Als zielgruppenorientierte Richtlinie bietet die Allgemeine Informationssicherheits-Richtlinie allen Mitarbeitern einen zentralen und detaillierten Überblick über die gängigsten sicherheitsrelevanten Themen im Alltag.
Als zielgruppenorientierte Richtlinie bietet die Allgemeine Informationssicherheits-Richtlinie allen Mitarbeitern einen zentralen und detaillierten Überblick über die gängigsten sicherheitsrelevanten Themen im Alltag.
Line 12:
Line 12:
Auch beim Abschluss von Verträgen mit externen Dienstleistern ist darauf zu achten, dass die Vorgaben dieser Richtlinie beachtet werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in der Informationssicherheitsleitlinie ausdrücklich aufgeführt. Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
Auch beim Abschluss von Verträgen mit externen Dienstleistern ist darauf zu achten, dass die Vorgaben dieser Richtlinie beachtet werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in der Informationssicherheitsleitlinie ausdrücklich aufgeführt. Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
==Rechtsvorschriften==
== Sensibilisierung ==
Beim Umgang mit Informationen und dem ISMS sind einschlägige Gesetze und Vorschriften einzuhalten. Beispielsweise:
Jede Person, die Einfluss auf die Informationssicherheit der Parasol Island hat, muss sich dieser Tatsache bewusst sein. Dazu bedarf es zum einen der initialen Aufklärung in dem Moment, zu dem die Person für die Informationssicherheit relevant wird. Zum anderen ist diese Awareness kontinuierlich zu stärken und aufzufrischen. Dies gilt insbesondere für Mitarbeiter der Parasol Island, aber auch für Zulieferer und Subunternehmer, Kunden und alle Besucher.
*Datenschutzgesetze
Erfolgte Maßnahmen zur Sensibilisierung und Weiterbildung von Mitarbeitern und Freelancern sind zu dokumentieren.
*Urhebergesetze
*Arbeitnehmer Vertretungsregelungen
*Brandschutzvorschriften
*Verträge mit Kunden oder Partnern
*Aufbewahrungsfristen für Unterlagen
Weitere Dokumente hierzu:
=== Mitarbeiter und Freelancer ===
Mitarbeiter und Freelancer sind vor Beginn ihrer Tätigkeiten in den Inhalten der Sicherheitsleitlinie und den Sicherheitsrichtlinien zu verschiedenen Themen sowie die umzusetzenden Sicherheitsmaßnahmen zu schulen. Dies betrifft auch projektspezifische Regelungen vor Projektbeginn. Darüber hinaus sind sie in der Handhabung der verwendeten IT-Dienste einzuweisen. Dies bezieht auch die Information mit ein, welche IT-Dienste nicht verwendet werden dürfen.
*[[02 06 PSL ISMS Richtlinie zum Schutz personenbezogener Daten|Richtlinie zum Schutz Personenbezogener Daten (02_06)]]
=== Zulieferer und Subunternehmer ===
*[[02 07 PSL ISMS Richtlinie zum Umgang mit Geistigem Eigentum|Richtlinie zum Umgang mit geistigem Eigentum (02_07)]]
Auch Partner und Dienstleister, die evtl. nichts mit dem Kerngeschäft der Parasol Island zu tun haben – wie z.B. Reinigungskräfte, Handwerker und IT-Dienstleister, müssen sich den Gegebenheiten bzgl. der Informationssicherheit bewusst sein und daher regelmäßig sensibilisiert werden. Insbesondere ist schon bei Vertragsschluss darauf zu achten, dass dies schriftlich fixiert wird.
Jeder Besucher ist über die ihn betreffenden geltenden Regelungen zu Informationssicherheit und Datenschutz zu informieren.
===Informationssicherheitsbeauftragter===
== Geheimhaltungsvereinbarungen ==
Der Informationssicherheitsbeauftragte ist für die Pflege und Weiterentwicklung der Sicherheitsrichtlinien zuständig. Er arbeitet zusammen mit leitenden Angestellten der verschiedenen Abteilungen Maßnahmen und Möglichkeiten aus, um die Sicherheit stetig zu verbessern.
Die Einhaltung der Informationssicherheit und des Datenschutzes ist durch eine vertragliche Vereinbarung festzuhalten.
Er definiert und kontrolliert die Sicherheitszonen innerhalb der Geschäftsräume und er definiert und kontrolliert ebenso den gesicherten Transport von Gütern und Medien, die in das Betriebsgelände eingebracht oder hinaus transportiert werden.
