02 03 PSL ISMS Sicherheitszonen Richtlinie

Zurück zur ISMS Übersicht

Zweck der Sicherheitszonen-Richtlinie

Die Sicherheitszonen-Richtlinie soll Informationen über die Einstufung und Verteilung von Sicherheitszonen in den Räumlichkeiten der Parasol Island GmbH bieten.

Geltungsbereich der Sicherheitszonen-Richtlinie

Diese Sicherheitszonen-Richtlinie gilt für die Räumlichkeiten der Firma Parasol Island GmbH in der Florastraße 75 in 40217 Düsseldorf sowie in der Rudi-Dutschke-Straße 26 in 10969 Berlin.

Bei Außeneinsätzen sind für die Arbeiten Bereiche und Räumlichkeiten zu wählen, welche den gegebenen Anforderungen entsprechen.

Diese Richtlinie gilt verbindlich für alle internen und externen Mitarbeiter ohne Ausnahme. Verstöße gegen die Inhalte der Richtlinie können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alle älteren Versionen automatisch für ungültig erklärt.

Definition der Sicherheitszonen

Neben dem öffentlichen Raum sind drei Sicherheitszonen definiert.

Der Schutzbedarf von Räumen in einem Gebäude hängt von ihrer Nutzung und der Risikobewertung ab. Die erforderlichen Sicherheitsmaßnahmen müssen diesem Schutzbedarf angepasst sein. Entsprechend muss die bauliche Ausführung von Wänden, Fenstern und Türen sein und die ergänzende Ausstattung mit Sicherheits- und Überwachungstechnik. Des Weiteren sind auch die Verhaltensweisen innerhalb der Räume entscheidend für die Sicherheit der darin bearbeiteten Daten und Informationen.

Für die Parasol Island GmbH bestehen vier definierte Sicherheitsstufen, bzw. -zonen, die im Folgenden beschrieben werden.

Außenbereich

Als Außenbereich wird der öffentlich zugängliche Teil des Grundstückes bezeichnet. Dieser ist als Firmengelände zu erkennen.

Kontrollierter Bereich - Intern (grün)

Zutritt zu diesen Räumlichkeiten ist nur durch eine angemessene Zutrittskontrolle möglich. Dies kann eine vorherige Sichtprüfung durch einen (Empfangs-)Mitarbeiter oder ein Zutrittskontrollsystem sein. Berechtigte Personen innerhalb dieser Zone sind Mitarbeiter, deren geladene Gäste und Lieferanten. Sonstige Personen bzw. unangemeldete Besucher müssen durch Mitarbeiter begleitet werden und sind gegebenenfalls im Vorfeld den anwesenden Mitarbeitern anzukündigen bzw. vorzustellen. Gäste und Besucher müssen registriert werden und auf die in diesem Bereich geltenden Vertraulichkeitsregeln aufmerksam gemacht werden.

Außer den Türen im Empfangsbereich, die von einem Mitarbeiter überwacht werden, ist keine der Türen selbsttätig von außerhalb der Sicherheitszone zu öffnen. Die Mitarbeiter sind verpflichtet, diese Türen stets geschlossen zu halten und die Türen andernfalls immer im Blick zu haben. Zusätzlich sind technische Maßnahmen vorhanden, damit diese Türen von selbst ins Schloss fallen und nicht von außen über einen Türgriff aufzudrücken sind (Türschließer, Türknauf).

Jeder Mitarbeiter hat darauf zu achten, bei Anwesenheit von Gästen und Besuchern angemessen mit den Informationen umzugehen, die er bearbeitet und die z.B. auf seinem Schreibtisch oder auf seinem Monitor sichtbar sein könnten.

Informationen dürfen nur mit firmeneigenen Geräten und für den Dienstgebrauch mit Optiken oder Aufzeichnungsgeräten festgehalten werden.

Eingeschränkter Bereich - Vertraulich (gelb)

Dieser Bereich ist für alle Mitarbeiter zugänglich, die auch den internen Bereich betreten dürfen. Zusätzlich gilt: Besucher und Gäste dürfen diesen Bereich nur in Begleitung eines Mitarbeiters der Parasol Island GmbH betreten und müssen vor Betreten die Hinweise zur Geheimhaltung schriftlich bestätigen.

Keine der Türen, die in diesen Bereich führen, ist selbsttätig von außerhalb der Sicherheitszone zu öffnen. Die Mitarbeiter sind verpflichtet, diese Türen stets geschlossen zu halten und die Türen andernfalls immer im Blick zu haben. Zusätzlich sind technische Maßnahmen vorhanden, damit diese Türen von selbst ins Schloss fallen und nicht von außen über einen Türgriff aufzudrücken sind (Türschließer, Türknauf).

