie ist der Umgang mit Anwendbaren Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen?
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevantesten Informationswerte erfasst?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokilliert?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie

2023-10-23T08:22:07Z

Niels.debruijn@parasol-island.com: Komplette überarbeitung

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
Dieser Leitfaden soll die vorangegangene Allgemeine Sicherheitsrichtlinie erweitern und konkretisieren.

Ziel der Arbeitsanweisung ist es, Regeln zur Nutzung von Kryptographie vorzugeben, und zu definieren, wann Kryptographie genutzt werden muss und welche Methoden sich dazu eignen.

==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

==Verschlüsselungsarten==
Um die Integrität und Vertraulichkeit der Informationen sicherzustellen, ist es notwendig, dass ausschließlich Verfahren eingesetzt werden, welche nach derzeitigem Stand als sicher gelten.

Kryptographische Verfahren lassen sich in drei Arten einteilen:

* Symmetrische Verschlüsselungsverfahren
* Asymmetrische Verschlüsselungsverfahren
* Hash-Verfahren

Zugelassene symmetrische Verschlüsselungstechnik
{| class="wikitable"
|Algorithmus
|Minimale Schlüssellänge (Bit)
|Empfohlene Schlüssellänge (Bit)
|-
|AES
|128
|256
|-
|Triple-DES
|112
|112
|-
|RC4*
|128
|256
|-
|RC5
|128
|256
|-
|RC6
|128
|256
|-
|Blowfish
|128
|256
|-
|Twofish
|128
|256
|-
|CAST
|128
|256
|-
|Camelia
|128
|256
|}
<nowiki>*</nowiki>Die Verwendung von RC4 ist nur für SSL/TLS auf Windows erlaubt, bis ein sicherer Algorithmus zur Verfügung steht. Jegliche andere Nutzung ist nicht erlaubt.

Zugelassene asymmetrische Verschlüsselungsverfahren
{| class="wikitable"
|Algorithmus
|Minimale Schlüssellänge(Bit)
|Empfohlene Schlüssellänge (Bit)
|-
|RSA
|1024 / 2048 wenn möglich
|4096
|-
|DSA
|1024 / 2048 wenn möglich
|4096
|}
Zugelassene Hashfunktionen

* SHA-224
* SHA-256
* SHA-384
* SHA-512

Alternativ, falls die oben Genannten technisch nicht möglich sind

* SHA-160
* RIPEMD-160
* MD5
* Whirlpool-512

==Anforderungen in Abhängigkeit zur Datenklassifikation==
{| style="border-spacing:0;width:15.919cm;"
|-
| style="border-top:1pt solid #dbdbdb;border-bottom:1.5pt solid #c9c9c9;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Einstufung / Klassifikation'''
| style="border-top:1pt solid #dbdbdb;border-bottom:1.5pt solid #c9c9c9;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Anforderung Verschlüsselung'''
|-
| style="background-color:#3d85c6;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Öffentlich'''
| style="background-color:#3d85c6;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |keine
|-
| style="background-color:#6aa84f;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Intern'''
| style="background-color:#6aa84f;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |keine
|-
| style="background-color:#f1c232;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Vertraulich'''
| style="background-color:#f1c232;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |Transportverschlüsselung,
wenn möglich

Ablageverschlüsselung
|-
| style="background-color:#e06666;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:1pt solid #dbdbdb;border-right:1pt solid #dbdbdb;padding:0.176cm;" |'''Streng Vertraulich'''
| style="background-color:#e06666;border-top:none;border-bottom:1pt solid #dbdbdb;border-left:none;border-right:1pt solid #dbdbdb;padding:0.176cm;" |Transportverschlüsselung und
Ablageverschlüsselung
|-
|}
*

[[Category:ISMS]]

03 00 PSL ISMS Dokumentenfreigabe

2023-10-20T09:05:38Z

Niels.debruijn@parasol-island.com: Neu angelegt.

== Zweck ==
Das ISMS der Parasol Island besteht unter anderem aus einer Sammlung an Richtlinien und Arbeitsanweisungen. Der Prozess zur Erstellung, Freigabe und Veröffentlichung von ISMS-Dokumenten ist in dieser Arbeitsanweisung festgelegt, um sicherzustellen, dass Anpassungen korrekt dokumentiert und veröffentlicht werden.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Erstellung ==
Bei der Erstellung eines neuen Dokumentes müssen verschiedene Kriterien beachtet werden.

=== Dokumenteneigenschaften ===
An allen Leitlinien, Richtlinien, Arbeitsanweisungen und ergänzenden Dokumenten sind die nachfolgenden Eigenschaften anzubringen und aktuell zu halten:
{| class="wikitable"
|Dokumentenebene
|Gibt Auskunft über die entsprechende Dokumentenebene des Dokuments (siehe (ISMS, 02_01))
|-
|Dokumentennummer
|Die Nummer der Arbeitsanweisung/Richtlinie. Diese muss für die Dokumentenebene eindeutig sein, so dass man ein Dokument anhand seiner Ebene und Nummer eindeutig identifizieren kann. Die Höhe der Ziffer hat keine Bedeutung für die Gewichtung der definierten Regelungen.
|-
|Version
|Gibt den Versionsstand des Dokuments an. Die genaue Verwendung wird im weiteren Verlauf beschrieben. Neue Dokumente haben die Version 01.00.
|-
|Status
|Dokumentiert den Dokumentenstatus:

* In Bearbeitung,
* Fertiggestellt,
* Freigegeben,
* Veröffentlicht,
* Außer Kraft.
|-
|Freigabe am/von
|Dokumentiert, wer das Dokument wann freigegeben hat.
|-
|Veröffentlicht am/von
|Dokumentiert, wer das Dokument wann veröffentlicht hat.
|-
|Prüfungsintervall
|Hier definiert der Dokumentenverantwortliche, in welchen Abständen das Dokument standardmäßig überprüft werden soll, um es aktuell zu halten. Zur Auswahl stehen:

* Monatlich
* Halbjährlich
* Jährlich
|-
|Geprüft am/von
|Dokumentiert, wer das Dokument wann das letzte Mal geprüft hat.
|-
|Sicherheitsklassifizierung
|Hier trägt der Dokumentenverantwortliche die Sicherheitsstufe für das Dokument ein:

* Öffentlich,
* Intern,
* Vertraulich,
* Geheim.
|-
|Zielgruppe
|Hier sollten die Rollen eingetragen werden, für die diese Arbeitsanweisung direkt relevant ist. Dies dient insbesondere der besseren Auffindbarkeit.
|-
|Verantwortlich
|Hier wird die Person oder Rolle genannt, die für die Pflege dieses Dokumentes verantwortlich ist (auch Dokumentenverantwortlicher genannt). Dies entspricht dem Informationseigner.
|-
|VDA ISA Referenz
|Referenz zum Fragenkatalog des VDA sofern existierend. Diese Angabe ist rein informativ und dient der besseren Auffindbarkeit der Dokumente.
|}

=== Identifikation und Referenzierung von Dokumenten ===
Die Leitlinie, die Richtlinien und Arbeitsanweisungen werden anhand ihrer Dokumentenebene und -nummer identifiziert. Wird auf andere Dokumente des ISMS verwiesen, so ist dies im Text per Verweis auf das ISMS und die Dokumentenebene und Nummer zu tun. Z.B.: (ISMS, 03_15). Alle Verweise sollten außerdem im Anhang noch einmal gesammelt aufgeführt werden.

== Änderungen ==
Von Zeit zu Zeit können Anpassungen an den Richtlinien und Arbeitsanweisungen notwendig werden. Diese vorzunehmen obliegt dem Dokumentenverantwortlichen. Nach dem Anpassen des Dokumenteninhalts sind die in den folgenden zwei Abschnitten beschriebenen Punkte entscheidend.

=== Anpassen der Versionsnummer ===
Die Versionsnummer spiegelt die Anzahl an Anpassungen an einem Dokument wider. Sie besteht aus zwei Komponenten:

* der Hauptversion und
* der Nebenversion.

Bei beiden handelt es sich um ganze Zahlen, die in aufsteigender Reihenfolge vergeben werden. Änderungen an der Hauptversion werden vorgenommen, wenn es sich um große, einschneidende Änderungen am Dokument handelt, die Nebenversion wird bei kleineren Anpassungen erhöht. Wird die Hauptversion erhöht, wird die Nebenversion auf 00 gesetzt.

Dies hat insbesondere Folgen auf das Informieren der Mitarbeiter während der Veröffentlichung (siehe unten).

=== Pflegen der Dokumentenhistorie ===
Im Anhang jedes Dokumentes sollte die Historie des Dokumentes zu finden sein. Diese hat die folgende Form:
{| class="wikitable"
|Version
|Änderung
|-
|01.00
|Initiale Erstellung der Arbeitsanweisung
|-
|01.01
|Das Dokument wurde angepasst, um die Änderung zu reflektieren, dass eine Versionsnummer aus zwei Komponenten besteht.
|}
Aus dieser Historie sollen die wichtigen Änderungen am Dokument hervorgehen.

== Freigabe ==
Die Gesamtverantwortung für das ISMS liegt bei der Geschäftsführung der Parasol Island GmbH. Daher müssen alle Richtlinien und Arbeitsanweisungen durch diese freigegeben werden, bevor das entsprechende Dokument veröffentlicht wird. Die freizugebenden Dokumente sind im Ordner [https://drive.google.com/drive/folders/1yIksnMoiD3srR-u6OxmmQ7VNYS7adK4U \Parasol Island ISMS 2022\03 ISMS - Wartet auf Freigabe] abzulegen.

Nach Fertigstellung eines Dokumentes ist die Geschäftsführung per Aufgabe in Asana vom Dokumentenverantwortlichen darüber zu informieren, dass das Dokument freigegeben werden muss. Diese E-Mail sollte folgende Informationen enthalten:

* den Grund der Anpassung,
* einen Link auf das Dokument und
* evtl. Abhängigkeiten zu anderen Dokumenten (inklusive des Hinweises, ob diese zeitgleich veröffentlicht werden müssen).

Nach Kontrolle des Dokumentes markiert der Geschäftsführer die Aufgabe als ‚erledigt‘. Der Informationssicherheitsbeauftragte wird (automatisch) darüber informiert. Er ergänzt die Informationen zur Freigabe in den Dokumenteneigenschaften und verschiebt das Dokument in den Ordner

[https://drive.google.com/drive/folders/1z3XPz8uMSOE5KHLCzoY7RV0n8XTUfez6 \Parasol Island ISMS 2022\02 ISMS - Freigegeben\.]

Eventuelle Rückfragen, Anmerkungen und Vereinbarungen zur Veröffentlichung können über die Aufgabe in Asana geklärt werden.

== Mitarbeiterinformation ==
Die Mitarbeiter sind im Vorfeld über das In-Kraft-Treten einer neuen Richtlinie oder Arbeitsanweisung per E-Mail durch die Geschäftsführung zu informieren. Bei kleineren Änderungen (neue Nebenversion) reicht es aus, wenn die Änderungen in einer E-Mail zusammengefasst werden. Bei großen Änderungen (neue Hauptversion) sind die Mitarbeiter anzuhalten, das Dokument vollständig zu lesen.

== Veröffentlichung ==
Nach der Freigabe durch die Geschäftsführung erfolgt die Veröffentlichung durch den Informationssicherheitsbeauftragten zu dem abgesprochenen Veröffentlichungszeitpunkt. Er passt die Dokumenteneigenschaften bzgl. der Veröffentlichung an und legt das Dokument im Google Drive ab. Außerdem aktualisiert er das Wiki und erstellt einen entsprechenden Eintrag im ISMS-Logbuch.

Dokumente mit der Vertraulichkeit ‚öffentlich‘ werden außerdem als PDF-Dokument an den WIKI-Artikel angehängt, um dieses an Interessenten außerhalb Parasols weitergeben zu können. Dokumente der Vertraulichkeitsstufe ‚vertraulich‘ oder ‚streng vertraulich‘ werden nicht im WIKI veröffentlicht, sondern nur den in der Zielgruppe genannten Personen zugänglich gemacht.

Alle Vorgänge sind in den nächsten Abschnitten beschrieben.

=== Google Drive ===
Zur Ablage im Google Drive wird das Dokument als PDF exportiert und in folgendem Verzeichnis abgelegt:
[https://drive.google.com/drive/folders/1c2gME0UQg0MnuJsSpUHlMKfLsLO6QA1x _PSL ADM DCSO_Security_Asessment_Maintenance\Parasol_Island_ISMS_2022\01 ISMS - Freigegeben]

Der Dateiname hat dabei der folgenden Form zu entsprechen:

<Dokumentenebene>_<Dokumentennummer>_PSL_ISMS_<gek. Titel>_<Version>.pdf

Dabei entsprechen die Platzhalter den folgenden Dokumenteneigenschaften:
{| class="wikitable"
|Dokumentenebene
|01 – Leitlinie

02 – Richtlinie

03 – Arbeitsanweisung

04 – Handlungsempfehlung

05 – Dokumentation

06 – Vorlage
|-
|Dokumentennummer
|Die oben beschriebene Dokumentennummer
|-
|Gek. Titel
|Gekürzter Titel. Damit der Dateiname nicht zu lang wird, sollte hier ein gekürzter Titel verwendet werden. Dieser sollte allerdings noch verständlich sein.
|-
|Version
|Die Versionsnummer des Dokumentes.
|}

=== WIKI ===
Die Inhalte des Dokumentes werden händisch in das Wiki der Parasol Island übertragen. Dies findet sich unter folgender URL: [[ISMS|ISMS - Parasol Island (parasol-island.com)]]. Dabei ist zu beachten, dass bei Hinzufügen eines neuen Dokumentes auch die Dokumentenübersicht angepasst werden muss.

=== Eintrag im Log ===
Folgende Informationen müssen im [https://docs.google.com/document/d/1ymomcXOTcw4OwHRn2aeAGYHkKRsA5ZK2aQuciaagM0g/edit?usp=sharing Logbuch] erfasst werden. Die meisten davon können aus den Eigenschaften des Dokumentes entnommen werden. Zusätzlich ist nur der

* Titel, der aus einer kurzen Beschreibung des Geschehens bestehen sollte, z.B.: „Veröffentlichung der ISMS-Leitlinie in Version 03.00“. Und der
* Typ. In dem Fall handelt es sich um eine „ISMS-Anpassung“.

Darüber hinaus sollten die folgenden Informationen angegeben werden:

* Datum der Freigabe
* Freigegeben von
* Datum der Veröffentlichung
* Veröffentlicht von
* Beschreibung der Anpassung (aus der Historie)

ISMS

2023-10-20T08:53:38Z

Niels.debruijn@parasol-island.com: 03_00 - Neue Link und neues Dokument hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevantesten Informationswerte erfasst?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokilliert?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 40 PSL ISMS ProtokollierungSicherheitsvorfälle

2023-10-20T08:42:50Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Dieses Dokument beschreibt detailliert, wie Informationssicherheitsereignisse protokolliert werden müssen. Es richtet sich dabei insbesondere an den Informationssicherheitsbeauftragten.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Protokollierung von Sicherheitsereignissen ==
Der Informationssicherheitsbeauftragte erfasst alle Sicherheitsereignisse im [https://docs.google.com/spreadsheets/d/1_MpwabwNmBK7gaH0mEyX5MXspB4pqW6oWpOmT-3HPCY Logbuch des ISMS]. Dabei werden die folgenden Daten zu einem Ereignis erfasst.
{| class="wikitable"
|Titel
|Ein kurzer Name für das Ereignis
|-
|Bearbeitungsstatus
|Offen,

In Bearbeitung,

Abgeschlossen
|-
|Datum
|Das (wahrscheinliche) Datum des Auftretens
|-
|Datum des Bekanntwerdens
|Das Datum, an dem das Ereignis aufgefallen ist
|-
|Abschlussdatum
|Das Datum, an dem das Ereignis abgeschlossen wurde
|-
|Schwere des Schadens
|kein Schaden

geringfügig

überschaubar

substanziell

existenzbedrohend
|-
|Ursache des Ereignisses
|Fehlbedienung

Regelverstoß

Interner Angriff

Externer Angriff

Technischer Defekt

Naturgewalt

Schwachstelle
|-
|Betroffene Informationswerte
|Der von dem Ereignis am meisten betroffene Informationswert
|-
|Betroffene Systeme
|Eingabe der betroffenen Systeme/Informationsträger
|-
|Sachverhalt
|Eine Beschreibung des Ereignisses
|-
|Bemerkungen
|Hier können im Laufe der Bearbeitung Bemerkungen und Kommentare erfasst werden. Bitte Datum und Name mit angeben.
|}

ISMS

2023-10-20T08:40:28Z

Niels.debruijn@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevantesten Informationswerte erfasst?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokilliert?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

Informationswerte

2023-10-20T08:34:06Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Dieses Dokument beschreibt die Inventarisierung primärer Informationswerte sowie die Erfassung von Anforderungen an Informationsträger in Abhängigkeit des Schutzbedarfs.

== Geltungsbereich ==
Dieses Regelwerk gilt verbindlich für Informationssicherheitsbeauftragter an allen Standorten. Verstöße gegen die Inhalte können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Erfassung von Informationswerten ==
Die Erfassung von (primären) Informationswerten erfolgt in einer Google Tabelle des ISMS, die unter der folgenden URL erreichbar ist:
[https://docs.google.com/spreadsheets/d/1HM8dZE3CpwVsJBay2DtKy5Bh9OSO8FaiVZOzXPxLvyA/edit#gid=0 Informationswerte]

Es müssen nur diejenigen Informationswerte erfasst werden, die für Parasol Island besonders relevant sind (aka „Kronjuwelen“).

Folgende Informationen werden zu den Informationswerten erfasst:

* Name
* Beschreibung
* Verantwortliche Person
* Kategorie personenbezogener Daten
** Keine
** Gewöhnlich
** Besonders schutzbedürftig (DSGVO Art. 9)
* Schutzbedarf Vertraulichkeit
* Schutzbedarf Integrität
* Schutzbedarf Verfügbarkeit
* Gesamtschutzbedarf
* Begründung Schutzbedarf

== Kategorien von Informationsträgern ==
Die Anforderungen an Informationsträger werden in der gleichen Google Tabelle erfasst, allerdings im Reiter „Schutzbedarf Informationsträger“.

Folgende Informationen werden zu Informationsträgern erfasst:

* Name
* Definition
* Zuständige Person
* Anforderungen bzgl. Vertraulichkeit
** Schutzbedarf sehr hoch
** Schutzbedarf hoch
** Schutzbedarf normal
** Schutzbedarf gering
* Anforderungen bzgl. Integrität
** Schutzbedarf sehr hoch
** Schutzbedarf hoch
** Schutzbedarf normal
** Schutzbedarf gering
* Anforderungen bzgl. Verfügbarkeit
** Schutzbedarf sehr hoch
** Schutzbedarf hoch
** Schutzbedarf normal
** Schutzbedarf gering

Anforderungen an den Datenschutz sind zu beachten (AVV, Erwähnung in ToMs).

== Inventarisierung von Informationsträgern ==
Für jede Kategorie von Informationsträgern existiert eine eigene Arbeitsanweisung. Z. B.: Arbeitsanweisung zur Inventarisierung von Cloud-Diensten (i.e. IT-Dienste). Dabei sollte berücksichtigt werden, welche Informationswerte von einem konkreten Informationsträger verarbeitet werden.

Beispiel:

Als Cloud-Dienst für die Personalabteilung verarbeitet Personio Mitarbeiterstammdaten. Diese haben den Schutzbedarf „sehr hoch“ für das Schutzziel Vertraulichkeit. Personio muss daher alle Anforderungen an einen solchen Cloud-Dienst erfüllen. Dies ist in der Liste der IT-Dienste so zu vermerken.

ISMS

2023-10-20T08:31:08Z

Niels.debruijn@parasol-island.com: 03_36 + 03_40 hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevantesten Informationswerte erfasst?
|-
|
!40
|[[Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokilliert?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)

2023-10-19T13:21:47Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

== Zweck ==
''„Es wird auch in der Zusammenarbeit mit Kooperationspartnern und Auftragnehmern ein angemessenes Informationssicherheitsniveau beibehalten.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

Diese Sicherheitsrichtlinie umfasst Regelungen zur Sicherstellung der Informationssicherheit im Falle des Outsourcings von IT-Leistungen.

Bereits vor jeder Outsourcing-Entscheidung sind Sicherheitsaspekte zu bedenken und bei einer Ausschreibung zu berücksichtigen.

Die Richtlinie ist gegenüber dem Outsourcing-Dienstleister als Prüfungsgrundlage zu nutzen und den Verträgen mit Dienstleistern zugrunde zu legen. Für die inhaltliche Bearbeitung sowie für die Pflege und Änderung der Texte ist der IT-Sicherheitsbeauftragte in Zusammenarbeit mit der Geschäftsführung zuständig und verantwortlich.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Projektleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Auswahl eines Outsourcing-Dienstleisters ==
Es ist selten erfolgversprechend, eine Geschäftsbeziehung lediglich auf Verträge und Regressansprüche zu begründen. Daher ist der Outsourcing-Dienstleister sorgfältig auszuwählen und eine vertrauensvolle und kooperative Zusammenarbeit anzustreben.