=== Mitarbeiter ===
Mitarbeiter und Freelancer sind zur Einhaltung der Informationssicherheitsrichtlinien vertraglich zu verpflichten. Im Falle einer Bearbeitung sensibler Daten ist zusätzlich eine separate Geheimhaltungsvereinbarung abzuschließen. Die Verpflichtungen müssen über das Arbeitsverhältnis hinausgehen und eine Vorgehensweise bei Vertragsverstößen vorgeben.
Der ISB führt jährlich oder nach größeren Änderungen Mitarbeiterschulungen durch und ist dafür zuständig, dass neue Mitarbeiter in die Informationssicherheitsleitlinie durch ihn oder einen seiner Stellvertreter eingeführt werden.
=== Zulieferer und Subunternehmer ===
Der ISB ist zur Erreichung der Informationssicherheitsziele in alle IT-Projekte frühzeitig einzubeziehen. Wenn Projektziele den Sicherheitsanforderungen entgegenstehen, obliegt der Geschäftsleitung die Entscheidung, welche Anforderungen eine höhere Priorität haben.
Sicherheitsereignisse und Auffälligkeiten werden in einem Logbuch vermerkt und ausgewertet. Bei akuter Gefährdungslage oder bei Verstößen gegen die Sicherheitsrichtlinie werden alle Mitarbeiter zur Sensibilisierung im regelmäßig stattfindenden Wochenmeeting oder per Rundmail informiert.
===Administrator===
Die organisationsweiten IT-Dienste sind durch die bestellten Administratoren zu administrieren und zu warten. Um Sicherheitslücken zu schließen, haben sich der ISB und die Administratoren regelmäßig zu informieren. Der ISB und die Administratoren unterstützen und beraten die IT-Benutzer.
Der Administrator verwaltet das Anlegen von Benutzerkennungen und die Einrichtung der 2FA (Zwei-Faktor-Authentifizierung).
Jede Administratortätigkeit ist zu loggen und zu dokumentieren und vor Veränderung im Rahmen der technischen Machbarkeit zu schützen. Der Administrator hat in seiner Rolle nicht die Befugnis, zugriffsbeschränkte Daten einzusehen.
*[[02 02 PSL ISMS Richtlinie für IT-Administration|Weitere Informationen finden sich in der Richtlinie für IT-Administration (02_02)]]
===Abteilungsleiter===
Die Abteilungsleiter unterstützen den ISB beim Erarbeiten der Richtlinien, indem sie die Machbarkeit der Anforderungen unter dem Ziel der Informationssicherheit mit ihm erörtern. Daraus folgt eine konkrete Ausarbeitung in Form einer Arbeitsanweisung und die regelmäßige Kontrolle über die Einhaltung.
===Produktion / Projektleitung===
Die Produktion trägt dafür Sorge, dass die Abwicklung eines Projekts unter Einhaltung der Sicherheitsziele abläuft. Der Producer bewertet externe Dienstleister und Kunden schon vor dem Vertragsabschluss auf ihre Sicherheit. Eintreffende Informationen und Daten werden von ihm anhand der Sicherheitsstufen klassifiziert und zur Weiterverarbeitung an die berechtigten Mitarbeiter weitergereicht. Eine Risikobewertung ist in einer frühen Projektphase durchzuführen.
Weitere Informationen:
*[[03 02 PSL ISMS Arbeitsanweisung zur Klassifizierung von Projekten|Arbeitsanweisung zur Klassifizierung von Projekten (03_02)]]
*[https://docs.google.com/document/d/1GupHeczshOK_i8oduCJ0xXxnJOCxyqcEszRzw8T2S-I/edit?usp=sharing Sicherheitscheckliste zur Beurteilung von Dienstleistern]
===Vertretungsregeln===
Für den Fall der Abwesenheit (Dienstreise, Urlaub, Krankheit) sind Vertreter zu benennen, die vom Stelleninhaber einzuweisen und zu informieren sind.
==Sensibilisierung==
IT-Benutzer und Administratoren sind vor der erstmaligen Nutzung der jeweiligen IT-Dienste zu schulen. Schulungsinhalte sind:
*Handhabung der jeweilig verwendeten IT-Dienste
*Inhalte der Sicherheitsleitlinie und der Sicherheitsrichtlinien zu verschiedenen Themen sowie die umzusetzenden Sicherheitsmaßnahmen
*Sensibilisierungsmaßnahmen („Warum ist Informationssicherheit so wichtig für mich und meinen Arbeitgeber?“)
*Die Schulungen sind für alle Mitarbeiter regelmäßig zu wiederholen. Mindestens einmal im Jahr oder nach größeren Änderungen
==Geheimhaltungsvereinbarungen==
===Mitarbeiter===
Mitarbeiter und Freelancer sind zur Einhaltung der Informationssicherheitsrichtlinien vertraglich zu verpflichten.
