02 20 PSL ISMS Informationswerte

Zweck

TISAX erfordert die Erfassung aller Informationswerte (Verband der Automobilindustrie e.V. (VDA), 2020). Im Bereich 1.3 Asset Management werden folgende Fragen gestellt:

1. Inwieweit werden Informationswerte (Assets) identifiziert und erfasst?
2. Inwieweit werden Informationswerte hinsichtlich ihres Schutzbedarfs klassifiziert und gemanagt?

Dieses Dokument beschreibt die dazugehörigen Richtlinien bei der Parasol Island GmbH.

Die dritte Frage aus diesem Bereich

1. Inwieweit wird sichergestellt, dass nur evaluierte und freigegebene organisationsfremde IT-Dienste zum Verarbeiten von Informationswerten der Organisation eingesetzt werden?

wird in (ISMS, 02_27) beantwortet.

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Inventarisierung von Informationswerten

„Für jede Organisation ist es wichtig, die Informationen zu kennen, die einen Wert für sie darstellen (z. B. Geschäftsgeheimisse, kritische Geschäftsprozesse, Know-how, Patente). Diese werden als Informationswerte bezeichnet. Durch eine Inventarisierung wird sichergestellt, dass die Organisation einen Überblick über ihre Informationswerte erhält. Darüber hinaus ist es wichtig, die Informationsträger (z. B. IT-Systeme, Services/IT-Dienste, Mitarbeiter) zu kennen, welche diese Informationswerte verarbeiten. (1.3.1) (Verband der Automobilindustrie e.V. (VDA), 2020)

Man unterscheidet zwischen primären und sekundären Informationswerten. Die primären Informationswerte stellen die eigentlichen Informationen dar, z.B. Projektergebnisse, Personalstammdaten, Unternehmensgeheimnisse. Bei den sekundären Informationswerten handelt es sich um die Informationsträger, auf denen die primären Informationswerte verarbeitet werden. Um diese Unterscheidung klar auszudrücken, werden primäre Informationswerte im Folgenden als „Informationswerte“ bezeichnet und sekundäre Informationswerte als „Informationsträger“.

Informationswerte

Parasol Island führt ein Verzeichnis aller (relevanten) Informationswerte. Darin enthalten ist neben einer Beschreibung des Wertes auch derjenige Mitarbeiter, der für diesen Wert zuständig ist. Verantwortlich für die Bestimmung relevanter Informationswerte ist die Geschäftsführung.

Informationsträger

Alle physischen Entitäten, die Informationen verarbeiten, werden als Informationsträger oder auch unterstützende (Informations-)Werte bezeichnet. Dies können z.B. IT-Systeme, Datenträger, Mitarbeiter oder auch Aktenschränke sein.

Alle Informationsträger sind zu erfassen. Dies darf dezentral erfolgen. So darf beispielsweise die IT ein Verzeichnis aller Server und Clients führen, während die Personalabteilung ein Verzeichnis aller Mitarbeiter führt. Werden Systeme für die Verwendung innerhalb eines Teams eingeführt und diese werden auch von diesem Team verwaltet, so obliegt es dem Team, ein Verzeichnis über diese zu führen. Dabei ist zu beachten, dass a) alle Richtlinien, die IT-Systeme und -Prozesse betreffen, sowohl für die zentrale IT als auch für solch dezentrale IT gelten und b) die Führung eines Gesamtverzeichnisses die Organisation vereinfachen könnte.

Klassifikation von Informationswerten

Schutzziele

Die drei für Parasol Island wichtigen Schutzziele werden im Folgenden kurz erläutert.

Vertraulichkeit

Unter Vertraulichkeit versteht man die Tatsache, dass Informationen nur von denjenigen Personen eingesehen und verarbeitet werden dürfen, die dazu auch berechtigt sind. Der Zugriff durch unbefugte Personen darf nicht möglich sein.

Integrität

Das Schutzziel Integrität umfasst die Korrektheit der Daten (Datenintegrität). Dabei geht es insbesondere darum, dass diese nicht unbefugt geändert werden können, bzw. dass Änderungen als solche zu erkennen sind. Hierbei sollte auch der Verursacher erfasst werden, um unbefugte Änderungen erkennen zu können.

Verfügbarkeit

Als drittes Schutzziel geht es bei der Verfügbarkeit um den möglichen Zugriff auf die Informationen. Dieser sollte zu jeder Zeit verfügbar sein. Ist die Verfügbarkeit nicht gegeben, so stellt dies einen (temporären) Verlust der Daten dar.

Sicherheitsanforderungen und Schutzmaßnahmen

Für Informationswerte und Informationsträger sind in Abhängigkeit vom Schutzbedarf Sicherheitsanforderungen und geeignete Schutzmaßnahmen zu bestimmen. Dazu gehört auch, den angemessenen Umgang mit diesen festzulegen. Die Festlegung darf per Kategorie von Informationsträgern oder Informationswerten erfolgen und sollte alle Schutzziele abdecken.

Beispielsweise können die folgenden Kategorien von Informationsträgern betrachtet werden:

• Cloud-Dienste
• Lokale Server / IT-Dienste
• Client Computer
• Mobilgeräte
• Mitarbeiter & Mitarbeiterinnen
• Ext. Dienstleister
• Freelancer
• Physische Aufbewahrungsorte (z.B. Aktenordner, -schränke, Sicherheitszonen)

Für jeden Informationsträger muss die Kategorie hinterlegt werden. So mag die IT alle IT-Geräte verwalten. In diesem Inventar muss dann klar ersichtlich sein, ob es sich bei einem Gerät um einen lokalen Server, einen Client-Computer oder ein Mobilgerät handelt.

In Abhängigkeit des Schutzbedarfs sind Anforderungen an die Informationsträger festzulegen. So kann beispielsweise festgelegt werden, dass ein Cloud-Dienst je nach Schutzbedarf für das Schutzziel Verfügbarkeit eine vertraglich zugesicherte Verfügbarkeit von 99,99% (hoher Schutzbedarf) oder nur von 95% (geringer Schutzbedarf) hat.

Lebenszyklus von Informationsträgern

„Informationsträger unterliegen während ihres Lebenszyklus (z. B. Nutzung, Entsorgung) einem Risiko unter anderem in Bezug auf Verlust, Diebstahl oder der unberechtigten Einsichtnahme.“ (3.1.3) (Verband der Automobilindustrie e.V. (VDA), 2020)

Für alle Informationsträger (insbesondere solche, die Informationen speichern) sind Regeln für den Gebrauch, die Kennzeichnung und insbesondere die Rückgabe zu erstellen. Dabei ist zu beachten, dass über den gesamten Lebenszyklus eines Informationsträgers alle Anforderungen der Informationssicherheit in Abhängigkeit der Schutzbedarfsklassifikation erfüllt sind. Außerdem sollte jederzeit bekannt sein, in welchen Verantwortungsbereich der Informationsträger fällt.

Kontrolle und Dokumentation

Aus den Anforderungen für die Sicherheitsziele erwächst die Notwendigkeit der Kontrolle.

Die Daten und IT-Systeme müssen entsprechend ihrer Klassifikationen Maßnahmen unterworfen werden, die einen sachgemäßen Umgang gewährleisten. Die Einhaltung der Maßnahmen muss kontrolliert werden und Änderungen müssen nachvollziehbar sein.