Parasol - User contributions [en]

ISMS

2026-03-31T10:22:24Z

Philip.thome@parasol-island.com: /* Handlungsempfehlungen */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

{| class="wikitable"
|-
! Rolle !! Ansprechpartner !! Vertreter
|-
|
Informationssicherheitsbeauftragter

Datenschutzbeauftragter
|
Robert Kulis

COARTIFACT GmbH

[mailto:kulis@coartifact.com kulis@coartifact.com]

+49 221 66 99 9528
|
Philip Thomé

COARTIFACT GmbH

[mailto:thome@coartifact.com thome@coartifact.com]

+49 175 92 13 497
|-
|
IT-Administrator
|
Peter Norenkemper

[mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com]

+49 211 159 220 190
|
Stefan Kirste

[mailto:stefan.kirste@parasol-island.com stefan.kirste@parasol-island.com]

|-
|
Geschäftsführung
|
Philip Hansen

[mailto:philip.hansen@parasol-island.com philip.hansen@parasol-island.com]

+49 211 159 220 111
|
Sebastian Druschel

[mailto:sebastian.druschel@parasol-island.com sebastian.druschel@parasol-island.com]

+49 211 159 220 100
|}

==='''Leitlinie'''===
{|
!01
!01
|[[01 PSL ISMS Leitlinie|Informationssicherheits-Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
|
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutz-Leitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Richtlinie zur Führung eines ISMS]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie zu Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Richtlinie zu physischer Sicherheit]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichen und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Richtlinie zum Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|
|
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!18
|Arbeitsanweisung zur Durchführung von Schwachstellenscans
|Vertraulich
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
| ||
|}

==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Schulungsunterlagen'''===
{|
!06
!01
|[https://drive.google.com/file/d/1eBm9EgXejav2ZrpUBR7vswAlpXzgyKgi/view?usp=drive_link Informationssicherheit - Einführung]
|
|-
|
!02
|[https://drive.google.com/file/d/1jBIgNlVuutf_iCGWq0bDPkEj-SCoXwlW/view?usp=drive_link Datenschutz - Verarbeitungsverzeichnis]
|
|-
|
!03
|[https://drive.google.com/file/d/1q_ZnB_egT5n9AUwYWgFGCHyL4k_g2BB8/view?usp=drive_link Datenschutz - Auftragsverarbeitung]
|
|}

==='''Auflistungen und Dokumentation'''===
{|
!07
!01
|[[Software und Tools]]
|
|-
|
!02
|[[Cloud-Dienste]]
|
|}

[[Category:ISMS|ISMS]]

04 01 PSL ISMS Software-Allow-List

2026-03-31T10:20:31Z

Philip.thome@parasol-island.com: Philip.thome@parasol-island.com moved page 04 01 PSL ISMS Software-Allow-List to Software und Tools: Neue Struktur

#REDIRECT [[Software und Tools]]

Software und Tools

2026-03-31T10:20:31Z

Philip.thome@parasol-island.com: Philip.thome@parasol-island.com moved page 04 01 PSL ISMS Software-Allow-List to Software und Tools: Neue Struktur

Zurück zur [[ISMS|ISMS Übersicht]]

== Zielsetzung ==
Diese Zusammenfassung soll einzig als Hilfestellung dienen, bereits getroffene Entscheidungen über die Auswahl von IT Systemen in Form von Software (Betriebssystemen, Programme, App oder Webdiensten) zu Dokumentieren.

Da die Whitelist aufgrund der Vorherrschenden Prozessstruktur als nicht vollständig zu definieren ist, wird zusätzlich eine Blacklist geführt.

Die Aufnahme in eine der Listen ist erst nach sorgfältiger Abwägung der Risiken für die Sicherheitsziele, von Administration und Abteilungsleitern und Informationssicherheitsbeauftragten freizugeben. Eine Einstufung der Software auf der Whitelist autorisiert den Nutzer nicht zur eigenmächtigen Installation ohne Einwilligung der Administrators, auch nicht bei lokalen Administratorrechten.

Installation von Raubkopien oder Software die nicht für die Parasol Island GmbH lizenziert wurde ist generell verboten.

== Whitelist ==
{| style="border-spacing:0;width:15.928cm;"
|- style="background-color:#b7b7b7;border:1pt solid #b7b7b7;padding:0.176cm;"
| style="color:#ffffff;" |
| style="color:#ffffff;" |'''Name'''
| style="color:#ffffff;" |'''Hersteller'''
| style="color:#ffffff;" |'''Art'''
| style="color:#ffffff;" |'''Notiz'''
|-
| style="background-color:#d9ead3;border-top:1pt solid #b7b7b7;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Adobe
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Apple
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Autodesk
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Avid
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Blackmagic
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |eset
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Antivirensoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Foundry
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Google
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Webdienst/Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |diverse Online tools
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Maxxon
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Mozilla
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |diverse Online tools
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Royal Render
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Renderfarm Verwaltung
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |SideFX
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Grafiksoftware
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Steam
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |7zip
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |7zip
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |OSX
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Apple
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Betriebssystem
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Unreal Engine
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Epic Games
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Game Engine
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Windows 7
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Microsoft
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Betriebssystem
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Windows 10
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Microsoft
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Betriebssystem
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Office for mac
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Microsoft
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Notepad++
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |<nowiki>*</nowiki>
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |LibreOffice
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#d9ead3;border-top:1pt solid #d9ead3;border-bottom:1pt solid #d9ead3;border-left:1pt solid #d9ead3;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |QuickLook
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |ProRes preview Tool for Windows
|-
|}

== Blacklist ==
{| style="border-spacing:0;width:15.928cm;"
|- style="background-color:#b7b7b7;border:1pt solid #b7b7b7;padding:0.176cm;"
| style="color:#ffffff;" |
| style="color:#ffffff;" |'''Name'''
| style="color:#ffffff;" |'''Hersteller'''
| style="color:#ffffff;" |'''Art'''
| style="color:#ffffff;" |'''Notiz'''
|-
| style="background-color:#f4cccc;border-top:1pt solid #b7b7b7;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Antivir
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Avira
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#f4cccc;border-top:1pt solid #f4cccc;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Avast
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Avast
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#f4cccc;border-top:1pt solid #f4cccc;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Windows Vista
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Microsoft
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Betriebssystem
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#f4cccc;border-top:1pt solid #f4cccc;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Windows XP
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Microsoft
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Betriebssystem
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
|-
| style="background-color:#f4cccc;border-top:1pt solid #f4cccc;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |jDownloader
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |jDownloader
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Download Verwaltung
|-
| style="background-color:#f4cccc;border-top:1pt solid #f4cccc;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Torrent Dienste jeglicher Art
|-
| style="background-color:#f4cccc;border-top:1pt solid #f4cccc;border-bottom:1pt solid #f4cccc;border-left:1pt solid #f4cccc;border-right:1pt solid #b7b7b7;padding:0.176cm;" |
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Quicktime for Windows
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Apple
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Software
| style="background-color:#f3f3f3;border:1pt solid #b7b7b7;padding:0.176cm;" |Windows only!
|-
|}

02 05 PSL ISMS Change Management Richtlinie

2026-03-31T10:19:31Z

Philip.thome@parasol-island.com: /* Allowlist und Denylist */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
''„Ziel ist es sicherzustellen, dass bei Änderungen in der Organisation, den Geschäftsprozessen und an IT-Systemen (Change Management) Aspekte der Informationssicherheit berücksichtigt werden, damit die Änderungen nicht zu einer ungeregelten Verringerung des Informationssicherheitsniveaus führen.“ (5.2.1) (Verband der Automobilindustrie e.V. (VDA), 2020)''

Die Changemanagement-Richtlinie soll den Umgang mit Änderungen an den Prozessen und den IT-Systemen der Parasol Island GmbH regeln und bei dem Planungsprozess helfen.

Die Changemanagement-Richtlinie gilt für alle Mitarbeiter der Parasol Island GmbH und für alle Personen, die für die Parasol Island GmbH tätig werden

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Änderungen der Organisation und der Prozesse ==
Bei geplanten Änderungen an der Organisation und den Prozessen wird der Informationssicherheitsbeauftragte frühestmöglich durch die Geschäftsführung in die Planung einbezogen. Er stellt sicher, dass notwendige Anpassungen am ISMS erfolgen. Bei Bedarf unterstützt er durch die Erstellung von informationssicherheitsspezifischen Risikoanalysen und übernimmt die Koordination von notwendigen Maßnahmen im Rahmen des ISMS.

== Änderungen an IT-Systemen ==
Notwendige Änderungen an IT-Systemen sollen kontrolliert, effizient und unter Minimierung von Risiken für den Betrieb und die Leistungserbringung der Parasol Island GmbH durchgeführt werden.

Änderungen an IT-Systemen fallen in drei Klassen, die jeweils angemessen den Change-Management Prozess durchlaufen: Normale Changes, Standard Changes und Emergency Changes.

=== Normale Changes ===
Sind Änderungen an den IT-Systemen nötig, wird der Änderungswunsch durch den Antragsteller formuliert und der Geschäftsführung zur Freigabe vorgelegt.

Bei Bedarf unterstützt der ISB bei der Formulierung des Änderungsantrages und/oder bei der Bewertung und Freigabe durch die Geschäftsführung (u.a. durch die Erstellung einer ggf. notwendigen Risikoanalyse bzw. der Neubewertung bereits erfasster Risiken). Spätestens nach der positiven Entscheidung über eine Änderung wird der ISB einbezogen, um notwendige Änderungen am ISMS planen und durchführen zu können wie z.B. Anpassungen an Dokumentation, Risikolage, Schulungsinhalten.

Nach erfolgreicher Umsetzung der Änderung ist der ISB zu informieren und er setzt die Änderungen des ISMS in Kraft.

Der gesamte Prozess von Antragstellung über Durchführung bis zur Anpassung des ISMS ist durchgehend zu dokumentieren.

=== Standard-Changes ===
Notwendige Änderungen im normalen betrieblichen Ablauf, die keine hohen Risiken beinhalten und sich nur lokal auswirken, können als sogenannte Standard-Changes erfasst werden. Diese werden einmalig durch die Geschäftsführung auf Basis einer Risikoanalyse durch den Informationssicherheitsbeauftragten freigegeben werden. Sobald dies geschehen ist, dürfen Benutzer diese eigenständig in ihrem eigenen Ermessen durchführen.

Bei der Freigabe kann auch festgelegt werden, dass dieser Change nicht mehr dokumentiert werden muss. Andernfalls unterliegt ein solcher Change weiterhin der Dokumentationspflicht.

=== Emergency-Changes ===
Ist eine nicht als Standard-Change freigegebene Änderung kurzfristig notwendig und der normale Freigabeprozess kann nicht durchlaufen werden (weil z.B. keiner der Geschäftsführer erreichbar ist, oder der Prozess erfahrungsgemäß zu lange dauert), so wird die Entscheidung über die Umsetzung durch einen IT-Administrator oder seinen Vertreter getroffen. Bei Verfügbarkeit kann der ISB hinzugezogen werden.

Die Geschäftsführung und der ISB sind über die Durchführung eines Emergency-Changes baldmöglichst zu informieren. Außerdem ist der Change als solcher so dokumentieren.

== Risikomanagement ==
Vor größeren Änderungen an Arbeitsprozessen oder IT-Systemen ist eine Risikoanalyse auf Basis der Richtlinie zum Risikomanagement durchzuführen, um die Auswirkungen der Änderung auf den Betriebsablauf abzuschätzen.

Für Systeme mit erhöhtem Schutzbedarf ist eine erneute Prüfung nach vollzogener Änderung durchzuführen, in der die entstandenen Risiken neu ermittelt werden, um sicherzustellen, dass die Risikominimierung wie geplant eingetreten ist. Wenn nötig sind die Risikostrategien anzupassen, um das Risiko weiter zu senken.

Risikoeinschätzungen für bestehende Assets werden in einem Ampelsystem (1. Grün, 2. Gelb, 3. Rot) in der Assetliste festgehalten.

== Einführung neuer Hard- oder Software ==
Für die Beschaffung von Hard- und Software ist als Grundlage ein Anforderungsprofil zu erstellen, das neben fachlichen und technischen Ausstattungsmerkmalen sowie ergonomischen Aspekten auch Anforderungen an die Informationssicherheit beschreibt. Nach Möglichkeit sollten Arbeitsplätze standardisiert ausgestattet werden, um Verwaltung und Administration zu erleichtern.

Es ist zu beachten, dass die Integration in die vorhandene oder geplante, informationstechnische Infrastruktur gewährleistet ist. Hierbei hat die möglichst reibungslose Funktionstüchtigkeit der IT-Komponenten oberste Priorität. Dies impliziert auch, dass Installationen gegebenenfalls auf einen Zeitraum verlegt werden, in denen keine zeitkritischen Projekte in Bearbeitung sind.

Es sind im Rahmen der Kommunikation und Archivierung bevorzugt Programme zu beschaffen, die eine Verschlüsselung ermöglichen.

Vor dem Einsatz ist neue Soft- und Hardware zu testen. Dabei sollten nach Möglichkeit Testsystem und Produktivbetrieb getrennt werden.

Es sind Test- und Freigabeverfahren zwischen der IT-Abteilung und den Fachbereichen abzusprechen. Nicht freigegebene Hard- und Software ist nicht einzusetzen.

Da durch die erforderliche Verwendung von hochspezialisierter Hard- und Software nicht sämtliche Eventualitäten oder Fehlerquellen effektiv ausgeräumt werden können, muss auch der Einsatz von fehlerbehafteten Komponenten möglich sein.

Hierzu wird in Zusammenarbeit von der IT und der Projektleitung eine Risikoeinschätzung durchgeführt und ein mögliches Vorgehen für den jeweiligen Einzelfall definiert.

Soft- und Hardware sind durch die Administratoren möglichst so zu konfigurieren, dass ohne weiteres Zutun der IT-Benutzer optimale Sicherheit erreicht werden kann.

== Allowlist und Denylist ==
Die im ISMS angegebenen Listen sollen als Hilfestellung dienen, bereits getroffene Entscheidungen über die Auswahl von IT-Systemen in Form von Software, Betriebssystemen, Programmen, Hardware, Apps, oder Webdiensten zu dokumentieren.

Da die Allowlist aufgrund der vorherrschenden Prozessstruktur als nicht vollständig zu definieren ist, wird zusätzliche eine Denylist geführt.

Die Aufnahme in eine der Listen ist erst nach sorgfältiger Abwägung der Risiken für die Sicherheitsziele von Administration, Abteilungsleitern und Informationssicherheitsbeauftragten freizugeben.

Eine Einstufung der Software auf der Allowlist autorisiert den Nutzer nicht zur eigenmächtigen Installation ohne Einwilligung des Administrators, auch nicht bei lokalen Administratorrechten.

Installation von Raubkopien oder Software, die nicht für die Parasol Island GmbH lizenziert wurde, ist generell verboten.
[[Category:ISMS]]

Deny- und Allowlist

2026-03-31T10:18:23Z

Philip.thome@parasol-island.com: /* Cloud-Dienste */

Zurück zur [[ISMS|ISMS Übersicht]]

Cloud-Dienste

2026-03-31T10:15:21Z

Philip.thome@parasol-island.com: Created page with "= Erlaubte Cloud-Dienste = {|class="wikitable sortable" ! Name !! Vertraulichkeitsfreigabe !! Verfügbarkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner |- ! 1Password | Streng Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper |- ! Awork | Intern || Normal verfügbar || Ja || Peter Norenkemper |- ! 3CX | Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper |- ! 3Q | Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel |- ! A..."

= Erlaubte Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Verfügbarkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! 1Password
| Streng Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Awork
| Intern || Normal verfügbar || Ja || Peter Norenkemper
|-
! 3CX
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! 3Q
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Adobe Analytics
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! AJAX
| Intern || Mittlere Verfügbarkeit || Nein || Peter Norenkemper
|-
! Amazon Web Services EMEA SARL
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! AnswerThePublic
| Öffentlich || Mittlere Verfügbarkeit || Nein || Nils Hartmann
|-
! Asana
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! BeReal
| Öffentlich || Mittlere Verfügbarkeit || Nein || Annika Jost
|-
! CCM19
| Öffentlich || Geringe Verfügbarkeit || Nein ||
|-
! ChatGPT
| Intern || Mittlere Verfügbarkeit || Nein || Peter Norenkemper
|-
! Cloudflare
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Colt Technology Services GmbH
| Keine Freigabe || Hoch verfügbar || Nein ||
|-
! CrossBrowserTesting
| Öffentlich || Mittlere Verfügbarkeit || Nein || Sebastian Druschel
|-
! Datev
| Vertraulich || Mittlere Verfügbarkeit || Ja || Melanie Fischer
|-
! DocuSign
| Vertraulich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! emplifi (Socialbakers)
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! ESET Cloud
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Facebook
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! Frame.io
| Vertraulich || Mittlere Verfügbarkeit || Ja || Philippe Stalla
|-
! Flockler
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! GitHub
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian druschel
|-
! Google Suite
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Google Werbeprodukte
| Öffentlich || Mittlere Verfügbarkeit || Ja || Nils Hartmann
|-
! Hiver
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Host Europe GmbH
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! Hotjar
| Öffentlich || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! InfluencerDB Tech GmbH & Co. KG
| Öffentlich || Mittlere Verfügbarkeit || Ja || Nils Hartmann
|-
! Instagram
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! Intruder.io
| Öffentlich || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! InVision
| Vertraulich || Mittlere Verfügbarkeit || Ja ||
|-
! Jamf
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! JW Player
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! leapsome
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! LinkedIn
| Öffentlich || Mittlere Verfügbarkeit || Nein || Sebastian Druschel
|-
! Mailchimp
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Mailgun
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Matomo Cloud
| Intern || Mittlere Verfügbarkeit || Ja ||
|-
! Melibo
| Keine Freigabe || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! Meta-Business-Tools
| Öffentlich || Geringe Verfügbarkeit || Nein ||
|-
! Miro
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! n8n
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Office 365
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! OS/
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Parasol Island Wiki
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Parsec
| Vertraulich || Mittlere Verfügbarkeit || Nein || Stefan Kirste
|-
! Peakon
| Vertraulich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Personio
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! pitch.com
| Vertraulich|| Mittlere Verfügbarkeit || Nein || Philippe Stalla
|-
! PLEO Kreditkartensystem
| Intern || Mittlere Verfügbarkeit || Ja || Moritz von Schrötter & Melanie Fischer
|-
! Brevo (ehemals SendInBlue)
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! sentry.io
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shipcloud
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shopify
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shotgrid
| Vertraulich || Mittlere Verfügbarkeit || Nein || Philip Hansen
|-
! SmartSheet
| Intern|| Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Snipe-IT
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Stable Diffusion / ComfyUI
| Öffentlich || Mittlere Verfügbarkeit || Nein || Stefan Kirste
|-
! Syncsketch
| Vertraulich || Geringe Verfügbarkeit || Nein || Philippe Stalla
|-
! TikTok Pixel
| Keine Freigabe || Geringe Verfügbarkeit || Nein ||
|-
! Twilio
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! X
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! UniFi Identity
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! YouTube
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|}

[[Category:ISMS]]
[[Category:DSMS]]

ISMS

2026-03-31T10:14:20Z

Philip.thome@parasol-island.com: /* Auflistungen und Dokumentation */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

{| class="wikitable"
|-
! Rolle !! Ansprechpartner !! Vertreter
|-
|
Informationssicherheitsbeauftragter

Datenschutzbeauftragter
|
Robert Kulis

COARTIFACT GmbH

[mailto:kulis@coartifact.com kulis@coartifact.com]

+49 221 66 99 9528
|
Philip Thomé

COARTIFACT GmbH

[mailto:thome@coartifact.com thome@coartifact.com]

+49 175 92 13 497
|-
|
IT-Administrator
|
Peter Norenkemper

[mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com]

+49 211 159 220 190
|
Stefan Kirste

[mailto:stefan.kirste@parasol-island.com stefan.kirste@parasol-island.com]

|-
|
Geschäftsführung
|
Philip Hansen

[mailto:philip.hansen@parasol-island.com philip.hansen@parasol-island.com]

+49 211 159 220 111
|
Sebastian Druschel

[mailto:sebastian.druschel@parasol-island.com sebastian.druschel@parasol-island.com]

+49 211 159 220 100
|}

==='''Leitlinie'''===
{|
!01
!01
|[[01 PSL ISMS Leitlinie|Informationssicherheits-Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
|
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutz-Leitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Richtlinie zur Führung eines ISMS]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie zu Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Richtlinie zu physischer Sicherheit]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichen und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Richtlinie zum Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|
|
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!18
|Arbeitsanweisung zur Durchführung von Schwachstellenscans
|Vertraulich
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Schulungsunterlagen'''===
{|
!06
!01
|[https://drive.google.com/file/d/1eBm9EgXejav2ZrpUBR7vswAlpXzgyKgi/view?usp=drive_link Informationssicherheit - Einführung]
|
|-
|
!02
|[https://drive.google.com/file/d/1jBIgNlVuutf_iCGWq0bDPkEj-SCoXwlW/view?usp=drive_link Datenschutz - Verarbeitungsverzeichnis]
|
|-
|
!03
|[https://drive.google.com/file/d/1q_ZnB_egT5n9AUwYWgFGCHyL4k_g2BB8/view?usp=drive_link Datenschutz - Auftragsverarbeitung]
|
|}

==='''Auflistungen und Dokumentation'''===
{|
!07
!01
|[[Software und Tools]]
|
|-
|
!02
|[[Cloud-Dienste]]
|
|}

[[Category:ISMS|ISMS]]

Deny- und Allowlist

2025-10-20T11:59:04Z

Philip.thome@parasol-island.com: /* Cloud-Dienste */

Zurück zur [[ISMS|ISMS Übersicht]]

= Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Verfügbarkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! 1Password
| Streng Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Awork
| Intern || Normal verfügbar || Ja || Peter Norenkemper
|-
! 3CX
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! 3Q
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Adobe Analytics
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! AJAX
| Intern || Mittlere Verfügbarkeit || Nein || Peter Norenkemper
|-
! Amazon Web Services EMEA SARL
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! AnswerThePublic
| Öffentlich || Mittlere Verfügbarkeit || Nein || Nils Hartmann
|-
! Asana
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! BeReal
| Öffentlich || Mittlere Verfügbarkeit || Nein || Annika Jost
|-
! CCM19
| Öffentlich || Geringe Verfügbarkeit || Nein ||
|-
! ChatGPT
| Intern || Mittlere Verfügbarkeit || Nein || Peter Norenkemper
|-
! Cloudflare
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Colt Technology Services GmbH
| Keine Freigabe || Hoch verfügbar || Nein ||
|-
! CrossBrowserTesting
| Öffentlich || Mittlere Verfügbarkeit || Nein || Sebastian Druschel
|-
! Datev
| Vertraulich || Mittlere Verfügbarkeit || Ja || Melanie Fischer
|-
! DocuSign
| Vertraulich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! emplifi (Socialbakers)
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! ESET Cloud
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Facebook
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! Frame.io
| Vertraulich || Mittlere Verfügbarkeit || Ja || Philippe Stalla
|-
! Flockler
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! GitHub
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian druschel
|-
! Google Suite
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Google Werbeprodukte
| Öffentlich || Mittlere Verfügbarkeit || Ja || Nils Hartmann
|-
! Hiver
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Host Europe GmbH
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! Hotjar
| Öffentlich || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! InfluencerDB Tech GmbH & Co. KG
| Öffentlich || Mittlere Verfügbarkeit || Ja || Nils Hartmann
|-
! Instagram
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! Intruder.io
| Öffentlich || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! InVision
| Vertraulich || Mittlere Verfügbarkeit || Ja ||
|-
! Jamf
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! JW Player
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! leapsome
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! LinkedIn
| Öffentlich || Mittlere Verfügbarkeit || Nein || Sebastian Druschel
|-
! Mailchimp
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Mailgun
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Matomo Cloud
| Intern || Mittlere Verfügbarkeit || Ja ||
|-
! Melibo
| Keine Freigabe || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! Meta-Business-Tools
| Öffentlich || Geringe Verfügbarkeit || Nein ||
|-
! Miro
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! n8n
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Office 365
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! OS/
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Parasol Island Wiki
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Parsec
| Vertraulich || Mittlere Verfügbarkeit || Nein || Stefan Kirste
|-
! Peakon
| Vertraulich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Personio
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! pitch.com
| Vertraulich|| Mittlere Verfügbarkeit || Nein || Philippe Stalla
|-
! PLEO Kreditkartensystem
| Intern || Mittlere Verfügbarkeit || Ja || Moritz von Schrötter & Melanie Fischer
|-
! Brevo (ehemals SendInBlue)
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! sentry.io
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shipcloud
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shopify
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shotgrid
| Vertraulich || Mittlere Verfügbarkeit || Nein || Philip Hansen
|-
! SmartSheet
| Intern|| Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Snipe-IT
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Stable Diffusion / ComfyUI
| Öffentlich || Mittlere Verfügbarkeit || Nein || Stefan Kirste
|-
! Syncsketch
| Vertraulich || Geringe Verfügbarkeit || Nein || Philippe Stalla
|-
! TikTok Pixel
| Keine Freigabe || Geringe Verfügbarkeit || Nein ||
|-
! Twilio
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! X
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! UniFi Identity
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! YouTube
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|}

[[Category:ISMS]]
[[Category:DSMS]]

Deny- und Allowlist

2025-10-20T09:29:25Z

Philip.thome@parasol-island.com: /* Cloud-Dienste */

Zurück zur [[ISMS|ISMS Übersicht]]

= Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Verfügbarkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! 1Password
| Streng Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Awork
| Intern || Normal verfügbar || Ja || Peter Norenkemper
|-
! 3CX
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! 3Q
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Adobe Analytics
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! AJAX
| Intern || Mittlere Verfügbarkeit || Nein || Peter Norenkemper
|-
! Amazon Web Services EMEA SARL
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! AnswerThePublic
| Öffentlich || Mittlere Verfügbarkeit || Nein || Nils Hartmann
|-
! Asana
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! BeReal
| Öffentlich || Mittlere Verfügbarkeit || Nein || Annika Jost
|-
! CCM19
| Öffentlich || Geringe Verfügbarkeit || Nein ||
|-
! ChatGPT
| Intern || Mittlere Verfügbarkeit || Nein || Peter Norenkemper
|-
! Cloudflare
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Colt Technology Services GmbH
| Keine Freigabe || Hoch verfügbar || Nein ||
|-
! CrossBrowserTesting
| Öffentlich || Mittlere Verfügbarkeit || Nein || Sebastian Druschel
|-
! Datev
| Vertraulich || Mittlere Verfügbarkeit || Ja || Melanie Fischer
|-
! DocuSign
| Vertraulich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! emplifi (Socialbakers)
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! ESET Cloud
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Facebook
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! Frame.io
| Vertraulich || Mittlere Verfügbarkeit || Ja || Philippe Stalla
|-
! Flockler
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! GitHub
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian druschel
|-
! Google Suite
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Google Werbeprodukte
| Öffentlich || Mittlere Verfügbarkeit || Ja || Nils Hartmann
|-
! Hiver
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Host Europe GmbH
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! Hotjar
| Öffentlich || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! InfluencerDB Tech GmbH & Co. KG
| Öffentlich || Mittlere Verfügbarkeit || Ja || Nils Hartmann
|-
! Instagram
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! Intruder.io
| Öffentlich || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! InVision
| Vertraulich || Mittlere Verfügbarkeit || Ja ||
|-
! Jamf
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! JW Player
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! leapsome
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! LinkedIn
| Öffentlich || Mittlere Verfügbarkeit || Nein || Sebastian Druschel
|-
! Mailchimp
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Mailgun
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Matomo Cloud
| Intern || Mittlere Verfügbarkeit || Ja ||
|-
! Melibo
| Keine Freigabe || Geringe Verfügbarkeit || Nein || Sebastian Druschel
|-
! Meta-Business-Tools
| Öffentlich || Geringe Verfügbarkeit || Nein ||
|-
! Miro
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! n8n
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Office 365
| Vertraulich || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! OS/
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Parasol Island Wiki
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Parsec
| Vertraulich || Mittlere Verfügbarkeit || Nein || Stefan Kirste
|-
! Peakon
| Vertraulich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Personio
| Intern || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! pitch.com
| Öffentlich || Mittlere Verfügbarkeit || Nein || Philippe Stalla
|-
! PLEO Kreditkartensystem
| Intern || Mittlere Verfügbarkeit || Ja || Moritz von Schrötter & Melanie Fischer
|-
! Brevo (ehemals SendInBlue)
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! sentry.io
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shipcloud
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shopify
| Öffentlich || Mittlere Verfügbarkeit || Ja || Sebastian Druschel
|-
! Shotgrid
| Vertraulich || Mittlere Verfügbarkeit || Nein || Philip Hansen
|-
! SmartSheet
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! Snipe-IT
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! Stable Diffusion / ComfyUI
| Öffentlich || Mittlere Verfügbarkeit || Nein || Stefan Kirste
|-
! Syncsketch
| Vertraulich || Geringe Verfügbarkeit || Nein || Philippe Stalla
|-
! TikTok Pixel
| Keine Freigabe || Geringe Verfügbarkeit || Nein ||
|-
! Twilio
| Öffentlich || Mittlere Verfügbarkeit || Ja ||
|-
! X
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|-
! UniFi Identity
| Intern || Mittlere Verfügbarkeit || Ja || Peter Norenkemper
|-
! YouTube
| Öffentlich || Mittlere Verfügbarkeit || Ja || Annika Jost
|}

[[Category:ISMS]]
[[Category:DSMS]]

Deny- und Allowlist

2025-10-17T18:39:59Z

Philip.thome@parasol-island.com: /* Cloud-Dienste */

Zurück zur [[ISMS|ISMS Übersicht]]

= Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Verfügbarkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! Brevo (ehemals SendInBlue)
| Intern || Normal verfügbar || Ja || Sebastian Druschel
|}

[[Category:ISMS]]
[[Category:DSMS]]

Deny- und Allowlist

2025-10-17T18:26:36Z

Philip.thome@parasol-island.com:

Zurück zur [[ISMS|ISMS Übersicht]]

= Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! 1Password
| streng vertraulich || sensible Daten || Peter Norenkemper
|-
! 3CX
| Intern || PbD || Peter Norenkemper
|-
! 3Q
| Öffentlich || PbD || Sebastian Druschel
|-
! Adobe Analytics
| Öffentlich || PbD || Sebastian Druschel
|-
! AJAX
| Intern || Keine PbD || Peter Norenkemper
|-
! Amazon Web Services EMEA SARL
| Öffentlich || PbD || Sebastian Druschel
|-
! AnswerThePublic
| Öffentlich || Keine PbD || Nils Hartmann
|-
! Asana
| Vertraulich || PbD || Peter Norenkemper
|-
! BeReal
| Öffentlich || Keine PbD || Annika Jost
|-
! ChatGPT
| Intern || Keine PbD || Peter Norenkemper
|-
! Cloudflare
| Öffentlich || PbD || Sebastian Druschel
|-
! CrossBrowserTesting
| Öffentlich || Keine PbD || Sebastian Druschel
|-
! Datev
| Vertraulich || PbD || Melanie Fischer
|-
! DocuSign
| Vertraulich || PbD || Sebastian Druschel
|-
! emplifi (Socialbakers)
| || PbD || Annika Jost
|-
! ESET Cloud
| Intern || PbD || Peter Norenkemper
|-
! Facebook
| Öffentlich || PbD || Annika Jost
|-
! Frame.io
| Vertraulich || PbD ||
|-
! Flockler
| Öffentlich || PbD ||
|-
! GitHub
| Intern || PbD || Sebastian druschel
|-
! Google Suite
| Vertraulich || PbD || Peter Norenkemper
|-
! Google Werbeprodukte
| || PbD || Nils Hartmann
|-
! Hiver
| Intern || PbD || Peter Norenkemper
|-
! Host Europe GmbH
| || PbD ||
|-
! Hotjar
| Intern || PbD ||
|-
! InfluencerDB Tech GmbH & Co. KG
| || || Nils Hartmann
|-
! Instagram
| Öffentlich || PbD || Annika Jost
|-
! InVision
| Vertraulich || PbD ||
|-
! Jamf
| Intern || PbD || Peter Norenkemper
|-
! JW Player
| || PbD || Sebastian Druschel
|-
! leapsome
| || PbD || Sebastian Druschel
|-
! LinkedIn
| Öffentlich || || Sebastian Druschel
|-
! Mailchimp
| Öffentlich || PbD || Sebastian Druschel
|-
! Mailgun
| || PbD || Sebastian Druschel
|-
! Matomo
| Intern || PbD ||
|-
! Miro
| Vertraulich || PbD ||
|-
! n8n
| Intern || PbD || Peter Norenkemper
|-
! Office 365
| Vertraulich || PbD || Peter Norenkemper
|-
! OS/
| Intern || PbD || Sebastian Druschel
|-
! Parasol Island Wiki
| Intern || PbD || Sebastian Druschel
|-
! Parsec
| Vertraulich || Keine PbD || Stefan Kirste
|-
! Peakon
| Vertraulich || || Sebastian Druschel
|-
! Personio
| Intern || PbD || Sebastian Druschel
|-
! pitch.com
| || Keine PbD ||
|-
! PLEO Kreditkartensystem
| Intern || PbD || "Moritz von Schrötter
|-
! Melanie Fischer"
|-
! Brevo (ehemals SendInBlue)
| Öffentlich || PbD || Sebastian Druschel
|-
! sentry.io
| || PbD || Sebastian Druschel
|-
! Shipcloud
| || PbD || Sebastian Druschel
|-
! Shopify
| || PbD || Sebastian Druschel
|-
! Shotgrid
| Vertraulich || || Philip Hansen
|-
! SmartSheet
| || PbD ||
|-
! Snipe-IT
| Intern || PbD || Peter Norenkemper
|-
! Stable Diffusion / ComfyUI
| || Keine PbD || Stefan Kirste
|-
! Syncsketch
| Vertraulich || PbD ||
|-
! Twilio
| || PbD ||
|-
! X
| || PbD || Annika Jost
|-
! UniFi Identity
| Intern || PbD || Peter Norenkemper
|-
! YouTube
| Öffentlich || PbD || Annika Jost
|}

[[Category:ISMS]]
[[Category:DSMS]]

Deny- und Allowlist

2025-10-17T18:21:07Z

Philip.thome@parasol-island.com:

Zurück zur [[ISMS|ISMS Übersicht]]

= Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! 1Password
| streng vertraulich || sensible Daten || Peter Norenkemper
|-
! BeReal
| öffentlich || keine Daten || Annika Jost
|}

[[Category:ISMS]]
[[Category:DSMS]]

Deny- und Allowlist

2025-10-17T18:20:02Z

Philip.thome@parasol-island.com: Created page with "{{DISPLAYTITLE:Deny- und Allowlist - In Bearbeitung}} Zurück zur ISMS Übersicht = Cloud-Dienste = {|class="wikitable sortable" ! Name !! Vertraulichkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner |- ! 1Password | streng vertraulich || sensible Daten || Peter Norenkemper |- ! BeReal | öffentlich || keine Daten || Annika Jost |}"

{{DISPLAYTITLE:Deny- und Allowlist - In Bearbeitung}}

Zurück zur [[ISMS|ISMS Übersicht]]
= Cloud-Dienste =

{|class="wikitable sortable"
! Name !! Vertraulichkeitsfreigabe !! Datenschutzfreigabe !! Ansprechpartner
|-
! 1Password
| streng vertraulich || sensible Daten || Peter Norenkemper
|-
! BeReal
| öffentlich || keine Daten || Annika Jost
|}

02 06 PSL ISMS Datenschutzrichtlinie

2025-10-17T18:05:53Z

Philip.thome@parasol-island.com:

{{DISPLAYTITLE:02 06 PSL ISMS Datenschutzrichtlinie}}

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
Diese Richtlinie definiert den Umgang mit personenbezogenen Daten bei der Parasol Island GmbH. Dabei stützt sie sich auf aktuell geltendes Recht, insbesondere auf die Datenschutzgrundverordnung der Europäischen Union (DSGVO) ergänzt durch lokale Gesetzgebung wie z.B. das Bundesdatenschutzgesetz (BDSG) oder das Gesetz zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien (TTDSG).

== Geltungsbereich ==
Während die „Leitlinie zum Datenschutz“ (ISMS, 01_02) sich auch an Kunden richtet, richtet sich diese Richtlinie an die Mitarbeiter der Parasol Island GmbH.

Sie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Organisation des Datenschutzes ==
Die Verantwortung für den Datenschutz liegt bei der Geschäftsführung.

Die Parasol Island bestellt einen (externen) Datenschutzbeauftragten. Darüber hinaus können für die einzelnen Standorte Datenschutzkoordinatoren ernannt werden, die den Datenschutzbeauftragten bei seiner Tätigkeit unterstützen.

Der Datenschutzbeauftragte ist bei datenschutzrelevanten Themen zu Rate zu ziehen. Insbesondere sind Prozesse, die den Datenschutz betreffen, so zu gestalten, dass die Involvierung des Datenschutzbeauftragten sichergestellt ist.

Stellungnahmen, Kommentare, Risikoeinschätzungen und andere Ergebnisse der Tätigkeit des Datenschutzbeauftragten sind zu dokumentieren.

Das Management des Datenschutzes erfolgt im Informationssicherheits-Managementsystem. Für Regelungen bzgl. des Datenschutzes gelten die gleichen Regelungen wie für solche der Informationssicherheit. So sind z.B. auch jene regelmäßig zu überprüfen, aktuell zu halten und laufend zu verbessern. Siehe auch die „Richtlinie zur Führung eines ISMS“ (ISMS, 02_00).

== Einhaltung der gesetzlichen Anforderungen ==
 Für Prozesse, bei denen vermehrt personenbezogene Daten verarbeitet werden, sind eigene Arbeitsanweisungen oder Handlungsempfehlungen zu erstellen, die diese Verarbeitung personenbezogener Daten genauer beschreiben, um die Sicherheit der Verarbeitung zu erhöhen.

Ebenso wie zur Einhaltung der Informationssicherheit sind alle Mitarbeiter und eventuelle Dienstleister zur Einhaltung der Vertraulichkeit zu verpflichten. Für Mitarbeiter ist dies im Arbeitsvertrag verankert (ISMS, 06_07), für Freelancer gibt es eine eigene Verpflichtung zum Datenschutz (ISMS, 06_04).

=== Führen eines Verzeichnisses von Verarbeitungstätigkeiten ===
Jedes Unternehmen ist nach Art. 30 DSGVO verpflichtet ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Die Koordination der Erstellung eines solchen Verzeichnisses übernimmt der Datenschutzbeauftragte.

Für jede Verarbeitungstätigkeit wird eine Abteilung und ein Mitarbeiter aus dieser Abteilung als zuständige Person benannt. Dieser zuständigen Person obliegt die Pflege der Informationen. Dies schließt die regelmäßige Prüfung auf Aktualität mit ein.

=== Technische und organisatorische Maßnahmen ===
Der Schutz personenbezogener Daten erfordert die Definition und Umsetzung technischer und organisatorischer Maßnahmen. Diese sind z.B. auch Bestandteil von Auftragsverarbeitungsverträgen, bei denen die Parasol Island Auftragsverarbeiter ist. Außerdem wird von immer mehr Kunden die Umsetzung verschiedener Maßnahmen gefordert. Daher setzt die Parasol Island geeignete technische und organisatorische Maßnahmen um.

Diese sind zu dokumentieren. Außerdem müssen auch diese regelmäßig überprüft, bewertet und nach Möglichkeit verbessert werden. Bei der Veröffentlichung der Dokumentation der technischen und organisatorischen Maßnahmen ist darauf zu achten, dass durch die Veröffentlichung die Informationssicherheit der Parasol Island nicht beeinträchtigt wird.

==== Löschkonzepte ====
Für personenbezogene Daten sind Löschkonzepte zu entwickeln, regelmäßig auf Aktualität zu prüfen und gegebenenfalls zu überarbeiten. Dies kann im Zuge des Führens des Verzeichnisses von Verarbeitungstätigkeiten geschehen. In diesem Fall ist die für die Verarbeitungstätigkeit zuständige Person auch für das Löschkonzept und dessen Einhaltung zuständig.

==== Mitarbeiterschulungen ====
Die Mitarbeiter der Parasol Island werden in regelmäßigen Abständen geschult. Dies wird in einer eigenen Richtlinie beschrieben (ISMS, 02_15)

=== Einsatz von Auftragsverarbeitern ===
Alle Dienstleister sind vor Beauftragung auf die Einhaltung des Datenschutzes zu verpflichten.
Der Einsatz von Auftragsverarbeitern benötigt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dabei ist sicherzustellen, dass der Auftragsverarbeiter allen Anforderungen an den Datenschutz genügt. Siehe hierzu auch:

* Allgemeine Informationssicherheitsrichtlinie (ISMS, 02_01)
* Richtlinie zu IT-Dienstleistungen (ISMS, 02_10)
* Richtlinie zu externen Dienstleistern (ISMS, 02_11)

== Prüfung der Umsetzung ==
Die Einhaltung der Regelungen zum Datenschutz sind regelmäßig zu überprüfen und zu überwachen. Dies obliegt dem Datenschutzbeauftragten. Dieser Prozess ist zu dokumentieren.

Da Datenschutz und Informationssicherheit bei der Parasol Island sehr eng miteinander verbunden sind, weil z.B. Regelungen zum Umgang mit sensiblen Daten – seien es projektbezogene Daten oder personenbezogene Daten – identisch sind, oder die verantwortlichen Rollen von gleichen Mitarbeitern besetzt sind, kann es sich als sinnvoll erweisen, Prüfungen und Überwachungsmethoden zu vereinheitlichen.

== Die Parasol Island als Auftragsverarbeiter ==
Ist die Parasol Island Auftragsverarbeiter, so basiert diese Verarbeitung auf einem Auftragsverarbeitungsvertrag. Dieser ist vor Verarbeitungsbeginn zu unterzeichnen und sollte in Abstimmung mit dem Datenschutzbeauftragten erstellt werden.

Die Parasol Island verpflichtet sich zur Einhaltung der gesetzlichen Regelungen sowie der in diesem Vertrag geschlossenen Vereinbarungen. Daher etabliert die Parasol Island u.a. die in den folgenden Abschnitten beschriebenen Prozesse und Vorgehen.

=== Einsatz von Unterauftragsverarbeitern ===
Externe Dienstleister werden, wie oben beschrieben, vor ihrer Beauftragung überprüft. Beim Einsatz externer Dienstleister als Unterauftragsverarbeiter ist darauf zu achten, dass diese im AVV festgelegt werden, wenn bei Vertragsschluss bereits bekannt ist, um welche Unterauftragsverarbeiter es sich handelt.

Sollten Unterauftragsverarbeiter erst nach Vertragsschluss hinzugezogen werden, so muss zusätzlich zu der Standardprüfung betrachtet werden, ob der Einsatz dieses Dienstleisters bestehenden Auftragsverarbeitungsverträgen entspricht. Eventuell muss die Zustimmung des Auftraggebers eingeholt werden. Zusätzlich müssen bestehende Verpflichtungen aus bestehenden Auftragsverarbeitungsverträgen an den Unterauftragsverarbeiter weitergegeben werden

=== Meldeprozesse ===
Die wichtigste Meldung an einen Auftraggeber ist das Auftreten eines Datenschutzvorfalls, da dieser eventuell innerhalb von 72 Stunden vom Verantwortlichen an die Datenschutzbehörde gemeldet werden muss. Es ist sicherzustellen, dass solche Vorfälle unverzüglich an den Auftraggeber gemeldet werden. Dies schließt insbesondere die Feststellung rechtswidriger Datenverarbeitungen ein.

Darüber hinaus müssen an den Auftraggeber folgende Informationen gemeldet werden. Je nach Ausgestaltung des Auftragsverarbeitungsvertrages steht ihm ein Mitspracherecht zu.

* Änderung des Datenschutzbeauftragten
* Änderung von TOMs
* Änderung von Unterauftragsverarbeitern

=== Verzeichnis von Verarbeitungstätigkeiten ===
Die Parasol Island führt ein Verzeichnis aller Verarbeitungstätigkeiten, die sie im Auftrag von anderen durchführt. Dabei werden alle gesetzlichen Vorgaben (Art. 30 DSGVO Absatz 2) eingehalten. Diese Informationen können durch weitere Daten ergänzt werden, wenn dies für die Parasol Island vorteilhaft ist.

=== Unterstützung des Auftraggebers ===
Während der Auftragsverarbeitung unterstützt die Parasol Island den Auftraggeber bei der Durchführung von Datenschutzfolgeabschätzungen und der Dokumentation der darauf resultierenden Ergebnisse. Diese Tätigkeiten werden von der Geschäftsführung freigegeben und anschließend vom Datenschutzbeauftragen koordiniert.

Ebenfalls unterstützt die Parasol Island den Verantwortlichen beim Umgang mit Betroffenenrechten, soweit dies möglich und der Verarbeitung angemessen ist. Der Datenschutzbeauftragte ist bei solchen Anfragen zu kontaktieren, sofern der Auftraggeber diesen nicht direkt in seiner Anfrage adressiert hat.

Die Details betreffend der Unterstützung durch die Parasol Island sind im Auftragsverarbeitungsvertrag zu regeln und geregelt.
[[Category:ISMS]]
[[Category:DSMS]]

02 05 PSL ISMS Change Management Richtlinie

2025-10-17T18:00:20Z

Philip.thome@parasol-island.com: /* Allowlist und Denylist */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
''„Ziel ist es sicherzustellen, dass bei Änderungen in der Organisation, den Geschäftsprozessen und an IT-Systemen (Change Management) Aspekte der Informationssicherheit berücksichtigt werden, damit die Änderungen nicht zu einer ungeregelten Verringerung des Informationssicherheitsniveaus führen.“ (5.2.1) (Verband der Automobilindustrie e.V. (VDA), 2020)''

Die Changemanagement-Richtlinie soll den Umgang mit Änderungen an den Prozessen und den IT-Systemen der Parasol Island GmbH regeln und bei dem Planungsprozess helfen.

Die Changemanagement-Richtlinie gilt für alle Mitarbeiter der Parasol Island GmbH und für alle Personen, die für die Parasol Island GmbH tätig werden

== Geltungsbereich ==
Diese Arbeitsanweisung gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Änderungen der Organisation und der Prozesse ==
Bei geplanten Änderungen an der Organisation und den Prozessen wird der Informationssicherheitsbeauftragte frühestmöglich durch die Geschäftsführung in die Planung einbezogen. Er stellt sicher, dass notwendige Anpassungen am ISMS erfolgen. Bei Bedarf unterstützt er durch die Erstellung von informationssicherheitsspezifischen Risikoanalysen und übernimmt die Koordination von notwendigen Maßnahmen im Rahmen des ISMS.

== Änderungen an IT-Systemen ==
Notwendige Änderungen an IT-Systemen sollen kontrolliert, effizient und unter Minimierung von Risiken für den Betrieb und die Leistungserbringung der Parasol Island GmbH durchgeführt werden.

Änderungen an IT-Systemen fallen in drei Klassen, die jeweils angemessen den Change-Management Prozess durchlaufen: Normale Changes, Standard Changes und Emergency Changes.

=== Normale Changes ===
Sind Änderungen an den IT-Systemen nötig, wird der Änderungswunsch durch den Antragsteller formuliert und der Geschäftsführung zur Freigabe vorgelegt.

Bei Bedarf unterstützt der ISB bei der Formulierung des Änderungsantrages und/oder bei der Bewertung und Freigabe durch die Geschäftsführung (u.a. durch die Erstellung einer ggf. notwendigen Risikoanalyse bzw. der Neubewertung bereits erfasster Risiken). Spätestens nach der positiven Entscheidung über eine Änderung wird der ISB einbezogen, um notwendige Änderungen am ISMS planen und durchführen zu können wie z.B. Anpassungen an Dokumentation, Risikolage, Schulungsinhalten.

Nach erfolgreicher Umsetzung der Änderung ist der ISB zu informieren und er setzt die Änderungen des ISMS in Kraft.

Der gesamte Prozess von Antragstellung über Durchführung bis zur Anpassung des ISMS ist durchgehend zu dokumentieren.

=== Standard-Changes ===
Notwendige Änderungen im normalen betrieblichen Ablauf, die keine hohen Risiken beinhalten und sich nur lokal auswirken, können als sogenannte Standard-Changes erfasst werden. Diese werden einmalig durch die Geschäftsführung auf Basis einer Risikoanalyse durch den Informationssicherheitsbeauftragten freigegeben werden. Sobald dies geschehen ist, dürfen Benutzer diese eigenständig in ihrem eigenen Ermessen durchführen.

Bei der Freigabe kann auch festgelegt werden, dass dieser Change nicht mehr dokumentiert werden muss. Andernfalls unterliegt ein solcher Change weiterhin der Dokumentationspflicht.

=== Emergency-Changes ===
Ist eine nicht als Standard-Change freigegebene Änderung kurzfristig notwendig und der normale Freigabeprozess kann nicht durchlaufen werden (weil z.B. keiner der Geschäftsführer erreichbar ist, oder der Prozess erfahrungsgemäß zu lange dauert), so wird die Entscheidung über die Umsetzung durch einen IT-Administrator oder seinen Vertreter getroffen. Bei Verfügbarkeit kann der ISB hinzugezogen werden.

Die Geschäftsführung und der ISB sind über die Durchführung eines Emergency-Changes baldmöglichst zu informieren. Außerdem ist der Change als solcher so dokumentieren.

== Risikomanagement ==
Vor größeren Änderungen an Arbeitsprozessen oder IT-Systemen ist eine Risikoanalyse auf Basis der Richtlinie zum Risikomanagement durchzuführen, um die Auswirkungen der Änderung auf den Betriebsablauf abzuschätzen.

Für Systeme mit erhöhtem Schutzbedarf ist eine erneute Prüfung nach vollzogener Änderung durchzuführen, in der die entstandenen Risiken neu ermittelt werden, um sicherzustellen, dass die Risikominimierung wie geplant eingetreten ist. Wenn nötig sind die Risikostrategien anzupassen, um das Risiko weiter zu senken.

Risikoeinschätzungen für bestehende Assets werden in einem Ampelsystem (1. Grün, 2. Gelb, 3. Rot) in der Assetliste festgehalten.

== Einführung neuer Hard- oder Software ==
Für die Beschaffung von Hard- und Software ist als Grundlage ein Anforderungsprofil zu erstellen, das neben fachlichen und technischen Ausstattungsmerkmalen sowie ergonomischen Aspekten auch Anforderungen an die Informationssicherheit beschreibt. Nach Möglichkeit sollten Arbeitsplätze standardisiert ausgestattet werden, um Verwaltung und Administration zu erleichtern.

Es ist zu beachten, dass die Integration in die vorhandene oder geplante, informationstechnische Infrastruktur gewährleistet ist. Hierbei hat die möglichst reibungslose Funktionstüchtigkeit der IT-Komponenten oberste Priorität. Dies impliziert auch, dass Installationen gegebenenfalls auf einen Zeitraum verlegt werden, in denen keine zeitkritischen Projekte in Bearbeitung sind.

Es sind im Rahmen der Kommunikation und Archivierung bevorzugt Programme zu beschaffen, die eine Verschlüsselung ermöglichen.

Vor dem Einsatz ist neue Soft- und Hardware zu testen. Dabei sollten nach Möglichkeit Testsystem und Produktivbetrieb getrennt werden.

Es sind Test- und Freigabeverfahren zwischen der IT-Abteilung und den Fachbereichen abzusprechen. Nicht freigegebene Hard- und Software ist nicht einzusetzen.

Da durch die erforderliche Verwendung von hochspezialisierter Hard- und Software nicht sämtliche Eventualitäten oder Fehlerquellen effektiv ausgeräumt werden können, muss auch der Einsatz von fehlerbehafteten Komponenten möglich sein.

Hierzu wird in Zusammenarbeit von der IT und der Projektleitung eine Risikoeinschätzung durchgeführt und ein mögliches Vorgehen für den jeweiligen Einzelfall definiert.

Soft- und Hardware sind durch die Administratoren möglichst so zu konfigurieren, dass ohne weiteres Zutun der IT-Benutzer optimale Sicherheit erreicht werden kann.

== Allowlist und Denylist ==
Die [[Deny- und Allowlist]] soll als Hilfestellung dienen, bereits getroffene Entscheidungen über die Auswahl von IT-Systemen in Form von Software, Betriebssystemen, Programmen, Hardware, Apps, oder Webdiensten zu dokumentieren.

Da die Allowlist aufgrund der vorherrschenden Prozessstruktur als nicht vollständig zu definieren ist, wird zusätzliche eine Denylist geführt.

Die Aufnahme in eine der Listen ist erst nach sorgfältiger Abwägung der Risiken für die Sicherheitsziele von Administration, Abteilungsleitern und Informationssicherheitsbeauftragten freizugeben.

Eine Einstufung der Software auf der Allowlist autorisiert den Nutzer nicht zur eigenmächtigen Installation ohne Einwilligung des Administrators, auch nicht bei lokalen Administratorrechten.

Installation von Raubkopien oder Software, die nicht für die Parasol Island GmbH lizenziert wurde, ist generell verboten.
[[Category:ISMS]]

PSL ISMS Aufbau und Pflege

2025-10-17T17:58:05Z

Philip.thome@parasol-island.com:

== Einleitung ==
„Nur wenn Informationssicherheit in den strategischen Zielen einer Organisation verankert ist, kann Informationssicherheit nachhaltig in einer Organisation umgesetzt werden. Das Informationssicherheitsmanagementsystem (ISMS) ist ein Steuerungsinstrument für die Organisationsleitung, mit dem sie sicherstellt, dass Informationssicherheit nicht nur ein Ergebnis von Zufällen und individuellem Engagement, sondern von nachhaltigem Management ist.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Informationssicherheit und Datenschutz haben für die Parasol Island GmbH einen sehr hohen Stellenwert. Daher führt die Parasol Island ein Managementsystem, das den Umgang mit Informationen und den Schutz von Daten regelt. Basierend auf der Informationssicherheitsleitlinie dient diese Richtlinie zur Beschreibung dieses Managementsystems. Da Datenschutz ein Teil von Informationssicherheit ist, wird dieses Managementsystem im Folgenden als Informationssicherheitsmanagementsystem (kurz: ISMS) bezeichnet.

Beim Umgang mit Informationen und dem ISMS sind neben einschlägigen Gesetzen und Vorschriften auch Normen, Vereinbarungen und Verträge einzuhalten. Dazu gehören unter anderem die

* DSGVO und das BDSG,
* Urhebergesetze,
* Arbeitnehmer-Vertretungsregelungen,
* Brandschutzvorschriften,
* Verträge mit Kunden oder Partnern,
* Aufbewahrungsfristen für Unterlagen,
* Vorgaben durch die ISO 27001 oder durch die TISAX-Zertifizierung.

Das Management System der Parasol Island GmbH setzt diese Anforderungen in konkrete Richtlinien und Arbeitsanweisungen um. Ziel des ISMS ist es die Sicherheit der Daten und Informationen zu maximieren und das Risiko eines Verlusts oder der Kompromittierung zu minimieren.

== Geltungsbereich des ISMS ==
Das ISMS gilt für die gesamte Parasol Island GmbH. Dies schließt nicht nur interne Mitarbeiter an allen Standorten mit ein, sondern auch externe Mitarbeiter, Dienstleister und weitere Stakeholder. Diese sind über die sie betreffenden Regelungen bzgl. der Informationssicherheit ausreichend zu informieren.

== Organisation, Rollen und Verantwortlichkeiten ==
„Ein erfolgreiches ISMS benötigt klare Verantwortlichkeiten in der Organisation.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Im Folgenden wird die Organisation der Parasol Island beschrieben. Dabei wird insbesondere darauf eingegangen, welche Rolle welche Funktion in Bezug auf das Informationssicherheitssystem hat. Neben der Unternehmensstruktur hat die Parasol Island auch im Projektgeschäft die hierarchische Unterscheidung zwischen Projektleiter und Projektmitgliedern. Dazu kommen Rollen, die sich durch das ISMS ergeben wie z.B. der Informationssicherheitsbeauftragte oder den Risikoeignern. Diese Übersicht ergänzt die Beschreibung aus der Informationssicherheitsleitlinie (siehe (ISMS, 01_00)).

=== Unternehmensstruktur ===
Die Parasol Island ist ein hierarchisch strukturiertes Unternehmen, in dem der Geschäftsführung die Abteilungsleiter unterstehen, die wiederum für alle übrigen Mitarbeiter verantwortlich sind.

==== Geschäftsführung ====
Die Geschäftsführung ist verantwortlich für die Informationssicherheit der Parasol Island. Für die Informationssicherheit ist insbesondere Philip Hansen Hauptansprechpartner.

==== Abteilungsleiter ====
Die Abteilungsleiter unterstützen den ISB beim Erarbeiten der Richtlinien, indem sie die Machbarkeit der Anforderungen unter dem Ziel der Informationssicherheit mit ihm erörtern. Daraus folgt eine konkrete Ausarbeitung in Form einer Arbeitsanweisung und die regelmäßige Kontrolle über die Einhaltung.

==== IT-Administratoren ====
Informationssicherheit umfasst auch die Sicherheit der betriebenen Informationstechnik. Daher kommt den IT-Administratoren eine besondere Rolle zu. Zum einen unterstützen und beraten sie die Mitarbeiter bei ihren alltäglichen Problemen und Herausforderungen mit der Informationstechnik, zum anderen sind sie für den Betrieb und das Installieren der organisationsweiten IT-Dienste zuständig. Damit liegt der Hauptteil der technischen Maßnahmen bezüglich der Informationssicherheit in ihrer Verantwortung.

==== Mitarbeiter ====
Jeder einzelne Mitarbeiter der Parasol Island ist an die Regelungen des ISMS gebunden und sollte sich jederzeit seiner Verantwortung für die Informationssicherheit und den Datenschutz bewusst sein.

=== Projektrollen ===
Auch innerhalb von Projekten gibt es eine Hierarchie zwischen den Projektleitern und den einzelnen Projektmitgliedern. Wichtig in den Projekten sind nicht nur die internen Regelungen der Parasol Island, sondern auch eventuelle individuell mit den Kunden abgesprochene Regelungen.

==== Produktion / Projektleitung ====
Die Produktion trägt dafür Sorge, dass die Abwicklung eines Projekts unter Einhaltung der Sicherheitsziele abläuft. Der Producer bewertet externe Dienstleister und Kunden schon vor dem Vertragsabschluss auf ihre Sicherheit. Eintreffende Informationen und Daten werden von ihm anhand der Sicherheitsstufen klassifiziert und zur Weiterverarbeitung an die berechtigten Mitarbeiter weitergereicht. Eine Risikobewertung ist in einer frühen Projektphase durchzuführen.

==== Projektmitglied ====
Da sich jedes Projekt in den Anforderungen an die Informationssicherheit unterscheiden kann, ist es wichtig, dass diese jedem Projektmitglied bekannt sind.

=== Informationssicherheitsrollen ===
Die Führung eines ISMS bringt weitere Rollen mit sich, die in diesem Abschnitt beschrieben werden.

==== Informationssicherheitsbeauftragter ====
Der Informationssicherheitsbeauftragte ist für die Pflege und Weiterentwicklung der Sicherheitsrichtlinien zuständig. Er arbeitet zusammen mit leitenden Angestellten der verschiedenen Abteilungen Maßnahmen und Möglichkeiten aus, um die Sicherheit stetig zu verbessern.

Er definiert und kontrolliert die Sicherheitszonen innerhalb der Geschäftsräume und er definiert und kontrolliert ebenso den gesicherten Transport von Gütern und Medien, die in das Betriebsgelände eingebracht oder hinaus transportiert werden.

Der ISB führt jährlich oder nach größeren Änderungen Mitarbeiterschulungen durch und ist dafür zuständig, dass neue Mitarbeiter in die Informationssicherheitsleitlinie durch ihn oder einen seiner Stellvertreter eingeführt werden.

Der ISB ist zur Erreichung der Informationssicherheitsziele in alle IT-Projekte frühzeitig einzubeziehen. Wenn Projektziele den Sicherheitsanforderungen entgegenstehen, obliegt der Geschäftsleitung die Entscheidung, welche Anforderungen eine höhere Priorität haben.