Im Falle einer Bearbeitung sensibler Daten ist zusätzlich eine separate Geheimhaltungsvereinbarung abzuschließen.
Die Verpflichtungen müssen über das Arbeitsverhältnis hinausgehen und eine Vorgehensweise bei Vertragsverstößen vorgeben.
===Zulieferer und Subunternehmer===
Partner und Dienstleister der Parasol Island GmbH müssen in Abhängigkeit von ihrem Aufgabenbereich bzw. ihrer Auftragserfüllung ebenfalls zur Geheimhaltung verpflichtet werden.
Partner und Dienstleister der Parasol Island GmbH müssen in Abhängigkeit von ihrem Aufgabenbereich bzw. ihrer Auftragserfüllung ebenfalls zur Geheimhaltung verpflichtet werden.
Dies gilt besonders für Dienstleister, die Zugang zu Teilen der Sicherheitsbereiche haben. (Reinigungskräfte, Handwerker, etc.)
Dies gilt besonders für Dienstleister, die Zugang zu Teilen der Sicherheitsbereiche haben. (Reinigungskräfte, Handwerker, etc.)
===Besucher===
=== Besucher ===
Besucher müssen über die Geheimhaltung informiert werden.
Wenn Besucher Kontakt zu vertraulichem oder geheimem Material haben könnten, ist eine schriftliche Geheimhaltungsvereinbarung zu unterzeichnen.
Wenn Besucher Kontakt zu vertraulichem oder geheimem Material haben könnten, ist eine schriftliche Geheimhaltungsvereinbarung zu unterzeichnen.
*[[03 03 PSL ISMS Besucherregelung|Näheres regelt die Besucherregelung (03_03)]]
== Umgang mit Sicherheitsereignissen ==
Sicherheitsereignisse sind Ereignisse, die darauf hindeuten, dass Aspekte der Informationssicherheit oder des Datenschutzes beeinträchtigt sein könnten, oder dass eine getroffene Sicherheitsmaßnahme fehlschlägt oder fehlgeschlagen ist.
==Dokumentenebenen des ISMS==
Die Mitarbeiter sind angehalten, Auffälligkeiten an den Informationssicherheitsbeauftragten und die Administratoren zu melden. Es ist nicht erforderlich, dass auf jede Meldung hin eine Maßnahme erfolgt. Es liegt im Ermessen des Informationssicherheitsbeauftragten, die Ereignisse ihrer Schwere entsprechend einzusortieren und gegebenenfalls Sofortmaßnahmen einzuleiten. Betrifft ein Sicherheitsereignis personenbezogene Daten oder besteht die Möglichkeit, dass es Einfluss auf die Sicherheit personenbezogener Daten haben könnte, so ist umgehend der Datenschutzbeauftragte mit einzubeziehen. Wenn gesetzliche Regelungen dies verlangen, sind auch externe Stellen und/oder betroffene Personen zu informieren. Eine Übersicht über den Prozess ist in Abbildung 1 dargestellt.
Aus zahlreichen Gründen ist die Dokumentation des Informationssicherheitsprozesses auf allen Ebenen entscheidend für dessen Erfolg. Nur durch eine ausreichende Dokumentation
*können Schwächen und Fehler erkannt und zukünftig vermieden werden.
Abhängig vom Gegenstand und vom Verwendungszweck einer Dokumentation werden folgende Arten von Dokumentationen unterschieden:[[File:02 01 PSL ISMS Allgemeine ISRL Dokumentenebenen.png|none|thumb|1092x1092px]]
<br />
===01 Die Leitlinie===
Die Leitlinie definiert globale Ziele und Anforderungen im Rahmen der Informationssicherheit, welche durch unterschiedliche Richtlinien, Arbeitsanweisungen und Aufzeichnungen umgesetzt werden.
*<span class="s1"></span>Die Genehmigung und Veröffentlichung dieser Daten und Dokumente darf nur durch die Geschäftsleitung erfolgen. Eine Delegierung ist nicht möglich.
===02 Richtlinien===
In den Richtlinien wird beschrieben, wie die Anforderungen aus den Leitlinien realisiert werden sollen.
*<span class="s1"></span>Die Berechtigung zur Prüfung, Genehmigung und Veröffentlichung hat nur der Informationssicherheitsbeauftragte der Parasol Island GmbH.
===03 Arbeitsanweisungen===
In den Arbeitsanweisungen werden die anzuwendenden Sicherheitsmaßnahmen in Form von Anleitungen für die Mitarbeiter verständlich dokumentiert.
*<span class="s1"></span>Die Berechtigung zur Prüfung, Genehmigung und Veröffentlichung aller Dokumente der dritten Ebene haben nur der Informationssicherheitsbeauftragte und die Leiter der jeweiligen Abteilungen der Parasol Island GmbH.
