02 02 PSL ISMS Richtlinie für IT-Administration

Zurück zur ISMS Übersicht

Zweck der Richtlinie für IT-Administration

Die Richtlinie soll Regeln für Administratoren vorgeben. Sie soll den Umgang mit den Systemen regeln und vereinheitlichen.

Geltungsbereich der Richtlinie

Diese Richtlinie für IT-Administration gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für die Parasol Island GmbH tätig werden.

Die Regelungen dieser IT-Sicherheitsrichtlinie gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der IT-Sicherheitsrichtlinie sind nicht zulässig, es sei denn, sie sind in der IT-Sicherheitsrichtlinie ausdrücklich aufgeführt.

Mit Erscheinen einer neueren Version werden alle veralteten Versionen automatisch ungültig.

Überwachung und Protokollierung

Sämtliche Zugriffe der Administratoren auf das informationsverarbeitende System sind automatisch zu protokollieren. Sollte dies nicht möglich sein, ist ein handschriftliches Protokoll anzulegen. Die Protokolle sind vor Veränderung zu schützen.

Aus den Protokolldaten muss eindeutig hervorgehen, welche Zugriffe auf die Systemdaten, die Zugriffsberechtigungsdaten und die Ereignisdaten von welchen Personen vorgenommen wurden, und welche Aktionen während des Zugriffs in Gang gesetzt wurden. Die Protokolldateien sind auf Verlangen für die Geschäftsleitung einsehbar. Die Darstellung erfolgt in lesbarer, allgemeinverständlicher Form. Andere Auswertungen sind unzulässig.

Remote Zugang von außen

Der Remotezugriff von außerhalb ist nur über sichere Verbindungswege gestattet. Voraussetzung ist eine ende zu ende verschlüsselte Übertragung und eine flüchtige Speicherung von Informationen.

• Genaueres regelt die Arbeitsanweisung zum Entfernen von Betriebsmitteln (03_04).

Netzwerkdienste

Die zentralen Netzwerkdienste DHCP, DNS und WINS sind intern eingerichtet und allein von dem zuständigen Administrator zu pflegen und aktuell zu halten. Sie sind rein vom internen Netzwerk erreichbar und technisch gegen ein Eindringen von außen geschützt.

Der E-Mail-Dienst und grundlegende Webservice-Leistungen sind ausgelagert an ein externes Unternehmen, welches durch ein SLA die Anforderungen der Parasol Island GmbH erfüllt.

Regelung zur Benutzerregistrierung

Jeder berechtigte Nutzer erhält eine Benutzerkennung für den Zugriff auf den Server und die Informationssysteme der Parasol Island GmbH. Die Gegebenheiten des Passworts sind unter der IT-Leitlinie zusammengefasst.

Neue Zugänge für Mitarbeiter (feste und freie Mitarbeiter, Auszubildende, Praktikanten, Volontäre, etc.) zu den IT-Systemen muss der Systemadministrator oder dessen Vertreter erstellen. Spätestens eine Woche vor Arbeitsbeginn hat er hierzu von der Personalverwaltung eine Mitteilung zu erhalten, die die folgenden Informationen enthält:

• Vorname
• Nachname
• Rolle im Unternehmen und verantwortliche Abteilung
• ggf. Hinweis, dass ein neuer Arbeitsplatz erforderlich ist
• Sicherheitseinstufung
• Beginn des Arbeitsverhältnisses
• ggf. Ende des Arbeitsverhältnisses

Auf Grundlage dieser Informationen legt der Administrator die entsprechenden Zugänge an und konfiguriert die Systeme. Hier wird auch das allgemeingültige Mitarbeiterkürzel definiert. Ein Kürzel muss eindeutig sein und darf nicht mehrfach vergeben werden. Das Kürzel besteht aus dem Anfangsbuchstaben des Vornamens und dem Nachnamen. Wurde ein Kürzel bereits vergeben, muss im Einzelfall entschieden werden.

Weitere Schritte sind:

• E-Mail-Adresse für Mitarbeiter anlegen.
• Der Mitarbeiter muss am Domainserver eingetragen werden.
• Zwei Faktor Authentifizierungs Software muss eingerichtet werden.
• Der Mitarbeiter wird über seine Zugangsdaten informiert und kurz in die allgemeinen Firmenanwendungen eingeführt. Eine ausführliche Mitarbeiterschulung obliegt der jeweiligen Abteilung.
• Der neue Mitarbeiter erhält eine Sicherheitsschulung sowie den Verweis auf den Wiki Artikel zur Informationssicherheit.

Bei Änderungen in den Personaldaten muss der Administrator entsprechend frühzeitig informiert werden. Ebenfalls zu informieren ist er, wenn ein Mitarbeiter aus der Firma ausgeschieden ist. Die Zugänge sind daraufhin umgehend zu sperren.

Eine Sperrung von Mitarbeitern kann nur von der Geschäftsleitung oder der Personalabteilung beauftragt werden und muss vom Administrator durchgeführt werden.

Benutzerrechte auf dem Domainserver

Über die Vergabe von Benutzerrechten wird der Zugriff auf Dateien unterschiedlicher Sicherheitsklassifizierungen geregelt und kontrolliert. Der Datenbestand wird in Gruppen eingeteilt, die Benutzer dann denen für ihre Arbeit notwendigen Gruppen zugeordnet.

Daten mit der Sicherheitsklassifizierung „Intern“ werden generell allen Mitarbeitern (intern wie extern) zugänglich gemacht.