Sicherheitsereignisse und Auffälligkeiten werden in einem Logbuch vermerkt und ausgewertet. Bei akuter Gefährdungslage oder bei Verstößen gegen die Sicherheitsrichtlinie werden alle Mitarbeiter zur Sensibilisierung im regelmäßig stattfindenden Wochenmeeting oder per Rundmail informiert.

==== Datenschutzbeauftragter ====
Als zentrale Datenschutzinstanz gemäß DSGVO/ BDSG der Parasol Island GmbH ernennt die Geschäftsleitung einen Datenschutzbeauftragten (DSB), der für alle operativen Belange und Fragen des Datenschutzes zuständig ist soweit sie im Kern personenbezogene Daten betreffen.
Es muss sichergestellt werden, dass der DSB ordnungsgemäß und frühzeitig in alle Datenschutzfragen eingebunden wird. Er muss bei der Erfüllung seiner Aufgaben mit den erforderlichen Ressourcen, einem Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie zur Erhaltung seines Fachwissens unterstützt werden.

Der DSB hat folgende Aufgaben:

* Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Datenschutz-Pflichten
* Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen
* Beratung im Zusammenhang mit der Datenschutz Folgenabschätzung nach Art. 35 DSGVO und Überwachung ihrer Durchführung,
* Zusammenarbeit mit der Aufsichtsbehörde,
* Anlaufstelle für die Aufsichtsbehörde.

==== Informationseigner ====
Jedem Informationswert sollte ein sogenannter Informationseigner zugeordnet werden, der für diesen Wert verantwortlich ist.

==== Informationssicherheitskoordinator ====
Sowohl der Datenschutzbeauftragte als auf der Informationssicherheitsbeauftragte können in Absprache mit der Geschäftsführung Mitarbeiter als Koordinatoren bestimmen. Diese vertreten sie in den einzelnen Standorten.

== Der Aufbau des ISMS ==
Aus zahlreichen Gründen ist die Dokumentation des Informationssicherheitsprozesses auf allen Ebenen entscheidend für dessen Erfolg. Nur durch eine ausreichende Dokumentation

* werden getroffene Entscheidungen nachvollziehbar,
* sind Prozesse wiederholbar und standardisierbar und
* können Schwächen und Fehler erkannt und zukünftig vermieden werden.

Abhängig vom Gegenstand und vom Verwendungszweck einer Dokumentation werden folgende Arten von Dokumentationen unterschieden: Leitlinie, Richtlinien und Arbeitsanweisungen. Diese werden im Folgenden beschrieben. Darüber hinaus beinhaltet das ISMS verschiedene andere unterstützende Dokumentation wie z.B. Protokolle, Nachweise, Listen oder Auswertungen. Diese werden im Kontext ihrer Prozesse beschrieben.

Alle Dokumente des ISMS werden in regelmäßigen Abständen daraufhin überprüft, ob der Inhalt noch den aktuellen Begebenheiten entspricht. Diese Aufgabe obliegt dem Dokumentenverantwortlichen.[[File:Aufbau ISMS.png|none|thumb|734x734px]]

=== Die Leitlinie ===
Die Leitlinie definiert globale Ziele und Anforderungen im Rahmen der Informationssicherheit. In der Leitlinie beschreibt die Geschäftsführung die Strategie hinsichtlich der Informationssicherheit und des Datenschutzes. Daher dürfen die Genehmigung und Veröffentlichung dieser Daten und Dokumente nur durch die Geschäftsleitung erfolgen. Eine Delegierung ist nicht möglich.

=== Richtlinien ===
In den Richtlinien wird beschrieben, wie die Anforderungen aus den Leitlinien realisiert werden sollen. Diese werden durch den Informationssicherheits- bzw. Datenschutzbeauftragten erstellt und nach der Freigabe durch die Geschäftsführung veröffentlicht. Sie werden regelmäßig durch die Sicherheitsbeauftragten auf ihre Aktualität überprüft.

=== Arbeitsanweisungen ===
In den Arbeitsanweisungen werden die anzuwendenden Verhaltensweisen und Sicherheitsmaßnahmen in Form von Prozessbeschreibungen und Anleitungen für die Mitarbeiter verständlich beschrieben. Die Erstellung und Bearbeitung der Arbeitsanweisung obliegt dem zugeordneten Abteilungsleiter oder Sicherheitsbeauftragten. Im Falle eines zugeordneten Abteilungsleiters erfolgt die Freigabe in Abstimmung mit dem Sicherheitsbeauftragten. Ist der Sicherheitsbeauftragte verantwortlich für das Dokument oder gilt die Anweisung für alle Mitarbeiter, so erfolgt die Freigabe durch die Geschäftsführung.

=== Dokumentation ===
Aufzeichnungen müssen erstellt und instandgehalten werden, um den Nachweis der Konformität mit den Anforderungen und des wirksamen Funktionierens des ISMS zu liefern. Beispiele für Aufzeichnungen sind Managemententscheidungen, Audioaufzeichnungen, technische Dokumentationen und ausgefüllte Formulare für Zugangsberechtigungen.

Die Klassifikation der Daten sowie die Regelung der Zugriffsberechtigung und Einhaltung der Sicherheitsvorgaben der vierten Dokumentenebene sowie aller weiteren Daten und Dokumente innerhalb der Parasol Island GmbH erfolgen durch die jeweiligen Zuständigen/Verantwortlichen.

== Führen des ISMS ==
Nachdem die Rollen und der Aufbau des ISMS beschrieben wurde, geht der folgende Abschnitt darauf ein, wie die Parasol Island ihr ISMS führt. Um dem Ziel gerecht zu werden, eine umfassende Sicherheit für alle Informationen und personenbezogenen Daten zu gewährleisten, muss die Parasol Island nicht nur die im ISMS festgelegten Richtlinien und Arbeitsanweisungen befolgen, sondern diese müssen auch immer wieder hinterfragt, verbessert und den aktuellen Gegebenheiten angepasst werden. Das ISMS darf auch nicht nur Selbstzweck sein, sondern muss von allen Mitarbeitern – intern wie extern – aktiv gelebt werden.

Es ist daher essentiell, dass ein Bewusstsein für die Regelungen durch das ISMS geschaffen wird. Das kann auf verschiedenen Wegen erfolgen: sei es durch regelmäßige Schulungen, WebCasts, Hinweisen in den Regelmeetings, Rundmails oder Micro-Learnings. Die Mitarbeiter sollten das Gefühl haben, dass Informationssicherheit zu ihrem Alltag gehört und Sicherheitsbeauftrage und Geschäftsführung dieser einen sehr hohen Stellenwert zukommen lassen. Dies bedeutet auch für Fragen bzgl. Informationssicherheit und Datenschutz jederzeit ansprechbar zu sein.

Die im ISMS festgelegten Regelungen müssen befolgt werden. Dazu bedarf es der Überwachung durch die Sicherheitsbeauftragten und der Ahndung durch die Geschäftsführung. Die Art und Durchführung der Überwachung ist im ISMS beschrieben. Dies können automatische Monitorings sein wie z.B. die Übersicht, wie viele Mitarbeiter in einem Jahr eine Informationssicherheitsschulung erhalten haben, oder auch wie viele Sicherheitsvorfälle es gegeben hat. Die Sicherheitsbeauftragten können aber auch stichprobenartig überprüfen, ob z.B. ein Projekt eine Sicherheitsklassifizierung hat.

Außerdem führen die Sicherheitsbeauftragten regelmäßig Prüfungen durch, um zu sehen, ob die Daten und Konfigurationen dem Soll-Zustand entsprechen. So können beispielsweise Abweichungen in Benutzerberechtigungen erkannt werden. Auch diese Aufgaben werden im ISMS beschrieben.

Darüber hinaus werden die Tätigkeiten und Ergebnisse zur Nachverfolgbarkeit und zur Erfüllung der Nachweispflicht dokumentiert. Hier ist darauf zu achten, dass aus Gründen des Datenschutzes nicht mehr Daten als nötig erfasst werden.

=== Assessments & Reviews ===
„Es reicht nicht aus, Anforderungen an die Informationssicherheit zu definieren sowie Richtlinien zu erstellen und zu veröffentlichen. Es ist wichtig, regelmäßig die Wirksamkeit zu überprüfen (1.5.1).“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Wie in den bisherigen Abschnitten beschrieben, werden bei der Parasol Anforderungen und auch konkrete Handlungsanweisungen im ISMS festgehalten. Es darf dabei aber nicht bei reiner Dokumentation bleiben, es muss auch darauf geachtet werden, dass die Anforderungen beachtet und die Handlungsanweisungen befolgt werden.

Dazu ist es insbesondere wichtig, dass sich alle Mitarbeiter der für sie geltenden Regelungen bewusst sind. Die diesem Zweck dienlichen Maßnahmen werden in der Richtlinie zu Schulungen (ISMS, 02_15) beschrieben. Darüber hinaus muss die Umsetzung und Einhaltung kontinuierlich überprüft werden, Abweichungen erkannt und behoben sowie Verbesserungspotential ausgeschöpft werden.

Da die Verantwortung für die Informationssicherheit bei der Geschäftsführung liegt, muss diese sich des Zustandes der Informationssicherheit jederzeit bewusst sein.

==== Regeltermine ====
In regelmäßigen Abständen (mindestens einmal im Monat) und bei Bedarf informiert der Informationssicherheitsbeauftragte die Geschäftsführung hinsichtlich neuer Erkenntnisse im Bereich Informationssicherheit sowie dem Stand aktueller Tätigkeiten. Gemeinsam beschließen sie das weitere Vorgehen.

==== Managementbewertung ====
Einmal im Jahr stellt der Informationssicherheitsbeauftragte der Geschäftsführung einen ausführlichen Bericht über den Verlauf des letzten Jahres zur Verfügung. Dabei werden noch einmal die wichtigsten Sicherheitsereignisse, Maßnahmen und Ergebnisse interner Audits aufgeführt. All diese Informationen werden insbesondere hinsichtlich erkennbarer Trends untersucht und darauf basierend Vorschläge für Maßnahmen und Verbesserungen des kommenden Jahres erstellt. Diese Bewertung gilt als ergänzende Maßnahme zu den unterjährigen Terminen.

==== Interne Audits ====
Alle für die Informationssicherheit verantwortlichen Informationseigentümer müssen regelmäßig diejenigen Informationen und Prozesse hinsichtlich der sich aus dem ISMS ergebenen Anforderungen überprüfen. Die Ergebnisse dieser internen Prüfungen sind an den Informationssicherheits-beauftragten zu melden, der diese dann im Logbuch erfasst.

Als Grundlage für interne Prüfungen dient der VDA ISA-Katalog, ergänzt oder vervollständigt durch die Maßnahmen der ISO 27002.

==== Externe Audits ====
„Als wesentliches Kontrollwerkzeug reicht es nicht aus, die Wirksamkeit des ISMS ausschließlich aus einer Innensicht zu bewerten. Es muss zusätzlich in regelmäßigen Abständen und bei signifikanten Änderungen eine unabhängige und damit unbefangene Bewertung eingeholt werden.“ (1.5.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Zusätzlich zu den oben beschriebenen internen Audits wird die Parasol Island (auch) zur Erhaltung ihres TISAX-Labels mindestens alle drei Jahre von einem externen Prüfunternehmen auditiert.

=== Prüfung und Verbesserung ===
Um das ISMS kontinuierlich zu verbessern, werden die Regelungen regelmäßig hinterfragt und die Dokumentationen ausgewertet. Dazu werden verschiedene Besprechungen abgehalten. Dies können z.B. wiederkehrende Konferenzen zwischen den verschiedenen Informationseignern und den Informationssicherheitsbeauftragten sein, um aktiv diejenigen Dokumente zu kontrollieren, die im Verantwortungsbereich des Informationseigners liegen. Die Priorisierung der Tätigkeiten zur Verbesserung und die Entscheidung, welche Maßnahmen konkret getroffen werden, obliegt allerdings der Geschäftsführung. Daher muss diese in die Entscheidungsprozesse eingebunden und angemessen informiert werden.

Jährlich sollten durch den Informationssicherheitsbeauftragten interne Audits durchgeführt werden, um einen ganzheitlichen Überblick über den aktuellen Stand zu erhalten und zu erkennen, an welchen Stellen Verbesserungsbedarf besteht. Dies sollte insbesondere auch als Chance genutzt werden, das Unternehmen auf die externen Audits vorzubereiten, die TISAX alle drei Jahre fordert.

=== Dokumentationspflichten ===
Änderungen am ISMS sind generell zu dokumentieren. Diese sollten zum einen anhand der Dokumente ersichtlich sein, die die geltenden Regelungen beschreiben, zum anderen aber auch dem Informationssicherheits-Logbuch zu entnehmen sein.

[[Category:ISMS]]

02 PSL ISMS Datenschutzleitlinie

2025-10-17T17:56:55Z

Philip.thome@parasol-island.com:

== Vorwort ==
Sehr geehrte Damen und Herren,

im digitalen Zeitalter sind wir, Parasol Island, wie jede Organisation und jedes Unternehmen auf die Erfassung und Verarbeitung relevanter Daten für unsere Geschäftsabläufe angewiesen.

Dies gilt für auch für Ihre Daten, soweit Sie bei uns Kunde, Interessent, Geschäftspartner oder Mitarbeiter sind.

Der Schutz Ihrer personenbezogenen Daten hat für uns oberste Priorität. Daher sehen wir es als unsere Pflicht an, die Erfassung und Verarbeitung nach Vorgaben der unterschiedlichen gesetzlichen Anforderungen sicherzustellen.

Die Persönlichkeitsrechte und die Privatsphäre eines jeden Einzelnen zählen zu den wesentlichen Errungenschaften unserer Gesellschaft.

In unserer Datenschutzrichtlinie haben wir strenge Voraussetzungen für die Verarbeitung personenbezogener Daten geregelt. Diese entspricht den Anforderungen der Datenschutzgrundverordnung und weiterer Gesetze innerhalb der Bundesrepublik und der Europäischen Union.

Unsere Mitarbeiter sind verpflichtet, unsere Datenschutzrichtlinie einzuhalten und die jeweiligen Datenschutzgesetze zu wahren.

Düsseldorf, 02.05.2018

Philip Hansen Sebastian Druschel

= Ziel =
Parasol Island verpflichtet sich im Rahmen seiner gesellschaftlichen Verantwortung zur Einhaltung von Datenschutzrechten. Diese Datenschutzrichtlinie gilt für Parasol Island und basiert auf den in der Europäischen Union akzeptierten Grundprinzipien zum Datenschutz.

Die Datenschutzrichtlinie schafft eine der notwendigen Rahmenbedingungen für die Erfassung, Verarbeitung und gegebenenfalls Übermittlung von personenbezogenen Daten. Parasol Island gewährleistet das von der Europäischen Union und den lokalen Gesetzen verlangte angemessene Datenschutzniveau gemäß Datenschutzgrundverordnung (DSGVO), Bundesdatenschutzgesetz (BDSG) und anderer Gesetze.

= Geltungsbereich =
Diese Datenschutzrichtlinie gilt für Parasol Island und unsere Mitarbeiter. Die Datenschutzrichtlinie erstreckt sich auf sämtliche Verarbeitungen personenbezogener Daten. Anonymisierte Daten, z.B. für statistische Auswertungen oder Untersuchungen, unterliegen nicht dieser Datenschutzrichtlinie.

Die Mitarbeiter sind nicht berechtigt, von dieser Datenschutzrichtlinie abweichende Regelungen zu treffen. Eine Änderung dieser Datenschutzrichtlinie findet nur in Abstimmung mit dem Datenschutzbeauftragten statt. Die Änderungen werden innerhalb Parasol Island unverzüglich bekannt gegeben.

= Prinzipien der Verarbeitung personenbezogener Daten =

== Recht auf informationelle Selbstbestimmung ==
Grundlage des Datenschutzrechts ist das informationelle Selbstbestimmungsrecht des Einzelnen.

== Rechtmäßigkeit ==
Personenbezogene Daten müssen auf rechtmäßige Weise erhoben und verarbeitet werden. Bei der Verarbeitung personenbezogener Daten müssen die Persönlichkeitsrechte des Betroffenen gewahrt werden.

== Transparenz ==
Die Daten sollten bei dem Betroffenen selbst erhoben werden. Hierbei sollte er über den Zweck der Datenverarbeitung, die verantwortliche Stelle und über die ggf. notwendige Weitergabe an Dritte informiert werden.

== Zweckbindung ==
Personenbezogene Daten dürfen nur nach dem bei der Erhebung festgelegten Zweck verarbeitet werden. Eine nachträgliche Änderung des Zwecks bedarf der Zustimmung des Betroffenen oder einer relevanten Rechtfertigung.

== Datenvermeidung ==
Bei jeder Verarbeitung von personenbezogenen Daten dürfen nur die für den Zweck der Verarbeitung notwendigen Daten verwendet werden. Die personenbezogenen Daten dürfen nicht auf Vorrat für einen späteren möglichen Zweck gespeichert werden.

== Löschung ==
Nach Ablauf der gesetzlichen oder geschäftsprozessbezogenen Aufbewahrungsfristen sind die personenbezogenen Daten zu löschen. Bestehen im Einzelfall Anhaltspunkte für die Wahrung berechtigter Interessen, werden die Daten weiterhin gespeichert, bis das berechtigte Interesse entfällt.

== Richtigkeit der Daten ==
Die personenbezogenen Daten sind richtig und vollständig zu speichern. Es sind angemessene Maßnahmen zu treffen, damit unvollständige oder veraltete Daten gelöscht oder berichtigt werden.

== Vertraulichkeit ==
Im Umgang mit personenbezogenen Daten müssen diese vertraulich behandelt werden. Dies ist durch angemessene organisatorische und technische Maßnahmen gegen unberechtigten Zugriff, unrechtmäßige Verarbeitung und Weitergabe, Veränderung oder Zerstörung zu gewährleisten.

= Zulässigkeit der Datenverarbeitung =

== Kunden-, Interessenten- und Partnerdaten ==

=== Datenverarbeitung zur Erfüllung der vertraglichen Beziehung ===
Personenbezogene Daten des Interessenten, Kunden oder Partners dürfen zur Begründung, zur Durchführung und zur Beendigung des Vertragsverhältnisses verarbeitet werden. Dies umfasst auch die Betreuung des Vertragspartners, sofern dies im Zusammenhang mit dem Vertragszweck steht. Im Vorfeld eines Vertrages ist die Verarbeitung von personenbezogenen Daten zur Erstellung von Angeboten, zur Vorbereitung von Kaufanträgen oder zur Erfüllung sonstiger, auf einen Vertragsabschluss gerichteter Wünsche des Interessenten erlaubt. Interessenten dürfen während der Vertragsanbahnung unter Verwendung der Daten, die sie mitgeteilt haben, kontaktiert werden. Eventuell vom Interessenten geäußerte Einschränkungen sind zu beachten.

Wendet sich der Betroffene mit einem Informationsanliegen an Parasol Island, so ist die Datenverarbeitung für die Erfüllung dieses Anliegens zulässig. Widerspricht der Betroffene der Verwendung seiner Daten zu Zwecken der Werbung, so ist eine weitere Verwendung seiner Daten für diese Zwecke unzulässig und sie müssen für diese Zwecke gesperrt oder gelöscht werden.

=== Einwilligung in die Datenverarbeitung ===
Soweit der Betroffene einer Datenverarbeitung zustimmt, kann diese stattfinden. Vor der Einwilligung muss der Betroffene über die Art und den Umfang sowie seine Rechte informiert werden.

Die Einwilligungserklärung ist grundsätzlich schriftlich oder elektronisch einzuholen. Bei telefonischer Beratung kann die Einwilligung auch mündlich erteilt werden. Diese muss dokumentiert werden.

=== Datenverarbeitung aufgrund gesetzlicher Grundlage ===
Die Verarbeitung personenbezogener Daten ist zulässig, wenn staatliche Rechtsvorschriften dies verlangen, voraussetzen oder gestatten. Die Art und der Umfang der zulässigen Datenverarbeitung richten sich nach diesen Rechtsvorschriften.

=== Datenverarbeitung aufgrund berechtigten Interesses ===
Die Verarbeitung personenbezogener Daten kann erfolgen, wenn dies zur Durchsetzung eines berechtigten Interesses von Parasol Island notwendig ist.

Berechtigt sind in der Regel rechtliche (z.B. Durchsetzung von offenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen) Interessen. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen und zu dokumentieren.

=== Verarbeitung besonders schutzwürdiger Daten ===
Die Verarbeitung besonders schutzwürdiger personenbezogener Daten darf nur erfolgen, wenn dies gesetzlich erforderlich ist oder der Betroffene ausdrücklich eingewilligt hat.

Die Verarbeitung dieser Daten ist auch dann zulässig, wenn sie zwingend notwendig ist, um rechtliche Ansprüche gegenüber dem Betroffenen geltend zu machen, auszuüben oder zu verteidigen.

Vor der Verarbeitung der schutzwürdigen Daten ist der Datenschutzbeauftragte zu informieren.

=== Nutzerdaten im Internet ===
Wenn auf Webseiten oder in Programmen personenbezogene Daten erhoben, verarbeitet und genutzt werden, sind die Betroffenen hierüber in Datenschutzhinweisen zu informieren. Für den Betroffenen müssen diese Hinweise leicht erkennbar und verständlich sein.

Werden zur Analyse des Nutzungsverhaltens von Webseiten und Programmen Nutzungsprofile erstellt, so müssen die Betroffenen darüber in den Datenschutzhinweisen verständlich informiert werden.

Werden bei Webseiten oder Programmen in einem persönlichen Bereich Zugriffe auf personenbezogene Daten ermöglicht, so sind die Identifizierung und Authentifizierung der Betroffenen so zu gestalten, dass ein für den jeweiligen Zugriff angemessener Schutz erreicht wird.

== Mitarbeiter- und Bewerberdaten ==

=== Datenverarbeitung für das Arbeitsverhältnis ===
Für das Arbeitsverhältnis dürfen die personenbezogenen Daten verarbeitet werden, die für die Begründung, Durchführung und Beendigung des Arbeitsvertrages erforderlich sind. Bei der Anbahnung eines Arbeitsverhältnisses dürfen personenbezogene Daten von Bewerbern verarbeitet werden. Nach Ablehnung sind die Daten des Bewerbers unter Berücksichtigung beweisrechtlicher Fristen zu löschen, es sei denn, der Bewerber hat in eine weitere Speicherung für einen späteren Auswahlprozess eingewilligt.

Im bestehenden Arbeitsverhältnis muss die Datenverarbeitung immer auf den Zweck des Arbeitsvertrages bezogen sein.

=== Datenverarbeitung aufgrund gesetzlicher Erlaubnis ===
Die Verarbeitung personenbezogener Daten ist zulässig, wenn staatliche Rechtsvorschriften dies verlangen, voraussetzen oder gestatten. Die Art und der Umfang der zulässigen Datenverarbeitung richten sich nach diesen Rechtsvorschriften.

=== Einwilligung in die Datenverarbeitung ===
Eine Verarbeitung von Mitarbeiterdaten kann aufgrund einer Einwilligung des Betroffenen erfolgen. Einwilligungserklärungen müssen freiwillig abgegeben werden.

Die Einwilligungserklärung ist grundsätzlich schriftlich oder elektronisch einzuholen. Erlauben die Umstände dies ausnahmsweise nicht, kann die Einwilligung mündlich erteilt werden. Ihre Erteilung muss in jedem Fall dokumentiert werden.

=== Datenverarbeitung aufgrund berechtigten Interesses ===
Die Verarbeitung von Mitarbeiterdaten kann erfolgen, wenn dies zur Verwirklichung eines berechtigten Interesses von Parasol Island notwendig ist.

Berechtigt sind in der Regel rechtliche (z.B. Durchsetzung von offenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen) Interessen. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.

Kontrollmaßnahmen, die eine Verarbeitung von Mitarbeiterdaten erfordern, dürfen nur durchgeführt werden, wenn dazu eine gesetzliche Verpflichtung besteht oder ein begründeter Anlass gegeben ist. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.

=== Telekommunikation und Internet ===
Telefonanlagen, E-Mail-Adressen, Intranet und Internet werden in erster Linie im Rahmen der betrieblichen Aufgabenstellung durch das Unternehmen zur Verfügung gestellt. Sie sind Arbeitsmittel und Unternehmensressource. Sie dürfen im Rahmen der jeweils geltenden Rechtsvorschriften und der unternehmensinternen Richtlinien genutzt werden.

Eine generelle Überwachung der Telefon- oder E-Mail-Kommunikation bzw. Internet-Nutzung findet nicht statt. Zur Abwehr von Angriffen auf die IT-Infrastruktur oder auf einzelne Nutzer können Schutzmaßnahmen an den Übergängen des Unternehmensnetzwerkes implementiert werden, die technisch schädigende Inhalte blockieren oder die Muster von Angriffen analysieren.

Aus Gründen der Sicherheit kann die Nutzung der Telefon- oder E-Mail-Kommunikation bzw. Internet-Nutzung zeitlich befristet protokolliert werden.

Personenbezogene Auswertungen dieser Daten dürfen nur bei einem konkreten begründeten Verdacht eines Verstoßes gegen Gesetze oder Richtlinien von Parasol Island erfolgen. Der Datenschutzbeauftrage ist hierbei hinzuzuziehen.

= Übermittlung personenbezogener Daten =
Bei der Übermittlung von personenbezogenen Daten an Dritte muss die Zulässigkeit der Datenverarbeitung vorliegen. Der Empfänger der Daten muss darauf verpflichtet werden, diese nur zu den festgelegten Zwecken zu verwenden.

= Auftragsverarbeitung =
Eine Auftragsdatenverarbeitung liegt vor, wenn ein Auftragnehmer mit der Verarbeitung personenbezogener Daten beauftragt wird, ohne dass ihm die Verantwortung für den zugehörigen Geschäftsprozess übertragen wird.

In diesen Fällen ist ein Vertrag über eine Auftragsdatenverarbeitung abzuschließen. Dabei behält das beauftragende Unternehmen die volle Verantwortung für die korrekte Durchführung der Datenverarbeitung. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Bei der Erteilung des Auftrags sind die nachfolgenden Vorgaben einzuhalten:

# Der Auftragnehmer ist nach seiner Eignung zur Gewährleistung der erforderlichen technischen und organisatorischen Schutzmaßnahmen auszuwählen.
# Der Auftrag ist in Textform zu erteilen. Dabei sind die Weisungen zur Datenverarbeitung und die Verantwortlichkeiten des Auftraggebers und des Auftragnehmers zu dokumentieren.
# Der Auftraggeber muss sich vor Beginn der Datenverarbeitung von der Einhaltung der Pflichten des Auftragnehmers überzeugen. Die Einhaltung der Anforderungen an die Datensicherheit kann ein Auftragnehmer insbesondere durch Vorlage einer geeigneten Zertifizierung nachweisen. Die Kontrolle ist gegebenenfalls während der Vertragslaufzeit regelmäßig zu wiederholen.

= Rechte des Betroffenen =
Bei Geltendmachung der nachfolgenden Rechte sind diese umgehend zu bearbeiten und dürfen für den Betroffenen zu keinen Nachteilen führen.

# Der Betroffene kann Auskunft darüber verlangen, welche personenbezogenen Daten welcher Herkunft über ihn zu welchem Zweck gespeichert sind.
# Werden personenbezogene Daten an Dritte übermittelt, muss auch über die Identität des Empfängers oder über die Kategorien von Empfängern Auskunft gegeben werden.
# Sollten personenbezogene Daten unrichtig oder unvollständig sein, kann der Betroffene ihre Berichtigung oder Ergänzung verlangen.
# Der Betroffene kann der Verarbeitung seiner personenbezogenen Daten zu Zwecken der Werbung oder der Markt- und Meinungsforschung widersprechen. Für diese Zwecke müssen die Daten gesperrt oder gelöscht werden.
# Der Betroffene ist berechtigt, die Löschung seiner Daten zu verlangen, wenn die Rechtsgrundlage für die Verarbeitung der Daten fehlt oder weggefallen ist. Gleiches gilt für den Fall, dass der Zweck der Datenverarbeitung durch Zeitablauf oder aus anderen Gründen entfallen ist. Bestehende Aufbewahrungspflichten und einer Löschung entgegenstehende schutzwürdige Interessen müssen beachtet werden.
# Der Betroffene hat ein grundsätzliches Widerspruchsrecht gegen die Verarbeitung seiner Daten, das zu berücksichtigen ist, wenn sein schutzwürdiges Interesse aufgrund einer besonderen persönlichen Situation das Interesse an der Verarbeitung überwiegt.

Dies gilt nicht, wenn eine Rechtsvorschrift zur Durchführung der Verarbeitung verpflichtet.

= Vertraulichkeit der Verarbeitung =
Personenbezogene Daten unterliegen dem Datengeheimnis. Eine unbefugte Erhebung, Verarbeitung oder Nutzung ist den Mitarbeitern untersagt.

Unbefugt ist jede Verarbeitung, die ein Mitarbeiter vornimmt, ohne damit im Rahmen der Erfüllung seiner Aufgaben betraut und entsprechend berechtigt zu sein.

Dies erfordert die sorgfältige Aufteilung und Trennung von Rollen und Zuständigkeiten sowie deren Umsetzung und Pflege im Rahmen von Berechtigungskonzepten.

Mitarbeiter dürfen personenbezogene Daten nicht für eigene private oder wirtschaftliche Zwecke nutzen, an Unbefugte übermitteln oder diesen auf andere Weise zugänglich machen.

Diese Verpflichtung besteht auch nach Beendigung des Beschäftigungsverhältnisses fort.

= Sicherheit der Verarbeitung =
Personenbezogene Daten sind jederzeit gegen unberechtigten Zugriff, unrechtmäßige Verarbeitung oder Weitergabe, sowie gegen Verlust, Verfälschung oder Zerstörung zu schützen. Dies gilt unabhängig davon, ob die Datenverarbeitung elektronisch oder in Papierform erfolgt. Vor Einführung neuer Verfahren der Datenverarbeitung, insbesondere neuer IT-Systeme, sind technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten festzulegen und umzusetzen. Diese Maßnahmen haben sich am Stand der Technik, an den von der Verarbeitung ausgehenden Risiken und am Schutzbedarf der Daten zu orientieren.