===04 Aufzeichnungen===
Aufzeichnungen müssen erstellt und instand gehalten werden, um den Nachweis der Konformität mit den Anforderungen und des wirksamen Funktionierens des ISMS zu liefern. Beispiele für Aufzeichnungen sind Managemententscheidungen, Audioaufzeichnungen, technische Dokumentationen und ausgefüllte Formulare für Zugangsberechtigungen.
*<span class="s1"></span>Die Klassifikation der Daten sowie die Regelung der Zugriffsberechtigung und Einhaltung der Sicherheitsvorgaben der vierten Dokumentenebene sowie aller weiteren Daten und Dokumente innerhalb der Parasol Island GmbH erfolgen durch die jeweiligen Informationseigentümer (Verantwortlichen).
==Klassifizierung von Daten==
Alle Informationen müssen anhand ihres Schutzbedarfs klassifiziert werden. Die Schutzbedarfskategorien werden vom ISB zusammen mit den Abteilungsleitern definiert und von der Leitung verabschiedet.
Der Klassifikation liegen die drei Schutzziele '''Vertraulichkeit, Integrität''' und '''Verfügbarkeit''' zugrunde. Ziel ist es, Informationen entsprechend ihres Schutzbedarfs zu verarbeiten. Aus dem Schutzbedarf der Informationen leitet sich auch der Schutzbedarf der IT-Systeme ab, auf denen die Informationen verarbeitet werden.
Alle Daten und Dokumente müssen vom jeweiligen Informationseigentümer einer dieser Stufen zugeordnet werden. Die Zuordnung muss gut lesbar und für jeden offensichtlich aus den jeweiligen Daten bzw. Dokumenten hervorgehen.
Die Höhe der Stufe richtet sich nach dem entstandenen Schaden bei Nichteinhaltung.
===Vertraulichkeit===
Für die Einstufung der Vertraulichkeit stellt sich die Frage: Für wen ist es notwendig, diese Daten zu sehen? Der Personenkreis, der Informationen einsehen darf, sollte so klein wie möglich gehalten werden.
Nicht gekennzeichnete Informationen werde generell als Interne Vertraulichkeitsstufe klassifiziert.
Zur Verschlüsselung ist IT-Benutzern auf Antrag ein Programm zur Verfügung zu stellen.<br />
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Daten dürfen in einem nicht veränderbaren Format (z.B. *.pdf) mit jedem geteilt werden.
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten können in beliebiger Form gespeichert und transportiert werden.
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten können mit den Betriebssystem inhärenten Möglichkeiten gelöscht werden.
Papierbasierte Daten können über den Papiermüll entsorgt werden.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen nur von Mitarbeitern der Parasol Island GmbH eingesehen und genutzt werden. Ausnahmen können durch den Informationseigentümer oder durch ihn berechtigte Personen festgelegt werden.
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten können in beliebiger Form gespeichert und transportiert werden. Dies gilt auch für papierbasierte Daten.
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten können mit den Betriebssystem inhärenten Möglichkeiten gelöscht werden.
Papierbasierte Daten müssen über einen beliebigen Aktenvernichter entsorgt werden.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen nur von speziell berechtigten Personengruppen oder Außenstehenden eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen und Ausnahmen werden durch den Informationseigentümer oder speziell von ihm berechtigten Personen getroffen.
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH unverschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH darf nur verschlüsselt erfolgen (verschlüsseltes VPN, verschlüsselte E-Mail, im Veracrypt Container). Die papierbasierte Übertragung außerhalb der Parasol Island GmbH darf nur in verschlossenen Umschlägen erfolgen.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH in beliebiger Form gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, müssen die Daten verschlüsselt abgelegt werden. (z.B. Veracrypt mit AES 128 bit)
Papierbasierte Daten müssen nach dem täglichen Arbeitsende in einem verschließbaren Schrank gelagert werden.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen nur vom Informationseigentümer und von ihm speziell berechtigten Personen eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen wird ausschließlich durch den Informationseigentümer getroffen.
Die Klassifizierung ist auf jeder Seite kenntlich zu machen (Fußzeile).
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH ist nicht zulässig. Dies gilt auch für papierbasierte Daten.
| style="background-color:#f2f2f2;border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, dürfen diese Daten nicht gespeichert werden.
Die papierbasierte Aufbewahrung ist nur in verschlossenen Datenschränken zulässig.
| style="border-top:none;border-bottom:1pt solid #bfbfbf;border-left:none;border-right:1pt solid #bfbfbf;padding:0.176cm;" |Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (Gutmann 35 Passes).