Bei der Auswahl ist zu prüfen, ob der Auftragnehmer als makellos, unbescholten und unbestechlich einzuschätzen ist (Zuverlässigkeit) und ob ein ernsthaftes und fachkundiges Betreiben der Dienstleistung gewährleistet ist (Seriosität).

Zur Einschätzung der Risiken (auch bzgl. der Informationssicherheit) sind folgende Punkte zu hinterfragen:

* Referenzen
* Kompetenz und Verfügbarkeit des Ansprechpartners
* Vertrauenswürdigkeit der Mitarbeiter
* Notfallplanung
* Zertifizierungen
* garantierte Verfügbarkeit (maximale Ausfallzeit)
* Sicherheitskonzept und Sicherheitsrichtlinien.

Für die Beurteilung sollte bei größeren Vorhaben oder einem erhöhten Schutzbedarf der verarbeiteten Informationen eine Besichtigung des Outsourcing-Dienstleisters erfolgen.

== Vertragsspezifische Regelungen ==
''„Geheimhaltungsvereinbarungen dienen dem rechtlichen Schutz von Informationen einer Organisation, insbesondere wenn diese über die Organisationsgrenze hinaus ausgetauscht werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''
Auch hinsichtlich des Informationssicherheitsniveaus und der daraus folgenden Maßnahmen werden vertragliche Vereinbarungen getroffen. Dies erfolgt auf Basis des für die verarbeitenden Informationen ermittelten Schutzbedarfs. Handelt es sich um Tätigkeiten, die im Auftrag eines Kunden der Parasol Island durchgeführt werden, so sind vertragliche Vereinbarungen zwischen der Parasol Island und dem Kunden an den Unterauftragnehmer weiterzugeben. Dasselbe gilt – sofern zugelassen – bei der Beauftragung weiterer Subdienstleister durch den Unterauftragnehmer.

Die Einhaltung der getroffenen Vereinbarungen wird in regelmäßigen Abständen durchgeführt.

Im Vertrag ist schriftlich zu vereinbaren:

* Weisungsgebundenheit des Outsourcing-Dienstleisters
* Einhaltung der einschlägigen Gesetze, Vorschriften und internen Regelungen
* Stillschweigen über alle bekanntwerdenden Informationen
* Technische und organisatorische Maßnahmen im Einflussbereich des Outsourcing-Dienstleisters und deren Kontrolle
* Melde- und Kommunikationswege
* Notfallvorsorgemaßnahmen
* Personaleinsatz durch den Outsourcing-Dienstleister
* Zutritts- und Zugangsrechte
* Regelungen für den Fall der Nicht- oder mangelhaften Erfüllung
* Verfügbarkeitsanforderungen
* Rechte und Pflichten des externen Personals
* Regelungen zur Haftung
* Verfahren bei Beendigung des Vertrags

=== Organisation ===
Es sind auf beiden Seiten Verantwortliche zu benennen. Es ist sicherzustellen, dass diese ausreichende Befugnisse besitzen.

Externe Mitarbeiter sind vor Beginn ihrer Tätigkeit einzuweisen und über hausinterne Regelungen und Vorschriften zur Informationssicherheit sowie die organisationsweite Leitlinie zur Informationssicherheit zu unterrichten.

Externe Mitarbeiter, die (eventuell) Zugang zu vertraulichen Unterlagen und Daten bekommen könnten, sind schriftlich auf die Einhaltung der geltenden einschlägigen Gesetze, Vorschriften und internen Regelungen und zur Verschwiegenheit zu verpflichten.

Der Outsourcing-Dienstleister hat die Weisungen des Auftragnehmers zu befolgen. Dies ist regelmäßig zu überprüfen.

Aufträge an Subunternehmer durch den Outsourcing-Dienstleister bedürfen einer Genehmigung. Subunternehmer unterliegen den gleichen Anforderungen wie der Hauptauftragnehmer.

==== Prototypenschutz ====
Insbesondere bei Projekten, die mit Prototypen zu tun haben, und die daher besondere Anforderungen an den Schutz dieser Prototypen haben, sind darüber hinaus folgende Punkte zu beachten:

* Vor der Beauftragung des Dienstleisters ist die schriftliche Freigabe durch den Auftraggeber einzuholen. Sollte dieser den Einsatz ablehnen, so ist ein anderer Dienstleister zu finden, oder eine Möglichkeit, die Tätigkeiten mit internen Kräften zu leisten.
* Sicherheitsvorgaben durch den Auftraggeber sind von uns und allen beteiligten Subdienstleister einzuhalten. Daher ist mit dem Auftraggeber zu klären, wie diese Vorgaben aussehen. Dann müssen diese an alle Projektbeteiligten kommuniziert werden. Vorzugsweise geschieht dies mit einer schriftlichen Bestätigung durch die Dienstleister. Zu Projektbeginn müssen alle Sicherheitsmaßnahmen noch einmal mit allen Projektbeteiligten durchgesprochen werden. Siehe hierzu auch die Richtlinie zu projektbezogener Informationssicherheit (ISMS, 02_22).
* Wenn der Auftraggeber dies fordert, dann ist sicherzustellen, dass auch unsere Dienstleister über ein TISAX-Label o.ä. verfügen.

=== Geheimhaltungsvereinbarungen ===
''„Geheimhaltungsvereinbarungen dienen dem rechtlichen Schutz von Informationen einer Organisation, insbesondere wenn diese über die Organisationsgrenze hinaus ausgetauscht werden.“ (6.1.2) (Verband der Automobilindustrie e.V. (VDA), 2020)''
Sobald Informationen mit Personen außerhalb der Parasol Island geteilt werden oder diese Zugriff auf Informationen haben könnten, muss eine Geheimhaltungsvereinbarung (auch: NDA, Non-Disclosure-Agreement) mit ihnen geschlossen werden. Dies kann mit dem Unternehmen oder einer Einzelperson geschehen.

Geheimhaltungsvereinbarungen sollten grundsätzlich unbefristet sein und über das Vertragsverhältnis hinaus bestehen bleiben. Darüber hinaus müssen die folgenden Angaben darin enthalten sein (Vergleiche auch (Verband der Automobilindustrie e.V. (VDA), 2020), Control 6.1.2):

* beteiligte Personen/beteiligte Organisationen,
* der Art der von der Vereinbarung umfassten Informationen,
* den Gegenstand der Vereinbarung,
* die Gültigkeitsdauer der Vereinbarung (befristet oder dauerhaft),
* den Verantwortlichkeiten des/der Verpflichteten,
* sowie mögliche Nachweise zur Einhaltung von Vorgaben (z. B. Prüfung eines unabhängigen Dritten oder Auditrechte)

==== Prototypenschutz ====
Beim Umgang mit Prototypen müssen Geheimhaltungsvereinbarungen nicht nur zwischen den Unternehmen, sondern auch persönlich mit jedem oder jeder einzelnen Projektbeteiligten geschlossen werden.

== Sicherheitsmaßnahmen ==

=== Zutritts-, Zugangs- und Zugriffsrechte externer Mitarbeiter ===
Externe müssen sich ausweisen.

Sofern ein Zutritt zu Sicherheitszonen zwingend erforderlich ist, sind externe Mitarbeiter zu beaufsichtigen. Kurzfristig oder einmalig zum Einsatz kommendes Fremdpersonal ist wie Besucher zu begleiten oder zu beaufsichtigen.

Der Zugriff auf Daten durch Externe ist soweit wie möglich zu vermeiden. Externen kann, sofern dies zwingend erforderlich ist, ein zeitlich begrenzter Zugang gewährt werden, wenn entsprechende Sicherheitsmaßnahmen eingerichtet worden sind.

Sofern ein dauerhafter Zugang notwendig ist, sind einer namentlich benannten Person restriktive Zugangsrechte zu gewähren.

Es ist sicherzustellen, dass die externen Mitarbeiter keinen Zugriff auf Systeme außerhalb ihres Tätigkeitsbereiches erhalten.

„Regelungen zum Ende der Tätigkeiten“ sind zu beachten.

Externen darf generell erst dann Zugang zu IT-Systemen und Anwendungen gewährt werden, wenn ein Vertrag unterschrieben wurde, der die Bedingungen für die Verbindung oder den Zugang definiert.

=== Allgemeine Regelungen ===
Für umfangreiche oder komplexe Outsourcing-Vorhaben muss ein eigenes Sicherheitskonzept erstellt werden. Es ist seitens des externen Outsourcing-Dienstleisters ein Sicherheitsprozess zu etablieren, der zu kontrollieren ist. Die durchgeführten Arbeiten sind zu dokumentieren (Umfang, Ergebnisse, Zeitpunkt, evtl. Name des externen Mitarbeiters).

Eine Fehlerbeseitigung im Betriebssystem und in systemnaher Software darf durch das externe Personal nur nach Genehmigung erfolgen.

Es sind Regelungen zur Kommunikation und dem Datenaustausch zwischen Auftraggeber und dem Dienstleister zu schaffen. Hierbei ist auch die "Sicherheitsrichtlinie für die Internetnutzung" (siehe Musterdokument des BSI) zu beachten.

In Sicherheitszonen kann das Mitbringen tragbarer IT-Systeme, Mobiltelefone, Kameras etc. vom IT-Sicherheitsbeauftragten verboten werden.

=== Arbeiten durch externes Personal im Hause ===
Arbeiten, die von Externen innerhalb der Räumlichkeiten des Auftragnehmers stattfinden, sind in separaten Räumlichkeiten durchzuführen.

Bei Arbeiten an sensitiven Systemen bzw. Systemen mit sensitiven Daten hat eine fachkundige Kraft die Arbeiten zu beaufsichtigen.

=== Arbeiten durch externe Dienstleister außerhalb des Hauses ===
Wird Hardware zur Wartung oder Reparatur außer Haus gegeben, sind alle sensitiven Daten, die sich auf Datenträgern befinden, vorher sicher zu löschen. Der Transport von Datenträgern hat sicher zu erfolgen.

=== Externe Arbeiten über Fernzugriff ===
Generell ist der „Zugriff vor Ort“ dem „Fernzugriff“ vorzuziehen. Die sichere Anbindung an das interne Netz ist zu regeln.

=== Regelungen zum Ende der Tätigkeiten ===
Bei Beendigung des Auftragsverhältnisses muss eine geregelte Übergabe der Arbeitsergebnisse und der erhaltenen Unterlagen und Betriebsmittel erfolgen.

Es ist die ordnungsgemäße Funktion von gewarteten IT-Systemen zu überprüfen. Bei entsprechend gefährdeten IT-Systemen ist eine Virenüberprüfung durchzuführen.

Es sind außerdem sämtliche Zugangsberechtigungen und Zugriffsrechte zu entziehen bzw. zu löschen. Außerdem sind ausscheidende Mitarbeiter explizit darauf hinzuweisen, dass die Verschwiegenheitsverpflichtung auch nach Beendigung der Tätigkeit bestehen bleibt.

Daten, die im Rahmen des Outsourcings extern gespeichert wurden, sind nach Abschluss des Auftrags vollständig und sicher zu löschen. Dies ist zu kontrollieren.

== Externe Projektvergabe ==

=== Einstufung ===
Vor der Vergabe eines Projektes an eine Fremdfirma wird der Aufgabenbereich einer sicherheitstechnischen Überprüfung unterzogen. Sämtliche Informationen werden ihrer Sicherheitsstufe entsprechend aufgelistet und es wird geprüft, ob die Fremdfirma diese Informationen zur Durchführung des Projektes benötigt.

Die höchste Sicherheitsstufe, für die von der Fremdfirma benötigten Informationen, definiert das Mindestmaß an Sicherheit, das die Firma erfüllen muss.

Daraus geht hervor, dass eine Fremdfirma, die die Sicherheitseinstufung „Vertraulich“ und „Streng Vertraulich“ erfüllen muss, dieselbe Sicherheitszertifizierung besitzen muss wie Parasol Island GmbH.

Für die Sicherheitseinstufung „Intern“ ist die vertragliche Verpflichtung zur Einhaltung der Verschwiegenheit über die Informationen erforderlich. Dies geschieht in Form einer Verschwiegenheitserklärung (NDA).

Ebenso muss das produzierte Produkt der geforderten Informationssicherheitsrichtlinie entsprechen. Hierbei geht es um die allgemein gültigen Sicherheitsnormen, denen auch die Parasol Island GmbH verpflichtet ist. Bei Serveranwendungen sind dies beispielsweise Schutz vor SQL-Injections, Cross-Site-Scripting und Einfügen von Schadcode in Dateiuploads.

=== Kontrolle ===
Die Zertifizierung wird durch die Kontrolle der Zertifikate seitens der Projektleitung vor Beginn der Datenübergabe durchgeführt. Eine Verschwiegenheitserklärung wird analog dazu gehandhabt. Erst nach erfolgreicher Prüfung dürfen Informationen mit erhöhter Sicherheitseinstufung an die Fremdfirma übertragen werden.

Im laufenden Projekt prüft die Projektleitung, ob die geforderten Sicherheitsmechanismen bei der Informationsübermittlung konsequent eingesetzt werden.

Auf Außeneinsätzen werden begleitende Fremdfirmen ebenfalls von der Projektleitung entsprechend beobachtet und kontrolliert.

Das Produkt wird, falls es sich um eine Anwendung handelt, während der Entwicklung, jedoch spätestens am Ende der Entwicklung einer Sicherheitsüberprüfung unterzogen. Hierbei werden Penetrationstests durchgeführt und der Quellcode in Abhängigkeit von der Projektkomplexität entweder vollständig oder in Teilen einer Sichtprüfung unterzogen.

[[Category:ISMS]]

03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches

2023-10-19T08:57:22Z

Niels.debruijn@parasol-island.com: Dokument vollständig überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

== Zweck ==
Der Patchplan soll die Anforderungen der Change-Management-Richtlinie konkret planen.

Er soll Checklisten für die Nutzer von IT-Systemen und besonders den Administrator bieten, um Sicherheitslücken schnellstmöglich zu schließen. Gleichzeitig ist es erforderlich, den laufenden Betrieb nicht übermäßig zu stören oder gar zu gefährden.

Daher ist es notwendig, Patches vorher zu planen und Absprache mit allen Abteilungen zu halten.

Bei Gefahr im Verzug gilt die Regel Sicherheit vor Verfügbarkeit, was bedeuten kann, dass Systeme zugunsten der Sicherheit zeitweise aus dem Betriebsablauf entfernt werden müssen, um Sicherheitslücken zu schließen.

Administratoren und Informationssicherheitsbeauftragter haben die Pflicht, sich durchgehend über mögliche Sicherheitslücken zu informieren, um gegebenenfalls außerplanmäßige Updates zu veranlassen.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Definitionen ==
Server sind für den Dauerbetrieb bestimmt, sie werden allerdings nicht vom Benutzer selbst gesteuert. Durch die zentralisierte Datenspeicherung entsteht ein großes Risiko, welches regelmäßig auf das kleinstmögliche Niveau gebracht werden muss.

Workstations sind Arbeitsrechner, welche vom Benutzer gesteuert werden. Auf ihnen liegen keine Daten und die Zugriffsrechte sind eingeschränkt. Allerdings kann das Fehlverhalten von Nutzern hohe Risiken mit sich bringen, weshalb hier vor allem Sicherheitsschulungen für die Nutzer durchgeführt werden müssen. Durch die direkte Internetnutzung besteht zudem ein stark erhöhtes Risiko durch Schadsoftware.

Lokale Administratorrechte sind nur eingeschränkt zu vergeben und die Rechner sind stichprobenartig vom Administrator oder ISB zu kontrollieren.

Die Nutzer haben den Administrator in seiner Tätigkeit zu unterstützen, indem sie Updates selber durchführen, sofern ihnen das möglich ist, oder den Administrator zu informieren, sobald sicherheitsrelevante Software geupdatet werden kann.

Renderblades sind leistungsstarke Maschinen zum Verarbeiten von Daten. Sie werden nicht durch den Nutzer selbst gesteuert und auf ihnen liegen keine Daten, weshalb das Risiko kleiner ist als bei Servern.

Peripherie sind alle Geräte, welche zwar an unsere IT-Systeme angeschlossen sind, jedoch durch ihren Komplexitätsgrad und ihre Funktionsweise nur ein geringes Risiko darstellen. (z.B. Drucker, Switches, Telefone)

== Auflistung der zu patchenden Systeme ==

#

{| class="wikitable"
|Name
|Typ
|Risiko
|-
|Domaincontroller
|Server
|Hoch
|-
|Fileserver
|Server
|Hoch
|-
|Linux-Server
|Server
|Hoch
|-
|Windows-Server
|Server
|Hoch
|-
|Windows Workstations
|Workstation
|Hoch
|-
|Mac Workstations
|Workstation
|Hoch
|-
|Mobilgeräte
|Workstation
|Hoch
|-
|Drucker
|Peripherie
|Gering
|-
|Switches
|Peripherie
|Gering
|-
|WLAN AccessPoints
|Peripherie
|Gering
|}

== Zu patchende Software auf Server ==
Da die Server untereinander vernetzt sind, ist das Schließen von Sicherheitslücken nur so effektiv wie die schwächste Komponente, woraus folgt, dass alle Server mit höchster Priorität zu patchen sind.

Besondere Aufmerksamkeit erfordern:

* Betriebssystem
* Antivirus Software

Updates werden automatisch vom System heruntergeladen und installiert, müssen jedoch manuell neu gestartet werden.

Jedoch mindestens einmal im Monat sind die Server auf den Bedarf eines Neustartes zu kontrollieren und nach Absprache durchzuführen.

Dafür ist die erste Woche eines Monats festzuhalten. Es ist Rücksprache mit allen Abteilungsleitern zu halten um Rechenoperationen von zeitkritischen Projekten nicht zu gefährden. Bei Auffälligkeiten oder Bekanntwerden einer akuten Gefährdungslage ist ein Neustart sofort durchzuführen.

== Patches auf Workstations ==
Updates des Virenscanners und des Betriebssystems werden automatisch installiert. Besonders durch Internetnutzung ist eine erhöhte Gefährdung durch Schadsoftware anzunehmen und Virenscanner sind bei sofortigem Erscheinen von Patches zu aktualisieren.

Der erforderliche Neustart sollte wenn möglich unverzüglich ausgeführt werden, jedoch spätestens am Ende des Arbeitstages.

Software, die direkt mit dem Internet benutzt wird, ist ebenso kritisch, wird jedoch nicht zentral verwaltet und erfordert daher eine Kontrolle an der Workstation selbst. Der Nutzer hat trotz automatischer Updates regelmäßig zu kontrollieren, dass seine Software nicht veraltet ist.

== Patches von Peripherie ==
Peripherie ist nur selten ein Angriffsziel von Schadsoftware, das Risiko ist jedoch nicht auszuschließen. Daher ist eine regelmäßige Kontrolle auf neue Firmware-Updates erforderlich.

Einmal jährlich sollten Peripheriegeräte kontrolliert werden und wenn möglich Updates durchgeführt werden. Der Zeitpunkt ist so zu wählen, dass ein Ausfall des Systems kurzzeitig vertretbar ist. Bei den meisten Geräten empfiehlt sich, wenn möglich ein Backup der Settings oder ein vorheriges zu notieren.

== Patches von Grafiksoftware ==
Die Gefahren von Sicherheitslücken in Grafiksoftware sind als sehr gering einzuschätzen, weshalb Updates nicht automatisch bezogen werden.

Die Gefahr von Inkompatibilität bei neueren Versionen ist hier relevanter, so dass diese Softwarepakete oder damit verbundene Plug-Ins nur nach vorheriger Planung, möglichst ohne Zeitdruck durchgeführt werden.

== Kontrolle über ESET ==
Der Administrator kann zentral die Aktualität des Betriebssystems und der Virenscanner über ESET kontrollieren und Updates sowie Neustarts ausführen. Dies betrifft Server und Workstations gleichermaßen.

== Firewall ==
Die Firewall aktualisiert sich automatisch bei Erscheinen von Patches, eine Einschränkung des Betriebsablaufes ist hierdurch nicht zu erwarten. Allerdings ist die Lizenz einmal jährlich rechtzeitig zu erneuern. Geschieht das nicht, werden keine neuen Updates geladen.