= Datenschutzkontrolle =
Die Einhaltung der Datenschutzrichtlinie und der geltenden Datenschutzgesetze wird regelmäßig durch geeignete Kontrollen überprüft.

= Datenschutzvorfälle =
Datenschutzvorfälle müssen unverzüglich von den Mitarbeitern an die Geschäftsleitung oder an den Datenschutzbeauftragten gemeldet werden.

Insbesondere bei Fällen von

* unrechtmäßiger Übermittlung personenbezogener Daten an Dritte
* unrechtmäßigem Zugriff durch Dritte auf personenbezogene Daten
* bei Verlust personenbezogener Daten

ist die Meldung unverzüglich vorzunehmen, damit die bestehenden Meldepflichten an die Aufsichtsbehörden unverzüglich erfüllt werden können.

= Verantwortlichkeiten =
Die Geschäftsleitung ist für die ordnungsgemäße Datenverarbeitung verantwortlich.

Damit ist sie verpflichtet, sicherzustellen, dass die gesetzlichen und die in der Datenschutzrichtlinie enthaltenen Anforderungen des Datenschutzes berücksichtigt werden.

Die Umsetzung dieser Vorgaben liegt in der Verantwortung der zuständigen Mitarbeiter.

Bei Kontrollen durch die Aufsichtsbehörden ist der Datenschutzbeauftragte umgehend zu informieren.

= Der Datenschutzbeauftragte =
Jeder Betroffene kann sich mit Anregungen, Anfragen, Auskunftsersuchen oder Beschwerden im Zusammenhang mit Fragen des Datenschutzes oder der Datensicherheit an den Datenschutzbeauftragten wenden.

Anfragen und Beschwerden werden selbstverständlich vertraulich behandelt.

Unseren Datenschutzbeauftragten erreichen Sie wie folgt:

Robert Kulis

COARTIFACT GmbH

c/o Startplatz

Im Mediapark 5

50670 Köln

E-Mail: kulis@coartifact.com

Webseite: https://coartifact.com

Telefon: 0221/66999528

[[File:01 02 PSL ISMS Datenschutzleitlinie.pdf|thumb]]
[[Category:ISMS]]
[[Category:DSMS]]

04 01 PSL ISMS Whitelist Blacklist

2025-08-25T07:35:45Z

Philip.thome@parasol-island.com: Philip.thome@parasol-island.com moved page 04 01 PSL ISMS Whitelist Blacklist to 04 01 PSL ISMS Software-Allow-List: Name an modernes Wording angepasst

#REDIRECT [[04 01 PSL ISMS Software-Allow-List]]

Software und Tools

2025-08-25T07:35:45Z

Philip.thome@parasol-island.com: Philip.thome@parasol-island.com moved page 04 01 PSL ISMS Whitelist Blacklist to 04 01 PSL ISMS Software-Allow-List: Name an modernes Wording angepasst

Datenschutz-Grundverordnung (DSGVO)

2025-08-14T07:49:24Z

Philip.thome@parasol-island.com: /* Der Informationssicherheitsbeauftragter (ISB) und Datenschutzbeauftragter (DSB) */

==DSGVO/Was ist das==
Im Zuge der Umsetzung der Datenschutz-Grundverordnung (DSGVO) sind Unternehmen dazu angehalten, personenbezogene Daten „sparsam“ zu sammeln, also u.A. nach einer gewissen Zeit zu löschen. Die Grundregel lautet, das das Speichern von personenbezogenen Daten einen Zweck erfüllen muss. Die meisten Regeln sind für die Anwendung in Deutschland nicht neu, dennoch verursachen die hohen Bussgelder eine gewisse Unsicherheit.

Generell ist folgendes zu beachten:

===Infoblatt Handhabung des Datenschutzes im Arbeitsalltag===
In Deutsch: 

[[:File:pl_s_200307_infofaltblatt_betrieblicher_datenschutz.pdf]] 

In Englisch: 

[[:File:pl_s_200307_flyer-data-protection.pdf]] 

===Datenschutz Bekanntmachung===
Jede Webseite brauchte eine direkt zu erreichende "Datenschutz" Seite. Den Inhalt dieser Seite sollte der Datenschutz beauftragte des Kunden zur Verfügung stellen. Alternativ haben wir einen Zugang zu eRecht24, dort kann mit dem [https://www.e-recht24.de/mitglieder/tools/dsgvo-generator/ DSGVO Datenschutz Generator] eine entsprechende Datenschutz Seite (deutsch und englisch) konfiguriert werden. Dieses deckt auch vielfältige Anforderungen für den Einsatz von Social Plugins und Tracking-Pixeln ab.

===Cookie Bar===
Jede Webseite muss den User darüber informieren, dass sie Cookies benutzt.

===Tracking/Analytics===
Eine Besonderheit gilt der Integration von Webtracking. Wie ihr Google Analytics konform einsetzt, findet ihr hier: [[Google Analytics Datenschutz-Grundverordnung (DSGVO) konform einsetzten]]

===Plugins, Tools und Social===
Eine weitere Besonderheit gilt der Integration von Plugins und Tools (Inkl. YouTube, Facebook etc.). Diese müssen explizit (inkl. Nennung des Drittanbieter, erfasste Daten usw.) in der Datenschutzerklärung hinterlegt sein.

===Newsletter===
Die Speicherung von Empfängerdaten bei einem Drittanbieter muss explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein. Ein unverbindlicher [[Datenschutz-Grundverordnung (DSGVO)#Unverbindlicher_Textvorschlag_Newsletter|Textvorschlag]]. Sollte unsere Kunden diesen nutzen wollen, weist diese bitte ausdrücklich und schriftlich darauf hin, das wir für diese nicht haften.

===Kontaktformulare/Registrierung===
Da die Eingabe in Kontaktformulare bzw. von Registrierungsdaten (inkl. Facebook Connect) automatisch mit der Speicherung von Daten einhergeht, muss diese explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein.

===Der Informationssicherheitsbeauftragter (ISB) und Datenschutzbeauftragter (DSB)===
Seit dem 01.07.2021 unterstützt uns Robert Kulis als externer Informationssicherheitsbeauftragter (ISB) und Datenschutzbeauftragter (DSB).

Robert kennt unser ISMS und alle Themen rund um unsere TISAX-Zertifizierung und DSGVO-Compliance. Häufig sind die beiden Themenbereiche 'Informationssicherheit' und 'Datenschutz' eng miteinander verknüpft, insbesondere innerhalb von Ausschreibungen. 
Dass wir nun mit Robert jemanden an Board haben, der beide Themenfelder bearbeitet, erleichtert es uns, diese Aufgaben schnell und zielgerichtet zu lösen. Bitte plant Eure Themen dennoch vorausschauend und platziert sie frühzeitig. 

Natürlich wird Robert auch gemeinsam mit uns darauf hinwirken, dass Informationssicherheit weiterhin (und zunehmend) gelebter Alltag auf unserer Insel ist. Bitte unterstützt ihn, wenn er sich mit Fragen oder konkreten Bitten an Euch wendet. 

Bei allen Fragen & Themen bezüglich Informationssicherheit oder Datenschutz erreicht ihr Robert hier: 

robert.kulis@parasol-island.com
 

Bitte stellt konkrete Fragen und Aufgaben gerne an:
 

mailto:informationssicherheit@parasol-island.com
bzw.
mailto:datenschutz@parasol-island.com 
[[Category:ISMS]]

==Q&A==
===Soft Opt-In für Newsletter Empfänger===
Viele Anbieter senden Ihren Newsletter Empfängern eine Information zur "Änderung Ihrer Datenschutz Bestimmungen und AGB" mit der Möglichkeit für die Empfänger, den Newsletter abzubestellen. Ob diese "Soft Op-In" Massnahme angemessen ist, ist umstritten, da der Empfänger ja a.) bereits aktiv per "Opt-In" zugestimmt hat und b.) die Daten durch die Art ihrer Erhebung zweckgebunden sind. Entscheiden muss dies am Ende der Datenschutzbeauftragte des Kunden.

Auf jeden Fall muss die Speicherung von Empfängerdaten bei einem Drittanbieter explizit (inkl. Nennung des Drittanbieter) in der Datenschutzerklärung hinterlegt sein. Ein unverbindlicher [[Datenschutz-Grundverordnung (DSGVO)#Unverbindlicher_Textvorschlag_Newsletter|Textvorschlag]]. Sollte unsere Kunden diesen nutzen wollen, weist diese bitte ausdrücklich und schriftlich darauf hin, das wir für diese nicht haften.

====Datenschutzrichtlinie, Unverbindlicher Textvorschlag Newsletter====
<syntaxhighlight lang="html">
<h2>Newsletter</h2>
<h3>Newsletterdaten</h3>
Wenn Sie den auf der Website angebotenen Newsletter beziehen möchten, benötigen wir von Ihnen eine E-Mail-Adresse sowie Informationen, welche uns die Überprüfung gestatten, dass Sie der Inhaber der angegebenen E-Mail-Adresse sind und mit dem Empfang des Newsletters einverstanden sind. Weitere Daten werden nicht bzw. nur auf freiwilliger Basis erhoben. Diese Daten verwenden wir ausschließlich für den Versand der angeforderten Informationen und geben diese nicht an Dritte weiter.
Die Verarbeitung der in das Newsletteranmeldeformular eingegebenen Daten erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die erteilte Einwilligung zur Speicherung der Daten, der E-Mail-Adresse sowie deren Nutzung zum Versand des Newsletters können Sie jederzeit widerrufen, etwa über den "Austragen"-Link im Newsletter. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter gespeichert und nach der Abbestellung des Newsletters gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden (z.B. E-Mail-Adressen für den Mitgliederbereich) bleiben hiervon unberührt.
<h3>Mailjet</h3>
Diese Website nutzt Mailjet für den Versand von Newslettern. Anbieter ist die Mailjet SAS, 13-13 bis, rue de l’Aubrac, 75012 Paris, France. Mailjet ist ein Dienst, mit dem der Newsletterversand organisiert und analysiert werden kann. Die von Ihnen zwecks Newsletterbezug eingegebenen Daten (z.B. E-Mail-Adresse) werden auf den Servern von Mailjet in Deutschland bzw. Frankreich gespeichert.
Unsere mit Mailjet versandten Newsletter ermöglichen uns die Analyse des Verhaltens der Newsletterempfänger. Hierbei kann u. a. analysiert werden, wie viele Empfänger die Newsletternachricht geöffnet haben und wie oft welcher Link im Newsletter angeklickt wurde. Mit Hilfe des sogenannten Conversion-Trackings kann außerdem analysiert werden, ob nach Anklicken des Links im Newsletter eine vorab definierte Aktion (z.B. Kauf eines Produkts auf unserer Website) erfolgt ist. Weitere Informationen zur Datenanalyse durch Mailjet-Newsletter erhalten Sie unter: https://www.mailjet.de/privacy-policy/
Die Datenverarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, indem Sie den Newsletter abbestellen. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Wenn Sie keine Analyse durch Mailjet wollen, müssen Sie den Newsletter abbestellen. Hierfür stellen wir in jeder Newsletternachricht einen entsprechenden Link zur Verfügung. Des Weiteren können Sie den Newsletter auch direkt auf der Website abbestellen.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter gespeichert und nach der Abbestellung des Newsletters sowohl von unseren Servern als auch von den Servern von Mailjet gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden (z.B. E-Mail-Adressen für den Mitgliederbereich) bleiben hiervon unberührt.
 Näheres entnehmen Sie den Datenschutzbestimmungen von Mailjet unter: https://www.mailjet.de/privacy-policy/.

<h3>Abschluss eines Vertrags über Auftragsdatenverarbeitung</h3>
Wir sind mit Mailjet einen Vertrag zur Auftragsdatenverarbeitung eingegangen und setzen die strengen Vorgaben der deutschen Datenschutzbehörden bei der Nutzung von Mailjet vollständig um.
</syntaxhighlight>

02 04 PSL ISMS Business Continuity Management Richtlinie

2025-08-14T07:46:28Z

Philip.thome@parasol-island.com: /* Voraussetzungen für kurze Wiederanlaufzeiten */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
„Ausnahmesituationen (z. B. Naturkatastrophen, physische Angriffe, Cyber-Angriffe, gesellschaftliche Ausnahmesituationen, Unfälle oder Infrastrukturausfälle mit erheblichen Auswirkungen) stellen eine große Herausforderung für die Organisation dar. Eine gute Vorbereitung dient dazu, dass Informationssicherheitsrisiken auch in Ausnahmesituationen angemessen berücksichtigt werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Die BCM-Richtlinie soll Informationen zum Umgang mit Notfällen aufzeigen, um eine möglichst reibungslose Weiterführung oder Wiederaufnahme des Geschäftsbetriebes zu gewährleisten. Dazu gehören nicht nur die technischen und organisatorischen Maßnahmen, die im Falle eines Notfalls zu beachten sind, sondern insbesondere auch die Planung im Vorfeld, um Notfälle zu verhindern oder zumindest die Auswirkungen begrenzen zu können. Zur Vorbereitung gehört die Dokumentation von Verfahren und Maßnahmen sowie organisatorische Regelungen. Im Notfall muss es z. B. Verantwortliche mit klaren Kompetenzen geben. Zu einer guten Vorbereitung gehören ebenso Notfallschulungen und -übungen sowie eine stetige Pflege und Aktualisierung des Notfallvorsorgekonzeptes.

Insbesondere müssen auch während eines Notfalls die Anforderungen an die Informationssicherheit und den Datenschutz gewährleistet sein.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Übersicht ==
Im Folgenden werden die verschiedenen Phasen des Notfallmanagements beschrieben. Grundsätzlich muss davon ausgegangen werden, dass Notfälle auftreten werden. Daher muss man sich kontinuierlich auf diese vorbereiten und dagegen wappnen. Wenn ein Notfall eingetreten ist, gilt es zunächst, diesen zu beheben. Das Beheben der Ursache hat dann größte Priorität. Der Betrieb ist während dieser Zeit (stark) eingeschränkt. Wenn die Ursache behoben ist, kann damit begonnen werden, diesen Notbetrieb wieder in den Normalbetrieb zu überführen.

Betrachten wir als Beispiel ein Feuer im Serverraum. Als Vorbereitung werden Brandschutzmelder installiert, der Raum wird frei von brennbaren Materialien gehalten, ein Feuerlöscher installiert. Wenn es doch zu einem Feuer kommt, so kann schnell auf die direkte Ursache (das Feuer) reagiert werden. Darüber hinaus mag ein Backup-System an einem anderen Ort existieren, so dass dieses für den Notbetrieb verwendet werden kann. Die dafür notwendigen Tätigkeiten und Informationen sind im Notfallkonzept festgehalten, so dass nicht nur schnell auf die Ursache, sondern auch auf die direkten Auswirkungen reagiert werden kann. Das Notfallkonzept sollte dann auch noch die nötigen Schritte enthalten, den Normalbetrieb wiederherzustellen. D.h. z.B. darauf verweisen, wie neue Hardware bestellt wird.

== Vorbereitung auf Notfälle ==
Zur Vorbereitung und zur Prävention von Notfällen und damit verbundenen Ausnahmesituationen ist es essentiell, dass mögliche Ausnahmesituationen bekannt sind. Das können z.B. Brände, Wasserschäden (durch Starkregen), Überspannungen durch Gewitter, Pandemien (COVID-19), politische oder militärische Konflikte sein. Die Parasol Island führt eine Liste solch bekannter Ausnahmesituationen. Für jede dieser Ausnahmesituationen ist ein verantwortlicher Mitarbeiter benannt und Maßnahmen zur Prävention und zum Umgang mit einem solchen Notfall beschrieben.

Dabei ist insbesondere darauf zu achten, dass die Informationssicherheit und der Datenschutz auch während eines Notfalls berücksichtigt werden.

Viele Maßnahmen zur Prävention und zur Einhaltung eines angemessenen Schutzniveaus ergeben sich bereits aus den Anforderungen an die Informationssicherheit und den Datenschutz bei der Parasol Island. Daher sollte das Business Continuity Management den Fokus auf den Umgang mit dem Notfall und der Wiederherstellung des Normalzustandes legen. Maßnahmen zur Prävention sollten dann betrachtet werden, wenn sie bislang nicht berücksichtigt werden. Es bietet sich aber an, diese dann in das ISMS zu integrieren, um solche Maßnahmen nicht an mehreren Stellen zu verwalten.

Im Folgenden wird kurz auf mögliche organisatorische und technische Maßnahmen eingegangen, die zur Prävention von und zum Umgang mit Notfällen wichtig sein können.

=== Organisatorische Maßnahmen ===
Die Organisation innerhalb der Parasol Island kann entscheidend zum Umgang mit Notfällen beitragen. Je besser die organisatorische Vorbereitung, desto effizienter kann in einem Notfall gehandelt werden.

==== Ausbildung und Training der Mitarbeiter ====
Ein qualitativ hochwertiges Notfall- und Kontinuitätsmanagement greift nur dann optimal, wenn die Mitarbeiter zum einen für sicherheitsrelevante Vorfälle sensibilisiert sind und zum anderen bestmöglich für sicherheitsrelevante Vorfälle geschult werden.

==== Ersatzbeschaffungsplan ====
Ein allgemein gültiger Ersatzbeschaffungsplan ist aufgrund der stark variierenden Projektanforderungen, Deadlines und Hard- wie auch Softwareausstattung nicht möglich. Im Notfall wird eine Gruppe aus IT-Fachkräften und Projektleitern bestimmen, welche Maßnahmen zu ergreifen sind, um eine möglichst reibungslose Fortführung oder Wiederaufnahme der aktuell laufenden Projekte zu erreichen.

==== Versicherungsschutz ====
Verbleibende Restrisiken sollten möglichst unter Beachtung von Kosten-Nutzen-Aspekten durch Versicherungen abgedeckt werden. Beispiele sind:

* Sachversicherungen
* Feuerversicherung
* Einbruchdiebstahlversicherung
* Transportversicherung
* Datenträgerversicherung
* Elektronik-Versicherung

Die Leiter der Departments sind dafür verantwortlich, dass für ihre Prozesse der Abschluss von Versicherungen untersucht wird.

==== Ausweichmöglichkeiten ====
Angaben zu Ausweichmöglichkeiten sollten der Dokumentation der IT-Systeme beigefügt werden. Das Ausweichen auf alternative Standorte, IT-Systeme, Arbeitsplätze etc. sollte in Notfallübungen ausreichend geprobt werden.

==== Interne Ausweichmöglichkeiten ====
Alle Leiter der Departments sollten prüfen, ob bei Problemen mit den standardmäßig genutzten IT-Systemen ein Ausweichen auf andere IT-Systeme möglich ist. Bei der Untersuchung von Ausweichmöglichkeiten ist insbesondere auf die technischen Anforderungen an das Ausweich-IT-System zu achten. Kompatibilität und ausreichende Kapazitätsreserven des Ausweich-IT-Systems sind Grundvoraussetzung für dessen Benutzung.

Zusätzlich kann erwogen werden, die Niederlassung Berlin in die Ausweichplanung mit einzubeziehen.

==== Externe Ausweichmöglichkeiten ====
Externe Ausweichmöglichkeiten sind dann heranzuziehen, wenn mit internen Ausweichmöglichkeiten die Verfügbarkeitsanforderungen nicht mehr, oder nicht wirtschaftlich erfüllt werden können. Ausweichmöglichkeiten für nicht IT-spezifische Komponenten sind auch zu berücksichtigen. Beispielsweise im Bereich der Infrastruktur sind Ausweichmöglichkeiten für Serverräume in Betracht zu ziehen.

Ausweicharbeitsplätze, -Räume, -Rechenzentren etc. sind so vorzubereiten, dass im Notfall die Wechselzeit tolerierbar ist.

Größere Mengen an IT-Equipment kann über Miet- und Leasingpartner geordert werden. Diese werden über die allgemeinen Wege (IT-Leiter und ein Geschäftsführer) organisiert, wie sie auch für normale Veranstaltungsprojekte für Kunden der Parasol Island GmbH zum Teil im Einsatz sind.

Für zusätzliche Rechenleistung sind mehrere Renderfarmen bekannt, die in der Vergangenheit bereits eingesetzt wurden.

Für die externen Ausweichmöglichkeiten ist immer auch eine Risikoeinschätzung erforderlich, um sicherzustellen, dass Informationen gemäß ihrer Sicherheitsklassifizierung behandelt werden.

== Technische Maßnahmen ==
Die organisatorischen Maßnahmen können technisch unterstützt werden.

=== Physische Sicherheit ===
Die Infrastruktur (Gebäude und Räume) ist durch geeignete Maßnahmen zu sichern. Dazu gehören beispielsweise die Bereiche Zugangsschutz, Diebstahlschutz, Schutz vor Naturereignissen, Stromversorgung, Klimatisierung.

Durch eine unterbrechungsfreie Stromversorgung ist sicherzustellen, dass für hochverfügbare IT-Systeme ein kurzzeitiger Stromausfall keinen Schaden verursacht.

=== Automatische Erkennung von Vorfällen ===
Es gibt eine Reihe von Sicherheitsvorfällen, die mit entsprechender technischer Unterstützung automatisiert und daher frühzeitig erkannt werden können. Zu diesem Zweck sollen Detektionsmaßnahmen installiert werden.

Beispiele für solche technischen Detektionsmaßnahmen sind:

* Gefahrenmeldeanlage
* Rauchmelder
* Fernanzeige von Störungen
* Schadsoftware-Schutzprogramme
* Intrusion Detection und Intrusion Response Systeme
* Kryptographische Checksummen und digitale Signaturen

Die technischen Detektionsmaßnahmen müssen durch zusätzliche organisatorische Maßnahmen ergänzt werden (z. B. Meldewege, regelmäßige Aktualisierung und Überprüfung).

Bei der Auswahl von Detektionsmaßnahmen ist immer eine Kosten-Nutzen-Berechnung vorzulegen und die Wirksamkeit kritisch zu hinterfragen.

=== Datensicherungsplan ===
Datensicherungen sind zu erstellen, um Datenverlust vorzubeugen und Ersatz-Systeme schnell in Betrieb nehmen zu können.

Mit Hilfe eines Datensicherungsplans muss ein sachverständiger Dritter in der Lage sein, sämtliche für den Wiederanlauf einer IT-Anwendung erforderliche Software (Betriebssystemsoftware, Anwendungssoftware) und deren Daten in angemessener Zeit beschaffen und installieren zu können. Ein Datensicherungsplan muss Auskunft geben können über:

* Datum der Datensicherung
* Datensicherungsumfang (welche Dateien/Verzeichnisse wurden gesichert)
* Datenträger, auf dem die Daten im operativen Betrieb gespeichert sind
* Datenträger, auf dem die Daten gesichert wurden
* für die Datensicherung eingesetzte Hard- und Software (mit Versionsnummer)
* bei der Datensicherung gewählten Parameter (Art der Datensicherung usw.)
* Ort der Aufbewahrung

Es ist ein Datensicherungskonzept zu erstellen und zu beachten, in dem die Datensicherung explizit geregelt wird (ISMS, 02_09).

=== Wiederanlaufreihenfolge ===
Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen sowie deren Wichtigkeit beeinflussen die Wiederanlaufreihenfolge nach einem Ausfall eines IT-Systems oder dem Abbruch einer Anwendung. Entsprechende Zusammenhänge sind zu dokumentieren.

= Verhalten in Notfällen =
Ein Notfall sollte formal durch die Geschäftsführung ausgerufen werden, da schnelle Entscheidungen unabhängig von Hierarchieebenen getroffen und Mitarbeiter vielleicht außerhalb der normalen Arbeitszeit verständigt werden müssen. Auch könnten Maßnahmen, die vom normalen Arbeitsablauf abweichen und Sonderberechtigungen erfordern, notwendig werden. In Notfällen müssen unter Umständen Beschränkungen und Sicherheitsvorkehrungen außer Kraft gesetzt werden, um ein Problem schneller lösen zu können.
In den entsprechenden Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) muss daher festgelegt werden, welche Aufgaben einzelne Personen im Notfall übernehmen und welche Rechte sie haben. Die beteiligten Personen und Organisationseinheiten sind dann im Notfall befugt, die ihnen übertragenen Aufgaben eigenverantwortlich durchzuführen.

Folgende Verhaltensregeln gelten allgemein für alle Mitarbeiter:

* Alle Mitarbeiter haben im Vorfeld die Erstellung des Notfallkonzepten (z. B. Erstellung der Dokumentationen) nach Kräften zu unterstützen.
* Unregelmäßigkeiten, die auf einen Sicherheitsvorfall hindeuten, sind gemäß den Alarmierungsplänen unverzüglich zu melden.
* Die Handlungsanweisungen für ausgewählte Schadensereignisse sind einzuhalten.
* Es sind die Anweisungen der Geschäftsführung und etwaige spezielle Verhaltensregeln zu beachten.
* Alle Begleitumstände sind ungeschönt, offen und transparent zu erläutern, um damit Schäden zu mindern, schnell Lösungen zu finden und Erkenntnisse zur Verbesserung des IT-Sicherheitskonzepts zu gewinnen.
* Informationen über den Notfall dürfen nicht unautorisiert an Kunden und nicht an unautorisierte externe Dritte weitergegeben werden.
* Nach einem Notfall ist der sichere Normalzustand wiederherzustellen und an der Aufarbeitung des Notfalls mitzuarbeiten.
* Die betreffenden Arbeitsanweisungen sind stets aktuell zu halten und zu verbessern.

== Sofortmaßnahmen ==
Derjenige, der einen Sicherheitsvorfall bemerkt, leitet umgehend erste Notfallmaßnahmen ein, damit die Gefahrenlage minimiert und eingedämmt wird (z. B.: Alarmierung, Rechner ausschalten, Fenster schließen).

Welche Verhaltensregeln bei Sicherheitsvorfällen gelten, muss in den Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) für ausgewählte Schadensereignisse beschrieben werden.

=== Alarmierung ===
Die verantwortlichen Stellen, die aktiv handeln müssen, sind zu alarmieren (z. B. Feuerwehr, Administrator, Geschäftsführung). Sie übernehmen dann in der Regel die weitere Untersuchung und Bewertung des Vorfalls und leiten Maßnahmen ein.

Im Vorfeld sind Alarmierungspläne zu erstellen, die die Meldewege für ausgewählte Schadensereignisse beschreiben.

Als Anhang müssen Adress- und Telefonlisten geführt werden. Relevante Telefonnummern externer Dienstleister und Behörden dürfen nicht vergessen werden, z. B.:

* Feuerwehr
* Polizei
* Notarzt
* Wasser- und Stromversorger
* Ausweichrechenzentrum
* Telekommunikationsanbieter
* IT-Techniker
* Softwarehersteller

Damit allen Mitarbeitern die Ansprechpartner bekannt sind, werden diese Listen im Intranet (z.B. Parasol Wiki) bereitgestellt.

== Maßnahmen zur Problemlösung ==

=== Reihenfolge der Fehlerbehebung ===
Bei der Behebung von Schäden sind verschiedene Aspekte zu berücksichtigen, wenn unterschiedliche Vorfälle, mehrere IT-Komponenten oder verschiedene Geschäftsprozesse betroffen sind und eine Wiederanlaufreihenfolge festgelegt werden muss.

* Bedeutung einer ausgefallenen IT-Komponente oder des betroffenen Geschäftsprozesses (Schutzbedarfsfeststellung, insbesondere Verfügbarkeitsanforderungen)
* Bewertung unterschiedlicher Schadensarten durch die Unternehmensleitung
* Entsprechende Vorgaben sollten nach Möglichkeit vorab dokumentiert werden
* Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen voneinander.

Es besteht die Möglichkeit, dass bestimmte Prozesse erst dann wiederhergestellt werden können, wenn andere, die als Grundlage zu sehen sind, bereits wieder funktionsfähig sind.

Entsprechende Dokumentationen sind im Vorfeld anzufertigen.

=== Voraussetzungen für kurze Wiederanlaufzeiten ===
Um im Schadensfall Probleme möglichst schnell lösen zu können, müssen rechtzeitig Vorbereitungen getroffen werden:

* Erstellung von eigenen Dokumentationen und sorgfältige Archivierung von externen Dokumenten
* Datensicherung (ISMS, 02_09)
* Verträge mit externen Dienstleistern, Herstellern und Lieferanten
* Ersatzbeschaffungsplan für Hardware
* Ausweichstandort vereinbaren

== Notbetrieb ==
Nicht immer kann jedes Problem in einer tolerierbaren Zeitspanne behoben werden (Beispiel: Reparatur eines IT-Systems dauert zu lange). In diesen Fällen ist es erforderlich, die wichtigsten Geschäftsprozesse provisorisch aufrechtzuerhalten. Verschiedene Möglichkeiten bieten sich je nach Vorfall an:

=== Einschränkung des IT-Betriebs ===
Um bei einem eingeschränkten IT-Betrieb die geschäftskritischen Prozesse betreiben zu können, müssen diese priorisiert bearbeitet werden, um eingeschränkte IT-Kapazitäten bestmöglich zu nutzen. Manuelle Ersatzverfahren sind im Vorfeld zu definieren und bei einem eingeschränkten IT-Betrieb zu nutzen, um den Bearbeitungsrückstand (Backlog) gering zu halten, bis der Normalzustand wiederhergestellt ist. Des Weiteren sind dafür auch interne oder externe Ausweichmöglichkeiten an Ressourcen zu definieren und zu nutzen.

=== Informationspolitik ===
Unter Umständen müssen betroffene interne und externe Stellen über den Vorfall informiert werden. Dies sind insbesondere diejenigen Stellen, die direkt durch den Sicherheitsvorfall Schäden erleiden könnten, Gegenmaßnahmen ergreifen müssen oder solche, die Informationen über Sicherheitsvorfälle aufbereiten und bei der Vorbeugung oder Behebung helfen können. In Einzelfällen kann es auch notwendig sein, die Öffentlichkeit zu informieren.

Anweisungen für bestimmte Schadensszenarien mit den nötigen Kontaktdaten sind vorab zusammenzustellen.