Papierbasierte Daten müssen vom Informationseigentümer oder einer speziell von ihm berechtigten Person über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 5) entsorgt werden.
|-
|}
===Integrität===
Wie fehlerbehaftet oder beschädigt dürfen Daten sein, ohne dass ein Schaden entsteht? Das beinhaltet auch den Schutz vor Veränderung durch Unbefugte. Kann man einen Verlust der Daten kompensieren?
Die Klassifizierung ist wichtig für das angemessene Maß der Planung von Zugriffsrechten, Schutzmaßnahmen und Einhaltung der Backup Planung.
*Produktionsrelevantes IT-System, dessen Ausfall einen Produktionsstopp zur Folge hat.
*Beispiel: Server, Renderfarm gegen Projektende
|-
|}
===Kontrolle===
Aus den Anforderungen für die Sicherheitsziele erwächst die Notwendigkeit der Kontrolle.
Die Daten und IT-Systeme müssen entsprechend ihrer Klassifikationen Maßnahmen unterworfen werden, die einen sachgemäßen Umgang gewährleisten. Die Einhaltung der Maßnahmen muss kontrolliert werden und Änderungen müssen nachvollziehbar sein.
==Dokumenteneigenschaften==
An jedem Dokument mit einer höheren Sicherheitsklassifizierung als „Intern“ und an allen Leitlinien, Richtlinien, Verfahrensanweisungen und Aufzeichnungen sind die nachfolgenden Eigenschaften anzubringen und aktuell zu halten:
||Gibt Auskunft über die entsprechende Dokumentenebene des Dokuments (siehe [[02 01 PSL ISMS Allgemeine Informationssicherheits-Richtlinie#Dokumentenebenen des ISMS|Dokumentenebene des ISMS]])
||Hier trägt der Informationseigentümer die Sicherheitsstufe für das Dokument ein:
Öffentlich, Intern, Vertraulich, Geheim.
|-
|VDA ISA Referenz:
|Referenz zum Fragenkatalog des VDA
|-
|}
Jedes Dokument der Dokumentenebene Richtlinie und Arbeitsanweisung hat ein eindeutiges Kennzeichen, um Verweise zwischen den Dokumenten zu ermöglichen. Die ersten 2 Ziffern geben dabei die Dokumentenebene wieder: 02 = Richtlinie, 03 =Arbeitsanweisung. Die Zweite Ziffer wird fortlaufend vergeben und darf sich nicht wiederholen. Die Höhe der zweiten Ziffer hat keine Bedeutung für die Gewichtung der definierten Regelungen. Eine Vergabe von Kennzeichen bei Dokumentationen (04) ist ratsam kann aber je nach form entfallen.
==Benutzerkennungen==
Benutzerkennungen werden zentral durch die zuständige Person vergeben. Jede Person mit Zugriff auf die Parasol Island IT-Systeme, erhält eine eigene, eindeutige Benutzerkennung. Gruppenkennungen sind nicht vorgesehen.
Beispiele für Benutzerkennungen sind: Domänenzugriff, E-Mail, Intranet
Der Erhalt der Kennung und die damit einhergehende Einräumung von Rechten ist vom Nutzer schriftlich zu bestätigen. Der Nutzer ist im notwendigen Umfang über die Sicherheitsregeln zu belehren.
Benutzerkennungen sind unmittelbar nach dem Verlassen der Person aus dem Unternehmen stillzulegen.
*Näheres ist im Kapitel "[[02 02 PSL ISMS Richtlinie für IT-Administration#Regelung zur Benutzerregistrierung|Regelung zur Benutzerregistrierung]]" in der "[[02 02 PSL ISMS Richtlinie für IT-Administration|Richtlinie für IT-Administration]]" aufgeführt.
==Mobile IT-Systeme==
Um die Sicherheitseinrichtungen des Firmennetzwerkes für mobile Geräte zu nutzen, ist der Zugang über firmenfremde Netzwerke (Hotspot, Privates W-Lan) ausschließlich zum Verbindungsaufbau von VPN Verbindungen zum Firmennetzwerk zu nutzen. Ein privater Gebrauch ist ausgeschlossen.
Auf Reisen ist sicherzustellen, dass vertrauliche Daten nicht von Unbefugten eingesehen werden können. Bei Notebooks ist für diesen Zweck eine Blickschutzfolie zu benutzen, sofern im öffentlichen Raum gearbeitet wird. Der Nutzer hat darauf zu achten, dass ihm nicht über die Schulter gesehen werden kann.
Vertrauliche Daten müssen im Falle eines Verlustes so geschützt sein, dass diese nicht von Unbefugten nutzbar sind. Hierzu müssen die Daten verschlüsselt mitgeführt werden. Eine Komplettverschlüsselung des Gerätes ist auf Notebooks standardmäßig umgesetzt.