== Übersicht ==

#

{| class="wikitable"
|Typ
|Patches
|Häufigkeit
|-
|Server
|
* Betriebssystem
* Virenscanner
|
* Automatische Installation
* Neustart bei Gelegenheit, aber mindestens 1x monatlich.
* Wöchentliche Kontrolle
|-
| rowspan="2" |Renderblades
|
* Betriebssystem
* Virenscanner
|
* Automatische Installation
* Neustart bei Gelegenheit.
|-
|
* Deadline
* Grafiksoftware
|
* nach vorheriger Planung
* zentralisiert
|-
| rowspan="3" |Workstation
|
* Betriebssystem
* Virenscanner
|
* Automatische Installation
* Neustart unverzüglich nach Aufforderung, wenn möglich
|-
|
* Browser
|
* Automatische Installation
* Neustart unverzüglich nach Aufforderung, wenn möglich
|-
|
* Grafiksoftware
* Deadline
|
* nach vorheriger Planung
|-
|Peripherie
|
* Firmware
|
* Nach Bedarf, mindestens jährlich
|}
{| class="wikitable"
!Typ
!Patches
!Häufigkeit
|-
|Server
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit, aber mindestens 1x monatlich.
*Wöchentliche Kontrolle
|-
| rowspan="2" |Renderblades
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit.
|-
|
*Deadline
*Grafiksoftware
|
*nach vorheriger Planung
*zentralisiert
|-
| rowspan="3" |Workstation
|
*Betriebssystem
*Virenscanner
|
*Automatische Installation
*Neustart bei Gelegenheit
|-
|
*Browser
*Java
*
|
*Automatische Installation
*Neustart unverzüglich nach Aufforderung, wenn möglich
|-
|
*Grafiksoftware
*Deadline
|
*nach vorheriger Planung
|-
|Peripherie
|
*Firmware
|
*Nach Bedarf, mindestens jährlich
|}
[[Category:ISMS]]

03 27 PSL ISMS Schutzziele

2023-10-19T08:47:24Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Dieses Dokument definiert die Schutzbedarfskategorien bei der Parasol Island. Entsprechend der Richtlinie zum Umgang mit Informationswerten (ISMS, 02_20) wurden diese von der Geschäftsführung festgelegt.

== Geltungsbereich ==
Dieses Dokument gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Definition Schutzbedarfe ==
Für die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit werden die folgenden Schutzbedarfsklassen festgelegt.

=== Vertraulichkeit ===
Für die Einstufung der Vertraulichkeit stellt sich die Frage: Für wen ist es notwendig, diese Daten zu sehen? Der Personenkreis, der Informationen einsehen darf, sollte so klein wie möglich gehalten werden.

Nicht gekennzeichnete Informationen werden generell als „'''Intern'''“ klassifiziert.

==== Öffentlich ====
{| class="wikitable"
| colspan="2" |Vertraulichkeitsstufe Öffentlich
|-
|Personenkreis
|Daten dürfen in einem nicht veränderbaren Format (z.B. *.pdf) mit jedem geteilt werden.
|-
|Übertragung
|Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten.
|-
|Speicherung
|Die Daten können in beliebiger Form gespeichert und transportiert werden.
|-
|Vernichtung
|Elektronische Daten können mit dem Betriebssystem inhärenten Möglichkeiten gelöscht werden.

Papierbasierte Daten können über den Papiermüll entsorgt werden.
|}

==== Intern ====
{| class="wikitable"
| colspan="2" |Vertraulichkeitsstufe Intern
|-
|Personenkreis
|Die Daten dürfen nur von Mitarbeitern der Parasol Island GmbH eingesehen und genutzt werden. Ausnahmen können durch den Informationseigentümer oder durch ihn berechtigte Personen festgelegt werden.
|-
|Übertragung
|Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten.
|-
|Speicherung
|Die Daten können in beliebiger Form gespeichert und transportiert werden. Dies gilt auch für papierbasierte Daten.
|-
|Vernichtung
|Elektronische Daten können mit dem Betriebssystem inhärenten Möglichkeiten gelöscht werden.

Papierbasierte Daten müssen über einen beliebigen Aktenvernichter entsorgt werden.
|}

==== Vertraulich ====
{| class="wikitable"
| colspan="2" |Vertraulichkeitsstufe Vertraulich
|-
|Personenkreis
|Die Daten dürfen nur von speziell berechtigten Personengruppen oder Außenstehenden eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen und Ausnahmen werden durch den Informationseigentümer oder speziell von ihm berechtigte Personen getroffen.
|-
|Übertragung
|Die Daten dürfen innerhalb der Parasol Island GmbH unverschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH darf nur verschlüsselt erfolgen (verschlüsseltes VPN, verschlüsselte E-Mail, im Veracrypt Container). Die papierbasierte Übertragung außerhalb der Parasol Island GmbH darf nur in verschlossenen Umschlägen erfolgen.
|-
|Speicherung
|Die Daten dürfen innerhalb der Parasol Island GmbH in beliebiger Form gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, müssen die Daten verschlüsselt abgelegt werden (z.B. Veracrypt mit AES 128 bit).

Papierbasierte Daten müssen nach dem täglichen Arbeitsende in einem verschließbaren Schrank gelagert werden.
|-
|Vernichtung
|Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (min. US DoD 5220.22-M (8-306. / E) (3 Passes)).

Papierbasierte Daten müssen über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 4) entsorgt werden.
|}

==== Streng vertraulich (geheim) ====
{| class="wikitable"
| colspan="2" |Vertraulichkeitsstufe Streng Vertraulich (Geheim)
|-
|Personenkreis
|Die Daten dürfen nur vom Informationseigentümer und von ihm speziell berechtigten Personen eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen wird ausschließlich durch den Informationseigentümer getroffen.

Die Klassifizierung ist auf jeder Seite kenntlich zu machen (Fußzeile).
|-
|Übertragung
|Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH ist nicht zulässig. Dies gilt auch für papierbasierte Daten.
|-
|Speicherung
|Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, dürfen diese Daten nicht gespeichert werden.

Die papierbasierte Aufbewahrung ist nur in verschlossenen Datenschränken zulässig.
|-
|Vernichtung
|Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (Gutmann 35 Passes).

Papierbasierte Daten müssen vom Informationseigentümer oder einer speziell von ihm berechtigten Person über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 4) entsorgt werden.
|}

=== Integrität ===
Wie fehlerbehaftet oder beschädigt dürfen Daten sein, ohne dass ein Schaden entsteht? Das beinhaltet auch den Schutz vor Veränderung durch Unbefugte. Kann man einen Verlust der Daten kompensieren?

Die Klassifizierung ist wichtig für das angemessene Maß der Planung von Zugriffsrechten, Schutzmaßnahmen und Einhaltung der Backup Planung.

Nicht gekennzeichnete Informationen haben für das Schutzziel Integrität die Stufe „Mittel“.
{| class="wikitable"
|Klasse
|Beschreibung
|-
|Gering
|
* Eine Verletzung beeinträchtigt weder den Geschäftsbetrieb noch das Ansehen der Firma.
|-
|Mittel
|
* Eine Verletzung hat nur geringe Auswirkungen und stört den Arbeitsablauf nur geringfügig.
* Schadensersatzforderungen sind unwahrscheinlich.
|-
|Hoch
|
* Eine Verletzung bringt merkbare Beeinträchtigungen mit sich.
* Arbeitsabläufe werden verzögert.
* Umsatzzahlen werden negativ beeinflusst.
* Kunden könnten die Zusammenarbeit beenden.
* Schadensersatzforderungen sind anzunehmen.
|-
|Sehr hoch
|
* Eine Verletzung hat erhebliche Auswirkungen.
* Starke negative Auswirkung auf die Umsätze.
* Lange Ausfallzeiten in der Produktion.
* Schadensersatzforderung durch mehrere Einzelpersonen oder Organisationen sind zu erwarten.
|}

=== Verfügbarkeit ===
Wie kritisch ist die Verfügbarkeit von IT-Systemen und Infrastruktur?

Nicht gekennzeichnete Informationen haben für das Schutzziel Verfügbarkeit die Stufe „Mittel“.
{| class="wikitable"
|Klasse
|Beschreibung
|-
|Gering
|
* Die Verfügbarkeit darf weniger als 95% betragen, ohne dass ein nennenswerter Schaden entsteht.
* Beispiel: Intranet mit unkritischen Benutzeranwendungen.
|-
|Mittel
|
* Die Verfügbarkeit muss mindestens 95% betragen
* Beispiel: Firmenwiki
|-
|Hoch
|
* Die Verfügbarkeit muss mindestens 98% betragen.
* Produktionsrelevantes IT-System, dessen Ausfall Teilbereiche der Produktion stoppen kann.
* Beispiel: Buchhaltung, Renderfarm in unkritischen Projektphasen
|-
|Sehr hoch
|
* Die Verfügbarkeit muss mindestens 99% betragen.
* Produktionsrelevantes IT-System, dessen Ausfall einen Produktionsstopp zur Folge hat.
* Beispiel: Server, Renderfarm gegen Projektende
|}

ISMS

2023-10-19T08:40:51Z

Niels.debruijn@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

ISMS

2023-10-19T08:40:07Z

Niels.debruijn@parasol-island.com: 03_27 hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!27
|Definition Schutzziele
|Wie werden Informationswerte klassifiziert, und wie geht man mit diese Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 25 PSL ISMS ExterneAudits

2023-10-17T14:19:14Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
Dieses Dokument konkretisiert den Umgang mit externen Audits, insbesondere dem TISAX-Assessment. Dieses muss mindestens alle drei Jahre oder aber bei Änderungen an den Standorten durchgeführt werden.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Informationssicherheitsbeauftragte an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Planung ==
Informationssicherheitsbeauftragter und Geschäftsführung kümmern sich frühzeitig (vorzugsweise ein halbes Jahr vor Ablauf des gültigen Labels) um die Anlage eines Scopes und die Auswahl und Beauftragung eines passenden Prüfdienstleisters. Das Assessment sollte so terminiert werden, dass zwischen der Prüfung und dem Ablauf des Labels ausreichend Zeit ist, um – bei Bedarf – den Corrective Action Plan (CAP) zu erstellen und durch den Prüfdienstleister abnehmen zu lassen, damit ein temporäres Label erstellt werden kann und keine Lücke zwischen bestehendem und neuem Label entsteht, in der Parasol Island labellos ist.

== Vorbereitung ==
Der Informationssicherheitsbeauftragte erstellt ein Projekt in Asana, stellt den Fragebogen und eine Ablagestruktur für Nachweis- und Regelwerksdokumente auf dem Google Drive zur Verfügung und koordiniert die Aufgabenverteilung für die Prüfungsvorbereitungen. Darüber hinaus kontrolliert er regelmäßig den Bearbeitungsstand und eskaliert bei Bedarf an die Geschäftsführung.

== Durchführung ==
An dem Assessment sollten jederzeit Geschäftsführung, Informationssicherheitsbeauftragter und IT-Verantwortlicher teilnehmen. Bei Bedarf können weitere Personen hinzugezogen werden.

== Nachbereitung ==
Findings werden umgehend als Aufgaben in Asana erstellt und behoben.

== Abschluss ==
Der Informationssicherheitsbeauftragte lädt den Abschlussbericht auf Google Drive hoch. Die Ablage erfolgt in der Ablage für Informationssicherheit unter „external Audits“.

ISMS

2023-10-17T14:17:04Z

Niels.debruijn@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

ISMS

2023-10-17T14:16:24Z

Niels.debruijn@parasol-island.com: 03_25 Hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!25
|Arbeitsanweisung zur Durchführung externer Audits
|Wie wird mit externen Audits, insbesondere TISAX Assessments umgegangen?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 33 PSL ISMS GeistigesEigentum

2023-10-17T14:05:36Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

== Zweck ==
''„Es sind angemessene Verfahren umgesetzt, mit denen die Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen mit Bezug auf geistige Eigentumsrechte und der Verwendung von urheberrechtlich geschützten Softwareprodukten sichergestellt ist.“ (A.18.1.2) (DIN Deutsches Institut für Normung e.V., 2015)''

Diese Arbeitsanweisung konkretisiert die in der Richtlinie für Compliance (ISMS, 02_07) festgelegten Anforderungen an den Umgang mit geistigem Eigentum bei Parasol Island.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Umgang mit geistigem Eigentum ==
Geistiges Eigentum, das von Mitarbeitern der Parasol Island GmbH entwickelt wurde, ist vor Weitergabe an Dritte bzw. vor Veröffentlichung entsprechend zu kennzeichnen. Eine solche Kennzeichnung kann wie folgt lauten:

''„Die in dieser Präsentation enthaltenen Gedanken, Ideen und Konzepte sind geistiges Eigentum der Parasol Island GmbH und unterliegen dem deutschen Urheberrecht. Die Veröffentlichung von Ideen sowie die vollständige oder teilweise Vervielfältigung, Bearbeitung, Verbreitung und jede Art der Verwertung außerhalb der Grenzen des Urheberrechtes ist nur mit vorherigem vertraglichem Einvernehmen der Parasol Island GmbH gestattet.“''

Geistiges Eigentum, das vertraulich und unter Geheimhaltungsbedingungen an die Parasol Island GmbH weitergegeben wird, ist ausschließlich dem beteiligten Projektteam zugänglich.

Die betroffenen Mitarbeiter werden auf die Vertraulichkeit der Sache hin sensibilisiert. Obligatorischer Bestandteil des allgemeinen Arbeitsvertrags ist eine Geheimhaltungsvereinbarung zu sämtlichen Projektinhalten der Parasol Island GmbH. Verantwortlich für diese Prozesse ist der jeweilige Projektleiter / Sachbearbeiter.

Wird geistiges Eigentum in Form von Dokumenten, Gütern, Waren, Produkten oder Medien - ob physisch oder digital, über Datenträger oder Download - vertraulich an die Parasol Island GmbH weitergegeben, so wird dieses nach den Leitlinien zum Transport von Gütern und Medien behandelt.

Daten, die für die weitere Bearbeitung des Projekts nicht mehr erforderlich sind, werden vernichtet und physische Waren, Objekte, Produkte und Datenträger werden an den geistigen Eigentümer zurückgegeben. Verantwortlich für diese Prozesse ist der jeweilige Projektleiter / Sachbearbeiter.

== Nutzungsrechte und Lizenzen ==
Wird für Projekte Bildmaterial oder Musik Dritter verwendet, so sollen alle Mitarbeiter den Einkauf und die Lizensierung über den jeweiligen Projektleiter laufen lassen. Dieser wird informiert, welches Material von Dritten eingekauft werden muss und ist verantwortlich für die zeitliche, örtliche und mediale Lizensierung entsprechend der Anforderungen des Auftraggebers.

Diese Regelungen gelten für Stockfootage (Bilder wie auch Filmsequenzen) und Musik, sowohl für GEMA-pflichtige Stücke als auch für GEMA-freie Stücke. Die Anmeldung der Nutzung bei der GEMA erfolgt ebenfalls über den Projektleiter. Die anfallenden Gebühren tragen je nach Vereinbarung die Auftraggeber.

== Projektabschluss und -backup ==
Die Rechte an den während der Projektumsetzung entstandenen Inhalten werden bei Projektabschluss an den Auftraggeber übertragen, sofern nicht anders vereinbart. Parasol Island GmbH behält sich vor, projektunspezifisches Material für Folgeprojekte zu nutzen.

Nach Abschluss des Projekts wird der Projektordner inklusive aller Daten archiviert. Zuständig hierfür ist der Backupbeauftragte unter Beaufsichtigung des jeweiligen Projektleiters.

Das finale Medienprodukt darf nur mit ausdrücklicher Erlaubnis des Auftraggebers - ob als Bestandteil eines Showreels, als Dokumentation oder als separater Clip - in die Webseite der Parasol Island GmbH eingebunden werden.

== Software und Lizenzbedingungen ==
Der Bestand und die Nutzung jeglicher Software auf allen Arbeitsplätzen der Parasol Island GmbH werden durch die IT-Abteilung / Administration dokumentiert und kontrolliert, darunter auch die Lizenzbedingungen.

ISMS

2023-10-17T14:01:01Z

Niels.debruijn@parasol-island.com: 03_33 Hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht der Parasol mit geistigen Eigentum um?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits

2023-10-17T13:54:34Z

Niels.debruijn@parasol-island.com: Neu angelegt, Link war falsch.

==Zweck==
Dieses Dokument beschreibt die Planung und Durchführung interner Audits durch den Informationssicherheits- und den Datenschutzbeauftragten. Diese Audits zielen darauf ab, die Wirksamkeit des ISMS zu überprüfen und die Umsetzung der darin beschriebenen Prozesse zu kontrollieren. Dies geschieht in Abgrenzung zu den Überprüfungen der (technischen) Informationssicherheit durch die IT.
==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
==Audits==
Um ein hohes Maß an Informationssicherheit zu gewährleisten, müssen in regelmäßigen Abständen interne Audits durchgeführt werden. Als Maßgabe für anwendbare Kontrollen dient der VDA ISA (inkl. Datenschutz und Prototypen) in der aktuell für Parasol Island gültigen Version. Sollte es einen neueren Assessment-Bogen geben, so darf auch dieser verwendet werden.

Die Terminierung der Audits liegt im Zuständigkeitsbereich des Informationssicherheitsbeauftragten, sollte aber jährlich stattfinden.
==Maßnahmenableitung==
Nicht später als vier Wochen nach einem Audit findet eine Ergebnisbesprechung und Maßnahmenableitung zwischen Informationssicherheitsbeauftragten, Geschäftsführung und gegebenenfalls Systemadministrator oder Datenschutzbeauftragten statt. Dies kann auch während des Regeltermins zwischen Geschäftsführung und Informationssicherheitsbeauftragtem geschehen.

Im Termin informiert der Informationssicherheitsbeauftragte die Teilnehmer über die Ergebnisse der Audits. Gemeinsam werden notwendige Maßnahmen abgeleitet und zur Umsetzung beschlossen.

Die erarbeiteten Maßnahmen werden direkt mit Zuständigkeiten und Umsetzungsterminen im Planner des Teams für Informationssicherheit hinterlegt und nach Möglichkeit im Termin oder im Anschluss der Umsetzungsverantwortliche genauer informiert.
==Dokumentation==
Alle aus den Audits resultierenden Maßnahmen, Aufgaben und Zuständigkeiten werden über das Ticketsystem verteilt. Auf diese Art und Weise lässt sich nachvollziehen, ob die Aufgaben in der vorgegebenen Zeit umgesetzt wurden oder ob eventuelle Rückfragen entstanden sind.

Eine Zusammenfassung der jeweiligen Termine wird in den jeweiligen Tickets zur Nachverfolgung hinterlegt.
==Protokollierung==
Durchgeführte interne Audits werden im ISMS-Logbuch als „Internes Audit“ erfasst. Dazu sind die folgenden Informationen zu erfassen:
{| class="wikitable"
|'''Feldname'''
!'''Inhalt'''
|-
|Titel
|Ein kurzer Titel für das Audit, z.B.: VDA ISA 5.1
|-
|Datum Des Auftretens / Beginn
|Das Datum, an dem das Audit durchgeführt wurde.
|-
|Abschlussdatum
|Das Datum, an dem der Abschlussbericht veröffentlicht wurde
|-
|Meldende PErson / Geprüft von
|Die Person oder die Personen, die das Audit durchgeführt haben.
|-
|Sachverhalt
|Eine kurze Beschreibung, was und wie geprüft wurde.
|-
|Abschlussbericht
|Eine kurze Beschreibung des Ergebnisses
|-
|Verlinkung
|Ein Link auf den ausführlichen Audit-Bericht
|}

ISMS

2023-10-17T13:54:01Z

Niels.debruijn@parasol-island.com: Link angepasst

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits

2023-10-17T13:50:26Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
Dieses Dokument beschreibt die Planung und Durchführung interner Audits durch den Informationssicherheits- und den Datenschutzbeauftragten. Diese Audits zielen darauf ab, die Wirksamkeit des ISMS zu überprüfen und die Umsetzung der darin beschriebenen Prozesse zu kontrollieren. Dies geschieht in Abgrenzung zu den Überprüfungen der (technischen) Informationssicherheit durch die IT.

==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

==Audits==
Um ein hohes Maß an Informationssicherheit zu gewährleisten, müssen in regelmäßigen Abständen interne Audits durchgeführt werden. Als Maßgabe für anwendbare Kontrollen dient der VDA ISA (inkl. Datenschutz und Prototypen) in der aktuell für Parasol Island gültigen Version. Sollte es einen neueren Assessment-Bogen geben, so darf auch dieser verwendet werden.

Die Terminierung der Audits liegt im Zuständigkeitsbereich des Informationssicherheitsbeauftragten, sollte aber jährlich stattfinden.

==Maßnahmenableitung==
Nicht später als vier Wochen nach einem Audit findet eine Ergebnisbesprechung und Maßnahmenableitung zwischen Informationssicherheitsbeauftragten, Geschäftsführung und gegebenenfalls Systemadministrator oder Datenschutzbeauftragten statt. Dies kann auch während des Regeltermins zwischen Geschäftsführung und Informationssicherheitsbeauftragtem geschehen.

Im Termin informiert der Informationssicherheitsbeauftragte die Teilnehmer über die Ergebnisse der Audits. Gemeinsam werden notwendige Maßnahmen abgeleitet und zur Umsetzung beschlossen.

Die erarbeiteten Maßnahmen werden direkt mit Zuständigkeiten und Umsetzungsterminen im Planner des Teams für Informationssicherheit hinterlegt und nach Möglichkeit im Termin oder im Anschluss der Umsetzungsverantwortliche genauer informiert.