=== Dokumentation ===
Eine Dokumentation des Notfalls ist notwendig, um für zukünftige Vorfälle zu lernen und Veränderungen an IT-Systemen und IT-Anwendungen nachvollziehen zu können. Dies ist besonders wichtig, wenn unter Zeitdruck oder mit Sonderrechten gearbeitet wurde.

Protokoll- und Log-Dateien können im Nachhinein eine wertvolle Hilfe sein und sollten daher gesichert werden (ISMS, 02_02).

Bei der Dokumentation sollte auch an eine mögliche Strafverfolgung gedacht werden.

Das ISMS-Logbuch sollte zur Dokumentation genutzt werden, um eine Nachverfolgbarkeit der Notfälle zu erreichen.

== Wiederherstellung eines stabilen Normalzustandes ==
Nach einem Notfall ist dafür zu sorgen, dass möglichst schnell der sichere Normalzustand wieder erreicht wird. Zur Behebung des Notfalls sind unter Umständen Anwendungen, IT-Systeme oder Konfigurationen verändert oder elektronische Abläufe durch manuelle ersetzt worden.

Es kann z. B. auch erforderlich sein, Passwörter neu zu vergeben und zu verändern.

== Nachbereitung von Notfällen ==
Eine Nachbereitung von Notfällen hat aus zwei Gründen zu erfolgen:

* Verbesserungspotentiale erkennen

Dazu sind z. B. folgende Fragen zu klären:

* Waren die Reaktionszeiten ausreichend?
* Hat die Alarmierung funktioniert oder gab es Probleme bei der Eskalation des Vorfalls?
* Wurde die Ursache des Vorfalls schnell gefunden und wurden die Auswirkungen richtig eingeschätzt?
* Waren alle Dokumentationen brauchbar und aktuell?
* Wenn es einen Täter gab: Was hat ihn motiviert?
* Was muss in Zukunft verbessert werden?

=== Revision des Notfallvorsorgekonzeptes ===
Das Managementsystem zur Behandlung von Sicherheitsvorfällen, und damit auch das Notfallvorsorgekonzept, muss regelmäßig auf seine Aktualität und Wirksamkeit geprüft werden. Die Notfallübungen können dabei wertvolle Erkenntnisse liefern.
Alle Maßnahmen müssen regelmäßig daraufhin überprüft werden, ob sie:

* wirksam und effektiv sind,
* den betroffenen Mitarbeitern bekannt sind,
* unter Stress umsetzbar sind und
* in den Betriebsablauf integrierbar sind.

[[Category:ISMS]]

02 04 PSL ISMS Business Continuity Management Richtlinie

2025-08-14T07:46:12Z

Philip.thome@parasol-island.com: /* Externe Ausweichmöglichkeiten */

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck==
„Ausnahmesituationen (z. B. Naturkatastrophen, physische Angriffe, Cyber-Angriffe, gesellschaftliche Ausnahmesituationen, Unfälle oder Infrastrukturausfälle mit erheblichen Auswirkungen) stellen eine große Herausforderung für die Organisation dar. Eine gute Vorbereitung dient dazu, dass Informationssicherheitsrisiken auch in Ausnahmesituationen angemessen berücksichtigt werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Die BCM-Richtlinie soll Informationen zum Umgang mit Notfällen aufzeigen, um eine möglichst reibungslose Weiterführung oder Wiederaufnahme des Geschäftsbetriebes zu gewährleisten. Dazu gehören nicht nur die technischen und organisatorischen Maßnahmen, die im Falle eines Notfalls zu beachten sind, sondern insbesondere auch die Planung im Vorfeld, um Notfälle zu verhindern oder zumindest die Auswirkungen begrenzen zu können. Zur Vorbereitung gehört die Dokumentation von Verfahren und Maßnahmen sowie organisatorische Regelungen. Im Notfall muss es z. B. Verantwortliche mit klaren Kompetenzen geben. Zu einer guten Vorbereitung gehören ebenso Notfallschulungen und -übungen sowie eine stetige Pflege und Aktualisierung des Notfallvorsorgekonzeptes.

Insbesondere müssen auch während eines Notfalls die Anforderungen an die Informationssicherheit und den Datenschutz gewährleistet sein.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Übersicht ==
Im Folgenden werden die verschiedenen Phasen des Notfallmanagements beschrieben. Grundsätzlich muss davon ausgegangen werden, dass Notfälle auftreten werden. Daher muss man sich kontinuierlich auf diese vorbereiten und dagegen wappnen. Wenn ein Notfall eingetreten ist, gilt es zunächst, diesen zu beheben. Das Beheben der Ursache hat dann größte Priorität. Der Betrieb ist während dieser Zeit (stark) eingeschränkt. Wenn die Ursache behoben ist, kann damit begonnen werden, diesen Notbetrieb wieder in den Normalbetrieb zu überführen.

Betrachten wir als Beispiel ein Feuer im Serverraum. Als Vorbereitung werden Brandschutzmelder installiert, der Raum wird frei von brennbaren Materialien gehalten, ein Feuerlöscher installiert. Wenn es doch zu einem Feuer kommt, so kann schnell auf die direkte Ursache (das Feuer) reagiert werden. Darüber hinaus mag ein Backup-System an einem anderen Ort existieren, so dass dieses für den Notbetrieb verwendet werden kann. Die dafür notwendigen Tätigkeiten und Informationen sind im Notfallkonzept festgehalten, so dass nicht nur schnell auf die Ursache, sondern auch auf die direkten Auswirkungen reagiert werden kann. Das Notfallkonzept sollte dann auch noch die nötigen Schritte enthalten, den Normalbetrieb wiederherzustellen. D.h. z.B. darauf verweisen, wie neue Hardware bestellt wird.

== Vorbereitung auf Notfälle ==
Zur Vorbereitung und zur Prävention von Notfällen und damit verbundenen Ausnahmesituationen ist es essentiell, dass mögliche Ausnahmesituationen bekannt sind. Das können z.B. Brände, Wasserschäden (durch Starkregen), Überspannungen durch Gewitter, Pandemien (COVID-19), politische oder militärische Konflikte sein. Die Parasol Island führt eine Liste solch bekannter Ausnahmesituationen. Für jede dieser Ausnahmesituationen ist ein verantwortlicher Mitarbeiter benannt und Maßnahmen zur Prävention und zum Umgang mit einem solchen Notfall beschrieben.

Dabei ist insbesondere darauf zu achten, dass die Informationssicherheit und der Datenschutz auch während eines Notfalls berücksichtigt werden.

Viele Maßnahmen zur Prävention und zur Einhaltung eines angemessenen Schutzniveaus ergeben sich bereits aus den Anforderungen an die Informationssicherheit und den Datenschutz bei der Parasol Island. Daher sollte das Business Continuity Management den Fokus auf den Umgang mit dem Notfall und der Wiederherstellung des Normalzustandes legen. Maßnahmen zur Prävention sollten dann betrachtet werden, wenn sie bislang nicht berücksichtigt werden. Es bietet sich aber an, diese dann in das ISMS zu integrieren, um solche Maßnahmen nicht an mehreren Stellen zu verwalten.

Im Folgenden wird kurz auf mögliche organisatorische und technische Maßnahmen eingegangen, die zur Prävention von und zum Umgang mit Notfällen wichtig sein können.

=== Organisatorische Maßnahmen ===
Die Organisation innerhalb der Parasol Island kann entscheidend zum Umgang mit Notfällen beitragen. Je besser die organisatorische Vorbereitung, desto effizienter kann in einem Notfall gehandelt werden.

==== Ausbildung und Training der Mitarbeiter ====
Ein qualitativ hochwertiges Notfall- und Kontinuitätsmanagement greift nur dann optimal, wenn die Mitarbeiter zum einen für sicherheitsrelevante Vorfälle sensibilisiert sind und zum anderen bestmöglich für sicherheitsrelevante Vorfälle geschult werden.

==== Ersatzbeschaffungsplan ====
Ein allgemein gültiger Ersatzbeschaffungsplan ist aufgrund der stark variierenden Projektanforderungen, Deadlines und Hard- wie auch Softwareausstattung nicht möglich. Im Notfall wird eine Gruppe aus IT-Fachkräften und Projektleitern bestimmen, welche Maßnahmen zu ergreifen sind, um eine möglichst reibungslose Fortführung oder Wiederaufnahme der aktuell laufenden Projekte zu erreichen.

==== Versicherungsschutz ====
Verbleibende Restrisiken sollten möglichst unter Beachtung von Kosten-Nutzen-Aspekten durch Versicherungen abgedeckt werden. Beispiele sind:

* Sachversicherungen
* Feuerversicherung
* Einbruchdiebstahlversicherung
* Transportversicherung
* Datenträgerversicherung
* Elektronik-Versicherung

Die Leiter der Departments sind dafür verantwortlich, dass für ihre Prozesse der Abschluss von Versicherungen untersucht wird.

==== Ausweichmöglichkeiten ====
Angaben zu Ausweichmöglichkeiten sollten der Dokumentation der IT-Systeme beigefügt werden. Das Ausweichen auf alternative Standorte, IT-Systeme, Arbeitsplätze etc. sollte in Notfallübungen ausreichend geprobt werden.

==== Interne Ausweichmöglichkeiten ====
Alle Leiter der Departments sollten prüfen, ob bei Problemen mit den standardmäßig genutzten IT-Systemen ein Ausweichen auf andere IT-Systeme möglich ist. Bei der Untersuchung von Ausweichmöglichkeiten ist insbesondere auf die technischen Anforderungen an das Ausweich-IT-System zu achten. Kompatibilität und ausreichende Kapazitätsreserven des Ausweich-IT-Systems sind Grundvoraussetzung für dessen Benutzung.

Zusätzlich kann erwogen werden, die Niederlassung Berlin in die Ausweichplanung mit einzubeziehen.

==== Externe Ausweichmöglichkeiten ====
Externe Ausweichmöglichkeiten sind dann heranzuziehen, wenn mit internen Ausweichmöglichkeiten die Verfügbarkeitsanforderungen nicht mehr, oder nicht wirtschaftlich erfüllt werden können. Ausweichmöglichkeiten für nicht IT-spezifische Komponenten sind auch zu berücksichtigen. Beispielsweise im Bereich der Infrastruktur sind Ausweichmöglichkeiten für Serverräume in Betracht zu ziehen.

Ausweicharbeitsplätze, -Räume, -Rechenzentren etc. sind so vorzubereiten, dass im Notfall die Wechselzeit tolerierbar ist.

Größere Mengen an IT-Equipment kann über Miet- und Leasingpartner geordert werden. Diese werden über die allgemeinen Wege (IT-Leiter und ein Geschäftsführer) organisiert, wie sie auch für normale Veranstaltungsprojekte für Kunden der Parasol Island GmbH zum Teil im Einsatz sind.

Für zusätzliche Rechenleistung sind mehrere Renderfarmen bekannt, die in der Vergangenheit bereits eingesetzt wurden.

Für die externen Ausweichmöglichkeiten ist immer auch eine Risikoeinschätzung erforderlich, um sicherzustellen, dass Informationen gemäß ihrer Sicherheitsklassifizierung behandelt werden.

== Technische Maßnahmen ==
Die organisatorischen Maßnahmen können technisch unterstützt werden.

=== Physische Sicherheit ===
Die Infrastruktur (Gebäude und Räume) ist durch geeignete Maßnahmen zu sichern. Dazu gehören beispielsweise die Bereiche Zugangsschutz, Diebstahlschutz, Schutz vor Naturereignissen, Stromversorgung, Klimatisierung.

Durch eine unterbrechungsfreie Stromversorgung ist sicherzustellen, dass für hochverfügbare IT-Systeme ein kurzzeitiger Stromausfall keinen Schaden verursacht.

=== Automatische Erkennung von Vorfällen ===
Es gibt eine Reihe von Sicherheitsvorfällen, die mit entsprechender technischer Unterstützung automatisiert und daher frühzeitig erkannt werden können. Zu diesem Zweck sollen Detektionsmaßnahmen installiert werden.

Beispiele für solche technischen Detektionsmaßnahmen sind:

* Gefahrenmeldeanlage
* Rauchmelder
* Fernanzeige von Störungen
* Schadsoftware-Schutzprogramme
* Intrusion Detection und Intrusion Response Systeme
* Kryptographische Checksummen und digitale Signaturen

Die technischen Detektionsmaßnahmen müssen durch zusätzliche organisatorische Maßnahmen ergänzt werden (z. B. Meldewege, regelmäßige Aktualisierung und Überprüfung).

Bei der Auswahl von Detektionsmaßnahmen ist immer eine Kosten-Nutzen-Berechnung vorzulegen und die Wirksamkeit kritisch zu hinterfragen.

=== Datensicherungsplan ===
Datensicherungen sind zu erstellen, um Datenverlust vorzubeugen und Ersatz-Systeme schnell in Betrieb nehmen zu können.

Mit Hilfe eines Datensicherungsplans muss ein sachverständiger Dritter in der Lage sein, sämtliche für den Wiederanlauf einer IT-Anwendung erforderliche Software (Betriebssystemsoftware, Anwendungssoftware) und deren Daten in angemessener Zeit beschaffen und installieren zu können. Ein Datensicherungsplan muss Auskunft geben können über:

* Datum der Datensicherung
* Datensicherungsumfang (welche Dateien/Verzeichnisse wurden gesichert)
* Datenträger, auf dem die Daten im operativen Betrieb gespeichert sind
* Datenträger, auf dem die Daten gesichert wurden
* für die Datensicherung eingesetzte Hard- und Software (mit Versionsnummer)
* bei der Datensicherung gewählten Parameter (Art der Datensicherung usw.)
* Ort der Aufbewahrung

Es ist ein Datensicherungskonzept zu erstellen und zu beachten, in dem die Datensicherung explizit geregelt wird (ISMS, 02_09).

=== Wiederanlaufreihenfolge ===
Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen sowie deren Wichtigkeit beeinflussen die Wiederanlaufreihenfolge nach einem Ausfall eines IT-Systems oder dem Abbruch einer Anwendung. Entsprechende Zusammenhänge sind zu dokumentieren.

= Verhalten in Notfällen =
Ein Notfall sollte formal durch die Geschäftsführung ausgerufen werden, da schnelle Entscheidungen unabhängig von Hierarchieebenen getroffen und Mitarbeiter vielleicht außerhalb der normalen Arbeitszeit verständigt werden müssen. Auch könnten Maßnahmen, die vom normalen Arbeitsablauf abweichen und Sonderberechtigungen erfordern, notwendig werden. In Notfällen müssen unter Umständen Beschränkungen und Sicherheitsvorkehrungen außer Kraft gesetzt werden, um ein Problem schneller lösen zu können.
In den entsprechenden Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) muss daher festgelegt werden, welche Aufgaben einzelne Personen im Notfall übernehmen und welche Rechte sie haben. Die beteiligten Personen und Organisationseinheiten sind dann im Notfall befugt, die ihnen übertragenen Aufgaben eigenverantwortlich durchzuführen.

Folgende Verhaltensregeln gelten allgemein für alle Mitarbeiter:

* Alle Mitarbeiter haben im Vorfeld die Erstellung des Notfallkonzepten (z. B. Erstellung der Dokumentationen) nach Kräften zu unterstützen.
* Unregelmäßigkeiten, die auf einen Sicherheitsvorfall hindeuten, sind gemäß den Alarmierungsplänen unverzüglich zu melden.
* Die Handlungsanweisungen für ausgewählte Schadensereignisse sind einzuhalten.
* Es sind die Anweisungen der Geschäftsführung und etwaige spezielle Verhaltensregeln zu beachten.
* Alle Begleitumstände sind ungeschönt, offen und transparent zu erläutern, um damit Schäden zu mindern, schnell Lösungen zu finden und Erkenntnisse zur Verbesserung des IT-Sicherheitskonzepts zu gewinnen.
* Informationen über den Notfall dürfen nicht unautorisiert an Kunden und nicht an unautorisierte externe Dritte weitergegeben werden.
* Nach einem Notfall ist der sichere Normalzustand wiederherzustellen und an der Aufarbeitung des Notfalls mitzuarbeiten.
* Die betreffenden Arbeitsanweisungen sind stets aktuell zu halten und zu verbessern.

== Sofortmaßnahmen ==
Derjenige, der einen Sicherheitsvorfall bemerkt, leitet umgehend erste Notfallmaßnahmen ein, damit die Gefahrenlage minimiert und eingedämmt wird (z. B.: Alarmierung, Rechner ausschalten, Fenster schließen).

Welche Verhaltensregeln bei Sicherheitsvorfällen gelten, muss in den Arbeitsanweisungen (z.B. (ISMS, 03_10), (ISMS, 03_18), (ISMS, 03_19)) für ausgewählte Schadensereignisse beschrieben werden.

=== Alarmierung ===
Die verantwortlichen Stellen, die aktiv handeln müssen, sind zu alarmieren (z. B. Feuerwehr, Administrator, Geschäftsführung). Sie übernehmen dann in der Regel die weitere Untersuchung und Bewertung des Vorfalls und leiten Maßnahmen ein.

Im Vorfeld sind Alarmierungspläne zu erstellen, die die Meldewege für ausgewählte Schadensereignisse beschreiben.

Als Anhang müssen Adress- und Telefonlisten geführt werden. Relevante Telefonnummern externer Dienstleister und Behörden dürfen nicht vergessen werden, z. B.:

* Feuerwehr
* Polizei
* Notarzt
* Wasser- und Stromversorger
* Ausweichrechenzentrum
* Telekommunikationsanbieter
* IT-Techniker
* Softwarehersteller

Damit allen Mitarbeitern die Ansprechpartner bekannt sind, werden diese Listen im Intranet (z.B. Parasol Wiki) bereitgestellt.

== Maßnahmen zur Problemlösung ==

=== Reihenfolge der Fehlerbehebung ===
Bei der Behebung von Schäden sind verschiedene Aspekte zu berücksichtigen, wenn unterschiedliche Vorfälle, mehrere IT-Komponenten oder verschiedene Geschäftsprozesse betroffen sind und eine Wiederanlaufreihenfolge festgelegt werden muss.

* Bedeutung einer ausgefallenen IT-Komponente oder des betroffenen Geschäftsprozesses (Schutzbedarfsfeststellung, insbesondere Verfügbarkeitsanforderungen)
* Bewertung unterschiedlicher Schadensarten durch die Unternehmensleitung
* Entsprechende Vorgaben sollten nach Möglichkeit vorab dokumentiert werden
* Technische oder ablaufbedingte Abhängigkeiten der IT-Systeme und IT-Anwendungen voneinander.

Es besteht die Möglichkeit, dass bestimmte Prozesse erst dann wiederhergestellt werden können, wenn andere, die als Grundlage zu sehen sind, bereits wieder funktionsfähig sind.

Entsprechende Dokumentationen sind im Vorfeld anzufertigen.

=== Voraussetzungen für kurze Wiederanlaufzeiten ===
Um im Schadensfall Probleme möglichst schnell lösen zu können, müssen rechtzeitig Vorbereitungen getroffen werden:

* Erstellung von eigenen Dokumentationen und sorgfältige Archivierung von externen Dokumenten
* Datensicherung (ISMS, 02_09)
* Verträge mit externen Dienstleistern, Herstellern und Lieferanten
* Ersatzbeschaffungsplan für Hardware
* Ausweichstandort vereinbaren (z.B. bei Capture Media GmbH)

== Notbetrieb ==
Nicht immer kann jedes Problem in einer tolerierbaren Zeitspanne behoben werden (Beispiel: Reparatur eines IT-Systems dauert zu lange). In diesen Fällen ist es erforderlich, die wichtigsten Geschäftsprozesse provisorisch aufrechtzuerhalten. Verschiedene Möglichkeiten bieten sich je nach Vorfall an:

=== Einschränkung des IT-Betriebs ===
Um bei einem eingeschränkten IT-Betrieb die geschäftskritischen Prozesse betreiben zu können, müssen diese priorisiert bearbeitet werden, um eingeschränkte IT-Kapazitäten bestmöglich zu nutzen. Manuelle Ersatzverfahren sind im Vorfeld zu definieren und bei einem eingeschränkten IT-Betrieb zu nutzen, um den Bearbeitungsrückstand (Backlog) gering zu halten, bis der Normalzustand wiederhergestellt ist. Des Weiteren sind dafür auch interne oder externe Ausweichmöglichkeiten an Ressourcen zu definieren und zu nutzen.

=== Informationspolitik ===
Unter Umständen müssen betroffene interne und externe Stellen über den Vorfall informiert werden. Dies sind insbesondere diejenigen Stellen, die direkt durch den Sicherheitsvorfall Schäden erleiden könnten, Gegenmaßnahmen ergreifen müssen oder solche, die Informationen über Sicherheitsvorfälle aufbereiten und bei der Vorbeugung oder Behebung helfen können. In Einzelfällen kann es auch notwendig sein, die Öffentlichkeit zu informieren.

Anweisungen für bestimmte Schadensszenarien mit den nötigen Kontaktdaten sind vorab zusammenzustellen.

=== Dokumentation ===
Eine Dokumentation des Notfalls ist notwendig, um für zukünftige Vorfälle zu lernen und Veränderungen an IT-Systemen und IT-Anwendungen nachvollziehen zu können. Dies ist besonders wichtig, wenn unter Zeitdruck oder mit Sonderrechten gearbeitet wurde.

Protokoll- und Log-Dateien können im Nachhinein eine wertvolle Hilfe sein und sollten daher gesichert werden (ISMS, 02_02).

Bei der Dokumentation sollte auch an eine mögliche Strafverfolgung gedacht werden.

Das ISMS-Logbuch sollte zur Dokumentation genutzt werden, um eine Nachverfolgbarkeit der Notfälle zu erreichen.

== Wiederherstellung eines stabilen Normalzustandes ==
Nach einem Notfall ist dafür zu sorgen, dass möglichst schnell der sichere Normalzustand wieder erreicht wird. Zur Behebung des Notfalls sind unter Umständen Anwendungen, IT-Systeme oder Konfigurationen verändert oder elektronische Abläufe durch manuelle ersetzt worden.

Es kann z. B. auch erforderlich sein, Passwörter neu zu vergeben und zu verändern.

== Nachbereitung von Notfällen ==
Eine Nachbereitung von Notfällen hat aus zwei Gründen zu erfolgen:

* Verbesserungspotentiale erkennen

Dazu sind z. B. folgende Fragen zu klären:

* Waren die Reaktionszeiten ausreichend?
* Hat die Alarmierung funktioniert oder gab es Probleme bei der Eskalation des Vorfalls?
* Wurde die Ursache des Vorfalls schnell gefunden und wurden die Auswirkungen richtig eingeschätzt?
* Waren alle Dokumentationen brauchbar und aktuell?
* Wenn es einen Täter gab: Was hat ihn motiviert?
* Was muss in Zukunft verbessert werden?

=== Revision des Notfallvorsorgekonzeptes ===
Das Managementsystem zur Behandlung von Sicherheitsvorfällen, und damit auch das Notfallvorsorgekonzept, muss regelmäßig auf seine Aktualität und Wirksamkeit geprüft werden. Die Notfallübungen können dabei wertvolle Erkenntnisse liefern.
Alle Maßnahmen müssen regelmäßig daraufhin überprüft werden, ob sie:

* wirksam und effektiv sind,
* den betroffenen Mitarbeitern bekannt sind,
* unter Stress umsetzbar sind und
* in den Betriebsablauf integrierbar sind.

[[Category:ISMS]]

PSL ISMS Übersicht

2025-08-14T07:45:41Z

Philip.thome@parasol-island.com:

{| class="mw-collapsible"
|+Leitlinie
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}

{| class="mw-collapsible"
|+Richtlinien
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Richtlinie zum Schutz personenbezogener Daten|Richtlinie zum Schutz personenbezogener Daten]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|}

{| class="mw-collapsible"
|+Arbeitsanweisungen
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|}

Unverschlüsselter Datentransfer

2025-02-24T14:28:45Z

Philip.thome@parasol-island.com:

Die meisten Informationen, gerade projektbezogene Daten, sollten wir verschlüsselt verschicken. So versteht es sich von selbst, dass wir vertrauliche Projektergebnisse oder Teilergebnisse verschlüsselt transferieren, indem wir sie als passwortgeschützte ZIP-Datei per Filebeam verschicken und das Passwort dem Empfänger auf anderem Wege zukommen lassen. Bei kleineren Daten lässt sich die ZIP-Datei auch an E-Mails anhängen und das Passwort z.B. per SMS verschicken. Zu diesem Zweck hat jeder von euch 7Zip (unter Windows) oder [[Keka]] (Mac) vorinstalliert.

Trotzdem mag es vorkommen, dass man das Verschlüsseln aus Unachtsamkeit schon einmal vergisst. Wenn ihr könnt, löscht die unverschlüsselte Variante umgehend und ersetzt sie durch eine verschlüsselte Variante. Bei E-Mail-Anhängen ist es nach dem Abschicken leider meist zu spät. Je nachdem, an wen die E-Mail ging, solltet ihr den Empfänger darauf hinweisen, dass er die E-Mail bitte in keinem Fall einfach weiterleiten sondern lieber löschen soll.

In jedem Fall informiert auch hier unseren Informationssicherheitsbeauftragten Robert Kulis und den zuständigen Projektleiter. Sollten wir damit z.B. gegen laufende Verträge verstoßen haben, gehen wir damit lieber proaktiv um.
==Kurz zusammengefasst==
Solltet ihr versehentlich Daten unverschlüsselt übertragen haben, informiert den zuständigen Projektleiter und unseren Informationssicherheitsbeauftragten Robert.

[[Category:Sicherheitsvorfälle]]

Keka

2025-02-24T14:27:39Z

Philip.thome@parasol-island.com: Created page with "=Verwendung von Keka= Die folgende Animation zeigt die Verwendung von Keka: einfach per Drag und Drop die Dateien, die gepackt werden sollen, auf das Tool ziehen. Bei Bedarf ein Kennwort eingeben, damit das Archiv verschlüsselt wird: File:Keka.gif"

=Verwendung von Keka=
Die folgende Animation zeigt die Verwendung von Keka: einfach per Drag und Drop die Dateien, die gepackt werden sollen, auf das Tool ziehen. Bei Bedarf ein Kennwort eingeben, damit das Archiv verschlüsselt wird:

[[File:Keka.gif]]

File:Keka.gif

2025-02-24T14:24:53Z

Philip.thome@parasol-island.com: Wie man Keka verwendet

== Summary ==
Wie man Keka verwendet

ISMS

2025-02-06T08:26:30Z

Philip.thome@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

{| class="wikitable"
|-
! Rolle !! Ansprechpartner !! Vertreter
|-
|
Informationssicherheitsbeauftragter

Datenschutzbeauftragter
|
Robert Kulis

COARTIFACT GmbH

[mailto:kulis@coartifact.com kulis@coartifact.com]

+49 221 66 99 9528
|
Philip Thomé

COARTIFACT GmbH

[mailto:thome@coartifact.com thome@coartifact.com]

+49 175 92 13 497
|-
|
IT-Administrator
|
Peter Norenkemper

[mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com]

+49 211 159 220 190
|
Stefan Kirste

[mailto:stefan.kirste@parasol-island.com stefan.kirste@parasol-island.com]

|-
|
Geschäftsführung
|
Philip Hansen

[mailto:philip.hansen@parasol-island.com philip.hansen@parasol-island.com]

+49 211 159 220 111
|
Sebastian Druschel

[mailto:sebastian.druschel@parasol-island.com sebastian.druschel@parasol-island.com]

+49 211 159 220 100
|}

==='''Leitlinie'''===
{|
!01
!01
|[[01 PSL ISMS Leitlinie|Informationssicherheits-Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
|
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutz-Leitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Richtlinie zur Führung eines ISMS]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie zu Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Richtlinie zu physischer Sicherheit]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichen und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Richtlinie zum Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|
|
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!18
|Arbeitsanweisung zur Durchführung von Schwachstellenscans
|Vertraulich
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Schulungsunterlagen'''===
{|
!06
!01
|[https://drive.google.com/file/d/1eBm9EgXejav2ZrpUBR7vswAlpXzgyKgi/view?usp=drive_link Informationssicherheit - Einführung]
|
|-
|
!02
|[https://drive.google.com/file/d/1jBIgNlVuutf_iCGWq0bDPkEj-SCoXwlW/view?usp=drive_link Datenschutz - Verarbeitungsverzeichnis]
|
|-
|
!03
|[https://drive.google.com/file/d/1q_ZnB_egT5n9AUwYWgFGCHyL4k_g2BB8/view?usp=drive_link Datenschutz - Auftragsverarbeitung]
|
|}

==='''Auflistungen und Dokumentation'''===
{|
!
!
|
|
|}

[[Category:ISMS|ISMS]]

02 PSL ISMS Datenschutzleitlinie

2023-12-05T15:55:08Z

Philip.thome@parasol-island.com:

== Vorwort ==
Sehr geehrte Damen und Herren,

im digitalen Zeitalter sind wir, Parasol Island, wie jede Organisation und jedes Unternehmen auf die Erfassung und Verarbeitung relevanter Daten für unsere Geschäftsabläufe angewiesen.

Dies gilt für auch für Ihre Daten, soweit Sie bei uns Kunde, Interessent, Geschäftspartner oder Mitarbeiter sind.

Der Schutz Ihrer personenbezogenen Daten hat für uns oberste Priorität. Daher sehen wir es als unsere Pflicht an, die Erfassung und Verarbeitung nach Vorgaben der unterschiedlichen gesetzlichen Anforderungen sicherzustellen.

Die Persönlichkeitsrechte und die Privatsphäre eines jeden Einzelnen zählen zu den wesentlichen Errungenschaften unserer Gesellschaft.

In unserer Datenschutzrichtlinie haben wir strenge Voraussetzungen für die Verarbeitung personenbezogener Daten geregelt. Diese entspricht den Anforderungen der Datenschutzgrundverordnung und weiterer Gesetze innerhalb der Bundesrepublik und der Europäischen Union.

Unsere Mitarbeiter sind verpflichtet, unsere Datenschutzrichtlinie einzuhalten und die jeweiligen Datenschutzgesetze zu wahren.