*Nähere Informationen in der "[[03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln|Arbeitsanweisung zum Entfernen von Betriebsmitteln]]"
==Clear Desk / Clear Screen==
Jeder Mitarbeiter ist für die Ordnung seines Arbeitsplatzes selbst verantwortlich. Gemeinschaftsarbeitsplätze müssen konstant ordentlich gehalten werden.
Alle Dokumente der Sicherheitsstufe Vertraulich oder Geheim müssen beim Verlassen des Arbeitsplatzes abgedeckt oder zugeklappt werden.
Zum Feierabend müssen diese Dokumente in einem verschließbaren Schrank oder Raum verstaut werden.
Bildschirme, White-Boards und andere großflächige Dokumentationsflächen dürfen nicht öffentlich einsehbar sein, wenn sie als Geheim eingestufte Informationen enthalten. Gegebenenfalls sind die Fenster vorher zu verdunkeln. Als Vertraulich eingestufte Informationen dürfen nur so lange wie unbedingt nötig auf diesen Dokumentationsflächen sichtbar sein. Vor Besuchen von fremden Personen sind diese rechtzeitig im Vorfeld zu entfernen.
Um den Bildschirm zu sperren, ist ein Bildschirmschoner einzusetzen, der bei Verlassen des Arbeitsplatzes vom Benutzer aktiviert wird. Findet das manuelle Aktivieren nicht statt, muss sich die Sperrung nach spätestens drei Minuten automatisch aktivieren. Bei Reaktivierung muss eine Authentifizierung erfolgen, entweder mit einem Mitarbeiterzugang oder mit einem gerätespezifischen Zugangsschutz.
Der Bildschirmschoner kann einen beliebigen Inhalt haben, darf jedoch keine schutzbedürftigen Inhalte zeigen. Ebenfalls ist darauf zu achten, dass die Inhalte für das Firmenumfeld angemessen sind (Safe-for-Work).
Diese Regelung gilt für alle Betriebsmittel der Parasol Island GmbH, für welche dies technisch möglich bzw. für den Arbeitsablauf durchführbar ist.
Automatisierte Informationsterminals und Testsysteme benötigen keinen Bildschirmschutz, sofern sie weder Daten einer Schutzstufe enthalten noch mit anderen Komponenten des Netzwerks verbunden sind.
==Schutz vor Schadsoftware==
Auf allen Arbeitsrechnern und Servern ist eine Antivirus Software zu installieren, die zentral vom Administrator gepflegt und überwacht wird. Sie überprüft regelmäßig alle Laufwerke und alle ein- und ausgehenden Daten auf Viren inklusive des E-Mail-Verkehrs. Eine Veränderung der Einstellung wird direkt vom Administrator bemerkt und behoben.
*[[02 08 PSL ISMS Virenschutzkonzept|Eine nähere Definition findet sich im Virenschutzkonzept (02_08)]]
==Patchmanagement==
Sämtliche Arbeitsstationen sowie die dort installierten Betriebssysteme, Software, die automatische Updates unterstützen (z.B. Firefox, Flash, Chrome), sind so einzurichten, dass sie automatisch aktualisiert werden und dadurch die neuesten Sicherheitspatches enthalten.
Server- und zeitkritische Systeme werden nach vorheriger Prüfung vom Administrator aktualisiert, um einen Ausfall des Systems durch das Update auszuschließen. Dies kann bedeuten, dass in besonderen Fällen ein Testsystem verwendet oder nur eine beschränkte Menge an Systemen aktualisiert wird, um die Auswirkungen auf das restliche IT-System zu prüfen. Dies kann ggf. auch in Zusammenarbeit mit den Abteilungen geschehen.
Patches und sicherheitsrelevante Updates müssen grundsätzlich sofort installiert werden. Die einzige Ausnahme tritt dann ein, wenn der einwandfreie Betrieb der Systeme durch das Update gefährdet sein könnte. Aufgrund der vielfach verwendeten Spezialsoftware kann dies auch bedeuten, dass eine potentiell fehlerhafte Software eingesetzt wird. Dies wird in Zusammenarbeit mit den betroffenen Abteilungen diskutiert und muss abschließend von der Geschäftsleitung unter Abwägung der Risiken genehmigt werden.
*[[03 11 PSL ISMS Arbeitsanweisung zur Durchführung von Patches|Siehe auch: Arbeitsanweisung zum Durchführen von Patches (03_11)]]
==Umgang mit entfernbaren Medien==
Grundsätzlich ist die Verwendung von entfernbaren Medien nur für den betrieblichen Zweck erlaubt.