==Dokumentation==
Alle aus den Audits resultierenden Maßnahmen, Aufgaben und Zuständigkeiten werden über das Ticketsystem verteilt. Auf diese Art und Weise lässt sich nachvollziehen, ob die Aufgaben in der vorgegebenen Zeit umgesetzt wurden oder ob eventuelle Rückfragen entstanden sind.

Eine Zusammenfassung der jeweiligen Termine wird in den jeweiligen Tickets zur Nachverfolgung hinterlegt.

==Protokollierung==
Durchgeführte interne Audits werden im ISMS-Logbuch als „Internes Audit“ erfasst. Dazu sind die folgenden Informationen zu erfassen:
{| class="wikitable"
|'''Feldname'''
!'''Inhalt'''
|-
|Titel
|Ein kurzer Titel für das Audit, z.B.: VDA ISA 5.1
|-
|Datum Des Auftretens / Beginn
|Das Datum, an dem das Audit durchgeführt wurde.
|-
|Abschlussdatum
|Das Datum, an dem der Abschlussbericht veröffentlicht wurde
|-
|Meldende PErson / Geprüft von
|Die Person oder die Personen, die das Audit durchgeführt haben.
|-
|Sachverhalt
|Eine kurze Beschreibung, was und wie geprüft wurde.
|-
|Abschlussbericht
|Eine kurze Beschreibung des Ergebnisses
|-
|Verlinkung
|Ein Link auf den ausführlichen Audit-Bericht
|}

03 01 PSL ISMS Zuständigkeiten und Ansprechpartner

2023-10-17T13:39:05Z

Niels.debruijn@parasol-island.com: aktualisiert, neue Struktur

Zurück zur [[ISMS|ISMS Übersicht]]

== Zweck ==
Diese Übersicht soll jedem Mitarbeiter deutlich darstellen, welche Zuständigkeiten und Kompetenzen vergeben sind, um für jeden Fall den richtigen Ansprechpartner zu finden.

Die Auflistung in diesem Dokument ist verbindlich und die Personen sind dazu verpflichtet, die ihnen übertragenen Aufgaben pflichtbewusst und ordnungsgemäß zu erfüllen.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Vertretung ==
Sofern keine offizielle Vertretung ernannt wurde, ist der Verantwortliche dazu verpflichtet, für seine Abwesenheit eine Vertretung zu ernennen, die seine Aufgaben ausführen kann.

Beim Ausscheiden eines Mitarbeiters hat die Geschäftsführung dafür zu sorgen, dass ein Ersatz die Aufgaben übernimmt.

Personalunionen sind zu vermeiden aus Gründen der Qualitätssicherung und zur Vermeidung von Superrechten.

== Verantwortlichkeiten ==

=== Geschäftsführung: ===
{| class="wikitable"
|Rolle
|Person
|Vertretung
|-
|Verantwortlicher Geschäftsführer
|Philip Hansen
|
|-
|Geschäftsleitung
|Sebastian Druschel

Moritz von Schrötter

Nils Hartmann
|
|}

=== Informationssicherheit: ===
{| class="wikitable"
|Rolle
|Person
|Vertretung
|-
|Informations-

Sicherheitsbeauftragter
|Robert Kulis, COARTIFACT GmbH
|Philip Thomé, COARTIFACT GmbH
|-
|Datenschutzbeauftragter
|Robert Kulis, COARTIFACT GmbH
|Philip Thomé, COARTIFACT GmbH
|-
|IT und physische Sicherheit
|Peter Norenkemper
|
|}
[[Category:ISMS]]

ISMS

2023-10-17T13:32:02Z

Niels.debruijn@parasol-island.com: 03_01 Titel angepasst

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

PSL ISMS Aufbau und Pflege

2023-09-28T14:46:59Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

== Einleitung ==
„Nur wenn Informationssicherheit in den strategischen Zielen einer Organisation verankert ist, kann Informationssicherheit nachhaltig in einer Organisation umgesetzt werden. Das Informationssicherheitsmanagementsystem (ISMS) ist ein Steuerungsinstrument für die Organisationsleitung, mit dem sie sicherstellt, dass Informationssicherheit nicht nur ein Ergebnis von Zufällen und individuellem Engagement, sondern von nachhaltigem Management ist.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Informationssicherheit und Datenschutz haben für die Parasol Island GmbH einen sehr hohen Stellenwert. Daher führt die Parasol Island ein Managementsystem, das den Umgang mit Informationen und den Schutz von Daten regelt. Basierend auf der Informationssicherheitsleitlinie dient diese Richtlinie zur Beschreibung dieses Managementsystems. Da Datenschutz ein Teil von Informationssicherheit ist, wird dieses Managementsystem im Folgenden als Informationssicherheitsmanagementsystem (kurz: ISMS) bezeichnet.

Beim Umgang mit Informationen und dem ISMS sind neben einschlägigen Gesetzen und Vorschriften auch Normen, Vereinbarungen und Verträge einzuhalten. Dazu gehören unter anderem die

* DSGVO und das BDSG,
* Urhebergesetze,
* Arbeitnehmer-Vertretungsregelungen,
* Brandschutzvorschriften,
* Verträge mit Kunden oder Partnern,
* Aufbewahrungsfristen für Unterlagen,
* Vorgaben durch die ISO 27001 oder durch die TISAX-Zertifizierung.

Das Management System der Parasol Island GmbH setzt diese Anforderungen in konkrete Richtlinien und Arbeitsanweisungen um. Ziel des ISMS ist es die Sicherheit der Daten und Informationen zu maximieren und das Risiko eines Verlusts oder der Kompromittierung zu minimieren.

== Geltungsbereich des ISMS ==
Das ISMS gilt für die gesamte Parasol Island GmbH. Dies schließt nicht nur interne Mitarbeiter an allen Standorten mit ein, sondern auch externe Mitarbeiter, Dienstleister und weitere Stakeholder. Diese sind über die sie betreffenden Regelungen bzgl. der Informationssicherheit ausreichend zu informieren.

== Organisation, Rollen und Verantwortlichkeiten ==
„Ein erfolgreiches ISMS benötigt klare Verantwortlichkeiten in der Organisation.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Im Folgenden wird die Organisation der Parasol Island beschrieben. Dabei wird insbesondere darauf eingegangen, welche Rolle welche Funktion in Bezug auf das Informationssicherheitssystem hat. Neben der Unternehmensstruktur hat die Parasol Island auch im Projektgeschäft die hierarchische Unterscheidung zwischen Projektleiter und Projektmitgliedern. Dazu kommen Rollen, die sich durch das ISMS ergeben wie z.B. der Informationssicherheitsbeauftragte oder den Risikoeignern. Diese Übersicht ergänzt die Beschreibung aus der Informationssicherheitsleitlinie (siehe (ISMS, 01_00)).

=== Unternehmensstruktur ===
Die Parasol Island ist ein hierarchisch strukturiertes Unternehmen, in dem der Geschäftsführung die Abteilungsleiter unterstehen, die wiederum für alle übrigen Mitarbeiter verantwortlich sind.

==== Geschäftsführung ====
Die Geschäftsführung ist verantwortlich für die Informationssicherheit der Parasol Island. Für die Informationssicherheit ist insbesondere Philip Hansen Hauptansprechpartner.

==== Abteilungsleiter ====
Die Abteilungsleiter unterstützen den ISB beim Erarbeiten der Richtlinien, indem sie die Machbarkeit der Anforderungen unter dem Ziel der Informationssicherheit mit ihm erörtern. Daraus folgt eine konkrete Ausarbeitung in Form einer Arbeitsanweisung und die regelmäßige Kontrolle über die Einhaltung.

==== IT-Administratoren ====
Informationssicherheit umfasst auch die Sicherheit der betriebenen Informationstechnik. Daher kommt den IT-Administratoren eine besondere Rolle zu. Zum einen unterstützen und beraten sie die Mitarbeiter bei ihren alltäglichen Problemen und Herausforderungen mit der Informationstechnik, zum anderen sind sie für den Betrieb und das Installieren der organisationsweiten IT-Dienste zuständig. Damit liegt der Hauptteil der technischen Maßnahmen bezüglich der Informationssicherheit in ihrer Verantwortung.

==== Mitarbeiter ====
Jeder einzelne Mitarbeiter der Parasol Island ist an die Regelungen des ISMS gebunden und sollte sich jederzeit seiner Verantwortung für die Informationssicherheit und den Datenschutz bewusst sein.

=== Projektrollen ===
Auch innerhalb von Projekten gibt es eine Hierarchie zwischen den Projektleitern und den einzelnen Projektmitgliedern. Wichtig in den Projekten sind nicht nur die internen Regelungen der Parasol Island, sondern auch eventuelle individuell mit den Kunden abgesprochene Regelungen.

==== Produktion / Projektleitung ====
Die Produktion trägt dafür Sorge, dass die Abwicklung eines Projekts unter Einhaltung der Sicherheitsziele abläuft. Der Producer bewertet externe Dienstleister und Kunden schon vor dem Vertragsabschluss auf ihre Sicherheit. Eintreffende Informationen und Daten werden von ihm anhand der Sicherheitsstufen klassifiziert und zur Weiterverarbeitung an die berechtigten Mitarbeiter weitergereicht. Eine Risikobewertung ist in einer frühen Projektphase durchzuführen.

==== Projektmitglied ====
Da sich jedes Projekt in den Anforderungen an die Informationssicherheit unterscheiden kann, ist es wichtig, dass diese jedem Projektmitglied bekannt sind.

=== Informationssicherheitsrollen ===
Die Führung eines ISMS bringt weitere Rollen mit sich, die in diesem Abschnitt beschrieben werden.

==== Informationssicherheitsbeauftragter ====
Der Informationssicherheitsbeauftragte ist für die Pflege und Weiterentwicklung der Sicherheitsrichtlinien zuständig. Er arbeitet zusammen mit leitenden Angestellten der verschiedenen Abteilungen Maßnahmen und Möglichkeiten aus, um die Sicherheit stetig zu verbessern.

Er definiert und kontrolliert die Sicherheitszonen innerhalb der Geschäftsräume und er definiert und kontrolliert ebenso den gesicherten Transport von Gütern und Medien, die in das Betriebsgelände eingebracht oder hinaus transportiert werden.

Der ISB führt jährlich oder nach größeren Änderungen Mitarbeiterschulungen durch und ist dafür zuständig, dass neue Mitarbeiter in die Informationssicherheitsleitlinie durch ihn oder einen seiner Stellvertreter eingeführt werden.

Der ISB ist zur Erreichung der Informationssicherheitsziele in alle IT-Projekte frühzeitig einzubeziehen. Wenn Projektziele den Sicherheitsanforderungen entgegenstehen, obliegt der Geschäftsleitung die Entscheidung, welche Anforderungen eine höhere Priorität haben.

Sicherheitsereignisse und Auffälligkeiten werden in einem Logbuch vermerkt und ausgewertet. Bei akuter Gefährdungslage oder bei Verstößen gegen die Sicherheitsrichtlinie werden alle Mitarbeiter zur Sensibilisierung im regelmäßig stattfindenden Wochenmeeting oder per Rundmail informiert.

==== Datenschutzbeauftragter ====
Als zentrale Datenschutzinstanz gemäß DSGVO/ BDSG der Parasol Island GmbH ernennt die Geschäftsleitung einen Datenschutzbeauftragten (DSB), der für alle operativen Belange und Fragen des Datenschutzes zuständig ist soweit sie im Kern personenbezogene Daten betreffen.
Es muss sichergestellt werden, dass der DSB ordnungsgemäß und frühzeitig in alle Datenschutzfragen eingebunden wird. Er muss bei der Erfüllung seiner Aufgaben mit den erforderlichen Ressourcen, einem Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie zur Erhaltung seines Fachwissens unterstützt werden.

Der DSB hat folgende Aufgaben:

* Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Datenschutz-Pflichten
* Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen
* Beratung im Zusammenhang mit der Datenschutz Folgenabschätzung nach Art. 35 DSGVO und Überwachung ihrer Durchführung,
* Zusammenarbeit mit der Aufsichtsbehörde,
* Anlaufstelle für die Aufsichtsbehörde.

==== Informationseigner ====
Jedem Informationswert sollte ein sogenannter Informationseigner zugeordnet werden, der für diesen Wert verantwortlich ist.

==== Informationssicherheitskoordinator ====
Sowohl der Datenschutzbeauftragte als auf der Informationssicherheitsbeauftragte können in Absprache mit der Geschäftsführung Mitarbeiter als Koordinatoren bestimmen. Diese vertreten sie in den einzelnen Standorten.

== Der Aufbau des ISMS ==
Aus zahlreichen Gründen ist die Dokumentation des Informationssicherheitsprozesses auf allen Ebenen entscheidend für dessen Erfolg. Nur durch eine ausreichende Dokumentation

* werden getroffene Entscheidungen nachvollziehbar,
* sind Prozesse wiederholbar und standardisierbar und
* können Schwächen und Fehler erkannt und zukünftig vermieden werden.

Abhängig vom Gegenstand und vom Verwendungszweck einer Dokumentation werden folgende Arten von Dokumentationen unterschieden: Leitlinie, Richtlinien und Arbeitsanweisungen. Diese werden im Folgenden beschrieben. Darüber hinaus beinhaltet das ISMS verschiedene andere unterstützende Dokumentation wie z.B. Protokolle, Nachweise, Listen oder Auswertungen. Diese werden im Kontext ihrer Prozesse beschrieben.

Alle Dokumente des ISMS werden in regelmäßigen Abständen daraufhin überprüft, ob der Inhalt noch den aktuellen Begebenheiten entspricht. Diese Aufgabe obliegt dem Dokumentenverantwortlichen.[[File:Aufbau ISMS.png|none|thumb|734x734px]]

=== Die Leitlinie ===
Die Leitlinie definiert globale Ziele und Anforderungen im Rahmen der Informationssicherheit. In der Leitlinie beschreibt die Geschäftsführung die Strategie hinsichtlich der Informationssicherheit und des Datenschutzes. Daher dürfen die Genehmigung und Veröffentlichung dieser Daten und Dokumente nur durch die Geschäftsleitung erfolgen. Eine Delegierung ist nicht möglich.

=== Richtlinien ===
In den Richtlinien wird beschrieben, wie die Anforderungen aus den Leitlinien realisiert werden sollen. Diese werden durch den Informationssicherheits- bzw. Datenschutzbeauftragten erstellt und nach der Freigabe durch die Geschäftsführung veröffentlicht. Sie werden regelmäßig durch die Sicherheitsbeauftragten auf ihre Aktualität überprüft.

=== Arbeitsanweisungen ===
In den Arbeitsanweisungen werden die anzuwendenden Verhaltensweisen und Sicherheitsmaßnahmen in Form von Prozessbeschreibungen und Anleitungen für die Mitarbeiter verständlich beschrieben. Die Erstellung und Bearbeitung der Arbeitsanweisung obliegt dem zugeordneten Abteilungsleiter oder Sicherheitsbeauftragten. Im Falle eines zugeordneten Abteilungsleiters erfolgt die Freigabe in Abstimmung mit dem Sicherheitsbeauftragten. Ist der Sicherheitsbeauftragte verantwortlich für das Dokument oder gilt die Anweisung für alle Mitarbeiter, so erfolgt die Freigabe durch die Geschäftsführung.

=== Dokumentation ===
Aufzeichnungen müssen erstellt und instandgehalten werden, um den Nachweis der Konformität mit den Anforderungen und des wirksamen Funktionierens des ISMS zu liefern. Beispiele für Aufzeichnungen sind Managemententscheidungen, Audioaufzeichnungen, technische Dokumentationen und ausgefüllte Formulare für Zugangsberechtigungen.

Die Klassifikation der Daten sowie die Regelung der Zugriffsberechtigung und Einhaltung der Sicherheitsvorgaben der vierten Dokumentenebene sowie aller weiteren Daten und Dokumente innerhalb der Parasol Island GmbH erfolgen durch die jeweiligen Zuständigen/Verantwortlichen.

== Führen des ISMS ==
Nachdem die Rollen und der Aufbau des ISMS beschrieben wurde, geht der folgende Abschnitt darauf ein, wie die Parasol Island ihr ISMS führt. Um dem Ziel gerecht zu werden, eine umfassende Sicherheit für alle Informationen und personenbezogenen Daten zu gewährleisten, muss die Parasol Island nicht nur die im ISMS festgelegten Richtlinien und Arbeitsanweisungen befolgen, sondern diese müssen auch immer wieder hinterfragt, verbessert und den aktuellen Gegebenheiten angepasst werden. Das ISMS darf auch nicht nur Selbstzweck sein, sondern muss von allen Mitarbeitern – intern wie extern – aktiv gelebt werden.

Es ist daher essentiell, dass ein Bewusstsein für die Regelungen durch das ISMS geschaffen wird. Das kann auf verschiedenen Wegen erfolgen: sei es durch regelmäßige Schulungen, WebCasts, Hinweisen in den Regelmeetings, Rundmails oder Micro-Learnings. Die Mitarbeiter sollten das Gefühl haben, dass Informationssicherheit zu ihrem Alltag gehört und Sicherheitsbeauftrage und Geschäftsführung dieser einen sehr hohen Stellenwert zukommen lassen. Dies bedeutet auch für Fragen bzgl. Informationssicherheit und Datenschutz jederzeit ansprechbar zu sein.

Die im ISMS festgelegten Regelungen müssen befolgt werden. Dazu bedarf es der Überwachung durch die Sicherheitsbeauftragten und der Ahndung durch die Geschäftsführung. Die Art und Durchführung der Überwachung ist im ISMS beschrieben. Dies können automatische Monitorings sein wie z.B. die Übersicht, wie viele Mitarbeiter in einem Jahr eine Informationssicherheitsschulung erhalten haben, oder auch wie viele Sicherheitsvorfälle es gegeben hat. Die Sicherheitsbeauftragten können aber auch stichprobenartig überprüfen, ob z.B. ein Projekt eine Sicherheitsklassifizierung hat.

Außerdem führen die Sicherheitsbeauftragten regelmäßig Prüfungen durch, um zu sehen, ob die Daten und Konfigurationen dem Soll-Zustand entsprechen. So können beispielsweise Abweichungen in Benutzerberechtigungen erkannt werden. Auch diese Aufgaben werden im ISMS beschrieben.

Darüber hinaus werden die Tätigkeiten und Ergebnisse zur Nachverfolgbarkeit und zur Erfüllung der Nachweispflicht dokumentiert. Hier ist darauf zu achten, dass aus Gründen des Datenschutzes nicht mehr Daten als nötig erfasst werden.

=== Assessments & Reviews ===
„Es reicht nicht aus, Anforderungen an die Informationssicherheit zu definieren sowie Richtlinien zu erstellen und zu veröffentlichen. Es ist wichtig, regelmäßig die Wirksamkeit zu überprüfen (1.5.1).“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Wie in den bisherigen Abschnitten beschrieben, werden bei der Parasol Anforderungen und auch konkrete Handlungsanweisungen im ISMS festgehalten. Es darf dabei aber nicht bei reiner Dokumentation bleiben, es muss auch darauf geachtet werden, dass die Anforderungen beachtet und die Handlungsanweisungen befolgt werden.

Dazu ist es insbesondere wichtig, dass sich alle Mitarbeiter der für sie geltenden Regelungen bewusst sind. Die diesem Zweck dienlichen Maßnahmen werden in der Richtlinie zu Schulungen (ISMS, 02_15) beschrieben. Darüber hinaus muss die Umsetzung und Einhaltung kontinuierlich überprüft werden, Abweichungen erkannt und behoben sowie Verbesserungspotential ausgeschöpft werden.

Da die Verantwortung für die Informationssicherheit bei der Geschäftsführung liegt, muss diese sich des Zustandes der Informationssicherheit jederzeit bewusst sein.

==== Regeltermine ====
In regelmäßigen Abständen (mindestens einmal im Monat) und bei Bedarf informiert der Informationssicherheitsbeauftragte die Geschäftsführung hinsichtlich neuer Erkenntnisse im Bereich Informationssicherheit sowie dem Stand aktueller Tätigkeiten. Gemeinsam beschließen sie das weitere Vorgehen.

==== Managementbewertung ====
Einmal im Jahr stellt der Informationssicherheitsbeauftragte der Geschäftsführung einen ausführlichen Bericht über den Verlauf des letzten Jahres zur Verfügung. Dabei werden noch einmal die wichtigsten Sicherheitsereignisse, Maßnahmen und Ergebnisse interner Audits aufgeführt. All diese Informationen werden insbesondere hinsichtlich erkennbarer Trends untersucht und darauf basierend Vorschläge für Maßnahmen und Verbesserungen des kommenden Jahres erstellt. Diese Bewertung gilt als ergänzende Maßnahme zu den unterjährigen Terminen.

==== Interne Audits ====
Alle für die Informationssicherheit verantwortlichen Informationseigentümer müssen regelmäßig diejenigen Informationen und Prozesse hinsichtlich der sich aus dem ISMS ergebenen Anforderungen überprüfen. Die Ergebnisse dieser internen Prüfungen sind an den Informationssicherheits-beauftragten zu melden, der diese dann im Logbuch erfasst.