Teile dieser Bereiche sind mit zusätzlichen Zutrittsbeschränkungen versehen, in Abhängigkeit von den dort ausgeführten Tätigkeiten oder vorhandenen Netzwerk-/Infrastrukturkomponenten (z.B. Patchfelder, Netzwerkkomponenten).

Der Gebrauch von Optiken oder Aufzeichnungsgeräten ist in dieser Sicherheitszone nur mit firmeneigenen Geräten und für den Dienstgebrauch gestattet.

Stark eingeschränkter Bereich – streng vertraulich (rot)

Der stark eingeschränkte Bereich umfasst Räume, in denen sich Server befinden oder Räume, in denen an streng vertraulichen Projekten gearbeitet wird. Bei Letzteren ist zu beachten, dass es sich bei Parasol Island um Digitalprojekte handelt, und die Artefakte, mit denen gearbeitet wird, nur temporär auf lokalen Workstations bearbeitet werden, bevor sie wieder auf eigene Server zurückgespeichert werden. Das heißt, dass diese Räume nur während der Arbeit an einem Projekt den Schutzstandard erbringen müssen.

Zutritt zu den Serverräumen ist nur dem IT-Personal gestattet. Grundsätzlich gilt, es sollten so wenig Mitarbeiter wie möglich die Berechtigung haben, jedoch genug damit immer ein befugter Mitarbeiter vor Ort ist. Unbefugte Mitarbeiter haben hier keinen Zutritt und dürfen nur in Begleitung oder zur Unterstützung von berechtigten Mitarbeitern diese Räume betreten.

Alle Türen zu diesen Bereichen sind stets abzuschließen und dürfen nur offenstehen, wenn eine zugangsberechtigte Person diese immer im Blick hat.

Unberechtigte Personen bzw. Besucher dürfen nur in Begleitung und unter ständiger Beobachtung einer zugangsberechtigten Person Zutritt erhalten bzw. sich in der Sicherheitszone aufhalten.

Projektbezogen Räume der roten Sicherheitszone verfügen eine gesonderte Zutrittskontrolle. Der Zutritt ist nur den Mitgliedern eines streng vertraulichen Projektes gestattet. Der Personenkreis wird bei Projektbeginn bzw. im Projektverlauf bestimmt, und bedarf der Zustimmung der Unternehmensleitung. Die IT-Administratoren richten die Zutrittssteuerung entsprechend ein.

Sobald ein streng vertrauliches Projekt beginnt, ist der Sichtschutz zu gewährleisten. Fotografien dürfen nur in Ausnahmefällen unter Zustimmung der Projektleitung und unter Einhaltung des 4-Augen-Prinzips erstellt werden. Unbefugte Mitarbeiter haben keinen Zutritt zu diesen Räumen. Besucher haben nur dann Zutritt zu diesen Räumen, wenn sie am Projekt beteiligt sind, oder außerhalb von Zeiten von Projekttätigkeiten, wenn ihre Anwesenheit dringend erforderlich ist (z.B. Handwerker). In jedem Fall sind sie von befugten Mitarbeitern zu begleiten und müssen ihre Anwesenheit vorher registrieren. Das gleiche gilt für Mitarbeiter außerhalb des Projektteams, z.B. IT-Mitarbeiter.