Düsseldorf, 02.05.2018

Philip Hansen Sebastian Druschel

= Ziel =
Parasol Island verpflichtet sich im Rahmen seiner gesellschaftlichen Verantwortung zur Einhaltung von Datenschutzrechten. Diese Datenschutzrichtlinie gilt für Parasol Island und basiert auf den in der Europäischen Union akzeptierten Grundprinzipien zum Datenschutz.

Die Datenschutzrichtlinie schafft eine der notwendigen Rahmenbedingungen für die Erfassung, Verarbeitung und gegebenenfalls Übermittlung von personenbezogenen Daten. Parasol Island gewährleistet das von der Europäischen Union und den lokalen Gesetzen verlangte angemessene Datenschutzniveau gemäß Datenschutzgrundverordnung (DSGVO), Bundesdatenschutzgesetz (BDSG) und anderer Gesetze.

= Geltungsbereich =
Diese Datenschutzrichtlinie gilt für Parasol Island und unsere Mitarbeiter. Die Datenschutzrichtlinie erstreckt sich auf sämtliche Verarbeitungen personenbezogener Daten. Anonymisierte Daten, z.B. für statistische Auswertungen oder Untersuchungen, unterliegen nicht dieser Datenschutzrichtlinie.

Die Mitarbeiter sind nicht berechtigt, von dieser Datenschutzrichtlinie abweichende Regelungen zu treffen. Eine Änderung dieser Datenschutzrichtlinie findet nur in Abstimmung mit dem Datenschutzbeauftragten statt. Die Änderungen werden innerhalb Parasol Island unverzüglich bekannt gegeben.

= Prinzipien der Verarbeitung personenbezogener Daten =

== Recht auf informationelle Selbstbestimmung ==
Grundlage des Datenschutzrechts ist das informationelle Selbstbestimmungsrecht des Einzelnen.

== Rechtmäßigkeit ==
Personenbezogene Daten müssen auf rechtmäßige Weise erhoben und verarbeitet werden. Bei der Verarbeitung personenbezogener Daten müssen die Persönlichkeitsrechte des Betroffenen gewahrt werden.

== Transparenz ==
Die Daten sollten bei dem Betroffenen selbst erhoben werden. Hierbei sollte er über den Zweck der Datenverarbeitung, die verantwortliche Stelle und über die ggf. notwendige Weitergabe an Dritte informiert werden.

== Zweckbindung ==
Personenbezogene Daten dürfen nur nach dem bei der Erhebung festgelegten Zweck verarbeitet werden. Eine nachträgliche Änderung des Zwecks bedarf der Zustimmung des Betroffenen oder einer relevanten Rechtfertigung.

== Datenvermeidung ==
Bei jeder Verarbeitung von personenbezogenen Daten dürfen nur die für den Zweck der Verarbeitung notwendigen Daten verwendet werden. Die personenbezogenen Daten dürfen nicht auf Vorrat für einen späteren möglichen Zweck gespeichert werden.

== Löschung ==
Nach Ablauf der gesetzlichen oder geschäftsprozessbezogenen Aufbewahrungsfristen sind die personenbezogenen Daten zu löschen. Bestehen im Einzelfall Anhaltspunkte für die Wahrung berechtigter Interessen, werden die Daten weiterhin gespeichert, bis das berechtigte Interesse entfällt.

== Richtigkeit der Daten ==
Die personenbezogenen Daten sind richtig und vollständig zu speichern. Es sind angemessene Maßnahmen zu treffen, damit unvollständige oder veraltete Daten gelöscht oder berichtigt werden.

== Vertraulichkeit ==
Im Umgang mit personenbezogenen Daten müssen diese vertraulich behandelt werden. Dies ist durch angemessene organisatorische und technische Maßnahmen gegen unberechtigten Zugriff, unrechtmäßige Verarbeitung und Weitergabe, Veränderung oder Zerstörung zu gewährleisten.

= Zulässigkeit der Datenverarbeitung =

== Kunden-, Interessenten- und Partnerdaten ==

=== Datenverarbeitung zur Erfüllung der vertraglichen Beziehung ===
Personenbezogene Daten des Interessenten, Kunden oder Partners dürfen zur Begründung, zur Durchführung und zur Beendigung des Vertragsverhältnisses verarbeitet werden. Dies umfasst auch die Betreuung des Vertragspartners, sofern dies im Zusammenhang mit dem Vertragszweck steht. Im Vorfeld eines Vertrages ist die Verarbeitung von personenbezogenen Daten zur Erstellung von Angeboten, zur Vorbereitung von Kaufanträgen oder zur Erfüllung sonstiger, auf einen Vertragsabschluss gerichteter Wünsche des Interessenten erlaubt. Interessenten dürfen während der Vertragsanbahnung unter Verwendung der Daten, die sie mitgeteilt haben, kontaktiert werden. Eventuell vom Interessenten geäußerte Einschränkungen sind zu beachten.

Wendet sich der Betroffene mit einem Informationsanliegen an Parasol Island, so ist die Datenverarbeitung für die Erfüllung dieses Anliegens zulässig. Widerspricht der Betroffene der Verwendung seiner Daten zu Zwecken der Werbung, so ist eine weitere Verwendung seiner Daten für diese Zwecke unzulässig und sie müssen für diese Zwecke gesperrt oder gelöscht werden.

=== Einwilligung in die Datenverarbeitung ===
Soweit der Betroffene einer Datenverarbeitung zustimmt, kann diese stattfinden. Vor der Einwilligung muss der Betroffene über die Art und den Umfang sowie seine Rechte informiert werden.

Die Einwilligungserklärung ist grundsätzlich schriftlich oder elektronisch einzuholen. Bei telefonischer Beratung kann die Einwilligung auch mündlich erteilt werden. Diese muss dokumentiert werden.

=== Datenverarbeitung aufgrund gesetzlicher Grundlage ===
Die Verarbeitung personenbezogener Daten ist zulässig, wenn staatliche Rechtsvorschriften dies verlangen, voraussetzen oder gestatten. Die Art und der Umfang der zulässigen Datenverarbeitung richten sich nach diesen Rechtsvorschriften.

=== Datenverarbeitung aufgrund berechtigten Interesses ===
Die Verarbeitung personenbezogener Daten kann erfolgen, wenn dies zur Durchsetzung eines berechtigten Interesses von Parasol Island notwendig ist.

Berechtigt sind in der Regel rechtliche (z.B. Durchsetzung von offenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen) Interessen. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen und zu dokumentieren.

=== Verarbeitung besonders schutzwürdiger Daten ===
Die Verarbeitung besonders schutzwürdiger personenbezogener Daten darf nur erfolgen, wenn dies gesetzlich erforderlich ist oder der Betroffene ausdrücklich eingewilligt hat.

Die Verarbeitung dieser Daten ist auch dann zulässig, wenn sie zwingend notwendig ist, um rechtliche Ansprüche gegenüber dem Betroffenen geltend zu machen, auszuüben oder zu verteidigen.

Vor der Verarbeitung der schutzwürdigen Daten ist der Datenschutzbeauftragte zu informieren.

=== Nutzerdaten im Internet ===
Wenn auf Webseiten oder in Programmen personenbezogene Daten erhoben, verarbeitet und genutzt werden, sind die Betroffenen hierüber in Datenschutzhinweisen zu informieren. Für den Betroffenen müssen diese Hinweise leicht erkennbar und verständlich sein.

Werden zur Analyse des Nutzungsverhaltens von Webseiten und Programmen Nutzungsprofile erstellt, so müssen die Betroffenen darüber in den Datenschutzhinweisen verständlich informiert werden.

Werden bei Webseiten oder Programmen in einem persönlichen Bereich Zugriffe auf personenbezogene Daten ermöglicht, so sind die Identifizierung und Authentifizierung der Betroffenen so zu gestalten, dass ein für den jeweiligen Zugriff angemessener Schutz erreicht wird.

== Mitarbeiter- und Bewerberdaten ==

=== Datenverarbeitung für das Arbeitsverhältnis ===
Für das Arbeitsverhältnis dürfen die personenbezogenen Daten verarbeitet werden, die für die Begründung, Durchführung und Beendigung des Arbeitsvertrages erforderlich sind. Bei der Anbahnung eines Arbeitsverhältnisses dürfen personenbezogene Daten von Bewerbern verarbeitet werden. Nach Ablehnung sind die Daten des Bewerbers unter Berücksichtigung beweisrechtlicher Fristen zu löschen, es sei denn, der Bewerber hat in eine weitere Speicherung für einen späteren Auswahlprozess eingewilligt.

Im bestehenden Arbeitsverhältnis muss die Datenverarbeitung immer auf den Zweck des Arbeitsvertrages bezogen sein.

=== Datenverarbeitung aufgrund gesetzlicher Erlaubnis ===
Die Verarbeitung personenbezogener Daten ist zulässig, wenn staatliche Rechtsvorschriften dies verlangen, voraussetzen oder gestatten. Die Art und der Umfang der zulässigen Datenverarbeitung richten sich nach diesen Rechtsvorschriften.

=== Einwilligung in die Datenverarbeitung ===
Eine Verarbeitung von Mitarbeiterdaten kann aufgrund einer Einwilligung des Betroffenen erfolgen. Einwilligungserklärungen müssen freiwillig abgegeben werden.

Die Einwilligungserklärung ist grundsätzlich schriftlich oder elektronisch einzuholen. Erlauben die Umstände dies ausnahmsweise nicht, kann die Einwilligung mündlich erteilt werden. Ihre Erteilung muss in jedem Fall dokumentiert werden.

=== Datenverarbeitung aufgrund berechtigten Interesses ===
Die Verarbeitung von Mitarbeiterdaten kann erfolgen, wenn dies zur Verwirklichung eines berechtigten Interesses von Parasol Island notwendig ist.

Berechtigt sind in der Regel rechtliche (z.B. Durchsetzung von offenen Forderungen) oder wirtschaftliche (z.B. Vermeidung von Vertragsstörungen) Interessen. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.

Kontrollmaßnahmen, die eine Verarbeitung von Mitarbeiterdaten erfordern, dürfen nur durchgeführt werden, wenn dazu eine gesetzliche Verpflichtung besteht oder ein begründeter Anlass gegeben ist. Das schutzwürdige Interesse des Betroffenen darf hierbei nicht überwiegen. Dies ist vor jeder Verarbeitung zu prüfen.

=== Telekommunikation und Internet ===
Telefonanlagen, E-Mail-Adressen, Intranet und Internet werden in erster Linie im Rahmen der betrieblichen Aufgabenstellung durch das Unternehmen zur Verfügung gestellt. Sie sind Arbeitsmittel und Unternehmensressource. Sie dürfen im Rahmen der jeweils geltenden Rechtsvorschriften und der unternehmensinternen Richtlinien genutzt werden.

Eine generelle Überwachung der Telefon- oder E-Mail-Kommunikation bzw. Internet-Nutzung findet nicht statt. Zur Abwehr von Angriffen auf die IT-Infrastruktur oder auf einzelne Nutzer können Schutzmaßnahmen an den Übergängen des Unternehmensnetzwerkes implementiert werden, die technisch schädigende Inhalte blockieren oder die Muster von Angriffen analysieren.

Aus Gründen der Sicherheit kann die Nutzung der Telefon- oder E-Mail-Kommunikation bzw. Internet-Nutzung zeitlich befristet protokolliert werden.

Personenbezogene Auswertungen dieser Daten dürfen nur bei einem konkreten begründeten Verdacht eines Verstoßes gegen Gesetze oder Richtlinien von Parasol Island erfolgen. Der Datenschutzbeauftrage ist hierbei hinzuzuziehen.

= Übermittlung personenbezogener Daten =
Bei der Übermittlung von personenbezogenen Daten an Dritte muss die Zulässigkeit der Datenverarbeitung vorliegen. Der Empfänger der Daten muss darauf verpflichtet werden, diese nur zu den festgelegten Zwecken zu verwenden.

= Auftragsverarbeitung =
Eine Auftragsdatenverarbeitung liegt vor, wenn ein Auftragnehmer mit der Verarbeitung personenbezogener Daten beauftragt wird, ohne dass ihm die Verantwortung für den zugehörigen Geschäftsprozess übertragen wird.

In diesen Fällen ist ein Vertrag über eine Auftragsdatenverarbeitung abzuschließen. Dabei behält das beauftragende Unternehmen die volle Verantwortung für die korrekte Durchführung der Datenverarbeitung. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Bei der Erteilung des Auftrags sind die nachfolgenden Vorgaben einzuhalten:

# Der Auftragnehmer ist nach seiner Eignung zur Gewährleistung der erforderlichen technischen und organisatorischen Schutzmaßnahmen auszuwählen.
# Der Auftrag ist in Textform zu erteilen. Dabei sind die Weisungen zur Datenverarbeitung und die Verantwortlichkeiten des Auftraggebers und des Auftragnehmers zu dokumentieren.
# Der Auftraggeber muss sich vor Beginn der Datenverarbeitung von der Einhaltung der Pflichten des Auftragnehmers überzeugen. Die Einhaltung der Anforderungen an die Datensicherheit kann ein Auftragnehmer insbesondere durch Vorlage einer geeigneten Zertifizierung nachweisen. Die Kontrolle ist gegebenenfalls während der Vertragslaufzeit regelmäßig zu wiederholen.

= Rechte des Betroffenen =
Bei Geltendmachung der nachfolgenden Rechte sind diese umgehend zu bearbeiten und dürfen für den Betroffenen zu keinen Nachteilen führen.

# Der Betroffene kann Auskunft darüber verlangen, welche personenbezogenen Daten welcher Herkunft über ihn zu welchem Zweck gespeichert sind.
# Werden personenbezogene Daten an Dritte übermittelt, muss auch über die Identität des Empfängers oder über die Kategorien von Empfängern Auskunft gegeben werden.
# Sollten personenbezogene Daten unrichtig oder unvollständig sein, kann der Betroffene ihre Berichtigung oder Ergänzung verlangen.
# Der Betroffene kann der Verarbeitung seiner personenbezogenen Daten zu Zwecken der Werbung oder der Markt- und Meinungsforschung widersprechen. Für diese Zwecke müssen die Daten gesperrt oder gelöscht werden.
# Der Betroffene ist berechtigt, die Löschung seiner Daten zu verlangen, wenn die Rechtsgrundlage für die Verarbeitung der Daten fehlt oder weggefallen ist. Gleiches gilt für den Fall, dass der Zweck der Datenverarbeitung durch Zeitablauf oder aus anderen Gründen entfallen ist. Bestehende Aufbewahrungspflichten und einer Löschung entgegenstehende schutzwürdige Interessen müssen beachtet werden.
# Der Betroffene hat ein grundsätzliches Widerspruchsrecht gegen die Verarbeitung seiner Daten, das zu berücksichtigen ist, wenn sein schutzwürdiges Interesse aufgrund einer besonderen persönlichen Situation das Interesse an der Verarbeitung überwiegt.

Dies gilt nicht, wenn eine Rechtsvorschrift zur Durchführung der Verarbeitung verpflichtet.

= Vertraulichkeit der Verarbeitung =
Personenbezogene Daten unterliegen dem Datengeheimnis. Eine unbefugte Erhebung, Verarbeitung oder Nutzung ist den Mitarbeitern untersagt.

Unbefugt ist jede Verarbeitung, die ein Mitarbeiter vornimmt, ohne damit im Rahmen der Erfüllung seiner Aufgaben betraut und entsprechend berechtigt zu sein.

Dies erfordert die sorgfältige Aufteilung und Trennung von Rollen und Zuständigkeiten sowie deren Umsetzung und Pflege im Rahmen von Berechtigungskonzepten.

Mitarbeiter dürfen personenbezogene Daten nicht für eigene private oder wirtschaftliche Zwecke nutzen, an Unbefugte übermitteln oder diesen auf andere Weise zugänglich machen.

Diese Verpflichtung besteht auch nach Beendigung des Beschäftigungsverhältnisses fort.

= Sicherheit der Verarbeitung =
Personenbezogene Daten sind jederzeit gegen unberechtigten Zugriff, unrechtmäßige Verarbeitung oder Weitergabe, sowie gegen Verlust, Verfälschung oder Zerstörung zu schützen. Dies gilt unabhängig davon, ob die Datenverarbeitung elektronisch oder in Papierform erfolgt. Vor Einführung neuer Verfahren der Datenverarbeitung, insbesondere neuer IT-Systeme, sind technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten festzulegen und umzusetzen. Diese Maßnahmen haben sich am Stand der Technik, an den von der Verarbeitung ausgehenden Risiken und am Schutzbedarf der Daten zu orientieren.

= Datenschutzkontrolle =
Die Einhaltung der Datenschutzrichtlinie und der geltenden Datenschutzgesetze wird regelmäßig durch geeignete Kontrollen überprüft.

= Datenschutzvorfälle =
Datenschutzvorfälle müssen unverzüglich von den Mitarbeitern an die Geschäftsleitung oder an den Datenschutzbeauftragten gemeldet werden.

Insbesondere bei Fällen von

* unrechtmäßiger Übermittlung personenbezogener Daten an Dritte
* unrechtmäßigem Zugriff durch Dritte auf personenbezogene Daten
* bei Verlust personenbezogener Daten

ist die Meldung unverzüglich vorzunehmen, damit die bestehenden Meldepflichten an die Aufsichtsbehörden unverzüglich erfüllt werden können.

= Verantwortlichkeiten =
Die Geschäftsleitung ist für die ordnungsgemäße Datenverarbeitung verantwortlich.

Damit ist sie verpflichtet, sicherzustellen, dass die gesetzlichen und die in der Datenschutzrichtlinie enthaltenen Anforderungen des Datenschutzes berücksichtigt werden.

Die Umsetzung dieser Vorgaben liegt in der Verantwortung der zuständigen Mitarbeiter.

Bei Kontrollen durch die Aufsichtsbehörden ist der Datenschutzbeauftragte umgehend zu informieren.

= Der Datenschutzbeauftragte =
Jeder Betroffene kann sich mit Anregungen, Anfragen, Auskunftsersuchen oder Beschwerden im Zusammenhang mit Fragen des Datenschutzes oder der Datensicherheit an den Datenschutzbeauftragten wenden.

Anfragen und Beschwerden werden selbstverständlich vertraulich behandelt.

Unseren Datenschutzbeauftragten erreichen Sie wie folgt:

Robert Kulis

COARTIFACT GmbH

Von-Werth-Straße 33-35

50670 Köln

E-Mail: kulis@coartifact.com

Webseite: www.coartifact.com

Telefon: 0221/66999528

[[File:01 02 PSL ISMS Datenschutzleitlinie.pdf|thumb]]

File:01 02 PSL ISMS Datenschutzleitlinie.pdf

2023-12-05T15:54:59Z

Philip.thome@parasol-island.com:

Leitlinie zum Datenschutz

ISMS

2023-10-30T10:51:32Z

Philip.thome@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

{| class="wikitable"
|-
! Rolle !! Ansprechpartner !! Vertreter
|-
|
Informationssicherheitsbeauftragter

Datenschutzbeauftragter
|
Robert Kulis

COARTIFACT GmbH

[mailto:kulis@coartifact.com kulis@coartifact.com]

+49 221 66 99 9528
|
Philip Thomé

COARTIFACT GmbH

[mailto:thome@coartifact.com thome@coartifact.com]

+49 175 92 13 497
|-
|
IT-Administrator
|
Peter Norenkemper

[mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com]

+49 211 159 220 190
|
Stefan Kirste

[mailto:stefan.kirste@parasol-island.com stefan.kirste@parasol-island.com]

|-
|
Geschäftsführung
|
Philip Hansen

[mailto:philip.hansen@parasol-island.com philip.hansen@parasol-island.com]

+49 211 159 220 111
|
Sebastian Druschel

[mailto:sebastian.druschel@parasol-island.com sebastian.druschel@parasol-island.com]

+49 211 159 220 100
|}

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Richtlinie zur Führung eines ISMS]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie zu Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Richtlinie zu physischer Sicherheit]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichen und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Richtlinie zum Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|
|
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!18
|Arbeitsanweisung zur Durchführung von Schwachstellenscans
|Vertraulich
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!
!
|
|
|}

[[Category:ISMS|ISMS]]

03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten

2023-10-30T10:48:49Z

Philip.thome@parasol-island.com: Replaced content with "{{DISPLAYTITLE:03 14 Arbeitsanweisung zum Umgang mit personenbezogenen Daten}} Außer Kraft Zurück zur ISMS Übersicht Category:ISMS"

{{DISPLAYTITLE:03 14 Arbeitsanweisung zum Umgang mit personenbezogenen Daten}}

Außer Kraft

Zurück zur [[ISMS|ISMS Übersicht]]
[[Category:ISMS]]

ISMS

2023-10-30T10:36:53Z

Philip.thome@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

{| class="wikitable"
|-
! Rolle !! Ansprechpartner !! Vertreter
|-
|
Informationssicherheitsbeauftragter

Datenschutzbeauftragter
|
Robert Kulis

COARTIFACT GmbH

[mailto:kulis@coartifact.com kulis@coartifact.com]

+49 221 66 99 9528
|
Philip Thomé

COARTIFACT GmbH

[mailto:thome@coartifact.com thome@coartifact.com]

+49 175 92 13 497
|-
|
IT-Administrator
|
Peter Norenkemper

[mailto:peter.norenkemper@parasol-island.com peter.norenkemper@parasol-island.com]

+49 211 159 220 190
|
Stefan Kirste

[mailto:stefan.kirste@parasol-island.com stefan.kirste@parasol-island.com]

|-
|
Geschäftsführung
|
Philip Hansen

[mailto:philip.hansen@parasol-island.com philip.hansen@parasol-island.com]

+49 211 159 220 111
|
Sebastian Druschel

[mailto:sebastian.druschel@parasol-island.com sebastian.druschel@parasol-island.com]

+49 211 159 220 100
|}

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichne und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!
!
|
|
|}

[[Category:ISMS|ISMS]]

ISMS

2023-10-30T10:34:08Z

Philip.thome@parasol-island.com: /* Information Security Management System */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichne und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!
!
|
|
|}

[[Category:ISMS|ISMS]]

ISMS

2023-10-30T10:30:51Z

Philip.thome@parasol-island.com:

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Operation Security]]
|Welche wesentliche Vorgaben sind in Bezug auf die Informationssicherheit zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und welche Sicherheitsmaßnahmen gelten dort?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtlichne und vertraglichen Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich gegen Schadsoftware ab und wie reagiert man im Schadensfall?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit beim Outsourcing von IT-Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Außer Kraft
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!15
|[[02 15 PSL ISMS Schulungen|Schulungen und Weiterbildungen]]
|Welche Methoden und Werkzeuge weden bei internen Weiterbildungen eingesetzt?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Wie ist mit persönlichen IT-Systemen umzugehen?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an die Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche Anforderungen hat die Informationssicherheit an das Projektmanagement?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es beim Umgang mit Cloud-Diensten?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[03 00 PSL ISMS Dokumentenfreigabe|ISMS Dokumentenfreigabe]]
|Wie werden Dokumente für die Informationssicherheit erstellt, angepasst und veröffentlicht?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Verantwortlichkeiten in der Informationssicherheit]]
|Wer sind die Verantwortlichen in der Informationssicherheit?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Wie sieht der Umgang mit Informationssicherheit konkret in Projekten aus?
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Parasol Island umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden, um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme aktualisiert?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 16 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk|Arbeitsanweisung zum Umgang mit vertraulichen Informationen am Arbeitsplatz]]
|Wie ist der korrekte Umgang mit sensiblen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist der korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der (internen) Verarbeitungstätigkeiten gepflegt?
|-
|
!24
|[[03 24 PSL ISMS EvaluationCloudDiensten|Verwendung von Clouddiensten]]
|Wie geht man mit Cloud-Diensten um?
|-
|
!25
|[[03 25 PSL ISMS ExterneAudits|Arbeitsanweisung zur Durchführung externer Audits]]
|Wie wird mit externen Audits - insbesondere TISAX Assessments - umgegangen?
|-
|
!27
|[[03 27 PSL ISMS Schutzziele|Definition Schutzziele]]
|Wie werden Informationen klassifiziert, und wie geht man mit diesen Werte um?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über die Teilnahme an Informationssicherheitsschulungen?
|-
|
!29
|[[03 29 PSL ISMS Prototypen|Umgang mit Prototypen]]
|Wie geht Parasol Island mit Prototypen um?
|-
|
!33
|[[03 33 PSL ISMS GeistigesEigentum|Geistiges Eigentum]]
|Wie geht Parasol Island mit geistigem Eigentum um?
|-
|
!34
|[[03 34 PSL ISMS RelevanteBestimmungen|Relevante Bestimmungen]]
|Dieses Dokument regelt den Umgang mit Bestimmungen der anwendbaren Gesetzgebung und vertraglichen Anforderungen.
|-
|
!36
|[[Informationswerte]]
|Wie werden die relevanten Informationswerte erfasst?
|-
|
!38
|[[03 38 PSL ISMS Authentifizierungskonzept|Authentifizierungsmethoden]]
|Welche Authentifizierungsmethoden werden bei Parasol Island genutzt?
|-
|
!40
|[[03 40 PSL ISMS ProtokollierungSicherheitsvorfälle|Protokollierung von Sicherheitsvorfälle]]
|Wie werden Sicherheitsereignisse protokolliert?
|-
|
!41
|[[03 41 PSL ISMS KontrolleCloudDienste|Kontrolle genutzte Cloud-Dienste]]
|Wie werden die genutzten Cloud-Dienste durch den ISB kontrolliert?
|-
|
!42
|[[03 42 PSL ISMS ITDienstleister|Umgang mit IT-Dienstleistern]]
|Welche Besonderheiten sind bei IT-Dienstleistern zu beachten?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|}

[[Category:ISMS|ISMS]]

02 13 PSL ISMS Passwort-Richtlinie

2023-10-30T10:20:59Z

Philip.thome@parasol-island.com: Replaced content with "Zurück zur ISMS Übersicht Die Inhalte dieses Dokumentes wurden auf andere Dokumente verteilt. Category:ISMS"

Zurück zur [[ISMS|ISMS Übersicht]]

Die Inhalte dieses Dokumentes wurden auf andere Dokumente verteilt.

[[Category:ISMS]]

03 07 PSL ISMS Datensicherungs- und Archivierungsplan

2023-10-30T10:17:31Z

Philip.thome@parasol-island.com: Replaced content with "Zurück zur ISMS Übersicht Aufgrund der enthaltenen Information als 'vertraulich' eingestuft und nur einem gesonderen Personenkreis zugänglich. Category:ISMS"

Zurück zur [[ISMS|ISMS Übersicht]]

Aufgrund der enthaltenen Information als 'vertraulich' eingestuft und nur einem gesonderen Personenkreis zugänglich.
[[Category:ISMS]]

02 22 PSL ISMS Projektbezogene Informationssicherheit

2023-10-30T10:14:50Z

Philip.thome@parasol-island.com:

== Zweck ==
''„Bei der Durchführung von Projekten ist es wichtig, dass die Informationssicherheitsanforderungen berücksichtigt. werden. Dies gilt für Projekte der Organisation, unabhängig von der Art des Projekts. Durch eine geeignete Verankerung des Informationssicherheitsprozesses in den Projektmanagementmethoden der Organisation wird sichergestellt, dass keine Anforderungen übersehen werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)''

Diese Richtlinie beschreibt den Umgang mit Informationssicherheit im Projektkontext. Zusätzlich zur Klassifikation eines Projektes bzgl. seines Schutzbedarfs ist für jedes Projekt eine Risikoanalyse erforderlich. Risiken, die in allen Projekten auftreten, müssen identifiziert und global behandelt werden.

== Geltungsbereich ==
Diese Richtlinie gilt verbindlich für Projektleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Klassifizierung von Projekten ==
Jedes (Kunden-)Projekt ist bezüglich seines Schutzbedarfes zu klassifizieren. Die Klassifikation erfolgt anhand der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Entsprechende Klassen und die Konsequenzen dieser Einstufungen sind definiert und allen Mitarbeiter bekannt.

Die Klassifizierung erfolgt so früh wie möglich. Sie sollte bereits in der Angebotsphase mit dem Kunden besprochen und festgelegt werden. Projektindividuelle Anpassungen sind erlaubt, sind aber schriftlich festzuhalten.

Vor Projektbeginn sind alle Projektteilnehmer über die Klassifikation, daraus abgeleitete Regeln sowie über projektspezifische Vereinbarungen zu informieren.

Wenn sich die Klassifizierung während oder nach der Projektlaufzeit ändert, so ist dies umgehend zu dokumentieren. Alle Projektbeteiligten sind über diese Änderung und die daraus resultierenden Konsequenzen zu informieren.

=== Prototypenschutz ===
Die Klassifizierung eines Projektes schließt unabhängig von den oben genannten Schutzzielen auch die Tatsache mit ein, ob und inwieweit im Umfang des Projektes Prototypen verwendet werden. Zwar liegt der direkte Umgang mit Prototypen nicht bei Parasol Island, dennoch bedarf es in solchen Projekten besonderer Sorgfalt und Vorbereitung.

Daher gelten für Projekte mit Prototypen zusätzlich zu den o.g. Schutzzielen folgende Regelungen:

# Mitarbeiter und Projektbeteiligte sind vor Projekteinstieg über die Regelungen und Maßnahmen in Bezug auf den Umgang mit Prototypen zu schulen. Dies schließt insbesondere projektspezifische Regelungen mit ein.
# Je nach Projektfortschritt sind solche Schulungen in Bezug auf die für den jeweiligen Projektabschnitt geltenden Regelungen und Maßnahmen zu wiederholen.
# Mitarbeiter, die regelmäßig in Projekten mit Prototypen umgehen, sind unabhängig von ihren Projekten im Umgang mit Prototypen zu schulen. Dies wird in der Richtlinie zu Schulungen und Weiterbildungen (ISMS, 02_15) festgelegt.