Als Grundlage für interne Prüfungen dient der VDA ISA-Katalog, ergänzt oder vervollständigt durch die Maßnahmen der ISO 27002.

==== Externe Audits ====
„Als wesentliches Kontrollwerkzeug reicht es nicht aus, die Wirksamkeit des ISMS ausschließlich aus einer Innensicht zu bewerten. Es muss zusätzlich in regelmäßigen Abständen und bei signifikanten Änderungen eine unabhängige und damit unbefangene Bewertung eingeholt werden.“ (1.5.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Zusätzlich zu den oben beschriebenen internen Audits wird die Parasol Island (auch) zur Erhaltung ihres TISAX-Labels mindestens alle drei Jahre von einem externen Prüfunternehmen auditiert.

=== Prüfung und Verbesserung ===
Um das ISMS kontinuierlich zu verbessern, werden die Regelungen regelmäßig hinterfragt und die Dokumentationen ausgewertet. Dazu werden verschiedene Besprechungen abgehalten. Dies können z.B. wiederkehrende Konferenzen zwischen den verschiedenen Informationseignern und den Informationssicherheitsbeauftragten sein, um aktiv diejenigen Dokumente zu kontrollieren, die im Verantwortungsbereich des Informationseigners liegen. Die Priorisierung der Tätigkeiten zur Verbesserung und die Entscheidung, welche Maßnahmen konkret getroffen werden, obliegt allerdings der Geschäftsführung. Daher muss diese in die Entscheidungsprozesse eingebunden und angemessen informiert werden.

Jährlich sollten durch den Informationssicherheitsbeauftragten interne Audits durchgeführt werden, um einen ganzheitlichen Überblick über den aktuellen Stand zu erhalten und zu erkennen, an welchen Stellen Verbesserungsbedarf besteht. Dies sollte insbesondere auch als Chance genutzt werden, das Unternehmen auf die externen Audits vorzubereiten, die TISAX alle drei Jahre fordert.

=== Dokumentationspflichten ===
Änderungen am ISMS sind generell zu dokumentieren. Diese sollten zum einen anhand der Dokumente ersichtlich sein, die die geltenden Regelungen beschreiben, zum anderen aber auch dem Informationssicherheits-Logbuch zu entnehmen sein.

02 04 PSL ISMS Business Continuity Management Richtlinie

2023-09-28T14:36:10Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
„Ausnahmesituationen (z. B. Naturkatastrophen, physische Angriffe, Cyber-Angriffe, gesellschaftliche Ausnahmesituationen, Unfälle oder Infrastrukturausfälle mit erheblichen Auswirkungen) stellen eine große Herausforderung für die Organisation dar. Eine gute Vorbereitung dient dazu, dass Informationssicherheitsrisiken auch in Ausnahmesituationen angemessen berücksichtigt werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Die BCM-Richtlinie soll Informationen zum Umgang mit Notfällen aufzeigen, um eine möglichst reibungslose Weiterführung oder Wiederaufnahme des Geschäftsbetriebes zu gewährleisten. Dazu gehören nicht nur die technischen und organisatorischen Maßnahmen, die im Falle eines Notfalls zu beachten sind, sondern insbesondere auch die Planung im Vorfeld, um Notfälle zu verhindern oder zumindest die Auswirkungen begrenzen zu können. Zur Vorbereitung gehört die Dokumentation von Verfahren und Maßnahmen sowie organisatorische Regelungen. Im Notfall muss es z. B. Verantwortliche mit klaren Kompetenzen geben. Zu einer guten Vorbereitung gehören ebenso Notfallschulungen und -übungen sowie eine stetige Pflege und Aktualisierung des Notfallvorsorgekonzeptes.

Insbesondere müssen auch während eines Notfalls die Anforderungen an die Informationssicherheit und den Datenschutz gewährleistet sein.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Übersicht ==
Im Folgenden werden die verschiedenen Phasen des Notfallmanagements beschrieben. Grundsätzlich muss davon ausgegangen werden, dass Notfälle auftreten werden. Daher muss man sich kontinuierlich auf diese vorbereiten und dagegen wappnen. Wenn ein Notfall eingetreten ist, gilt es zunächst, diesen zu beheben. Das Beheben der Ursache hat dann größte Priorität. Der Betrieb ist während dieser Zeit (stark) eingeschränkt. Wenn die Ursache behoben ist, kann damit begonnen werden, diesen Notbetrieb wieder in den Normalbetrieb zu überführen.

Betrachten wir als Beispiel ein Feuer im Serverraum. Als Vorbereitung werden Brandschutzmelder installiert, der Raum wird frei von brennbaren Materialien gehalten, ein Feuerlöscher installiert. Wenn es doch zu einem Feuer kommt, so kann schnell auf die direkte Ursache (das Feuer) reagiert werden. Darüber hinaus mag ein Backup-System an einem anderen Ort existieren, so dass dieses für den Notbetrieb verwendet werden kann. Die dafür notwendigen Tätigkeiten und Informationen sind im Notfallkonzept festgehalten, so dass nicht nur schnell auf die Ursache, sondern auch auf die direkten Auswirkungen reagiert werden kann. Das Notfallkonzept sollte dann auch noch die nötigen Schritte enthalten, den Normalbetrieb wiederherzustellen. D.h. z.B. darauf verweisen, wie neue Hardware bestellt wird.

== Vorbereitung auf Notfälle ==
Zur Vorbereitung und zur Prävention von Notfällen und damit verbundenen Ausnahmesituationen ist es essentiell, dass mögliche Ausnahmesituationen bekannt sind. Das können z.B. Brände, Wasserschäden (durch Starkregen), Überspannungen durch Gewitter, Pandemien (COVID-19), politische oder militärische Konflikte sein. Die Parasol Island führt eine Liste solch bekannter Ausnahmesituationen. Für jede dieser Ausnahmesituationen ist ein verantwortlicher Mitarbeiter benannt und Maßnahmen zur Prävention und zum Umgang mit einem solchen Notfall beschrieben.

Dabei ist insbesondere darauf zu achten, dass die Informationssicherheit und der Datenschutz auch während eines Notfalls berücksichtigt werden.

Viele Maßnahmen zur Prävention und zur Einhaltung eines angemessenen Schutzniveaus ergeben sich bereits aus den Anforderungen an die Informationssicherheit und den Datenschutz bei der Parasol Island. Daher sollte das Business Continuity Management den Fokus auf den Umgang mit dem Notfall und der Wiederherstellung des Normalzustandes legen. Maßnahmen zur Prävention sollten dann betrachtet werden, wenn sie bislang nicht berücksichtigt werden. Es bietet sich aber an, diese dann in das ISMS zu integrieren, um solche Maßnahmen nicht an mehreren Stellen zu verwalten.

Im Folgenden wird kurz auf mögliche organisatorische und technische Maßnahmen eingegangen, die zur Prävention von und zum Umgang mit Notfällen wichtig sein können.

=== Organisatorische Maßnahmen ===
Die Organisation innerhalb der Parasol Island kann entscheidend zum Umgang mit Notfällen beitragen. Je besser die organisatorische Vorbereitung, desto effizienter kann in einem Notfall gehandelt werden.

==== Ausbildung und Training der Mitarbeiter ====
Ein qualitativ hochwertiges Notfall- und Kontinuitätsmanagement greift nur dann optimal, wenn die Mitarbeiter zum einen für sicherheitsrelevante Vorfälle sensibilisiert sind und zum anderen bestmöglich für sicherheitsrelevante Vorfälle geschult werden.

==== Ersatzbeschaffungsplan ====
Ein allgemein gültiger Ersatzbeschaffungsplan ist aufgrund der stark variierenden Projektanforderungen, Deadlines und Hard- wie auch Softwareausstattung nicht möglich. Im Notfall wird eine Gruppe aus IT-Fachkräften und Projektleitern bestimmen, welche Maßnahmen zu ergreifen sind, um eine möglichst reibungslose Fortführung oder Wiederaufnahme der aktuell laufenden Projekte zu erreichen.

==== Versicherungsschutz ====
Verbleibende Restrisiken sollten möglichst unter Beachtung von Kosten-Nutzen-Aspekten durch Versicherungen abgedeckt werden. Beispiele sind:

* Sachversicherungen
* Feuerversicherung
* Einbruchdiebstahlversicherung
* Transportversicherung
* Datenträgerversicherung
* Elektronik-Versicherung

Die Leiter der Departments sind dafür verantwortlich, dass für ihre Prozesse der Abschluss von Versicherungen untersucht wird.

==== Ausweichmöglichkeiten ====
Angaben zu Ausweichmöglichkeiten sollten der Dokumentation der IT-Systeme beigefügt werden. Das Ausweichen auf alternative Standorte, IT-Systeme, Arbeitsplätze etc. sollte in Notfallübungen ausreichend geprobt werden.

==== Interne Ausweichmöglichkeiten ====
Alle Leiter der Departments sollten prüfen, ob bei Problemen mit den standardmäßig genutzten IT-Systemen ein Ausweichen auf andere IT-Systeme möglich ist. Bei der Untersuchung von Ausweichmöglichkeiten ist insbesondere auf die technischen Anforderungen an das Ausweich-IT-System zu achten. Kompatibilität und ausreichende Kapazitätsreserven des Ausweich-IT-Systems sind Grundvoraussetzung für dessen Benutzung.

Zusätzlich kann erwogen werden, die Niederlassung Berlin in die Ausweichplanung mit einzubeziehen.

==== Externe Ausweichmöglichkeiten ====
Externe Ausweichmöglichkeiten sind dann heranzuziehen, wenn mit internen Ausweichmöglichkeiten die Verfügbarkeitsanforderungen nicht mehr, oder nicht wirtschaftlich erfüllt werden können. Ausweichmöglichkeiten für nicht IT-spezifische Komponenten sind auch zu berücksichtigen. Beispielsweise im Bereich der Infrastruktur sind Ausweichmöglichkeiten für Serverräume in Betracht zu ziehen.

Ausweicharbeitsplätze, -Räume, -Rechenzentren etc. sind so vorzubereiten, dass im Notfall die Wechselzeit tolerierbar ist.

Größere Mengen an IT-Equipment kann über Miet- und Leasingpartner geordert werden. Diese werden über die allgemeinen Wege (IT-Leiter und ein Geschäftsführer) organisiert, wie sie auch für normale Veranstaltungsprojekte für Kunden der Parasol Island GmbH zum Teil im Einsatz sind.

Für zusätzliche Rechenleistung sind mehrere Renderfarmen bekannt, die in der Vergangenheit bereits eingesetzt wurden.

Für die externen Ausweichmöglichkeiten ist immer auch eine Risikoeinschätzung erforderlich, um sicherzustellen, dass Informationen gemäß ihrer Sicherheitsklassifizierung behandelt werden.

Wenn geeignet, kann die Firma Capture Media GmbH als Ausweichmöglichkeit einbezogen werden.

== Technische Maßnahmen ==
Die organisatorischen Maßnahmen können technisch unterstützt werden.

=== Physische Sicherheit ===
Die Infrastruktur (Gebäude und Räume) ist durch geeignete Maßnahmen zu sichern. Dazu gehören beispielsweise die Bereiche Zugangsschutz, Diebstahlschutz, Schutz vor Naturereignissen, Stromversorgung, Klimatisierung.

Durch eine unterbrechungsfreie Stromversorgung ist sicherzustellen, dass für hochverfügbare IT-Systeme ein kurzzeitiger Stromausfall keinen Schaden verursacht.

=== Automatische Erkennung von Vorfällen ===
Es gibt eine Reihe von Sicherheitsvorfällen, die mit entsprechender technischer Unterstützung automatisiert und daher frühzeitig erkannt werden können. Zu diesem Zweck sollen Detektionsmaßnahmen installiert werden.

Beispiele für solche technischen Detektionsmaßnahmen sind:

* Gefahrenmeldeanlage
* Rauchmelder
* Fernanzeige von Störungen
* Schadsoftware-Schutzprogramme
* Intrusion Detection und Intrusion Response Systeme
* Kryptographische Checksummen und digitale Signaturen

Die technischen Detektionsmaßnahmen müssen durch zusätzliche organisatorische Maßnahmen ergänzt werden (z. B. Meldewege, regelmäßige Aktualisierung und Überprüfung).

Bei der Auswahl von Detektionsmaßnahmen ist immer eine Kosten-Nutzen-Berechnung vorzulegen und die Wirksamkeit kritisch zu hinterfragen.

=== Datensicherungsplan ===
Datensicherungen sind zu erstellen, um Datenverlust vorzubeugen und Ersatz-Systeme schnell in Betrieb nehmen zu können.

Mit Hilfe eines Datensicherungsplans muss ein sachverständiger Dritter in der Lage sein, sämtliche für den Wiederanlauf einer IT-Anwendung erforderliche Software (Betriebssystemsoftware, Anwendungssoftware) und deren Daten in angemessener Zeit beschaffen und installieren zu können. Ein Datensicherungsplan muss Auskunft geben können über:

* Datum der Datensicherung
* Datensicherungsumfang (welche Dateien/Verzeichnisse wurden gesichert)
* Datenträger, auf dem die Daten im operativen Betrieb gespeichert sind
* Datenträger, auf dem die Daten gesichert wurden
* für die Datensicherung eingesetzte Hard- und Software (mit Versionsnummer)
* bei der Datensicherung gewählten Parameter (Art der Datensicherung usw.)
* Ort der Aufbewahrung

Es ist ein Datensicherungskonzept zu erstellen und zu beachten, in dem die Datensicherung explizit geregelt wird (ISMS, 02_09).

=== Wiederanlaufreihenfolge ===
Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen sowie deren Wichtigkeit beeinflussen die Wiederanlaufreihenfolge nach einem Ausfall eines IT-Systems oder dem Abbruch einer Anwendung. Entsprechende Zusammenhänge sind zu dokumentieren.

= Verhalten in Notfällen =
Ein Notfall sollte formal durch die Geschäftsführung ausgerufen werden, da schnelle Entscheidungen unabhängig von Hierarchieebenen getroffen und Mitarbeiter vielleicht außerhalb der normalen Arbeitszeit verständigt werden müssen. Auch könnten Maßnahmen, die vom normalen Arbeitsablauf abweichen und Sonderberechtigungen erfordern, notwendig werden. In Notfällen müssen unter Umständen Beschränkungen und Sicherheitsvorkehrungen außer Kraft gesetzt werden, um ein Problem schneller lösen zu können.
In den entsprechenden Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) muss daher festgelegt werden, welche Aufgaben einzelne Personen im Notfall übernehmen und welche Rechte sie haben. Die beteiligten Personen und Organisationseinheiten sind dann im Notfall befugt, die ihnen übertragenen Aufgaben eigenverantwortlich durchzuführen.

Folgende Verhaltensregeln gelten allgemein für alle Mitarbeiter:

* Alle Mitarbeiter haben im Vorfeld die Erstellung des Notfallkonzepten (z. B. Erstellung der Dokumentationen) nach Kräften zu unterstützen.
* Unregelmäßigkeiten, die auf einen Sicherheitsvorfall hindeuten, sind gemäß den Alarmierungsplänen unverzüglich zu melden.
* Die Handlungsanweisungen für ausgewählte Schadensereignisse sind einzuhalten.
* Es sind die Anweisungen der Geschäftsführung und etwaige spezielle Verhaltensregeln zu beachten.
* Alle Begleitumstände sind ungeschönt, offen und transparent zu erläutern, um damit Schäden zu mindern, schnell Lösungen zu finden und Erkenntnisse zur Verbesserung des IT-Sicherheitskonzepts zu gewinnen.
* Informationen über den Notfall dürfen nicht unautorisiert an Kunden und nicht an unautorisierte externe Dritte weitergegeben werden.
* Nach einem Notfall ist der sichere Normalzustand wiederherzustellen und an der Aufarbeitung des Notfalls mitzuarbeiten.
* Die betreffenden Arbeitsanweisungen sind stets aktuell zu halten und zu verbessern.

== Sofortmaßnahmen ==
Derjenige, der einen Sicherheitsvorfall bemerkt, leitet umgehend erste Notfallmaßnahmen ein, damit die Gefahrenlage minimiert und eingedämmt wird (z. B.: Alarmierung, Rechner ausschalten, Fenster schließen).

Welche Verhaltensregeln bei Sicherheitsvorfällen gelten, muss in den Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) für ausgewählte Schadensereignisse beschrieben werden.

=== Alarmierung ===
Die verantwortlichen Stellen, die aktiv handeln müssen, sind zu alarmieren (z. B. Feuerwehr, Administrator, Geschäftsführung). Sie übernehmen dann in der Regel die weitere Untersuchung und Bewertung des Vorfalls und leiten Maßnahmen ein.

Im Vorfeld sind Alarmierungspläne zu erstellen, die die Meldewege für ausgewählte Schadensereignisse beschreiben.

Als Anhang müssen Adress- und Telefonlisten geführt werden. Relevante Telefonnummern externer Dienstleister und Behörden dürfen nicht vergessen werden, z. B.:

* Feuerwehr
* Polizei
* Notarzt
* Wasser- und Stromversorger
* Ausweichrechenzentrum
* Telekommunikationsanbieter
* IT-Techniker
* Softwarehersteller

Damit allen Mitarbeitern die Ansprechpartner bekannt sind, werden diese Listen im Intranet (z.B. Parasol Wiki) bereitgestellt.

== Maßnahmen zur Problemlösung ==

=== Reihenfolge der Fehlerbehebung ===
Bei der Behebung von Schäden sind verschiedene Aspekte zu berücksichtigen, wenn unterschiedliche Vorfälle, mehrere IT-Komponenten oder verschiedene Geschäftsprozesse betroffen sind und eine Wiederanlaufreihenfolge festgelegt werden muss.

* Bedeutung einer ausgefallenen IT-Komponente oder des betroffenen Geschäftsprozesses (Schutzbedarfsfeststellung, insbesondere Verfügbarkeitsanforderungen)
* Bewertung unterschiedlicher Schadensarten durch die Unternehmensleitung
* Entsprechende Vorgaben sollten nach Möglichkeit vorab dokumentiert werden
* Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen voneinander.

Es besteht die Möglichkeit, dass bestimmte Prozesse erst dann wiederhergestellt werden können, wenn andere, die als Grundlage zu sehen sind, bereits wieder funktionsfähig sind.

Entsprechende Dokumentationen sind im Vorfeld anzufertigen.

=== Voraussetzungen für kurze Wiederanlaufzeiten ===
Um im Schadensfall Probleme möglichst schnell lösen zu können, müssen rechtzeitig Vorbereitungen getroffen werden:

* Erstellung von eigenen Dokumentationen und sorgfältige Archivierung von externen Dokumenten
* Datensicherung (ISMS, 02_09)
* Verträge mit externen Dienstleistern, Herstellern und Lieferanten
* Ersatzbeschaffungsplan für Hardware
* Ausweichstandort vereinbaren (z.B. bei Capture Media GmbH)

== Notbetrieb ==
Nicht immer kann jedes Problem in einer tolerierbaren Zeitspanne behoben werden (Beispiel: Reparatur eines IT-Systems dauert zu lange). In diesen Fällen ist es erforderlich, die wichtigsten Geschäftsprozesse provisorisch aufrechtzuerhalten. Verschiedene Möglichkeiten bieten sich je nach Vorfall an:

=== Einschränkung des IT-Betriebs ===
Um bei einem eingeschränkten IT-Betrieb die geschäftskritischen Prozesse betreiben zu können, müssen diese priorisiert bearbeitet werden, um eingeschränkte IT-Kapazitäten bestmöglich zu nutzen. Manuelle Ersatzverfahren sind im Vorfeld zu definieren und bei einem eingeschränkten IT-Betrieb zu nutzen, um den Bearbeitungsrückstand (Backlog) gering zu halten, bis der Normalzustand wiederhergestellt ist. Des Weiteren sind dafür auch interne oder externe Ausweichmöglichkeiten an Ressourcen zu definieren und zu nutzen.

=== Informationspolitik ===
Unter Umständen müssen betroffene interne und externe Stellen über den Vorfall informiert werden. Dies sind insbesondere diejenigen Stellen, die direkt durch den Sicherheitsvorfall Schäden erleiden könnten, Gegenmaßnahmen ergreifen müssen oder solche, die Informationen über Sicherheitsvorfälle aufbereiten und bei der Vorbeugung oder Behebung helfen können. In Einzelfällen kann es auch notwendig sein, die Öffentlichkeit zu informieren.

Anweisungen für bestimmte Schadensszenarien mit den nötigen Kontaktdaten sind vorab zusammenzustellen.

=== Dokumentation ===
Eine Dokumentation des Notfalls ist notwendig, um für zukünftige Vorfälle zu lernen und Veränderungen an IT-Systemen und IT-Anwendungen nachvollziehen zu können. Dies ist besonders wichtig, wenn unter Zeitdruck oder mit Sonderrechten gearbeitet wurde.