Die Datenträger müssen stets aufgeräumt werden und dürfen nur die Daten enthalten, die für den gerade erforderlichen Fall notwendig sind, damit beim Einsatz auf fremden Geräten keine geschützten Daten unbemerkt ausgelesen werden können. Ist ein wiederbeschreibbarer Datenträger (USB Stick) in einem fremden Gerät verwendet worden, ist dieser wie ein externer Datenträger zu behandeln und entsprechend zu prüfen.
Datenträger, die von Außenstehenden in den Betrieb kommen, müssen durch die Administration an einem entsprechend ausgerüsteten System auf Viren oder andere Schadprogramme hin überprüft werden. Erst dann dürfen die Daten ausgelesen und an den Verantwortlichen weitergereicht werden.
==Umgang mit Sicherheitsereignissen==
Sicherheitsereignisse sind Auffälligkeiten, die in der Erfüllung der Sicherheitsziele relevant sind.
Die Mitarbeiter sind angehalten, Auffälligkeiten an den Informationssicherheitsbeauftragten oder den Administrator zu melden. Es ist nicht erforderlich, dass auf jede Meldung hin eine Maßnahme erfolgen muss. Es liegt im Ermessen des Informationssicherheitsbeauftragten, die Ereignisse ihrer Schwere entsprechend einzusortieren (Leicht, Mittel, Hoch) und gegebenenfalls Sofortmaßnahmen einzuleiten.
Der Informationssicherheitsbeauftragte ist dazu verpflichtet, sämtliche Sicherheitsereignisse im Bereich der IT-Systeme zu erfassen und zu protokollieren sowie sich über neue Bedrohungen und Gefahren zu informieren.
Der Informationssicherheitsbeauftragte ist dazu verpflichtet, sämtliche Sicherheitsereignisse im Bereich der IT-Systeme zu erfassen und zu protokollieren sowie sich über neue Bedrohungen und Gefahren zu informieren.
Administration und ISB besprechen in regelmäßigen Abständen, jedoch mindestens einmal im Monat, die aufgetretenen Meldungen und beschließen daraufhin geeignete Maßnahmen, um auf die Ereignisse zu reagieren.
Geschäftsführung und Informationssicherheitsbeauftragter besprechen in regelmäßigen Abständen, jedoch mindestens einmal im Monat, die aufgetretenen Meldungen und beschließen daraufhin geeignete Maßnahmen, um auf die Ereignisse zu reagieren.
Ein Sicherheitsprotokoll wird der Geschäftsleitung regelmäßig vorgelegt.
Beispiele für Sicherheitsereignisse:
*<span class="s1"></span>Auftretende Störungen
Ansprechpartner und Meldewege (auch im Bereich des Datenschutzes) sind allen Mitarbeitern bekannt und für jeden einsehbar. Darüber hinaus bestehen Handlungsanweisungen für bekannte Szenarien, die in regelmäßigen Abständen geprobt werden.
*<span class="s1"></span>Verstöße gegen das Regelwerk
*<span class="s1"></span>Verdacht auf Befall mit Schadsoftware
*<span class="s1"></span>Auffallen von Schwachstellen von IT-Systemen
Vorfälle können direkt [Mailto:informationssicherheit@parasol-island.com informationssicherheit@parasol-island.com] gemeldet werden.
Hinsichtlich der Meldung von Datenschutzvorfällen sei an dieser Stelle auch auf die „Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten“ (Artikel 29 Datenschutzgruppe, 2018) verwiesen.
[[File:Umgang mit Sicherheitsvorfälle.png|none|thumb|542x542px|Umgang mit Sicherheitsvorfälle]]
Als zielgruppenorientierte Richtlinie bietet die Allgemeine Informationssicherheits-Richtlinie allen Mitarbeitern einen zentralen und detaillierten Überblick über die gängigsten sicherheitsrelevanten Themen im Alltag.
Die Allgemeine Sicherheitsrichtlinie leitet aus den Vorgaben der Sicherheitsleitlinie konkrete organisatorische und technische Anforderungen, die für alle Projekte und Prozesse gelten. Diese Anforderungen sind die Grundlage für die Standard-Sicherheitsmaßnahmen und legen das angestrebte Sicherheitsniveau fest.
Der grundlegende Umgang mit den Parasol Island Systemen soll reglementiert werden und einen Leitfaden für jeden Benutzer über die Unternehmensstrukturen und Vorgehensweisen bieten. Viele in dieser Richtlinie aufgeführten Bereiche werden durch eigene Richtlinien noch detaillierter beschrieben.
Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.