=== Veranstaltungen und Film- und Fotoshootings ===
''„Es ist sicherzustellen, dass die jeweiligen Sicherheitsvorgaben des Auftraggebers für Ausstellungen und Veranstaltungen [und Film- und Fotoshootings] mit als schutzbedürftig klassifizierten Fahrzeugen, Komponenten oder Bauteilen bekannt sind.“ (8.5.1/8.5.2) (Verband der Automobilindustrie e.V. (VDA), 2020)''

Wenn die Parasol Island in ihren Projekten in direkten Kontakt mit physischen Prototypen kommt, so ist bereits in einem frühen Projektstadium mit dem Kunden (und eventuell beteiligten Sicherheitsunternehmen) über die Anforderungen im Umgang mit diesen Prototypen zu sprechen. Diese sind schriftlich festzuhalten und dem Projektteam mitzuteilen. Sinnvollerweise erfolgt diese Abstimmung, Dokumentation und Information analog zu Maßnahmen, die im Zuge der Informationssicherheit vereinbart werden. Bei Bedarf sind in Abstimmung mit allen Beteiligten Sicherheitskonzepte (organisatorisch, technisch und personell) zu erstellen. In den meisten Fällen dürften dies die Kunden der Parasol Island durchführen; in dem Fall sind sie von Parasol zu unterstützen.

Örtlichkeiten, die die Parasol Island als Dreh- oder Veranstaltungsorte aussucht, sind vom Kunden freizugeben. Vor Ort ist den Anweisungen des für den Prototypen verantwortlichen Sicherheitspersonals unbedingt Folge zu leisten. Es empfiehlt sich, bereits im Vorfeld, Verhaltensregeln bei besonderen Vorkommnissen festzulegen, bzw. mit dem Sicherheitspersonal zu besprechen.

=== Umgang mit Bildmaterial ===
Auch wenn Bildmaterial im weitesten Sinne Information ist, und damit allen Anforderungen und Regelungen der Informationssicherheit bzgl. sehr hohem Schutzbedarf unterliegt, sei an dieser Stelle noch einmal darauf hingewiesen, dass Prototypen für die Kunden Parasol Island (insbesondere der Automobilbranche) besonders schützenswert und wichtig sind. Daher gilt es auch hier, besonders umsichtig im Umgang damit zu sein.

So empfiehlt es sich z.B., dass Datenträger mit Bildmaterial (sofern technisch umsetzbar) die Kundenumgebung nicht verlassen, sondern vom Kunden im Anschluss an die Aufnahme diese Daten übernehmen und diese über ihre eigene Webplattform der Parasol bereitstellen. In diesem Fall muss das Material nicht (physisch) transportiert werden, sondern kann in den sicheren Räumlichkeiten (ISMS, 02_03) abgerufen und auf den Server der Parasol übertragen werden. Datenträger, bei denen dies (z.B. aufgrund des Umfangs an Bildmaterial) nicht möglich ist, sollten (insbesondere bei langen oder unsicheren Strecken) als Kopien auf unterschiedlichen Wegen transportiert werden (Redundanz). Eine Kopie der Daten sollte außerdem beim Kunden verbleiben, bis die Daten sicher Parasol Island erreicht haben. Vorzugsweise ist auch der Versand/Transport in Absprache mit dem Kunden vorzunehmen.

Auch bei Übergaben des Bildmaterials ist darauf zu achten, dass diese sicher sind und nur solche Personen involviert sind, die auch für den Empfang berechtigt sind.

== Risikomanagement in Projekten ==
In jedem Projekt wird zu Projektbeginn, im besten Fall bereits während der initialen Projektplanung eine Risikoanalyse vorgenommen. Notwendig ist eine Analyse der Risiken bezüglich der Informationssicherheit, aber es empfiehlt sich, auch andere Projektrisiken zu betrachten. Auf Basis der Analyse sind Maßnahmen zur Risikobehandlung abzuleiten. Die Risikoanalyse ist vom Projektleiter durchzuführen. Auf Wunsch kann der Informationssicherheitsberater dabei unterstützen. Bei streng vertraulichen Projekten ist der Informationssicherheitsberater verpflichtend mit einzubeziehen.

Risiken, die die Parasol Island im Ganzen behandeln kann, werden im Zuge des allgemeinen Risikomanagements betrachtet (ISMS, 02_12), so dass nur die projektspezifischen Risiken betrachtet werden müssen.

Ergeben sich während des Projektverlaufs Änderungen an den Risikofaktoren, so ist die Risikoanalyse zu wiederholen und die Maßnahmen gegebenenfalls an die neuen Verhältnisse anzupassen. Insbesondere bei Projekten mit hohem Schutzbedarf oder Projekten mit langem Projektzeitraum, sind die Risiken und Maßnahmen regelmäßig zu überprüfen und eventuell neu zu bewerten.

In einzelnen Projekten gewonne Erkenntnisse, die sich aus den Risiken und Maßnahmen ableiten lassen, und die zu einer Verbesserung der Informationssicherheit bzw. im Umgang mit Projektrisiken führen, sind auf alle Projekte zu übertragen.

ISMS

2023-10-16T09:39:39Z

Philip.thome@parasol-island.com: Abschnitt /* Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS */ entfernt

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|-
!02
|[[02 PSL ISMS Datenschutzleitlinie|Datenschutzleitlinie]]
|Dieses Dokument enthält die öffentliche Verpflichtung auf die Einhaltung des Datenschutzes.
|-
|}
==='''Richtlinien'''===
{|
!02
!00
|[[PSL ISMS Aufbau und Pflege|Aufbau und Pflege]]
|Wie ist der Aufbau und die Struktur unseres ISMS definiert?
|-
!
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Compliance]]
|Welche rechtliche und vertragliche Anforderungen gibt es?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Umgang mit Schadsoftware]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[Identity- und Access-Management]]
|Wie geht man mit Benutzerkonten, Identifikationsmitteln und Berechtigungen um?
|-
|
!17
|[[02 17 PSL ISMS Nutzung IT Systeme|Nutzung IT Systeme]]
|Welche geht man mit persönlichen IT-Systemen um?
|-
|
!18
|[[02 18 PSL ISMS Personalsicherheit|Personalsicherheit]]
|Welche Anforderungen werden an der Einstellung und Evaluierung neuer Mitarbeiter gestellt?
|-
|
!20
|[[02 20 PSL ISMS Informationswerte|Informationswerte]]
|Welche Informationswerte hat die Parasol Island?
|-
|
!22
|[[02 22 PSL ISMS Projektbezogene Informationssicherheit|Projektbezogene Informationssicherheit]]
|Welche besonderheiten hat die Informationssicherheit in Projekte?
|-
|
!26
|[[02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen|Umgang mit Informationssicherheitsereignissen und -vorfällen]]
|Wie gehe ich bei Sicherheitsvorfälle vor?
|-
|
!27
|[[02 27 PSL ISMS Cloud-Dienste|Cloud-Dienste]]
|Welche Anforderungen gibt es bei der Umgang mit Cloud-Dienste?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!00
|[[PSL ISMS Technische und organisatorische Maßnahmen]]
|Wie wird der Datenschutz und Informationssicherheit stetig optimiert?
|-
!
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|-
|
!17
|[[Clear screen Desk]]
|Wie ist die korrekte Umgang mit sensibelen Informationen am Arbeitsplatz?
|-
|
!19
|[[Umgang mit Datenschutzverletzungen]]
|Wie ist die korrekte Umgang Datenschutzverletzungen?
|-
|
!23
|[[03 23 PSL ISMS Führung eines Verzeichnisses von Verarbeitungstätigkeiten|Führung eines Verzeichnisses von Verarbeitungstätigkeiten]]
|Wie wird das Verzeichnis der internen Verarbeitungstätigkeiten erstellt und gepflegt?
|-
|
!28
|[[Schulungen]]
|Was und wie wird dokumentiert über Teilnahme an Informationssicherheitsschulungen?
|}

==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}
[[Category:ISMS|ISMS]]

02 27 PSL ISMS Cloud-Dienste

2023-09-28T12:29:39Z

Philip.thome@parasol-island.com: /* Evaluation */

== Zweck ==
Diese Richtlinie soll Informationen zur Evaluation und zum Umgang mit Cloud-Diensten liefern.

== Geltungsbereich ==
Diese Richtlinie gilt für alle Mitarbeiter an allen Standorten der Parasol Island.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

== Einleitung ==
IT-Systeme oder genutzte Software befinden sich heutzutage nicht mehr allein in der Hoheit eines Unternehmens. Insbesondere die Nutzung von Cloud-Diensten hat in den letzten Jahren stark zugenommen. Auch bei Parasol Island ist diese Entwicklung deutlich zu erkennen. Immer mehr IT-Dienste werden genutzt. Dabei ist es wichtig, den Überblick zu haben, welche Dienste gerade aktuell sind, wer dafür verantwortlich ist und wofür sie verwendet werden. Darüber hinaus ist auch die Informationssicherheit und der Datenschutz zu betrachten: Ist der Dienst sicher genug? Wie sieht die Exit-Strategie für Parasol Island aus? Erfüllt der Dienst die rechtlichen Anforderungen an den Datenschutz? Diese Fragen sollten vor Einführung und Nutzung eines Cloud-Dienstes beantwortet sein. Die Anforderungen an die Evaluation eines Cloud-Dienstes werden im nächsten Abschnitt beschrieben. Ist die Evaluation positiv abgeschlossen, darf der Dienst verwendet werden. Wie dies zu organisieren ist und wie der Umgang mit eingesetzten Cloud-Diensten aussehen muss, wird im Abschnitt „Einsatz von Cloud-Diensten“ beschrieben.

== Evaluation ==
„Insbesondere bei organisationsfremden IT-Diensten, die mit verhältnismäßig geringen Kosten oder kostenfrei nutzbar sind, besteht ein erhöhtes Risiko, dass die Beschaffung und Inbetriebnahme ohne geeignete Berücksichtigung der Informationssicherheitsanforderungen erfolgt und somit die Sicherheit nicht gewährleistet ist.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Vor dem Einsatz eines Cloud-Dienstes muss kontrolliert werden, ob dieser den Anforderungen der Parasol Island genügt. Dabei sind geltende rechtliche und vertragliche Anforderungen zu beachten sowie die Anforderungen, die sich aus dem VDA ISA, bzw. der ISO 27001 ergeben. Dienste, die nicht geprüft und freigegeben wurden, dürfen nicht verwendet werden.

Darüber hinaus ist vor dem Einsatz eines Cloud-Dienstes eine Risikoanalyse durchzuführen.

Bei all dem ist insbesondere zu berücksichtigen, welche Informationswerte (siehe auch (ISMS, 02_20 )) von diesem Cloud-Dienst verarbeitet werden und welchen Schutzbedarf diese haben. Denn aus diesen ergibt sich der Schutzbedarf für den Cloud-Dienst.

Die Evaluierung und Freigabe auch in Abhängigkeit vom Schutzbedarf haben einem festgelegten Verfahren zu folgen und sind zu dokumentieren. Die Einhaltung dieses wird regelmäßig überprüft. Auch die Nicht-Freigabe ist unter Angabe der Begründung zu dokumentieren.

Durch die dezentrale Organisation der Parasol Island und dem Einsatz von Cloud-Diensten auch in einzelnen Projekten sollte darauf geachtet werden, dass ein unternehmensweites Verständnis vorhanden ist, welche Dienste im Einsatz sind, um Synergien nutzen zu können und nicht unterschiedliche Dienste für den gleichen Einsatzzweck zu verwenden.

Darüber hinaus gelten die Regelungen für Changes bei der Parasol Island. Diese sind in der Richtlinie zu Change Management (ISMS, 02_05) beschrieben.

== Einsatz von Cloud-Diensten ==
„Es ist wichtig, dass ein gemeinsames Verständnis der Verantwortungsaufteilung existiert und die Umsetzung aller Sicherheitsanforderungen sichergestellt wird. Bei der Nutzung von organisationsfremden IT-Dienstleistungen und IT-Diensten sind deshalb die Verantwortlichkeiten bezüglich der Umsetzung von Maßnahmen zur Informationssicherheit festzulegen und nachweisbar zu dokumentieren.“ (1.2.4) (Verband der Automobilindustrie e.V. (VDA), 2020)

Dienste, die nicht geprüft und freigegeben wurden, dürfen nicht verwendet werden.

Parasol Island muss sich jederzeit über die eingesetzten Cloud-Dienste gewahr sein. D.h. es ist ein Verzeichnis aller genutzter Dienste zu führen, inkl. der Informationen über den Schutzbedarf, die Verantwortlichen, der Zweck des Einsatzes und eventuell zusätzlicher Sicherheitsmaßnahmen, die bei der Nutzung des Dienstes zu treffen sind.

Die Konfiguration des Dienstes ist anhand der notwendigen Sicherheitsanforderungen konzipiert, umgesetzt und dokumentiert. Anhand dieser Dokumentation wird die Konfiguration des Dienstes in regelmäßigen Abständen kontrolliert. Dies gilt insbesondere, wenn es sich um einen Dienst mit hohem Schutzbedarf handelt.

Eine ausreichende Schulung von Administratoren, Verantwortlichen und Benutzern des IT-Dienstes erfolgt ebenfalls in regelmäßigen Abständen. Im besten Fall oder bei sicherheitsrelevanten komplexen Diensten ist ein detailliertes Schulungskonzept zu erstellen.

Die Verantwortlichkeiten müssen für jeden Cloud-Dienst definiert sein. Dabei ist auch darauf zu achten, dass Verantwortlichkeiten teamübergreifend bestehen können. Jede verantwortliche Person oder Abteilung muss sich seiner Verantwortung und der damit einhergehenden Pflichten und Aufgaben bewusst sein. Dies gilt insbesondere auch für den Dienstleister, der den Cloud-Dienst anbietet.

== Nutzungsende von Cloud-Diensten ==
Um als Informationseigentümer die Hoheit über die Informationswerte zu gewährleisten, ist es erforderlich, dass im Falle einer Beendigung des IT-Dienstes die Informationswerte wieder sicher entfernt werden können bzw. bei Bedarf zurückgegeben werden. (Verband der Automobilindustrie e.V. (VDA), 2020)

Wird die Nutzung eines Cloud-Dienstes eingestellt, so muss nicht nur sichergestellt werden, dass es einen sicheren und unterbrechungsfreien Übergang zu einer alternativen Lösung gibt, sondern auch, dass die Informationen, die vom Cloud-Dienst gespeichert wurden, vollständig und sicher entfernt werden. Um dies sicherzustellen ist bereits vor der Nutzung des Cloud-Dienstes die passende Ausstiegsstrategie zu ermitteln und festzuhalten.

02 03 PSL ISMS Sicherheitszonen Richtlinie

2023-05-03T09:13:41Z

Philip.thome@parasol-island.com:

Zurück zur [[ISMS|ISMS Übersicht]]

==Zweck der Sicherheitszonen-Richtlinie==
Die Sicherheitszonen-Richtlinie soll Informationen über die Einstufung und Verteilung von Sicherheitszonen in den Räumlichkeiten der Parasol Island GmbH bieten.

==Geltungsbereich der Sicherheitszonen-Richtlinie==
Diese Sicherheitszonen-Richtlinie gilt für die Räumlichkeiten der Firma Parasol Island GmbH in der Florastraße 75 in 40217 Düsseldorf sowie in der Rudi-Dutschke-Straße 26 in 10969 Berlin.

Bei Außeneinsätzen sind für die Arbeiten Bereiche und Räumlichkeiten zu wählen, welche den gegebenen Anforderungen entsprechen.

Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alle älteren Versionen automatisch für ungültig erklärt.

==Definition der Sicherheitszonen==
Neben dem öffentlichen Raum sind drei Sicherheitszonen definiert.

Der Schutzbedarf von Räumen in einem Gebäude hängt von ihrer Nutzung und der Risikobewertung ab. Die erforderlichen Sicherheitsmaßnahmen müssen diesem Schutzbedarf angepasst sein. Entsprechend muss die bauliche Ausführung von Wänden, Fenstern und Türen sein und die ergänzende Ausstattung mit Sicherheits- und Überwachungstechnik. Des Weiteren sind auch die Verhaltensweisen innerhalb der Räume entscheidend für die Sicherheit der darin bearbeiteten Daten und Informationen.

Für die Parasol Island GmbH bestehen vier definierte Sicherheitsstufen, bzw. -zonen, die im Folgenden beschrieben werden.

===Außenbereich===
Als Außenbereich wird der öffentlich zugängliche Teil des Grundstückes bezeichnet. Dieser ist als Firmengelände zu erkennen.

===Kontrollierter Bereich - Intern (grün)===
Zutritt zu diesen Räumlichkeiten ist nur durch eine angemessene Zutrittskontrolle möglich. Dies kann eine vorherige Sichtprüfung durch einen (Empfangs-)Mitarbeiter oder ein Zutrittskontrollsystem sein. Berechtigte Personen innerhalb dieser Zone sind Mitarbeiter, deren geladene Gäste und Lieferanten. Sonstige Personen bzw. unangemeldete Besucher müssen durch Mitarbeiter begleitet werden und sind gegebenenfalls im Vorfeld den anwesenden Mitarbeitern anzukündigen bzw. vorzustellen. Gäste und Besucher müssen registriert werden und auf die in diesem Bereich geltenden Vertraulichkeitsregeln aufmerksam gemacht werden.

Außer den Türen im Empfangsbereich, die von einem Mitarbeiter überwacht werden, ist keine der Türen selbsttätig von außerhalb der Sicherheitszone zu öffnen. Die Mitarbeiter sind verpflichtet, diese Türen stets geschlossen zu halten und die Türen andernfalls immer im Blick zu haben. Zusätzlich sind technische Maßnahmen vorhanden, damit diese Türen von selbst ins Schloss fallen und nicht von außen über einen Türgriff aufzudrücken sind (Türschließer, Türknauf).

Jeder Mitarbeiter hat darauf zu achten, bei Anwesenheit von Gästen und Besuchern angemessen mit den Informationen umzugehen, die er bearbeitet und die z.B. auf seinem Schreibtisch oder auf seinem Monitor sichtbar sein könnten.

Informationen dürfen nur mit firmeneigenen Geräten und für den Dienstgebrauch mit Optiken oder Aufzeichnungsgeräten festgehalten werden.

===Eingeschränkter Bereich - Vertraulich (gelb)===
Dieser Bereich ist für alle Mitarbeiter zugänglich, die auch den internen Bereich betreten dürfen. Zusätzlich gilt: Besucher und Gäste dürfen diesen Bereich nur in Begleitung eines Mitarbeiters der Parasol Island GmbH betreten und müssen vor Betreten die Hinweise zur Geheimhaltung schriftlich bestätigen.

Keine der Türen, die in diesen Bereich führen, ist selbsttätig von außerhalb der Sicherheitszone zu öffnen. Die Mitarbeiter sind verpflichtet, diese Türen stets geschlossen zu halten und die Türen andernfalls immer im Blick zu haben. Zusätzlich sind technische Maßnahmen vorhanden, damit diese Türen von selbst ins Schloss fallen und nicht von außen über einen Türgriff aufzudrücken sind (Türschließer, Türknauf).

Teile dieser Bereiche sind mit zusätzlichen Zutrittsbeschränkungen versehen, in Abhängigkeit von den dort ausgeführten Tätigkeiten oder vorhandenen Netzwerk-/Infrastrukturkomponenten (z.B. Patchfelder, Netzwerkkomponenten).

Der Gebrauch von Optiken oder Aufzeichnungsgeräten ist in dieser Sicherheitszone nur mit firmeneigenen Geräten und für den Dienstgebrauch gestattet.

===Stark eingeschränkter Bereich – streng vertraulich (rot)===
Der stark eingeschränkte Bereich umfasst Räume, in denen sich Server befinden oder Räume, in denen an streng vertraulichen Projekten gearbeitet wird. Bei Letzteren ist zu beachten, dass es sich bei Parasol Island um Digitalprojekte handelt, und die Artefakte, mit denen gearbeitet wird, nur temporär auf lokalen Workstations bearbeitet werden, bevor sie wieder auf eigene Server zurückgespeichert werden. Das heißt, dass diese Räume nur während der Arbeit an einem Projekt den Schutzstandard erbringen müssen.

Zutritt zu den Serverräumen ist nur dem IT-Personal gestattet. Grundsätzlich gilt, es sollten so wenig Mitarbeiter wie möglich die Berechtigung haben, jedoch genug damit immer ein befugter Mitarbeiter vor Ort ist. Unbefugte Mitarbeiter haben hier keinen Zutritt und dürfen nur in Begleitung oder zur Unterstützung von berechtigten Mitarbeitern diese Räume betreten.

Alle Türen zu diesen Bereichen sind stets abzuschließen und dürfen nur offenstehen, wenn eine zugangsberechtigte Person diese immer im Blick hat.

Unberechtigte Personen bzw. Besucher dürfen nur in Begleitung und unter ständiger Beobachtung einer zugangsberechtigten Person Zutritt erhalten bzw. sich in der Sicherheitszone aufhalten.

Projektbezogen Räume der roten Sicherheitszone verfügen eine gesonderte Zutrittskontrolle. Der Zutritt ist nur den Mitgliedern eines streng vertraulichen Projektes gestattet. Der Personenkreis wird bei Projektbeginn bzw. im Projektverlauf bestimmt, und bedarf der Zustimmung der Unternehmensleitung. Die IT-Administratoren richten die Zutrittssteuerung entsprechend ein.

Sobald ein streng vertrauliches Projekt beginnt, ist der Sichtschutz zu gewährleisten. Fotografien dürfen nur in Ausnahmefällen unter Zustimmung der Projektleitung und unter Einhaltung des 4-Augen-Prinzips erstellt werden.
Unbefugte Mitarbeiter haben keinen Zutritt zu diesen Räumen. Besucher haben nur dann Zutritt zu diesen Räumen, wenn sie am Projekt beteiligt sind, oder außerhalb von Zeiten von Projekttätigkeiten, wenn ihre Anwesenheit dringend erforderlich ist (z.B. Handwerker). In jedem Fall sind sie von befugten Mitarbeitern zu begleiten und müssen ihre Anwesenheit vorher registrieren. Das gleiche gilt für Mitarbeiter außerhalb des Projektteams, z.B. IT-Mitarbeiter.

===Merkmale und Schutzmaßnahmen je Bereich===
{| style="border-spacing:0;width:15.875cm;"
|-
| style="border-top:none;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |
! style="background-color:#6aa84f;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |'''Intern (grün)'''
! style="background-color:#f1c232;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:none;padding:0.176cm;color:#ffffff;" |'''Vertraulich (gelb)'''
! style="background-color:#e06666;border-top:1pt solid #a5a5a5;border-bottom:1pt solid #a5a5a5;border-left:none;border-right:1pt solid #a5a5a5;padding:0.176cm;color:#ffffff;" |'''Streng vertraulich (rot)'''
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Definition'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich mit technischen oder organisatorisch gesteuerten Sicherheitsmaßnahmen, nicht frei zugänglich, üblicherweise interne Umfänge
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich mit zusätzlichen Sicherungsmaßnahmen, restriktiv, Schutz besonderer Umfänge, begrenzte Personenanzahl, üblicherweise auch vertrauliche Umfänge.
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Bereich mit höchsten Sicherheitsanforderungen, Schutz sensibelster Werte, streng reglementierte Zugangsberechtigungen, üblicherweise auch geheime Umfänge
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Einsehbarkeit'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Clear Desk und Clear Screen
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Temporärer Sichtschutz
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Temporärer Sichtschutz
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Besucher'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Nur registrierte Gäste/ Besucher, expliziter Hinweis auf Vertraulichkeit und Geheimhaltung, Zone für Anlieferung und Versand von Waren
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Eingeschränkter Besucherkreis, schriftliche Bestätigung der Geheimhaltung, in ständiger persönlicher Begleitung durch Parasol-Personal
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Zutritt nur in Ausnahmefällen und zusätzlich zu Zone „Gelb“ ist die Zustimmung der Projekt-/IT-Leitung erforderlich
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Schloss'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Bereich muss vor unbefugtem Zugang geschützt werden
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Schließanlage mit Zugang für eingeschränkten Personenkreis
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Schließanlage mit Zugang für sehr eingeschränkten Personenkreis, Auswahl der Zutrittsrechte durch die Unternehmensleitung, Vergabe durch IT.
Zutritt ist zu protokollieren
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Fotografieren/ Optiknutzung'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Keine internen Informationen, sonst nur mit dienstlichen Geräten
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Keine Nutzung von privaten Geräten, dienstliche Geräte nur bei fachlichem Auftrag
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Projekträume:
Keine privaten Geräte, dienstliche Geräte nur in Ausnahmefällen: 4-Augen-Prinzip, Zustimmung Projektleitung
Serverraum:
Der IT-Admin darf im Zuge seiner Regeltätigkeiten davon abweichen.
|-
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:1pt solid #c9c9c9;border-right:none;padding:0.176cm;" |'''Verhaltensregeln'''
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Alle in diesem Bereich tätigen Mitarbeiter kennen die Arbeitsanweisung zu: Besucherregelung, Schadenfälle, Allgemeine Informationssicherheit
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:none;padding:0.176cm;" |Alle in diesem Bereich tätigen Mitarbeiter kennen die Arbeitsanweisung zu: Besucherregelung, Schadenfälle, Allgemeine Informationssicherheit
| style="border-top:none;border-bottom:1pt solid #c9c9c9;border-left:none;border-right:1pt solid #c9c9c9;padding:0.176cm;" |Alle in diesem Bereich tätigen Mitarbeiter kennen die Arbeitsanweisung zu: Besucherregelung, Schadenfälle, Allgemeine Informationssicherheit
|-
|}

==Verteilung der Sicherheitszonen==
Die Räumlichkeiten der Parasol Island GmbH werden wie folgt den verschiedenen Sicherheitszonen zugeordnet. Abweichungen, Risiken und Besonderheiten der Räumlichkeiten sind ergänzend angegeben.

===Berlin===
====Erdgeschoß====
[[File:Berlin - EG.jpg|frameless|center]]
====Obergeschoß====
[[File:Berlin - OG.jpg|frameless|center]]
===Düsseldorf===
====Erdgeschoß====
[[File:DUS - EG.png|frameless|center]]
====Obergeschoss====
[[File:DUS - OG.png|frameless|center]]
====Untergeschoss====
[[File:DUS - UG.png|frameless|center]]

==Zutrittsmanagement==
Die Auswahl der Zutrittsrechte zu den definierten Sicherheitszonen erfolgt durch die Geschäftsführung. Die Protokollierung und Vergabe der Zutrittsrechte erfolgen durch die IT.

Die Personen, die Zutritt zu den verschiedenen Sicherheitszonen besitzen, werden in einer zentralen Schlüsselliste verwaltet. Die Schlüsselausgabe erfolgt nach vorheriger Bedarfsprüfung und gegen Unterzeichnung einer entsprechenden Empfangsbestätigung, die gleichzeitig über die Sicherheitsrichtlinien und Haftungsregelungen informiert.

Gäste und Besucher werden standortbezogen registriert und die Besuchszeiten erfasst. Ebenfalls erfasst werden Betreten und Verlassen der verschiedenen Sicherheitszonen durch die Mitarbeiter.

Sicherheitszonen werden ausschließlich von der Geschäftsführung mit Beratung des ISB definiert und sind jährlich neu zu bewerten.

==Ausdehnung der Sicherheitsbereiche==
Bei dringendem Bedarf kann der gelbe Sicherheitsbereich auf Teile des sonst grünen Bereichs in Büros temporär ausgeweitet werden, dafür sind jedoch die Anforderungen an die Sicherheitszone einzuhalten. Konkrete Maßnahmen sind:
* Gemeinsame Entscheidung von Geschäftsführung und Informationssicherheitsbeauftragten
* Genaue Festlegung des Zeitraumes für die temporäre Änderung
* Prüfung der Risiken in diesem Zeitraum (Besuchstermine, Wartungsbesuche, etc.)
* Einschränkung von Besuchern
* Alle Gäste und Besucher müssen eine schriftliche Geheimhaltungsvereinbarung unterzeichnen
* Geeigneter Sichtschutz während der Arbeit
* Lieferanten dürfen den Eingangsbereich nicht verlassen
Die Erweiterung kann nur erfolgen, wenn alle im gelben Sicherheitsbereich befindlichen Mitarbeiter die Vertraulichkeitsanforderungen erfüllen. Im Zweifel müssen Arbeitsplätze in andere Bereiche verlegt werden, die von der Erweiterung ausgeschlossen sind.