Protokoll- und Log-Dateien können im Nachhinein eine wertvolle Hilfe sein und sollten daher gesichert werden (ISMS, 02_02).

Bei der Dokumentation sollte auch an eine mögliche Strafverfolgung gedacht werden.

Das ISMS-Logbuch sollte zur Dokumentation genutzt werden, um eine Nachverfolgbarkeit der Notfälle zu erreichen.

== Wiederherstellung eines stabilen Normalzustandes ==
Nach einem Notfall ist dafür zu sorgen, dass möglichst schnell der sichere Normalzustand wieder erreicht wird. Zur Behebung des Notfalls sind unter Umständen Anwendungen, IT-Systeme oder Konfigurationen verändert oder elektronische Abläufe durch manuelle ersetzt worden.

Es kann z. B. auch erforderlich sein, Passwörter neu zu vergeben und zu verändern.

== Nachbereitung von Notfällen ==
Eine Nachbereitung von Notfällen hat aus zwei Gründen zu erfolgen:

* Verbesserungspotentiale erkennen

Dazu sind z. B. folgende Fragen zu klären:

* Waren die Reaktionszeiten ausreichend?
* Hat die Alarmierung funktioniert oder gab es Probleme bei der Eskalation des Vorfalls?
* Wurde die Ursache des Vorfalls schnell gefunden und wurden die Auswirkungen richtig eingeschätzt?
* Waren alle Dokumentationen brauchbar und aktuell?
* Wenn es einen Täter gab: Was hat ihn motiviert?
* Was muss in Zukunft verbessert werden?

=== Revision des Notfallvorsorgekonzeptes ===
Das Managementsystem zur Behandlung von Sicherheitsvorfällen, und damit auch das Notfallvorsorgekonzept, muss regelmäßig auf seine Aktualität und Wirksamkeit geprüft werden. Die Notfallübungen können dabei wertvolle Erkenntnisse liefern.
Alle Maßnahmen müssen regelmäßig daraufhin überprüft werden, ob sie:

* wirksam und effektiv sind,
* den betroffenen Mitarbeitern bekannt sind,
* unter Stress umsetzbar sind und
* in den Betriebsablauf integrierbar sind.

[[Category:ISMS]]

02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum

2023-09-28T14:19:42Z

Niels.debruijn@parasol-island.com: Inhalt komplett überarbeitet

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
„Compliance-Verstöße können Risiken in der Informationssicherheit von Kunden und der eigenen Organisation erzeugen. Daher ist wichtig, dass sowohl regulatorische als auch vertragliche Bestimmungen bekannt und umgesetzt sind.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Die Compliance-Richtlinie soll Informationen zum täglichen Umgang mit gesetzlichen, regulatorischen und vertraglichen Bestimmungen bieten. Dabei geht es insbesondere um diejenigen, die die Sicherheit von Informationen regeln. Darüber hinaus werden aber auch andere Themen wie z.B. geistiges Eigentum je nach Bedarf behandelt.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Anwendbare Bestimmungen ==
„Alle relevanten gesetzlichen, regulatorischen, selbstauferlegten oder vertraglichen Anforderungen sowie das Vorgehen der Organisation zur Einhaltung dieser Anforderungen sind für jedes Informationssystem und die Organisation ausdrücklich bestimmt und dokumentiert und werden auf dem neuesten Stand gehalten.“ (DIN Deutsches Institut für Normung e.V., 2015)

Alle relevanten gesetzlichen, regulatorischen, selbstauferlegten und vertragliche Anforderungen müssen innerhalb der Parasol Island bekannt sein. Daher ist zum einen ein Prozess inkl. Verantwortlichkeiten zu definieren, der sicherstellt, dass die Bestimmungen gesammelt und auf dem aktuellen Stand gehalten werden. Bei Änderungen an den Bestimmungen sind alle davon betroffenen Personen umgehend darüber zu informieren, bzw. zu schulen. Ebenso sind regelmäßige Auffrischungsschulungen zu veranstalten, sowie neue Mitarbeiter, Partner und Dienstleister zu Beginn ihrer Arbeit über alle geltenden Bestimmungen zu informieren.

Insbesondere bei vertraglich geregelten Anforderungen, die sich von Kunde zu Kunde oder von Projekt zu Projekt unterscheiden, ist sicherzustellen, dass diese gewissenhaft eingehalten werden. Dies wird auch in der Richtlinie zu Informationssicherheit in Projekten ausgeführt (ISMS, 02_22).

== Geistiges Eigentum ==
„Es sind angemessene Verfahren umgesetzt, mit denen die Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen mit Bezug auf geistige Eigentumsrechte und die Verwendung von urheberrechtlich geschützten Softwareprodukten sichergestellt ist.“ (DIN Deutsches Institut für Normung e.V., 2015)

Rechte an geistigem Eigentum dienen dem Schutz geistiger Schöpfungen. Da es kein Einzelgesetz gibt, dass sich mit geistigem Eigentum befasst, ist es auch hier wichtig, alle anwendbaren Bestimmungen und deren Zusammenspiel zu kennen.

Für Parasol Island als Kreativunternehmen ist insbesondere der Schutz des eigenen geistigen Eigentums von Bedeutung. Dabei dürfen die vertraglichen Vereinbarungen mit dem Kunden nicht außer Acht gelassen werden.

Darüber hinaus müssen die Regelungen bzgl. der Nutzung fremden geistigen Eigentums bekannt sein und eingehalten werden. Dies betrifft nicht nur die Nutzung kreativer Werke aus Bild und Film, die Parasol Island für ihre Kunden erbringt, sondern auch die Beachtung von Lizenzregelungen z.B. zu Software.

[[Category:ISMS]]

ISMS

2023-09-28T14:16:52Z

Niels.debruijn@parasol-island.com: 02_08 Namen angepasst

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

02 08 PSL ISMS Virenschutzkonzept

2023-09-28T14:14:22Z

Niels.debruijn@parasol-island.com: Inhalt hinzugefügt

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel==
Ziel ist es, den Schutz der persönlichen IT-Systeme der Mitarbeiter der Parasol Island gegen Schadsoftware sicherzustellen. Dazu beschreibt dieses Dokument die technischen und organisatorischen Maßnahmen.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Schadensszenarien ==
Durch Schadsoftware (z.B. Viren) ist die '''Verfügbarkeit''' ganzer IT-Systeme gefährdet. Schadsoftware kann Festplatten unbrauchbar machen, sodass es zu Fristversäumnissen durch eine verzögerte Bearbeitung von Aufträgen aufgrund nicht funktionsfähiger IT-Systeme kommen kann. Des Weiteren können finanzielle Schäden durch den Verlust von Daten entstehen, da diese unter Umständen nur mit erheblichem Aufwand rekonstruiert werden können.

Ein Virenbefall kann beispielsweise zum Verlust der '''Integrität''' der Daten oder des IT-Systems führen. Es können aufgrund einer falschen Datenbasis oder durch einen fehlerhaften Programmablauf fehlerhafte Ergebnisse generiert werden.

Durch ein Trojanisches Pferd kann die '''Vertraulichkeit''' von Daten gefährdet werden, indem persönliche oder weitere vertrauliche Informationen „gestohlen“ werden. Der Verlust personenbezogener Daten oder Zugangsdaten kann zudem einen Verstoß gegen Datenschutzgesetze darstellen.

Wenn Computerviren an Kunden oder Geschäftspartner weitergegeben werden, kann ein Imageschaden entstehen. Darüber hinaus können Imageschädigungen dadurch eintreten, dass Geschäftsprozesse oder einzelne Dienstleistungen nicht aufrechterhalten werden können und somit Verzögerungen entstehen.

== Infektionswege ==
IT-Systeme können durch Schadsoftware auf verschiedene Weisen infiziert werden. Nachfolgend sind die häufigsten Infektionswege aufgezeigt. Die Reihenfolge der dargestellten Wege orientiert sich an der Wahrscheinlichkeit bzw. der Häufigkeit des Auftretens. Die größte Gefahr besteht in der Öffnung der internen Netze nach außen, sodass die Gefahren insbesondere aus externer E-Mail-Kommunikation und dem Internetzugang resultieren. Das interne Netz kann die Ausbreitung im Betrieb „begünstigen“.

=== E-Mail ===
E-Mails sind der Haupt Kommunikationsweg bei Parasol Island. Mit Hilfe von Attachments (Datei-Anhänge oder Links zu freigegebenen Dateien) können Dateien effizient versendet und E-Mails als Groupware-Lösung genutzt werden. Die angehängten Dateien können mit einem Virus infiziert sein und mittels E-Mail von außen in die Parasol Island eingebracht und dort weiterverbreitet werden.

=== Internet ===
Gefährlich sind Schadprogramme, die sich über das Internet verbreiten und technisch so konstruiert sind, dass sie über eine nicht geschlossene Sicherheitslücke eines Programms (z. B. Browser oder Betriebssystem) direkt den Rechner infizieren. Auch Dateien und Programme, die aus dem Internet heruntergeladen werden, können infiziert sein.

=== Internes Netz ===
Der interne Austausch von E-Mails und die Vernetzung der Rechner können die Ausbreitung eines Computervirus oder anderer Schadprogramme innerhalb des Betriebs herbeiführen. Die standortübergreifende Vernetzung und die Einwahl aus dem Internet in das Intranet (z. B. Virtual Private Network) ermöglicht die Verbreitung auch auf weitere Standorte der Parasol Island.

Auch Rechner, die nur temporär in das Netz eingebunden sind, sind durch Viren bedroht. So können durch fehlende oder mangelhafte Anpassungen an Veränderungen des IT-Systems Sicherheitslücken entstehen.

=== Wechseldatenträger ===
Über Wechseldatenträger (CDs, DVDs, USB-Sticks etc.) können Dateien oder Programme mit Schadsoftware IT-Systeme infizieren.

== Verhaltensregeln zur Vorbeugung ==
Die Benutzer tragen dafür Verantwortung, IT-Systeme so zu nutzen, dass eine Infektion mit Schadsoftware vermieden wird. Dies heißt im Einzelnen:

* Alle verdächtigen Ereignisse (s. u.) sind unverzüglich den Verantwortlichen zu melden (siehe dazu Wiki Artikel der Parasol Island).
* Verdächtige Dateien dürfen nicht selbständig geöffnet werden. In Zweifelsfällen muss der IT-Verantwortliche um Rat gefragt werden.
* Virenschutzprogramme dürfen nicht deaktiviert werden.
* Vorgegebene Sicherheitseinstellungen dürfen nicht deaktiviert oder umgangen werden.
* Software darf nur von berechtigten Administratoren oder in Absprache mit diesen installiert werden.
* Sofern die Nutzung privater Hardware (z. B. Smartphones) zusammen mit betrieblicher Hardware oder zur sonstigen betrieblichen Nutzung genehmigt wurde, sind die technischen und organisatorischen Maßnahmen im Rahmen des Computer Virenschutzes zu beachten.
* IT-Systeme sollten sorgfältig hinsichtlich möglicher Gefahren beobachtet werden.
* Jeder Verdacht auf Schadsoftware muss sofort gemeldet werden.
* Eingehende und ausgehende Dateien sind im Falle eines Datenträgeraustauschs einer Viren-Prüfung zu unterziehen.
* Jeder IT-Benutzer hat vor der ersten Nutzung von IT-Diensten an den angebotenen Schulungen teilzunehmen.

== Verhaltensregeln bei Auftreten von Schadsoftware ==

=== Anzeichen für einen Virenbefall ===
Folgende Anzeichen können auf Schadsoftware hindeuten:

* häufige Programmabstürze
* Programmdateien werden länger
* unerklärliches Systemverhalten
* „unerklärliche“ System-Fehlermeldungen
* Nutzung unbekannter Dienste
* nicht auffindbare Dateien
* veränderte Dateiinhalte
* ständige Verringerung des freien Speicherplatzes, ohne dass etwas abgespeichert wurde

=== Verhaltensregeln für den IT-Benutzer ===
Beim „Auftreten“ von Schadsoftware ist zu verhindern, dass weitere IT-Systeme infiziert werden. Daher ist ein entdecktes Schadprogramm (bzw. der Verdacht) unverzüglich dem Administrator persönlich oder telefonisch zu melden. Ist dies nicht umgehend möglich, muss sofort der Sicherheitsbeauftragte oder die Firmenleitung verständigt werden.

Bis zur Klärung des Sachverhalts durch den Verantwortlichen darf das betroffene IT-System nicht mehr benutzt werden und sollte unverändert belassen werden, um keine Spuren zu verwischen.

Wer einen Schadsoftware Vorfall verschleiert oder ignoriert, muss mit arbeitsrechtlichen Konsequenzen rechnen. Wer dagegen einen Vorfall meldet und alles tut, um schlimmeren Schaden zu verhüten, wird nicht bestraft, auch wenn er durch fahrlässiges Verhalten z.B. den Virenbefall verursacht hat.

== Schulung ==
Die Benutzer werden vor der erstmaligen Nutzung der jeweiligen IT-Dienste hinsichtlich der Gefahren sensibilisiert und auf die Sicherheitsmaßnahmen geschult (ISMS, 02_15). Schulungsinhalte sind:

* Sensibilisierungsmaßnahmen
** („Warum ist das IT-System so wichtig für mich und meinen Arbeitgeber?“)
* Beschreibung der verschiedenen Arten von Schadsoftware
** Gefährdungspotential durch Computerviren und andere Taktiken die zu einem Sicherheitsvorfall führen können (z.B. auch Phishing)
** „Welche Gefahren bestehen für mich und meinen Arbeitgeber durch Virenbefall?“
* Schulung auf das Erkennen von Computerviren
** „Was sind Symptome für einen Virenbefall?“
* Sichere Nutzung der sonstigen IT-Dienste
* Verhalten bei Auftreten eines Computervirus (Meldewege etc.)

Mitarbeiter müssen auf das Problem von Falschmeldungen über Viren hingewiesen und darüber informiert werden, was beim Empfang einer Meldung zu tun ist.
[[Category:ISMS]]

ISMS

2023-09-28T13:56:58Z

Niels.debruijn@parasol-island.com: 02_09 - Titel angepasst

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

Identity- und Access-Management

2023-09-28T13:49:57Z

Niels.debruijn@parasol-island.com: Inhalte hinzugefügt

== Zweck ==
Diese Richtlinie legt die Anforderungen an den Umgang mit Benutzerkonten und Berechtigungen bei Parasol Island fest. Die Intention dahinter ist, dass nur Zugriffe mit autorisierten und authentifizierten Benutzern möglich ist. Jeder Benutzer sollte nur über die minimalen Zugriffsrechte verfügen, die er zur Ausübung der Rolle im Unternehmen benötigt.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für IT-Administratoren an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Benutzerkonten und Anmeldeinformationen ==
„Der Zugang zu Informationen und IT-Systemen erfolgt über validierte Benutzerkonten, welche einer Person zugeordnet sind. Es ist wichtig, dass Anmeldeinformationen geschützt werden sowie eine Nachvollziehbarkeit von Transaktionen und Zugriffen sichergestellt ist.“ (4.1.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

Die Parasol Island verwendet verschiedene IT-Systeme, die die Anmeldung durch einen Benutzer erfordern. Diese Benutzerkonten unterliegen einem festgelegten Lebenszyklus. Da Änderungen an Informationen per Benutzer nachvollziehbar sein sollten, sind für jede Person für jedes System eindeutige, personalisierte Benutzerkonten zu verwenden. Dies macht auch die Verwendung stärkerer Authentifizierungsmethoden wie z.B. 2-Faktor-Authentifzierung möglich.

Benutzerkonten werden von dem dafür zuständigen IT-Administrator des jeweiligen Systems nach Freigabe durch den System-Verantwortlichen vergeben. Sie sollen möglichst erst mit Aufnahme der Tätigkeit der Person aktiviert werden und sind unmittelbar nach Verlassen der Person aus dem Unternehmen stillzulegen.

Der Erhalt der Kennung und die damit einhergehende Einräumung von Rechten und Pflichten ist vom Nutzer schriftlich zu bestätigen. Der Nutzer ist im notwendigen Umfang über die Sicherheitsregeln zu belehren.

Bestehende Benutzerkonten sind in regelmäßigen Abständen vom Verantwortlichen auf Aktualität zu prüfen. Bei Verdacht auf Kompromittierung des Benutzerkontos ist dieses umgehend zu sperren.

Mitarbeiter sind über den korrekten Umgang mit Benutzerkonten zu unterrichten. Anmeldeinformationen dürfen – unter Beachtung gesetzlicher Rahmenbedingungen – nicht weitergegeben werden. Sie dürfen nicht unverschlüsselt gespeichert werden (dazu gehört auch das schriftliche Notieren auf einem Zettel). Es dürfen keine identischen Passwörter für unterschiedliche Systeme oder Personen verwendet werden. Sobald der Verdacht besteht, dass ein Passwort kompromittiert sein könnte, ist dieses umgehend zu ändern.

== Authentifizierungsmethoden ==
„Der Zugang zu IT-Systemen soll nur sicher identifizierten (authentifizierten) Benutzern möglich sein. Dafür wird die Identität eines Benutzers durch geeignete Verfahren sicher festgestellt.“ (4.1.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Die eingesetzten Verfahren zur Benutzerauthentifizierung werden auf Basis einer Risikoanalyse in Abhängigkeit des Schutzbedarfs des IT-Systems bzw. den Rechten des Benutzerkontos zu wählen. Je höher der Schutzbedarf der Informationen oder das Level an Berechtigungen des Benutzerkontos desto stärker ist die Authentifizierung zu wählen. Auch die Zugriffsmöglichkeiten sind zu betrachten. So sind Cloud-Dienste stärker abzusichern als Systeme, die nur aus dem internen Netz der Parasol Island erreicht werden können.

Die gleiche Herangehensweise ist zu wählen, um das Monitoring oder die Protokollierung von Anmeldungen zu konfigurieren.

Wenn möglich, ist die Sicherheit von Benutzerkonten technisch zu unterstützen. Dazu gehört z.B. die Verwendung von Passwortrichtlinien, das Verwenden starker Authentifizierungsmethoden, die automatische Sperre von Benutzerkonten auf Basis mehrfacher falscher Passworteingabe oder die Einschränkung der Anmeldung basierend auf der Lokalität des Benutzers.

== Verwaltung von Identifikationsmitteln ==
„Um die Berechtigung für den physischen Zutritt wie auch elektronischen Zugang zu prüfen, werden oft Identifikationsmittel wie Schlüssel, Sichtausweise oder kryptographische Tokens verwendet. Die Schutzmerkmale sind nur dann verlässlich, wenn der Umgang mit solchen Identifikationsmitteln adäquat gehandhabt wird.“ (4.1.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Personen können sich auf unterschiedliche Arten identifizieren. D.h. heißt nicht zwangsläufig, dass sie als eindeutige Person zu identifizieren sind (wie z.B. bei der Verwendung eines individuellen Benutzeraccounts), sondern dies kann auch bedeuten, sie nur als „berechtigte Person“ zu identifizieren, indem sie z.B. einen PIN-Code kennt oder einen (physischen) Schlüssel besitzt. Diese Identifikationsmittel müssen einem festdefinierten Lebenszyklus unterliegen, und der Umgang mit ihnen muss klar geregelt sein.

Dabei sind insbesondere die folgenden Aspekte zu berücksichtigen (Verband der Automobilindustrie e.V. (VDA), 2020):

* Die Produktion von Identifikationsmitteln ist nur unter kontrollierten Bedingungen möglich.
* Die Ausgabe von Identifikationsmitteln wird protokolliert.
* Die Rückgabe von Identifikationsmitteln ist geregelt.
* Die Gültigkeit von Identifikationsmitteln ist auf einen angemessenen Zeitraum beschränkt.
* Ein Konzept zur Sperrung bzw. Invalidierung von Identifikationsmitteln bei Verlust ist - soweit möglich - erstellt und umgesetzt.

Für die Auswahl der Identifikationsmittel gilt wie beim Zugang zu IT-Systemen: die Stärke der Autorisierung sollte dem Schutzbedarf derjenigen Informationswerte entsprechen, zu deren Zugriff/Zugang das Identifikationsmittel dient. Dies muss nach einer Risikoanalyse entschieden werden.

So kann z.B. ein PIN-Code oder ein Schlüssel zum Öffnen der Eingangstür zu den Räumlichkeiten des Unternehmens verwendet werden. Dabei ist nicht nachvollziehbar, welche Person zu welchem Zeitpunkt das Gebäude betreten hat. Der Zutritt zum Serverraum oder einer anderen Zone erhöhten Schutzbedarfs sollte aber mit einem Identifikationsmittel gesichert sein, bei dem protokolliert werden kann, wer zu welchem Zeitpunkt den Raum betreten hat. Hier können z.B. ein (persönlicher) Ausweis und ein PIN oder biometrische Merkmale verwendet werden.