Merkmale und Schutzmaßnahmen je Bereich

	Intern (grün)	Vertraulich (gelb)	Streng vertraulich (rot)
Definition	Bereich mit technischen oder organisatorisch gesteuerten Sicherheitsmaßnahmen, nicht frei zugänglich, üblicherweise interne Umfänge	Bereich mit zusätzlichen Sicherungsmaßnahmen, restriktiv, Schutz besonderer Umfänge, begrenzte Personenanzahl, üblicherweise auch vertrauliche Umfänge.	Bereich mit höchsten Sicherheitsanforderungen, Schutz sensibelster Werte, streng reglementierte Zugangsberechtigungen, üblicherweise auch geheime Umfänge
Einsehbarkeit	Clear Desk und Clear Screen	Temporärer Sichtschutz	Temporärer Sichtschutz
Besucher	Nur registrierte Gäste/ Besucher, expliziter Hinweis auf Vertraulichkeit und Geheimhaltung, Zone für Anlieferung und Versand von Waren	Eingeschränkter Besucherkreis, schriftliche Bestätigung der Geheimhaltung, in ständiger persönlicher Begleitung durch Parasol-Personal	Zutritt nur in Ausnahmefällen und zusätzlich zu Zone „Gelb“ ist die Zustimmung der Projekt-/IT-Leitung erforderlich
Schloss	Bereich muss vor unbefugtem Zugang geschützt werden	Schließanlage mit Zugang für eingeschränkten Personenkreis	Schließanlage mit Zugang für sehr eingeschränkten Personenkreis, Auswahl der Zutrittsrechte durch die Unternehmensleitung, Vergabe durch IT. Zutritt ist zu protokollieren
Fotografieren/ Optiknutzung	Keine internen Informationen, sonst nur mit dienstlichen Geräten	Keine Nutzung von privaten Geräten, dienstliche Geräte nur bei fachlichem Auftrag	Projekträume: Keine privaten Geräte, dienstliche Geräte nur in Ausnahmefällen: 4-Augen-Prinzip, Zustimmung Projektleitung Serverraum: Der IT-Admin darf im Zuge seiner Regeltätigkeiten davon abweichen.
Verhaltensregeln	Alle in diesem Bereich tätigen Mitarbeiter kennen die Arbeitsanweisung zu: Besucherregelung, Schadenfälle, Allgemeine Informationssicherheit	Alle in diesem Bereich tätigen Mitarbeiter kennen die Arbeitsanweisung zu: Besucherregelung, Schadenfälle, Allgemeine Informationssicherheit	Alle in diesem Bereich tätigen Mitarbeiter kennen die Arbeitsanweisung zu: Besucherregelung, Schadenfälle, Allgemeine Informationssicherheit

Verteilung der Sicherheitszonen

Die Räumlichkeiten der Parasol Island GmbH werden wie folgt den verschiedenen Sicherheitszonen zugeordnet. Abweichungen, Risiken und Besonderheiten der Räumlichkeiten sind ergänzend angegeben.

Berlin

Erdgeschoß

Error creating thumbnail: File missing

Obergeschoß

Error creating thumbnail: File missing

Düsseldorf

Erdgeschoß

Error creating thumbnail: File missing

Obergeschoss

Error creating thumbnail: File missing

Untergeschoss

Error creating thumbnail: File missing

Zutrittsmanagement

Die Auswahl der Zutrittsrechte zu den definierten Sicherheitszonen erfolgt durch die Geschäftsführung. Die Protokollierung und Vergabe der Zutrittsrechte erfolgen durch die IT.

Die Personen, die Zutritt zu den verschiedenen Sicherheitszonen besitzen, werden in einer zentralen Schlüsselliste verwaltet. Die Schlüsselausgabe erfolgt nach vorheriger Bedarfsprüfung und gegen Unterzeichnung einer entsprechenden Empfangsbestätigung, die gleichzeitig über die Sicherheitsrichtlinien und Haftungsregelungen informiert.

Gäste und Besucher werden standortbezogen registriert und die Besuchszeiten erfasst. Ebenfalls erfasst werden Betreten und Verlassen der verschiedenen Sicherheitszonen durch die Mitarbeiter.

Sicherheitszonen werden ausschließlich von der Geschäftsführung mit Beratung des ISB definiert und sind jährlich neu zu bewerten.

Ausdehnung der Sicherheitsbereiche

Bei dringendem Bedarf kann der gelbe Sicherheitsbereich auf Teile des sonst grünen Bereichs in Büros temporär ausgeweitet werden, dafür sind jedoch die Anforderungen an die Sicherheitszone einzuhalten. Konkrete Maßnahmen sind:

• Gemeinsame Entscheidung von Geschäftsführung und Informationssicherheitsbeauftragten
• Genaue Festlegung des Zeitraumes für die temporäre Änderung
• Prüfung der Risiken in diesem Zeitraum (Besuchstermine, Wartungsbesuche, etc.)
• Einschränkung von Besuchern
• Alle Gäste und Besucher müssen eine schriftliche Geheimhaltungsvereinbarung unterzeichnen
• Geeigneter Sichtschutz während der Arbeit
• Lieferanten dürfen den Eingangsbereich nicht verlassen

Die Erweiterung kann nur erfolgen, wenn alle im gelben Sicherheitsbereich befindlichen Mitarbeiter die Vertraulichkeitsanforderungen erfüllen. Im Zweifel müssen Arbeitsplätze in andere Bereiche verlegt werden, die von der Erweiterung ausgeschlossen sind.