[[Category:ISMS]]

File:DUS - UG.png

2023-05-03T09:13:00Z

Philip.thome@parasol-island.com:

DUS - UG

File:DUS - OG.png

2023-05-03T09:12:32Z

Philip.thome@parasol-island.com:

DUS - OG

File:DUS - EG.png

2023-05-03T09:12:08Z

Philip.thome@parasol-island.com:

DUS - EG

File:Berlin - OG.jpg

2023-05-03T09:11:43Z

Philip.thome@parasol-island.com:

Berlin - OG

File:Berlin - EG.jpg

2023-05-03T09:11:03Z

Philip.thome@parasol-island.com:

Grundriss des EG Berlins

03 15 PSL ISMS Gerätelebenszyklus

2023-04-26T09:35:00Z

Philip.thome@parasol-island.com:

==Zweck==
Um die sichere Behandlung von Geräten zu jedem Zeitpunkt zu gewährleisten, soll diese Übersicht vorgeben, wie ein Gerät zu welchem Zeitpunkt von der Beschaffung bis zur Entsorgung zu behandeln ist.
Diese Arbeitsanweisung richtet sich vor allem an Administratoren und Mitarbeiter, die mit der Beschaffung oder Entsorgung von Informationsträgern beauftragt sind.
==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

[[File:GeräteLebenszyklus.png|thumb|alt=Die Grafik zeigt den Gerätelebenszylus von IT-Geräten|Gerätelebenszyklus]]

==Beschaffung==
===Workstation / Notebook===
Einen festen Plan zur Beschaffung von Komponenten gibt es nicht. Dieser wird anlassbezogen erstellt. In der Regel werden Komponenten bevorzugt, die eine angemessene Leistung erbringen und diese werden selbst zusammengestellt.
===Netzwerkgeräte===
Bei der Beschaffung von Netzwerkkomponenten ist darauf zu achten, dass diese die Fähigkeit besitzen, ein Management- und Produktivnetz parallel zu betreiben.
===Renderblades===
Einbaugröße und Wärmeentwicklung sind zu beachten.
Geräte mit eingebautem elektronischem Speicher
Der eingebaute elektronische Speicher erfordert besondere Sorgfalt bei der Entsorgung.
==Inventarisierung==
===Gerät===
Jedes Gerät wird einem Verantwortlichen zugewiesen. Dieser wird in der Inventarliste vermerkt.
Es wird eingeschätzt, wie hoch das Risiko für welche Informationssicherheitsziele ist.
Zur Risikobeurteilung ist anzugeben, wie lange das Gerät ausfallen kann, bevor ein gewisser Schaden eintritt.
===Speicherkomponenten===
Externe Speicher, wie z.B. Festplatten oder USB-Sticks sollten inventarisiert werden.
==Installation / Bereitstellung==
===End Point Security===
Es ist darauf zu achten, dass jedes Gerät über einen wirksamen Virenscanner verfügt.
===Mobilgeräte===
Bei Mobilgeräten ist darauf zu achten, dass diese verschlüsselt werden. Der Schlüssel wird, wenn möglich in 1Password hinterlegt.
===Einfügen in die Domäne===
Der Computer wird in das Firmennetzwerk eingebunden. Von hier bezieht er seine Nutzer-Authentifizierung und Richtlinien zur technischen Konfiguration. Anschließend sind die Administratorrechte der Installation zu entfernen.
==Nutzung==
Die Vereinbarung zur Nutzung von IT-Geräten ist zu beachten.
==Rückgabe==
Geräte, welche sich im Besitz des Angestellten befinden, sind nach dem Ausscheiden zurückzugeben.
==Stilllegung==
===Reparatur===
Bei Geräten mit unverschlüsselten Speichermedien müssen diese vor der Reparatur entfernt werden.
===Neubeschaffung / Ersatz===
Vor der Stilllegung ist zu prüfen, ob Ersatz für das Gerät vorhanden ist, um keine Engpässe oder Produktionsunterbrechungen zu erzeugen.
===Ausbau von Speichermedien===
Vor der Stilllegung sind die Speicherkomponenten aus den Geräten zu entfernen.
Lässt sich das Speichermedium nicht ausbauen, ist das Gerät als Ganzes wie ein Speichermedium zu behandeln.
==Lagerung==
Da Geräte oft einzeln ausgetauscht werden, ist es einfacher, sie bis zur endgültigen Entsorgung zu lagern und gesammelt zu entsorgen.
==Entsorgung / Vernichtung==
===Entsorgung===
Sofern die Geräte keine Speichermöglichkeiten besitzen, können sie unkritisch entsorgt werden.
===Entsorgung Datenträger===
====Geforderter VDA ISA Standard zur Entsorgung von Informationsträger====
Bei hohem Schutzbedarf erfolgt die Entsorgung von Datenträgern gemäß einem der gängigen Standards (z.B. DIN 66399 Sicherheitsstufe 4).
Bei sehr hohem Schutzbedarf erfolgt die Entsorgung von Datenträgern gemäß einem der gängigen Standards (z.B. DIN 66399 Sicherheitsstufe 5).
====Mechanische Vernichtung nach DIN 66399====
Kategorie T: magnetische Datenträger (Disketten, Ausweise, Kassetten, Bänder)
* T-4 max. Partikelgröße 160 mm²
* T-5 max. Partikelgröße 30 mm²
Kategorie H: magnetische Datenträger mit höherer Datendichte (Festplatten)
* H-4 max. Partikelgröße 2.000 mm²
* H-5 max. Partikelgröße 320 mm²
Kategorie E: elektronische Datenträger (USB-Sticks, Mobiltelefon)
* E-4 max. Partikelgröße 30 mm²
* E-5 max. Partikelgröße 10 mm²
Da nicht sichergestellt werden kann, auf welchem Datenträger welche Datenklassifizierung benutzt wurde, ist für alle Datenträger eine Level-5-Vernichtung durchzuführen. Die Datenträger müssen vor Ort vernichtet werden, um den Prozess der Vernichtung zu überwachen.
====Lagerung bis zur Entsorgung====
Die Grundproblematik bei Parasol ist, dass professionelle Dienstleister für die sichere mechanische Entsorgung erst bei größeren Mengen sinnvoll zu beauftragen sind.
Diese Mengen an Datenträgern fallen für gewöhnlich erst nach einigen Jahren an, was zur Folge hat, dass Datenträger und Geräte mit eingebautem Speicher lange Zeit gelagert werden müssen. Die Lagerung erfolgt an einem Ort mit höchster Sicherheitsstufe (Serverraum). Zur zusätzlichen Sicherheit müssen, wenn möglich, die Datenträger vor ihrer Lagerung überschrieben oder zurückgesetzt werden.
Die Lagerung erfolgt sortiert in ihren Kategorien:
* Kategorie T
* Kategorie H
* Kategorie E
====Überschreiben====
Zum Überschreiben sind die Datenträger in die Dockingstation einzuführen. Magnetische Speichermedien sind mit einem sicheren Algorithmus zu überschreiben. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Für elektronische Speicher wird die vom Hersteller Implementierte Secure Erase bzw. Enhanced Secure Erase Funktion benutzt.
Das Verfahren Daten zum Überschreiben ist für die Entsorgung auf den höchsten Sicherheitsstufen nicht mehr als ausreichend zu betrachten, da fehlerhafte Sektoren (Bad Blocks) sowohl bei der Nutzung als auch bei der Vernichtung ignoriert werden. Daten, die zum Zeitpunkt des Fehlereintritts auf dem Block geschrieben wurden, verbleiben dort und lassen sich mit entsprechend aufwändigen Verfahren wiederherstellen.
Das Verfahren wird nur noch zur Erhöhung der Sicherheit für die Einlagerung angewendet.
====Entsorgungsbetriebe====
Für die sichere Entsorgung der Datenträger werden fallbezogen folgende Entsorgungsbetriebe genutzt:

REISSWOLF International AG, Wilhelm-Bergner-Straße 3 A, 21509 Glinde

https://www.reisswolf.com

Pickard + Heffner GmbH, Langenstück 12, 58579 Schalksmühle

https://www.mammut-aktenvernichtung.de/duesseldorf-stadt/festplattenvernichtung

03 15 PSL ISMS Gerätelebenszyklus

2023-04-26T09:34:26Z

Philip.thome@parasol-island.com:

==Zweck==
Um die sichere Behandlung von Geräten zu jedem Zeitpunkt zu gewährleisten, soll diese Übersicht vorgeben, wie ein Gerät zu welchem Zeitpunkt von der Beschaffung bis zur Entsorgung zu behandeln ist.
Diese Arbeitsanweisung richtet sich vor allem an Administratoren und Mitarbeiter, die mit der Beschaffung oder Entsorgung von Informationsträgern beauftragt sind.
==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
==Diagramm==

[[File:GeräteLebenszyklus.png|thumb|alt=Die Grafik zeigt den Gerätelebenszylus von IT-Geräten|Gerätelebenszyklus]]

==Beschaffung==
===Workstation / Notebook===
Einen festen Plan zur Beschaffung von Komponenten gibt es nicht. Dieser wird anlassbezogen erstellt. In der Regel werden Komponenten bevorzugt, die eine angemessene Leistung erbringen und diese werden selbst zusammengestellt.
===Netzwerkgeräte===
Bei der Beschaffung von Netzwerkkomponenten ist darauf zu achten, dass diese die Fähigkeit besitzen, ein Management- und Produktivnetz parallel zu betreiben.
===Renderblades===
Einbaugröße und Wärmeentwicklung sind zu beachten.
Geräte mit eingebautem elektronischem Speicher
Der eingebaute elektronische Speicher erfordert besondere Sorgfalt bei der Entsorgung.
==Inventarisierung==
===Gerät===
Jedes Gerät wird einem Verantwortlichen zugewiesen. Dieser wird in der Inventarliste vermerkt.
Es wird eingeschätzt, wie hoch das Risiko für welche Informationssicherheitsziele ist.
Zur Risikobeurteilung ist anzugeben, wie lange das Gerät ausfallen kann, bevor ein gewisser Schaden eintritt.
===Speicherkomponenten===
Externe Speicher, wie z.B. Festplatten oder USB-Sticks sollten inventarisiert werden.
==Installation / Bereitstellung==
===End Point Security===
Es ist darauf zu achten, dass jedes Gerät über einen wirksamen Virenscanner verfügt.
===Mobilgeräte===
Bei Mobilgeräten ist darauf zu achten, dass diese verschlüsselt werden. Der Schlüssel wird, wenn möglich in 1Password hinterlegt.
===Einfügen in die Domäne===
Der Computer wird in das Firmennetzwerk eingebunden. Von hier bezieht er seine Nutzer-Authentifizierung und Richtlinien zur technischen Konfiguration. Anschließend sind die Administratorrechte der Installation zu entfernen.
==Nutzung==
Die Vereinbarung zur Nutzung von IT-Geräten ist zu beachten.
==Rückgabe==
Geräte, welche sich im Besitz des Angestellten befinden, sind nach dem Ausscheiden zurückzugeben.
==Stilllegung==
===Reparatur===
Bei Geräten mit unverschlüsselten Speichermedien müssen diese vor der Reparatur entfernt werden.
===Neubeschaffung / Ersatz===
Vor der Stilllegung ist zu prüfen, ob Ersatz für das Gerät vorhanden ist, um keine Engpässe oder Produktionsunterbrechungen zu erzeugen.
===Ausbau von Speichermedien===
Vor der Stilllegung sind die Speicherkomponenten aus den Geräten zu entfernen.
Lässt sich das Speichermedium nicht ausbauen, ist das Gerät als Ganzes wie ein Speichermedium zu behandeln.
==Lagerung==
Da Geräte oft einzeln ausgetauscht werden, ist es einfacher, sie bis zur endgültigen Entsorgung zu lagern und gesammelt zu entsorgen.
==Entsorgung / Vernichtung==
===Entsorgung===
Sofern die Geräte keine Speichermöglichkeiten besitzen, können sie unkritisch entsorgt werden.
===Entsorgung Datenträger===
====Geforderter VDA ISA Standard zur Entsorgung von Informationsträger====
Bei hohem Schutzbedarf erfolgt die Entsorgung von Datenträgern gemäß einem der gängigen Standards (z.B. DIN 66399 Sicherheitsstufe 4).
Bei sehr hohem Schutzbedarf erfolgt die Entsorgung von Datenträgern gemäß einem der gängigen Standards (z.B. DIN 66399 Sicherheitsstufe 5).
====Mechanische Vernichtung nach DIN 66399====
Kategorie T: magnetische Datenträger (Disketten, Ausweise, Kassetten, Bänder)
* T-4 max. Partikelgröße 160 mm²
* T-5 max. Partikelgröße 30 mm²
Kategorie H: magnetische Datenträger mit höherer Datendichte (Festplatten)
* H-4 max. Partikelgröße 2.000 mm²
* H-5 max. Partikelgröße 320 mm²
Kategorie E: elektronische Datenträger (USB-Sticks, Mobiltelefon)
* E-4 max. Partikelgröße 30 mm²
* E-5 max. Partikelgröße 10 mm²
Da nicht sichergestellt werden kann, auf welchem Datenträger welche Datenklassifizierung benutzt wurde, ist für alle Datenträger eine Level-5-Vernichtung durchzuführen. Die Datenträger müssen vor Ort vernichtet werden, um den Prozess der Vernichtung zu überwachen.
====Lagerung bis zur Entsorgung====
Die Grundproblematik bei Parasol ist, dass professionelle Dienstleister für die sichere mechanische Entsorgung erst bei größeren Mengen sinnvoll zu beauftragen sind.
Diese Mengen an Datenträgern fallen für gewöhnlich erst nach einigen Jahren an, was zur Folge hat, dass Datenträger und Geräte mit eingebautem Speicher lange Zeit gelagert werden müssen. Die Lagerung erfolgt an einem Ort mit höchster Sicherheitsstufe (Serverraum). Zur zusätzlichen Sicherheit müssen, wenn möglich, die Datenträger vor ihrer Lagerung überschrieben oder zurückgesetzt werden.
Die Lagerung erfolgt sortiert in ihren Kategorien:
* Kategorie T
* Kategorie H
* Kategorie E
====Überschreiben====
Zum Überschreiben sind die Datenträger in die Dockingstation einzuführen. Magnetische Speichermedien sind mit einem sicheren Algorithmus zu überschreiben. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Für elektronische Speicher wird die vom Hersteller Implementierte Secure Erase bzw. Enhanced Secure Erase Funktion benutzt.
Das Verfahren Daten zum Überschreiben ist für die Entsorgung auf den höchsten Sicherheitsstufen nicht mehr als ausreichend zu betrachten, da fehlerhafte Sektoren (Bad Blocks) sowohl bei der Nutzung als auch bei der Vernichtung ignoriert werden. Daten, die zum Zeitpunkt des Fehlereintritts auf dem Block geschrieben wurden, verbleiben dort und lassen sich mit entsprechend aufwändigen Verfahren wiederherstellen.
Das Verfahren wird nur noch zur Erhöhung der Sicherheit für die Einlagerung angewendet.
====Entsorgungsbetriebe====
Für die sichere Entsorgung der Datenträger werden fallbezogen folgende Entsorgungsbetriebe genutzt:

REISSWOLF International AG, Wilhelm-Bergner-Straße 3 A, 21509 Glinde

https://www.reisswolf.com

Pickard + Heffner GmbH, Langenstück 12, 58579 Schalksmühle

https://www.mammut-aktenvernichtung.de/duesseldorf-stadt/festplattenvernichtung

File:GeräteLebenszyklus.png

2023-04-26T09:33:50Z

Philip.thome@parasol-island.com:

Gerätelebenszyklus

03 15 PSL ISMS Gerätelebenszyklus

2023-04-26T09:31:18Z

Philip.thome@parasol-island.com: Created page with "==Zweck== Um die sichere Behandlung von Geräten zu jedem Zeitpunkt zu gewährleisten, soll diese Übersicht vorgeben, wie ein Gerät zu welchem Zeitpunkt von der Beschaffung bis zur Entsorgung zu behandeln ist. Diese Arbeitsanweisung richtet sich vor allem an Administratoren und Mitarbeiter, die mit der Beschaffung oder Entsorgung von Informationsträgern beauftragt sind. ==Geltungsbereich== Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. V..."

==Zweck==
Um die sichere Behandlung von Geräten zu jedem Zeitpunkt zu gewährleisten, soll diese Übersicht vorgeben, wie ein Gerät zu welchem Zeitpunkt von der Beschaffung bis zur Entsorgung zu behandeln ist.
Diese Arbeitsanweisung richtet sich vor allem an Administratoren und Mitarbeiter, die mit der Beschaffung oder Entsorgung von Informationsträgern beauftragt sind.
==Geltungsbereich==
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
==Diagramm==

==Beschaffung==
===Workstation / Notebook===
Einen festen Plan zur Beschaffung von Komponenten gibt es nicht. Dieser wird anlassbezogen erstellt. In der Regel werden Komponenten bevorzugt, die eine angemessene Leistung erbringen und diese werden selbst zusammengestellt.
===Netzwerkgeräte===
Bei der Beschaffung von Netzwerkkomponenten ist darauf zu achten, dass diese die Fähigkeit besitzen, ein Management- und Produktivnetz parallel zu betreiben.
===Renderblades===
Einbaugröße und Wärmeentwicklung sind zu beachten.
Geräte mit eingebautem elektronischem Speicher
Der eingebaute elektronische Speicher erfordert besondere Sorgfalt bei der Entsorgung.
==Inventarisierung==
===Gerät===
Jedes Gerät wird einem Verantwortlichen zugewiesen. Dieser wird in der Inventarliste vermerkt.
Es wird eingeschätzt, wie hoch das Risiko für welche Informationssicherheitsziele ist.
Zur Risikobeurteilung ist anzugeben, wie lange das Gerät ausfallen kann, bevor ein gewisser Schaden eintritt.
===Speicherkomponenten===
Externe Speicher, wie z.B. Festplatten oder USB-Sticks sollten inventarisiert werden.
==Installation / Bereitstellung==
===End Point Security===
Es ist darauf zu achten, dass jedes Gerät über einen wirksamen Virenscanner verfügt.
===Mobilgeräte===
Bei Mobilgeräten ist darauf zu achten, dass diese verschlüsselt werden. Der Schlüssel wird, wenn möglich in 1Password hinterlegt.
===Einfügen in die Domäne===
Der Computer wird in das Firmennetzwerk eingebunden. Von hier bezieht er seine Nutzer-Authentifizierung und Richtlinien zur technischen Konfiguration. Anschließend sind die Administratorrechte der Installation zu entfernen.
==Nutzung==
Die Vereinbarung zur Nutzung von IT-Geräten ist zu beachten.
==Rückgabe==
Geräte, welche sich im Besitz des Angestellten befinden, sind nach dem Ausscheiden zurückzugeben.
==Stilllegung==
===Reparatur===
Bei Geräten mit unverschlüsselten Speichermedien müssen diese vor der Reparatur entfernt werden.
===Neubeschaffung / Ersatz===
Vor der Stilllegung ist zu prüfen, ob Ersatz für das Gerät vorhanden ist, um keine Engpässe oder Produktionsunterbrechungen zu erzeugen.
===Ausbau von Speichermedien===
Vor der Stilllegung sind die Speicherkomponenten aus den Geräten zu entfernen.
Lässt sich das Speichermedium nicht ausbauen, ist das Gerät als Ganzes wie ein Speichermedium zu behandeln.
==Lagerung==
Da Geräte oft einzeln ausgetauscht werden, ist es einfacher, sie bis zur endgültigen Entsorgung zu lagern und gesammelt zu entsorgen.
==Entsorgung / Vernichtung==
===Entsorgung===
Sofern die Geräte keine Speichermöglichkeiten besitzen, können sie unkritisch entsorgt werden.
===Entsorgung Datenträger===
====Geforderter VDA ISA Standard zur Entsorgung von Informationsträger====
Bei hohem Schutzbedarf erfolgt die Entsorgung von Datenträgern gemäß einem der gängigen Standards (z.B. DIN 66399 Sicherheitsstufe 4).
Bei sehr hohem Schutzbedarf erfolgt die Entsorgung von Datenträgern gemäß einem der gängigen Standards (z.B. DIN 66399 Sicherheitsstufe 5).
====Mechanische Vernichtung nach DIN 66399====
Kategorie T: magnetische Datenträger (Disketten, Ausweise, Kassetten, Bänder)
* T-4 max. Partikelgröße 160 mm²
* T-5 max. Partikelgröße 30 mm²
Kategorie H: magnetische Datenträger mit höherer Datendichte (Festplatten)
* H-4 max. Partikelgröße 2.000 mm²
* H-5 max. Partikelgröße 320 mm²
Kategorie E: elektronische Datenträger (USB-Sticks, Mobiltelefon)
* E-4 max. Partikelgröße 30 mm²
* E-5 max. Partikelgröße 10 mm²
Da nicht sichergestellt werden kann, auf welchem Datenträger welche Datenklassifizierung benutzt wurde, ist für alle Datenträger eine Level-5-Vernichtung durchzuführen. Die Datenträger müssen vor Ort vernichtet werden, um den Prozess der Vernichtung zu überwachen.
====Lagerung bis zur Entsorgung====
Die Grundproblematik bei Parasol ist, dass professionelle Dienstleister für die sichere mechanische Entsorgung erst bei größeren Mengen sinnvoll zu beauftragen sind.
Diese Mengen an Datenträgern fallen für gewöhnlich erst nach einigen Jahren an, was zur Folge hat, dass Datenträger und Geräte mit eingebautem Speicher lange Zeit gelagert werden müssen. Die Lagerung erfolgt an einem Ort mit höchster Sicherheitsstufe (Serverraum). Zur zusätzlichen Sicherheit müssen, wenn möglich, die Datenträger vor ihrer Lagerung überschrieben oder zurückgesetzt werden.
Die Lagerung erfolgt sortiert in ihren Kategorien:
* Kategorie T
* Kategorie H
* Kategorie E
====Überschreiben====
Zum Überschreiben sind die Datenträger in die Dockingstation einzuführen. Magnetische Speichermedien sind mit einem sicheren Algorithmus zu überschreiben. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Für elektronische Speicher wird die vom Hersteller Implementierte Secure Erase bzw. Enhanced Secure Erase Funktion benutzt.
Das Verfahren Daten zum Überschreiben ist für die Entsorgung auf den höchsten Sicherheitsstufen nicht mehr als ausreichend zu betrachten, da fehlerhafte Sektoren (Bad Blocks) sowohl bei der Nutzung als auch bei der Vernichtung ignoriert werden. Daten, die zum Zeitpunkt des Fehlereintritts auf dem Block geschrieben wurden, verbleiben dort und lassen sich mit entsprechend aufwändigen Verfahren wiederherstellen.
Das Verfahren wird nur noch zur Erhöhung der Sicherheit für die Einlagerung angewendet.
====Entsorgungsbetriebe====
Für die sichere Entsorgung der Datenträger werden fallbezogen folgende Entsorgungsbetriebe genutzt:

REISSWOLF International AG, Wilhelm-Bergner-Straße 3 A, 21509 Glinde

https://www.reisswolf.com

Pickard + Heffner GmbH, Langenstück 12, 58579 Schalksmühle

https://www.mammut-aktenvernichtung.de/duesseldorf-stadt/festplattenvernichtung

ISMS

2023-04-26T09:00:45Z

Philip.thome@parasol-island.com: /* Information Security Management System */

==Information Security Management System==
Das Information Security Management System (ISMS, engl. für „Managementsystem für Informationssicherheit“) ist eine Aufstellung von Verfahren und Regeln innerhalb eines Unternehmens, welche dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.

==='''Leitlinie'''===
{|
!01
|[[01 PSL ISMS Leitlinie|ISMS Leitlinie]]
|Information Security Management System der Parasol Island GmbH
|}
==='''Richtlinien'''===
{|
!02
!01
|[[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie|Allgemeine Informationssicherheits-Richtlinie]]
|Wie haben sich die Mitarbeiter im Umgang mit Informationen zu verhalten?
|-
!
!02
|[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]
|Welche Besonderheiten sind von Administratoren zu beachten?
|-
!
!03
|[[02 03 PSL ISMS Sicherheitszonen Richtlinie|Sicherheitszonen Richtlinie]]
|Wie sind die Räumlichkeiten bei Parasol Island eingeteilt und wie sicher sind diese?
|-
|
!04
|[[02 04 PSL ISMS Business Continuity Management Richtlinie|Business Continuity Management Richtlinie]]
|Weiterführung des Betriebes in Notfällen.
|-
|
!05
|[[02 05 PSL ISMS Change Management Richtlinie|Change Management Richtlinie]]
|Wie werden neue Systeme eingestuft und wie wird mit ihnen Umgegangen?
|-
|
!06
|[[02 06 PSL ISMS Datenschutzrichtlinie|Datenschutzrichtlinie]]
|Wie geht man mit personenbezogenen Daten um?
|-
|
!07
|[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit Geistigem Eigentum]]
|Wie verhält sich Parasol Island im Umgang mit geistigem Eigentum?
|-
|
!08
|[[02 08 PSL ISMS Virenschutzkonzept|Virenschutzkonzept]]
|Wie sichert man sich vor Schadsoftware ab und wie wird im Schadensfall reagiert?
|-
|
!09
|[[02 09 PSL ISMS Datensicherungs-Richtlinie|Datensicherungs-Richtlinie]]
|Wie sichert sich Parasol Island gegen den Verlust von Daten ab?
|-
|
!10
|[[02 10 PSL ISMS Richtlinie zum Umgang mit Fremdleistungen|Richtlinie zum Umgang mit Fremdleistungen]]
|Wie werden Fremdfirmen bewertet und kontrolliert, die mit Parasol Island zusammenarbeiten?
|-
|
!11
|[[02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)|Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)]]
|Wie gewährleistet Parasol Island die Informationssicherheit bei Outsourcing von IT Dienstleistungen?
|-
|
!12
|[[02 12 PSL ISMS Risikomanagement Richtlinie|Risikomanagement Richtlinie]]
|Wie sind mögliche Risiken zu analysieren?
|-
|
!13
|[[02 13 PSL ISMS Passwort-Richtlinie|Passwort-Richtlinie]]
|Welche Kriterien müssen Passwörter erfüllen?
|-
|
!14
|[[02 14 PSL ISMS Technische und organisatorische Maßnahmen|Technische und organisatorische Maßnahmen]]
|Welche Maßnahmen in Sachen Datenschutz ergriffen werden?
|}

==='''Arbeitsanweisungen'''===
{|
!03
!01
|[[03 01 PSL ISMS Zuständigkeiten und Ansprechpartner|Zuständigkeiten und Ansprechpartner]]
|Wer ist für was zuständig? Wer muss im Ernstfall Informiert werden?
|-
!
!02
|[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten]]
|Hilfestellung für Projektleiter zur Sicheren Einstufung von Projekten
|-
!
!03
|[[03 03 PSL ISMS Besucherregelung|Besucherregelung]]
|Umgang mit fremden Personen in den Räumen von Parasol Island?
|-
|
!04
|[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]
|Wie wird mit Betriebsmitteln von Capture umgegangen, wenn sie sich außerhalb der Räumlichkeiten befinden?
|-
|
!05
|[[03 05 PSL ISMS Arbeitsanweisung zur Authentifizierung und Kryptographie|Arbeitsanweisung zur Authentifizierung und Kryptographie]]
|Was muss verschlüsselt werden? Wie verschlüsselt man es sicher? Wie Authentifiziert sich ein Nutzer?
|-
|
!06
|[[03 06 PSL ISMS Arbeitsanweisung zum Umgang mit der Alarmanlage|Arbeitsanweisung zum Umgang mit der Alarmanlage]]
|Wie wird die Alarmanlage bedient?
|-
|
!07
|[[03 07 PSL ISMS Datensicherungs- und Archivierungsplan|Datensicherungs- und Archivierungsplan]]
|Wie wird ein Backup genau ausgeführt? Wie wird eine Archivierung durchgeführt?
|-
|
!08
|[[03 08 PSL ISMS Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit|Arbeitsanweisung zur Aufzeichnung der Benutzertätigkeit]]
|Welche Benutzeraktivität wird vom System aufgezeichnet? Wie werden die Aufzeichnungen ausgewertet?
|-
|
!09
|[[03 09 PSL ISMS Arbeitsanweisung zur Netzwerkeinrichtung|Arbeitsanweisung zur Netzwerkeinrichtung]]
|Wie ist das Netzwerk Strukturiert?
|-
|
!10
|[[03 10 PSL ISMS Handlungsanweisungen für ausgewählte Schadensereignisse|Handlungsanweisungen für ausgewählte Schadensereignisse]]
|Wie sollte im Ernstfall reagiert werden um den Geschäftsbetrieb aufrecht zu erhalten?
|-
|
!11
|[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Arbeitsanweisung zur Durchführung von Patches]]
|Wie oft werden Systeme geupdatet?
|-
|
!12
|[[03 12 PSL ISMS Arbeitsanweisung zur Überprüfung von Fremdfirmen|Arbeitsanweisung zur Überprüfung von Fremdfirmen]]
|Wie überprüfen wir einen Dienstleister vor der ersten Zusammenarbeit und wie überprüfen wir ihn später?
|-
|
!13
|[[03 13 PSL ISMS Arbeitsanweisung zum Datenaustausch|Arbeitsanweisung zum Datenaustausch]]
|Was ist beim Versand von Daten zu beachten?
|-
|
!14
|[[03 14 PSL ISMS Arbeitsanweisung zum Umgang mit personenbezogenen Daten|Arbeitsanweisung zum Umgang mit personenbezogenen Daten]]
|Was ist beim Umgang mit personenbezogenen Daten zu beachten?
|-
|
!15
|[[03 15 PSL ISMS Gerätelebenszyklus|Gerätelebenszyklus]]
|Welche Anforderungen bestehen an Anschaffung, Betrieb und Außerbetriebnahme von IT-Geräten?
|-
|
!16
|[[03 15 PSL ISMS Arbeitsanweisung zur Umsetzung von internen Audits|Arbeitsanweisung zur Umsetzung von internen Audits]]
|Wie werden interne Audits geplant und umgesetzt?
|}
==='''Handlungsempfehlungen'''===
{|
!04
!01
|[[Leitfaden zum Umgang mit der xperience Cloud]] || Was müssen wir in Projekten mit der xperience Cloud beachten?
|}
==='''Musterdokumente'''===
{|
!05
!01
|[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
|Welche Kriterien muss ein Dienstleister für die Umsetzung "Vertraulicher" Projekte erfüllen?
|}
==='''Auflistungen und Dokumentation'''===
{|
!06
!01
|[https://docs.google.com/spreadsheets/d/1aoBYPKnNWBMbjjLlyCL8slPXJX7TRA-RCrxaF5zPRt4/edit?usp=sharing Risikoverzeichnis]
|Welche Risiken gibt es für Parasol Island und die Produktion?
|-
!
!02
|[https://docs.google.com/document/d/1uWkT_XFq2f1Z3QBp7XNqMTI2MOEqEPqyGwgqkubILJM/edit?usp=sharing Allowlist Blocklist]
|Welche Programme dürfen installiert werden? Welche nicht?
|-
!
!03
|[https://docs.google.com/document/d/1gW3nJccIcgIfAm9ijzRr0unGDqPgDUqSmQsQLYj207A/edit?usp=sharing Verzeichnis für Verarbeitungstätigkeiten]
|In welchen Anwendungen werden Personenbezogene Daten gespeichert?
|}

==Unsere Microlearningkurse in Parasol OS/Academy zum Thema ISMS==

*[https://my.parasol-island.com/#/!//parasol-academy/learn/119 <nowiki>[ISMS] 00 Datenschutz, Datensicherheit, Informationssicherheit oder IT-Sicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/123 <nowiki>[ISMS] 01 Ansprechpartner</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/124 <nowiki>[ISMS] 02 Information Security Management System</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/125 <nowiki>[ISMS] 03 TISAX-Zertifizierung</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/121 <nowiki>[ISMS] 04 Schutzziele der Informationssicherheit</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/120 <nowiki>[ISMS] 05 Sicherheitszonen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/122 <nowiki>[ISMS] 06 Clear Desk & Clear Screen</nowiki>]
*[https://my.parasol-island.com/#/!//parasol-academy/learn/18 <nowiki>[ISMS] 07 Secure passwords</nowiki>]

[[Category:ISMS|ISMS]]