== Vergabe von Benutzerberechtigungen ==
„Das Management von Zugriffsberechtigungen dient dazu, dass nur berechtigte (autorisierte) Benutzer Zugriff auf Informationen und IT-Anwendungen haben. Zu diesem Zweck werden den Benutzerkonten Zugriffsrechte zugewiesen.“ (4.2.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Auch die Verwaltung von Benutzerberechtigungen erfolgt anhand eines definierten Prozesses. Beantragung, Prüfung und Genehmigung werden dokumentiert. Die Änderung der Berechtigung sollte automatisch protokolliert werden. Wenn dies nicht der Fall ist, wird diese Änderung händisch dokumentiert. Da auch die Änderung von Benutzerberechtigungen ein Change ist, gilt außerdem die „Richtlinie zum Change-Management“ (ISMS, 02_05).

Bei der Vergabe von Berechtigungen ist auf das Need-to-know-Prinzip zu achten. Dies bedeutet insbesondere, dass Berechtigungen entzogen werden, sobald ein Benutzer diese nicht mehr benötigt (z.B. bei Wechsel des Tätigkeitsgebiets oder Projektteams). Die Verwendung von rollenbasierten Berechtigungskonzepten ist der Vergabe von Einzelberechtigungen vorzuziehen.

Vergebene Berechtigungen sind vom Systemverantwortlichen in regelmäßigen Abständen auf Aktualität zu prüfen und bei Bedarf umgehend anzupassen.

=== Netzwerk / Systemadministrator ===
Von der Geschäftsleitung werden Systemadministratoren und Stellvertreter benannt. Die Systemadministratoren sind für den laufenden Betrieb der Informationssysteme zuständig. Die Namen der Administratoren sind in der Zuständigkeiten-Liste aufgeführt.

Der Administrator hat ausschließlich Rechte, die für seine administrierende Aufgabe notwendig sind. Die Administratorentätigkeit ist mit automatischen Logs zu überwachen, regelmäßig zu kontrollieren und vor Veränderung zu schützen, sofern dies technisch möglich ist. Es gibt keine Administrations-Gruppenkonten, jedes Konto ist einer Person zuzuordnen.

Die Entscheidung, Administratorrechte zu vergeben, ist von der Geschäftsführung zu treffen. Zur Kontrolle und Risikoeinschätzung muss ein weiteres Augenpaar hinzugezogen werden (zum Beispiel Abteilungsleiter).

Das System-Administratorkonto muss vom Produktivkonto getrennt werden, um versehentliche Änderungen oder Installieren von Schadsoftware zu verhindern.

Bei der Vergabe von Administratorberechtigung ist insbesondere beim Zugriff auf Informationen mit hohem Schutzbedarf darauf zu achten, dass diese Berechtigung ein existierendes Zugriffs- und Berechtigungskonzept aushebeln könnte. Im Zweifelsfall ist dann von zusätzlichen Sicherheitsmaßnahmen Gebrauch zu machen wie beispielsweise Verschlüsselung auf Dateiebene (die den Zugriff durch den Administrator verhindert).

ISMS

2023-09-28T13:35:38Z

Niels.debruijn@parasol-island.com: 02_14 hinzugefügt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

ISMS

2023-09-28T13:13:08Z

Niels.debruijn@parasol-island.com: 02_14 gelöscht. Nicht mehr aktuell.

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!
|
|
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]

02 14 PSL ISMS Technische und organisatorische Maßnahmen

2023-09-28T13:12:29Z

Niels.debruijn@parasol-island.com: Seite nicht mehr gültig - Weiterleitung auf der Haupt ISMS-Seite eingerichtet.

#REDIRECT [[https://wiki.parasol-island.com/ISMS]]Zurück zur [[ISMS|ISMS Übersicht]]

OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET -

==Zutrittskontrolle==
Der unbefugte Zutritt zu allen Räumlichkeiten von Parasol Island und insbesondere zu den Serverräumen ist durch geeignete Schutzmaßnahmen verhindert.

Die Räume von Parasol Island sind durch ein Transponder-Schließsystem vor unbefugtem Zutritt geschützt. Das Schlüsselkonzept sieht verschiedene Berechtigungen für unterschiedliche Personen vor. Neben der Protokollierung der Schlüsselausgabe wird auch die Nutzung per Logfiles erfasst. Mitarbeiter können sich mit ihrem Transponder ausschließlich in dem für sie notwendigen Bereich bewegen.

Besucher werden an der Rezeption in Empfang genommen und persönlich zu dem gewünschten Ansprechpartner im Haus geleitet.

Vor dem gewaltsamen Zutritt ist das gesamte Gelände per Alarmanlage gesichert. Der Zutritt zu den Serverräumen ist nur entsprechend berechtigten Personen gestattet.

Siehe auch Dokument:

*[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie ''(02_03)'']]

==Zugangskontrolle==
Die Nutzung der Datenverarbeitungssysteme ist Unbefugten verwehrt. Maßnahmen zur Gewährleistung der Zugangsverweigerung sind die zwingende Authentifizierung mit Benutzernamen und Passwort. Die Passwortanforderungen verlangen eine hinreichend sichere Kombination aus Passwortlänge, Verwendung verschiedener Zeichenklassen sowie keine Nutzung bekannter Wörter oder Namen. Die Mitarbeiter sind angehalten, die Passwörter streng geheim zu halten.

*[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie ''(02_13)'']]

Server und Arbeitsplatzrechner sind durch eine Firewall sowie eine regelmäßig aktualisierte Anti-Viren-Software vor unberechtigtem Zugriff von außen geschützt.

Die Mitarbeiter sind angehalten, keine Daten auf USB-Sticks und ähnlichen Datenträgern zu speichern. Erfolgt eine Datenspeicherung auf ein externes Medium, werden die Daten dort verschlüsselt gespeichert.

*[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln ''(03_04)'']]

Der externe Zugriff auf das Netzwerk (beispielsweise von anderen Standorten wie Berlin oder bei der Arbeit von zuhause) geschieht über eine gesicherte VPN-Verbindung.

==Zugriffskontrolle==
Jeder Zugriff auf ein Datenverarbeitungssystem der Parasol Island GmbH ist über ein Berechtigungskonzept geregelt. Dadurch ist gewährleistet, dass jeder Mitarbeiter nur zu den Daten, die für seinen Arbeitsprozess relevant sind, Zugang hat. Praktisch geschieht dies durch die Organisation in Gruppen, welche die Berechtigungen nach den Erfordernissen der Arbeitsfelder erhalten. Hierbei wird sich an das Prinzip der minimalen Berechtigung gehalten.

Die Vernichtung von Akten in Papierform wird ausreichend durch den Gebrauch von Aktenvernichtern gesichert. Elektronische Datenträger werden physisch zerstört. Eine technische Aufbereitung und Wiederverwendung findet nicht statt.

Sämtliche Zugriffe auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten, werden protokolliert.

Die Verantwortlichkeit in den Händen nur eines Systemadministrators erfüllt das Gebot der Reduktion auf das Notwendigste. Die Benutzerrechte werden durch ihn verwaltet.

Die oben genannte Firewall sowie die Maßnahmen zur Benutzerauthentifizierung dienen auch der Zugriffskontrolle.

==Weitergabekontrolle==
Daten werden nur übermittelt, wenn dies zur Erfüllung von vertraglich vereinbarten Leistungen notwendig und unvermeidbar ist.

Die Mitarbeiter sind per Firmenrichtlinie angehalten, keine externen Medien wie USB-Sticks oder mobile Festplatten zu nutzen. Falls im Einzelfall die Nutzung eines transportablen Mediums unvermeidbar ist, werden sensible Daten verschlüsselt transportiert und persönlich übergeben.

Unterlagen und Datenträger, die ihren Zweck erfüllt haben und zu denen die Aufbewahrungsfristen erloschen sind, werden sicher entsorgt.

==Eingabekontrolle==
Die Eingabe, Änderung und Löschung von Daten wird inklusive des Benutzernamens des jeweiligen Mitarbeiters protokolliert. Die Vergabe von Rechten zur Durchführung dieser Aktivitäten geschieht auf Basis eines Berechtigungskonzepts.

Die berechtigten Zugriffe auf das Firmennetz per VPN werden ebenfalls protokolliert, sodass auch in diesem Fall die Eingabekontrolle gewährleistet ist.

Parasol Island erhebt in der Regel keine personenbezogenen Daten für Kunden. Diese werden, falls nötig, vom Kunden selbst erhoben und gepflegt. Eine Weiterverarbeitung durch Parasol Island geschieht streng nach Weisung des Auftraggebers und nur in dem notwendigen Rahmen.

Überall, wo es möglich ist, erfolgt die Verarbeitung von Daten auf den Kundensystemen. Falls dies nicht möglich ist, verwendet Parasol Island Systeme, die vom Kunden direkt angemietet werden. Eine Übertragung der Daten auf Systeme von Parasol Island erfolgt in aller Regel nicht und bedarf eines zwingenden Grundes.

==Auftragskontrolle==
In der Regel werden benötigte Rechenzentren vom Kunden und nicht von Parasol Island beauftragt. Sollte Parasol Island selber ein Rechenzentrum beauftragen, geschieht dies nach sorgfältiger Prüfung, insbesondere im Hinblick auf den Datenschutz und die Datensicherheit.

Auch anderweitige infrage kommende Auftragnehmer werden an Maßstäben des Datenschutzes und der Datensicherheit vor einer etwaigen Beauftragung geprüft. Für die Unterbeauftragung hält sich die Parasol Island ebenfalls an das Gebot des Minimalismus und prüft zunächst die Unvermeidbarkeit.

Alle Mitarbeiter von Parasol Island sind auf das Datengeheimnis verpflichtet.

==Verfügbarkeitskontrolle==
Zur Gewährleistung der Datenverfügbarkeit setzt die Parasol Island folgende Maßnahmen ein:

In den Serverräumen befinden sich Feuerlöschgeräte, Klimaanlagen sowie Geräte zur Überwachung der Temperatur und Feuchtigkeit. Es existieren dort Schutzsteckdosenleisten, Überspannungsschutz und unterbrechungsfreie Stromversorgung (USV).

Die Serverräume befinden sich zur Verringerung des Risikos für einen Wasserschaden nicht unterhalb sanitärer Anlagen und sind mit Alarmmeldung ausgestattet, um einen möglichen Datenverlust durch Diebstahl zu verhindern.

Für relevante Teile der Daten gibt es Datensicherungen an einem ausgelagerten sicheren Ort. Datensicherungen werden regelmäßig erstellt und die Datenwiederherstellung getestet.

Redundant ausgelegte Systeme sowie ein Virenschutzkonzept erhöhen die mögliche Verfügbarkeit weiterhin.

==Trennungsgebot==
Durch die genutzten Verfahren wird eine unzulässige und unerwünschte Zusammenführung von Daten mit unterschiedlichen Zwecken verhindert. Die Trennung kann je nach Anforderung auf Anwendungsebene oder physikalisch erforderlich und umgesetzt sein.

Mandantendaten werden auf den Systemen logisch getrennt gespeichert. Parasol Island nimmt grundsätzlich die Trennung von Produktiv- und Testsystemen vor.

==Verschlüsselung==
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen, verwendet Parasol Island Verfahren zur Verschlüsselung der personenbezogenen Daten.

==Pseudonymisierung==
Soweit möglich nutzt Parasol Island Verfahren, bei denen personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können.

==Datenschutzmanagement==
Zur Sicherstellung der Einhaltung und der stetiger Optimierung des Datenschutzes hat Parasol Island umfassende Maßnahmen ergriffen. Hierzu wurden Dokumentationen und Unterlagen wie das Datenschutz- und Sicherheitskonzept, die Datenschutzrichtlinie, sowie das Information Security Management System entwickelt.

Die Unterlagen werden regelmäßig (jährlich) geprüft und an die aktuellen Begebenheiten angepasst.

OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET - UNGÜLTIG - OBSOLET -
[[Category:ISMS]]
{{DEFAULTSORT:PSL_ISMS_Technische_und_organisatorische_Maßnahmen}}

02 17 PSL ISMS Nutzung IT Systeme

2023-09-28T12:30:45Z

Niels.debruijn@parasol-island.com: ERweiterung im Abschnitt "Patchmanagement" + Anpassungen in Formulierungen

== Zweck ==
Diese Richtlinie regelt den Umgang der Mitarbeiter mit denjenigen IT-Systemen, für die sie selbst die Verantwortung tragen, wie z.B. ihren Arbeitsplatzrechner oder ihnen zugeteilte Wechseldatenträger.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Lebenszyklus ==
Die Herausgabe, Verwaltung und Rückgabe von IT-Systemen sind zu dokumentieren.

== Mobile IT-Systeme ==
Um die Sicherheitseinrichtungen des Firmennetzwerkes für mobile Geräte zu nutzen, ist der Zugang über firmenfremde Netzwerke (Hotspot, Privates W-Lan) ausschließlich zum Verbindungsaufbau von VPN Verbindungen zum Firmennetzwerk zu nutzen. Ein privater Gebrauch ist ausgeschlossen.

Auf Reisen ist sicherzustellen, dass vertrauliche Daten nicht von Unbefugten eingesehen werden können. Bei Notebooks ist für diesen Zweck eine Blickschutzfolie zu benutzen, sofern im öffentlichen Raum gearbeitet wird. Der Nutzer hat darauf zu achten, dass ihm nicht über die Schulter gesehen werden kann.

Vertrauliche Daten müssen im Falle eines Verlustes so geschützt sein, dass diese nicht von Unbefugten nutzbar sind. Hierzu müssen die Daten verschlüsselt mitgeführt werden. Eine Komplettverschlüsselung des Gerätes ist auf Notebooks standardmäßig umgesetzt.

* Nähere Informationen in der Arbeitsanweisung zum Entfernen von Betriebsmitteln (03_04)

== Schutz vor Schadsoftware ==
Auf allen Arbeitsrechnern und Servern ist eine Antivirus Software zu installieren, die zentral vom Administrator gepflegt und überwacht wird. Sie überprüft regelmäßig alle Laufwerke und alle ein- und ausgehenden Daten auf Viren inklusive des E-Mail-Verkehrs. Eine Veränderung der Einstellung wird vom Administrator direkt bemerkt und behoben.

* Eine nähere Definition findet sich im Virenschutzkonzept

== Patchmanagement ==
Sämtliche Arbeitsstationen sowie die dort installierten Betriebssysteme, Software, die automatische Updates unterstützen (z.B. Firefox, Flash, Chrome), sind so einzurichten, dass sie automatisch aktualisiert werden und dadurch die neuesten Sicherheitspatches enthalten.

Server- und zeitkritische Systeme werden nach vorheriger Prüfung vom Administrator aktualisiert, um einen Ausfall des Systems durch das Update auszuschließen. Dies kann bedeuten, dass in besonderen Fällen ein Testsystem verwendet oder nur eine beschränkte Menge an Systemen aktualisiert wird, um die Auswirkungen auf das restliche IT-System zu prüfen. Dies kann ggf. auch in Zusammenarbeit mit den Abteilungen geschehen.

Patches und sicherheitsrelevante Updates müssen grundsätzlich sofort installiert werden. Die einzige Ausnahme tritt dann ein, wenn der einwandfreie Betrieb der Systeme durch das Update gefährdet sein könnte. Aufgrund der vielfach verwendeten Spezialsoftware kann dies auch bedeuten, dass eine potenziell fehlerhafte Software eingesetzt wird. Dies wird in Zusammenarbeit mit den betroffenen Abteilungen diskutiert und muss abschließend von der Geschäftsleitung unter Abwägung der Risiken genehmigt werden.

* Siehe auch: Arbeitsanweisung zum Durchführen von Patches

== Umgang mit entfernbaren Medien ==
Grundsätzlich ist die Verwendung von entfernbaren Medien nur für den betrieblichen Zweck erlaubt.

Die Datenträger müssen stets aufgeräumt werden und dürfen nur die Daten enthalten, die für den gerade erforderlichen Fall notwendig sind, damit beim Einsatz auf fremden Geräten keine geschützten Daten unbemerkt ausgelesen werden können. Ist ein wiederbeschreibbarer Datenträger (USB Stick) in einem fremden Gerät verwendet worden, ist dieser wie ein externer Datenträger zu behandeln und entsprechend zu prüfen.

Datenträger, die von Außenstehenden in den Betrieb kommen, müssen durch die Administration an einem entsprechend ausgerüsteten System auf Viren oder andere Schadprogramme hin überprüft werden. Erst dann dürfen die Daten ausgelesen und an den Verantwortlichen weitergereicht werden.

02 20 PSL ISMS Informationswerte

2023-09-27T13:05:14Z

Niels.debruijn@parasol-island.com: Abschnitt Klassifikation erweitert.

== Zweck ==
TISAX erfordert die Erfassung aller Informationswerte (Verband der Automobilindustrie e.V. (VDA), 2020). Im Bereich 1.3 Asset Management werden folgende Fragen gestellt:

# Inwieweit werden Informationswerte (Assets) identifiziert und erfasst?
# Inwieweit werden Informationswerte hinsichtlich ihres Schutzbedarfs klassifiziert und gemanagt?

Dieses Dokument beschreibt die dazugehörigen Richtlinien bei der Parasol Island GmbH.

Die dritte Frage aus diesem Bereich

# Inwieweit wird sichergestellt, dass nur evaluierte und freigegebene organisationsfremde IT-Dienste zum Verarbeiten von Informationswerten der Organisation eingesetzt werden?

wird in (ISMS, 02_27) beantwortet.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Inventarisierung von Informationswerten ==
„Für jede Organisation ist es wichtig, die Informationen zu kennen, die einen Wert für sie darstellen (z. B. Geschäftsgeheimisse, kritische Geschäftsprozesse, Know-how, Patente). Diese werden als Informationswerte bezeichnet. Durch eine Inventarisierung wird sichergestellt, dass die Organisation einen Überblick über ihre Informationswerte erhält. Darüber hinaus ist es wichtig, die Informationsträger (z. B. IT-Systeme, Services/IT-Dienste, Mitarbeiter) zu kennen, welche diese Informationswerte verarbeiten. (1.3.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Man unterscheidet zwischen primären und sekundären Informationswerten. Die primären Informationswerte stellen die eigentlichen Informationen dar, z.B. Projektergebnisse, Personalstammdaten, Unternehmensgeheimnisse. Bei den sekundären Informationswerten handelt es sich um die Informationsträger, auf denen die primären Informationswerte verarbeitet werden. Um diese Unterscheidung klar auszudrücken, werden primäre Informationswerte im Folgenden als „Informationswerte“ bezeichnet und sekundäre Informationswerte als „Informationsträger“.

=== Informationswerte ===
Parasol Island führt ein Verzeichnis aller (relevanten) Informationswerte. Darin enthalten ist neben einer Beschreibung des Wertes auch derjenige Mitarbeiter, der für diesen Wert zuständig ist. Verantwortlich für die Bestimmung relevanter Informationswerte ist die Geschäftsführung.

=== Informationsträger ===
Alle physischen Entitäten, die Informationen verarbeiten, werden als Informationsträger oder auch unterstützende (Informations-)Werte bezeichnet. Dies können z.B. IT-Systeme, Datenträger, Mitarbeiter oder auch Aktenschränke sein.

Alle Informationsträger sind zu erfassen. Dies darf dezentral erfolgen. So darf beispielsweise die IT ein Verzeichnis aller Server und Clients führen, während die Personalabteilung ein Verzeichnis aller Mitarbeiter führt. Werden Systeme für die Verwendung innerhalb eines Teams eingeführt und diese werden auch von diesem Team verwaltet, so obliegt es dem Team, ein Verzeichnis über diese zu führen. Dabei ist zu beachten, dass a) alle Richtlinien, die IT-Systeme und -Prozesse betreffen, sowohl für die zentrale IT als auch für solch dezentrale IT gelten und b) die Führung eines Gesamtverzeichnisses die Organisation vereinfachen könnte.

== Klassifikation von Informationswerten ==
"Die Zielsetzung der Klassifizierung von Informationswerten ist eine konsistente Ermittlung des Schutzbedarfs. Dabei wird der Wert der Information für die Organisation auf Basis der relevanten Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität und Verfügbarkeit) ermittelt. Dies ermöglicht der Organisation die Anwendung von angemessenen Schutzmaßnahmen.“ (1.3.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Alle Informationen müssen anhand ihres Schutzbedarfs klassifiziert werden. Die Schutzbedarfskategorien werden vom Informationssicherheitsbeauftragten zusammen mit den Abteilungsleitern definiert und von der Geschäftsführung verabschiedet.

Der Klassifikation liegen die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit zugrunde. Ziel ist es, Informationen entsprechend ihrem Schutzbedarf zu verarbeiten. Aus dem Schutzbedarf der Informationen leitet sich auch der Schutzbedarf der IT-Systeme ab, auf denen die Informationen verarbeitet werden.

Eine besondere Rolle spielt dabei das Schutzziel der Vertraulichkeit, da dieses den Umgang mit Informationen maßgeblich bestimmt.