Auch beim Abschluss von Verträgen mit externen Dienstleistern ist darauf zu achten, dass die Vorgaben dieser Richtlinie beachtet werden. Ausnahmen von der Richtlinie sind nicht zulässig, es sei denn, sie sind in der Informationssicherheitsleitlinie ausdrücklich aufgeführt. Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
Jede Person, die Einfluss auf die Informationssicherheit der Parasol Island hat, muss sich dieser Tatsache bewusst sein. Dazu bedarf es zum einen der initialen Aufklärung in dem Moment, zu dem die Person für die Informationssicherheit relevant wird. Zum anderen ist diese Awareness kontinuierlich zu stärken und aufzufrischen. Dies gilt insbesondere für Mitarbeiter der Parasol Island, aber auch für Zulieferer und Subunternehmer, Kunden und alle Besucher.
Erfolgte Maßnahmen zur Sensibilisierung und Weiterbildung von Mitarbeitern und Freelancern sind zu dokumentieren.
Mitarbeiter und Freelancer sind vor Beginn ihrer Tätigkeiten in den Inhalten der Sicherheitsleitlinie und den Sicherheitsrichtlinien zu verschiedenen Themen sowie die umzusetzenden Sicherheitsmaßnahmen zu schulen. Dies betrifft auch projektspezifische Regelungen vor Projektbeginn. Darüber hinaus sind sie in der Handhabung der verwendeten IT-Dienste einzuweisen. Dies bezieht auch die Information mit ein, welche IT-Dienste nicht verwendet werden dürfen.
Auch Partner und Dienstleister, die evtl. nichts mit dem Kerngeschäft der Parasol Island zu tun haben – wie z.B. Reinigungskräfte, Handwerker und IT-Dienstleister, müssen sich den Gegebenheiten bzgl. der Informationssicherheit bewusst sein und daher regelmäßig sensibilisiert werden. Insbesondere ist schon bei Vertragsschluss darauf zu achten, dass dies schriftlich fixiert wird.
Mitarbeiter und Freelancer sind zur Einhaltung der Informationssicherheitsrichtlinien vertraglich zu verpflichten. Im Falle einer Bearbeitung sensibler Daten ist zusätzlich eine separate Geheimhaltungsvereinbarung abzuschließen. Die Verpflichtungen müssen über das Arbeitsverhältnis hinausgehen und eine Vorgehensweise bei Vertragsverstößen vorgeben.
Partner und Dienstleister der Parasol Island GmbH müssen in Abhängigkeit von ihrem Aufgabenbereich bzw. ihrer Auftragserfüllung ebenfalls zur Geheimhaltung verpflichtet werden.
Dies gilt besonders für Dienstleister, die Zugang zu Teilen der Sicherheitsbereiche haben. (Reinigungskräfte, Handwerker, etc.)
Sicherheitsereignisse sind Ereignisse, die darauf hindeuten, dass Aspekte der Informationssicherheit oder des Datenschutzes beeinträchtigt sein könnten, oder dass eine getroffene Sicherheitsmaßnahme fehlschlägt oder fehlgeschlagen ist.
Die Mitarbeiter sind angehalten, Auffälligkeiten an den Informationssicherheitsbeauftragten und die Administratoren zu melden. Es ist nicht erforderlich, dass auf jede Meldung hin eine Maßnahme erfolgt. Es liegt im Ermessen des Informationssicherheitsbeauftragten, die Ereignisse ihrer Schwere entsprechend einzusortieren und gegebenenfalls Sofortmaßnahmen einzuleiten. Betrifft ein Sicherheitsereignis personenbezogene Daten oder besteht die Möglichkeit, dass es Einfluss auf die Sicherheit personenbezogener Daten haben könnte, so ist umgehend der Datenschutzbeauftragte mit einzubeziehen. Wenn gesetzliche Regelungen dies verlangen, sind auch externe Stellen und/oder betroffene Personen zu informieren. Eine Übersicht über den Prozess ist in Abbildung 1 dargestellt.
Der Informationssicherheitsbeauftragte ist dazu verpflichtet, sämtliche Sicherheitsereignisse im Bereich der IT-Systeme zu erfassen und zu protokollieren sowie sich über neue Bedrohungen und Gefahren zu informieren.
Geschäftsführung und Informationssicherheitsbeauftragter besprechen in regelmäßigen Abständen, jedoch mindestens einmal im Monat, die aufgetretenen Meldungen und beschließen daraufhin geeignete Maßnahmen, um auf die Ereignisse zu reagieren.
Ansprechpartner und Meldewege (auch im Bereich des Datenschutzes) sind allen Mitarbeitern bekannt und für jeden einsehbar. Darüber hinaus bestehen Handlungsanweisungen für bekannte Szenarien, die in regelmäßigen Abständen geprobt werden.
Hinsichtlich der Meldung von Datenschutzvorfällen sei an dieser Stelle auch auf die „Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten“ (Artikel 29 Datenschutzgruppe, 2018) verwiesen.