Alle Daten und Dokumente müssen vom Informationseigentümer einer dieser Stufen zugeordnet werden. Die Zuordnung muss gut lesbar und für jeden offensichtlich aus den jeweiligen Daten bzw. Dokumenten hervorgehen. Eine Standardstufe für nicht gekennzeichnete Informationen ist unternehmensweit zu definieren.

Basierend auf der Schutzbedarfskategorie des (primären) Informationswertes hat auch der verarbeitende Informationsträger eine zugeordnete Schutzbedarfskategorie.

Für jeden Informationsträger ist ein Mitarbeiter zuständig. Verlässt die zuständige Person das Unternehmen oder beendet ihre Zusammenarbeit mit Parasol Island, so hat sie alle Informationsträger an einen Nachfolger zu übergeben. Falls ein Mitarbeiter als Informationsträger die Parasol Island verlässt, den Aufgabenbereich wechselt oder die Zusammenarbeit beendet, ist eine angemessene Zeit für den Wissenstransfer freizugeben.

=== Schutzziele ===
Die drei für Parasol Island wichtigen Schutzziele werden im Folgenden kurz erläutert.

==== Vertraulichkeit ====
Unter Vertraulichkeit versteht man die Tatsache, dass Informationen nur von denjenigen Personen eingesehen und verarbeitet werden dürfen, die dazu auch berechtigt sind. Der Zugriff durch unbefugte Personen darf nicht möglich sein.

==== Integrität ====
Das Schutzziel Integrität umfasst die Korrektheit der Daten (Datenintegrität). Dabei geht es insbesondere darum, dass diese nicht unbefugt geändert werden können, bzw. dass Änderungen als solche zu erkennen sind. Hierbei sollte auch der Verursacher erfasst werden, um unbefugte Änderungen erkennen zu können.

==== Verfügbarkeit ====
Als drittes Schutzziel geht es bei der Verfügbarkeit um den möglichen Zugriff auf die Informationen. Dieser sollte zu jeder Zeit verfügbar sein. Ist die Verfügbarkeit nicht gegeben, so stellt dies einen (temporären) Verlust der Daten dar.

== Sicherheitsanforderungen und Schutzmaßnahmen ==
Für Informationswerte und Informationsträger sind in Abhängigkeit vom Schutzbedarf Sicherheitsanforderungen und geeignete Schutzmaßnahmen zu bestimmen. Dazu gehört auch, den angemessenen Umgang mit diesen festzulegen. Die Festlegung darf per Kategorie von Informationsträgern oder Informationswerten erfolgen und sollte alle Schutzziele abdecken.

Beispielsweise können die folgenden Kategorien von Informationsträgern betrachtet werden:

* Cloud-Dienste
* Lokale Server / IT-Dienste
* Client Computer
* Mobilgeräte
* Mitarbeiter & Mitarbeiterinnen
* Ext. Dienstleister
* Freelancer
* Physische Aufbewahrungsorte (z.B. Aktenordner, -schränke, Sicherheitszonen)

Für jeden Informationsträger muss die Kategorie hinterlegt werden. So mag die IT alle IT-Geräte verwalten. In diesem Inventar muss dann klar ersichtlich sein, ob es sich bei einem Gerät um einen lokalen Server, einen Client-Computer oder ein Mobilgerät handelt.

In Abhängigkeit des Schutzbedarfs sind Anforderungen an die Informationsträger festzulegen. So kann beispielsweise festgelegt werden, dass ein Cloud-Dienst je nach Schutzbedarf für das Schutzziel Verfügbarkeit eine vertraglich zugesicherte Verfügbarkeit von 99,99% (hoher Schutzbedarf) oder nur von 95% (geringer Schutzbedarf) hat.

== Lebenszyklus von Informationsträgern ==
„Informationsträger unterliegen während ihres Lebenszyklus (z. B. Nutzung, Entsorgung) einem Risiko unter anderem in Bezug auf Verlust, Diebstahl oder der unberechtigten Einsichtnahme.“ (3.1.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

Für alle Informationsträger (insbesondere solche, die Informationen speichern) sind Regeln für den Gebrauch, die Kennzeichnung und insbesondere die Rückgabe zu erstellen. Dabei ist zu beachten, dass über den gesamten Lebenszyklus eines Informationsträgers alle Anforderungen der Informationssicherheit in Abhängigkeit der Schutzbedarfsklassifikation erfüllt sind. Außerdem sollte jederzeit bekannt sein, in welchen Verantwortungsbereich der Informationsträger fällt.

== Kontrolle und Dokumentation ==
Aus den Anforderungen für die Sicherheitsziele erwächst die Notwendigkeit der Kontrolle.

Die Daten und IT-Systeme müssen entsprechend ihrer Klassifikationen Maßnahmen unterworfen werden, die einen sachgemäßen Umgang gewährleisten. Die Einhaltung der Maßnahmen muss kontrolliert werden und Änderungen müssen nachvollziehbar sein.

03 03 PSL ISMS Besucherregelung

2023-09-27T09:00:17Z

Niels.debruijn@parasol-island.com: Handwerker + Nutzung von sanitären Anlagen hinzugefügt.

Zurück zur [[ISMS|ISMS Übersicht]]

==Ziel der Arbeitsanweisung zur Besucherregelung==
Die Arbeitsanweisung zur Besucherregelung bietet Informationen zum täglichen Umgang mit Besuchern der Parasol Island GmbH.

Besucher in diesem Sinne sind alle Personen, die das Firmengelände Parasol Islands betreten (wollen), die keine Firmenangehörigen oder externe Mitarbeiter Parasol Islands sind.

==Geltungsbereich der Leitlinie zur Besucherregelung==
Die Arbeitsanweisung zur Besucherregelung gilt für alle Mitarbeiter und Besucher Parasol Islands.

Die Regelungen dieser Arbeitsanweisung zur Besucherregelung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Arbeitsanweisung zur Besucherregelung sind nicht zulässig, es sei denn, sie sind in dieser ausdrücklich aufgeführt.

Beim Erscheinen einer neuen Version, werden alle vorherigen Versionen automatisch ungültig.

==Empfang von Besuchern==
Jedem Besucher ist ein verantwortlicher Mitarbeiter zuzuordnen.

Jeder Besucher wird am Empfang von den Front Office Mitarbeitern auf die Geheimhaltung sowie das Verbot der Nutzung von Optiken und Aufzeichnungsgeräten hingewiesen. Der Besuch ist mit Aufenthaltsdauer schriftlich im Gästebuch am Empfang zu dokumentieren.

Falls Besucher von vertraulichen oder streng vertrauliche Informationen Kenntnis erhalten könnten, ist eine Geheimhaltungsvereinbarung und das Hinweisen auf das Aufzeichnungsverbot mit Unterschrift festzuhalten.

Sollte der Besucher warten müssen, so ist er in den Empfang zu begleiten. Besucher dürfen sich nie ohne Begleitung eines Parasol Island Mitarbeiters in den Räumlichkeiten bewegen.

Falls Besucher sanitäre Anlagen nutzen möchten, sind sie so weit zu begleiten, dass das Betreten der falschen Räumlichkeiten ausgeschlossen ist. Der verantwortliche Mitarbeiter hat auch sicherzustellen, dass der Besucher nach der Nutzung abgeholt wird.

Mögliche Rundgänge durch die verschiedenen Sicherheitszonen werden vorab angekündigt, sodass vertrauliche und geheime Daten rechtzeitig uneinsehbar gemacht werden können.

==Dokumentation==
Der Gastgeber dokumentiert im Besucherbuch die folgenden Informationen:

*Vor- und Zuname des Besuchers
*Arbeitgeber / Unternehmen des Besuchers
*Ansprechpartner bei Parasol Island
*Datum und Zeitraum des Besuchs

==Lieferanten==
Lieferanten dürfen nur den Eingangsbereich des Empfangs betreten ohne sich in das Gästebuch einzutragen. Werden Dinge direkt in andere Räume geliefert müssen sich auch Lieferanten in das Gästebuch eintragen.

== Handwerker / Dienstleister ==
Einsätze von Handwerkern und Dienstleistern sind nach Möglichkeit zwei Werktage im Voraus anzukündigen.

In Räumlichkeiten, in denen Handwerker und/oder Dienstleister ihre Tätigkeiten ausüben müssen, dürfen keine vertraulichen und geheimen Informationen verarbeitet werden. Während des Einsatzes der Handwerker sollen die Arbeitsplätze in andere Räumlichkeiten verlegt werden, die den entsprechenden Vertraulichkeitsstufen entsprechen.

==Sicherheitsereignisse mit Besuchern==
Wird ein Verstoß gegen die Zutrittsregeln festgestellt, ist dieser unverzüglich und schriftlich per E-Mail den Informationssicherheitsbeauftragten oder der Geschäftsleitung zu melden.
[[Category:ISMS]]

03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse

2023-09-27T08:28:08Z

Niels.debruijn@parasol-island.com: Anpassungen an Abschnitte: Brand, Explosion - Quarantäne - Stromausfall

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
Schadensereignisse bzw. Notfälle erfordern schnelles Handeln, um die Auswirkung der Vorfälle so gering wie möglich zu halten und sie nicht durch unüberlegtes Handeln zu vergrößern.

Für eine Auswahl an möglichen Szenarien sollen hier konkrete Maßnahmen beschrieben werden, um schnell reagieren zu können.

==Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

==Brand, Explosion==

===kleiner Brand / schwache Explosion (Verpuffung) lokal begrenzt===
Sofortmaßnahmen:

* durch lautes Rufen Kollegen auf die Gefahr aufmerksam machen
* ggf. um verletzte Personen kümmern (Ersthelfer informieren - Notarzt falls nötig)
* mit Feuerlöscher Brand bekämpfen
* Brandherd weiter beobachten
* Vorgesetzten informieren
* Sicherheitsbeauftragten informieren
* Sicherheitsfachkraft informieren
* Weitere Maßnahmen durch die Sicherheitsfachkraft

===Rauch entsteht, großer Brand / starke Explosion, Ausbreitungsgefahr besteht===
Sofortmaßnahmen:

* durch lautes Rufen Kollegen auf die Gefahr aufmerksam machen und Feuerwehr rufen
* verletzte/behinderte Personen aus dem Gefahrenbereich bringen
* ggf. um verletzte Personen kümmern (Ersthelfer informieren - Notarzt falls nötig)
* brennbare Materialien (Karton, Kunststoffe, Putzlappen, Ölpapier etc.) und Gefahrstoffe (Spraydosen, Öle, Lösemittel etc.) aus dem Gefahrenbereich bringen, ggf. Löschversuche unternehmen
* Vorgesetzten informieren
* Sicherheitsbeauftragten informieren
* Türen zum Brandherd schließen (aber nicht abschließen!)
* Rettungsdienste (Feuerwehr, Notarzt) einweisen
* Sammelplatz aufsuchen
* nach Möglichkeit feststellen, ob sich noch Personen im Gebäude aufhalten könnten und die Rettungskräfte darüber informieren.

==Stromausfall==
Bei Stromausfall ist zuerst zu prüfen, welchen Umfang der Stromausfall hat:

===Ein oder mehrere Zimmer===

* Administrator oder dessen Vertreter informieren
* Alle Geräte im betroffenen Bereich soweit möglich abschalten oder vom Netz trennen
* Der Administrator prüft, ob im Sicherungskasten eine Sicherung herausgesprungen ist, und aktiviert diese ggf. wieder.
* Sobald wieder Strom verfügbar ist, werden nacheinander alle Geräte im betroffenen Bereich wieder aktiviert. Kommt es durch Aktivierung eines Gerätes erneut zum Stromausfall, wird das betroffene Gerät für eine tiefergehende Überprüfung außer Betrieb gesetzt.
* Der Vorfall wird protokolliert und eine Schadensanalyse wird durchgeführt, um sicherzustellen, dass keine Geräte oder Daten beschädigt wurden, und um bei Häufungen entsprechend umfassendere Maßnahmen ergreifen zu können.

===Das ganze Haus ist ohne Strom===

* Administrator oder dessen Vertreter informieren
* Alle Geräte soweit möglich abschalten oder vom Netz trennen
* ggf. Vermieter bzw. Verwalter informieren
* Sobald wieder Strom verfügbar ist, werden nacheinander alle Geräte wieder aktiviert, um zu vermeiden, dass Stromspitzen zu einem erneuten Stromausfall am Sicherungskasten führen.
* Der Vorfall wird protokolliert und eine Schadensanalyse wird durchgeführt, um sicherzustellen, dass keine Geräte oder Daten beschädigt wurden, und um bei Häufungen entsprechend umfassendere Maßnahmen ergreifen zu können.
* Sämtliche Gebäude und elektrische Einrichtungen in der Umgebung sind ohne Strom
* Administrator oder dessen Vertreter informieren
* Alle Geräte im betroffenen Bereich soweit möglich abschalten oder vom Netz trennen
* Abwarten
* ggf. Stromversorger informieren und um eine Prognose für die Wiederaufnahme der Stromversorgung bitten
* Sobald wieder Strom verfügbar ist, werden nacheinander alle Geräte wieder aktiviert, um zu vermeiden, dass Stromspitzen zu einem erneuten Stromausfall am Sicherungskasten führen.
* Ggf. ist zu koordinieren, ob und wer beim Hochfahren der Geräte vor Ort ist, um ein ordnungsgemäßes Starten zu gewährleisten.

==Hochwasser==
Ein Produktionsausfall durch die Beeinträchtigung von Gebäudeinfrastruktur bei einem Rheinhochwasser oder Regenhochwasser ist nicht vollständig auszuschließen.

Im Falle eines länger zu befürchtenden Ausfalls werden von der Geschäftsführung alternative Produktionsstätten organisiert.

Gegebenenfalls muss auf außerhalb gelagerte Backups zurückgegriffen werden. Die alternativen Büroräume müssen dabei den Sicherheitsansprüchen gerecht werden.

==Hardwareausfall durch technische Defekte==

=== Ausfall der Klimaanlage ===
Ein Ausfall eines Klimageräts wird von einem Temperatursensor erkannt. Sobald die Lufttemperatur im Serverraum über einen Schwellenwert steigt, schaltet sich automatisch ein weiteres Klimagerät hinzu.

Die Klimageräte werden im regelmäßigen Abstand, spätestens alle 12 Monate, von einem Fachbetrieb gewartet.

=== Ausfall einer Festplatte im Fileserver ===
Beim Ausfall einer Festplatte im Fileserver wird automatisch der Systemadministrator sowie der Hersteller Support per E-Mail kontaktiert. Der Hersteller Support versendet umgehend eine Ersatzfestplatte, so dass diese am nächsten Tag getauscht werden kann. Alle Festplatten im Fileserver befinden sich in RAID 6 Verbünden, so dass ein Datenverlust nahezu auszuschließen ist.

==Virenbefall==
Alle Rechner der Parasol Island GmbH sind mit Virenscannern ausgestattet. Diese aktualisieren sich automatisch und melden Infektionen umgehend dem Benutzer.

Die Mitarbeiter sind angewiesen, sich bei Virenmeldungen sofort an den Administrator oder seinen Vertreter zu wenden, der dann weitere Maßnahmen ergreift.

Geeignete Mittel, die Vireninfektion zu bereinigen, obliegen dem Administrator und hängen von der Art und dem Grad der Infektion ab.

== Quarantäne/Pandemie ==
Mögliche Szenarien:

=== Einzelfall Quarantäne ===
Ein oder mehrere Mitarbeiter müssen zuhause bleiben, weil ein Arzt oder das Gesundheitsamt die Möglichkeit in Betracht zieht, dass sie Träger einer Krankheit sind (z.B. COVID-19) ohne momentan Symptome zu zeigen. Daher dürfen sie ihr Haus nicht verlassen, sind aber in arbeitsfähiger Verfassung.

=== Generelle Quarantäne ===
Die Geschäftsleitung oder die Behörden beschließen, dass niemand mehr zur Arbeit erscheinen darf. Ein Großteil der Belegschaft ist aber fähig von zuhause zu arbeiten.

Da viele Tätigkeiten von den Mitarbeitern auch von Zuhause erledigt werden können, ist der Betrieb durch eine Quarantäne nur mittelbar gefährdet (Absage von Aufträgen). Mitarbeiter haben ohnehin die Autorisierung und Mittel zur Homeoffice Arbeit und werden je nach Gefahrenlage rechtzeitig aufgefordert, von Zuhause zu arbeiten.
* Nähere Informationen in der [[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln (03_04)]]

[[Category:ISMS]]

Umgang mit Datenschutzverletzungen

2023-09-27T07:50:31Z

Niels.debruijn@parasol-island.com: Inhalte hinzugefügt

== Zweck ==
Die europäische Datenschutzgrundverordnung schreibt vor, dass bei einer Datenschutzverletzung, die ein Risiko für die betroffenen Personen bedeutet, die Aufsichtsbehörden innerhalb von 72 Stunden von diesem Vorfall in Kenntnis zu setzen sind. Damit dieser Vorgang fristgerecht und korrekt ablaufen kann, wird er in diesem Dokument detailliert beschrieben.

Da jeder Datenschutzvorfall ein Informationssicherheitsvorfall ist, sind außerdem die Anweisungen aus der „Richtlinie zum Umgang mit Sicherheitsvorfällen“ (ISMS, 02_26) zu beachten. Sollte es sich außerdem um einen Cyber-Angriff handeln, so gelten zusätzlich die in der ”Arbeitsanweisung für den Umgang mit Cyber Crime” (ISMS, 03_14) beschriebenen Maßnahmen.

Diese Arbeitsanweisung konzentriert sich auf die Einhaltung der gesetzlichen Vorschriften der DSGVO und des BDSG.

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Prozessübersicht ==
Nach der Erkennung eines Datenschutzvorfalls gelten gesetzlich vorgeschriebene Meldepflichten. Die folgende Abbildung zeigt die dabei zu treffenden Entscheidungen. Für die Gesamtübersicht zur Behandlung von Sicherheitsvorfällen siehe „Richtlinie zum Umgang mit Sicherheitsvorfällen“ (ISMS, 02_26).
[[File:Prozess Datenschutzverletzung.png|alt=Prozess Datenschutzverletzung|center|thumb|Prozess Datenschutzverletzung]]

== Erkennen von Datenschutzverletzungen ==
Die europäische Datenschutzgrundverordnung definiert eine Datenschutzverletzung wie folgt (Art 4 Satz 12):

"eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden."

Wurde eine Datenschutzverletzung erkannt, ist diese umgehend an

* die Geschäftsführung (in Person von Philip Hansen) und
* den Datenschutzbeauftragten

zu melden. Bei Verletzungen, die bereits auf den ersten Blick als schwerwiegend zu betrachten sind oder bei denen das Risiko für die betroffenen Personen nicht direkt als vernachlässigbar zu betrachten ist, beinhaltet dieser Akt auch, sicherzugehen, dass die Meldung zeitnah vorgenommen wird. Das heißt, dass in diesen Fällen der direkte Kontakt zu suchen ist, da nicht davon ausgegangen werden kann, dass eine E-Mail o.ä. umgehend gelesen wird.

== Analyse und Risikoeinschätzung ==
Sofort nach der Erkennung der Datenschutzverletzung kümmern sich Geschäftsführung und Datenschutzbeauftragter unter Hinzuziehen geeigneter Mitarbeiter (wie z.B. den IT-Administratoren oder eventuell an der Verletzung beteiligten Personen) um die Analyse und die Risikoeinschätzung. Dabei sollte aus Datenschutzsicht insbesondere das Risiko für die betroffene(n) Person(en) im Vordergrund stehen.

* Vorlage „Risikoabschätzung bei Datenschutzverstößen“ (ISMS, 06_08)

== Meldung an Aufsichtsbehörde ==
Basierend auf der Risikoabschätzung entscheidet die Geschäftsführung in Abstimmung mit dem Datenschutzbeauftragten, ob eine Meldung an die Aufsichtsbehörde erfolgen soll. Die DSGVO schreibt eine Meldung innerhalb von 72 Stunden vor, wenn ein Risiko für die betroffenen Personen besteht.

Die Meldung erfolgt online über die Seite der [https://www.ldi.nrw.de/ Landesbeauftragten für Datenschutz und Informationssicherheit (https://www.ldi.nrw.de/)] und kann von jeder Person (auch ohne Account) vorgenommen werden.

== Informieren der betroffenen Personen ==
Stellt die Datenschutzverletzung ein hohes Risiko für die betroffene(n) Person(en) dar, so sind auch diese zu informieren. Sollte die Aufsichtsbehörde dies verlangen, so ist dem ebenfalls Folge zu leisten. Sollte es sich allerdings um eine Straftat handeln, so ist dies mit den Strafverfolgungsbehörden abzustimmen, um eventuelle Ermittlungen nicht zu gefährden.
Eine solche Information sollte folgendes enthalten:

* eine Beschreibung der Datenschutzverletzung,
* Name und Kontaktdaten des Datenschutzbeauftragten
* voraussichtliche (negative) Folgen der Datenschutzverletzung für die betroffene Person
* eine Beschreibung der Maßnahmen, die getroffen wurden oder werden, um die Auswirkungen möglichst gering zu halten.