Für Projekte mit der Sicherheitsklassifizierung „Vertraulich“ bzw. „Streng Vertraulich“ wird eine eigene Gruppe definiert, um den Datenzugriff auf diese Projektdaten gesondert und exklusiv regulieren zu können.

Die folgende Übersicht zeigt die Gruppenstruktur:

Gruppenname:	Beschreibung:
Domain Users	Standard Benutzerkonten
Domain Admins	Volle Rechte zum Verwalten der Clients und Server

Passend dazu die Serverstruktur mit Zugriffsberechtigung:

Server	Zugriffsberechtigte Gruppe
\\pslsrv10	Domain Admins, Domain User
\\pslsrv17	Domain Admins, Domain User

Weiter Informationen zur Rechtevergabe unter Antrag zur Benutzerregistrierung.

Administratorrechte

Netzwerk / Systemadministrator

Von der Geschäftsleitung werden Systemadministratoren und Stellvertreter benannt. Die Systemadministratoren sind für den laufenden Betrieb der Informationssysteme zuständig. Die Namen der Administratoren sind in der Zuständigkeiten-Liste aufgeführt.

Der Administrator hat ausschließlich Rechte, die für seine administrierende Aufgabe notwendig sind. Wenn möglich sollte das Administratorenkonto des Nutzers von seinem Nutzerkonto getrennt sein. Die Administratorentätigkeit ist mit automatischen Logs zu überwachen, regelmäßig zu kontrollieren und vor Veränderung zu schützen, sofern dies technisch möglich ist.

Es gibt keine Administrations-Gruppenkonten, jedes Konto ist einer Person zuzuordnen.

Die Entscheidung, Administratorrechte zu vergeben, ist von der Geschäftsführung zu treffen. Zur Kontrolle und Risikoeinschätzung muss ein weiteres Augenpaar hinzugezogen werden (zum Beispiel Abteilungsleiter).

Die Administratorenrechte und Tätigkeit ist halbjährlich zu kontrollieren.

Lokal

Neben einem “normalen” Nutzer wird ein Nutzer mit lokalen Administratorrechten am Arbeitscomputer der dazugehörigen Person eingerichtet. Dieser Vorgehensweise ist von der Geschäftsführung autorisiert. Der Nutzer ist vor der Vergabe über die Risiken zu informieren und hat eine besondere Sorgfaltspflicht.

Risiken sind z.B.:

• ungewollte Installation von Software, welche mit anderen Systemen interagiert und dadurch den Arbeitsablauf stört
• erhöhtes Risiko durch den Befall von Schadsoftware
• ungewolltes Löschen oder verändern von Systemdateien
• Automatische Installation von Updates oder nachgeladenen Plug-Ins, welche die Arbeitsabläufe stören.
• Versehentliches Deaktivieren von Schutzeinrichtungen

Die Trennung vom “normalen” Nutzer und Nutzer mit lokalen Administratorrechten hat zur Folge, dass wenn etwas, nach Absprache mit dem Systemadministrator, installiert oder aktualisiert werden soll, dies immer bewusst als Administrator ausgeführt werden muss und nicht unbewusst passieren kann. Dies schützt vor Malware, die Rechte eines eingeloggten lokalen Administrators ausnutzen könnte, und ist eine weitere Hürde/Erinnerung für den Nutzer bei einer unüberlegten/nicht autorisierten Installation von Programmen. Lokale Administratorenrechte berechtigen nämlich nicht zum eigenmächtigen Installieren von Software. Die Rechte sind mit dem zugehörigen Computer zu dokumentieren.

Antrag zur Benutzerregistrierung

Zur Autorisierung und Protokollierung wird vor dem Einrichten der Benutzerrechte oder bei Änderungen Asana, dass von Parasol Island genutzte Ticketsystem, genutzt.

Hierzu erstellt die von der Geschäftsführung bevollmächtigte Personalverwaltung ein Ticket mit allen wichtigen Informationen an den Administrator. Nach der Fertigstellung wird das Ticket abgeschlossen und archiviert. Durch namensgebundene Logins im Ticketsystem lässt sich jederzeit nachvollziehen zu welchem Zeitpunkt welcher Nutzer beantragt und erstellt wurde. In dem Antrag werden folgende Benutzerdaten angegeben.

Benutzerdaten

• Vorname
• Nachname
• Rolle im Unternehmen (z.B. Praktikant, Artist, Abteilungsleiter)
• Abteilung (z.B. 3D, 2D, Interactive)
• Rechte
• Beginn des Arbeitsverhältnisses
• Ende des Arbeitsverhältnisses
• Kürzel / Mailadresse

Zugriffsrechte

Der Nutzer wird einer vordefinierten Gruppe zugewiesen. Diese ergibt sich aus der „Rolle im Unternehmen“ und der „Abteilung“. Darüber hinaus kann Zugriff auf gesonderte Projekte mit sensiblem Schutzbedarf vergeben werden. Die dem Mitarbeiter zugewiesene Workstation bzw. mobile Geräte werden in der Inventarliste vermerkt.

Administratorrechte

Sofern dem Nutzer Administratorrechte vergeben werden, wird dies in seinem Ticket vermerkt.

Es wird unterschieden zwischen:

• Lokale Administratorrechte, wenn diese für den Nutzer erforderlich sind. Mit Angabe der Workstation, auf welche diese Rechte bestehen.
• Netzwerkadministratorrechte für das Nutzerkonto (Ausnahme)
• Vergabe eines separaten Kontos für die Netzwerkadministratorrechte mit Angabe der Nutzerkennung (Standard)

Hinweise:

• Administratorrechte müssen durch ein 2. Augenpaar autorisiert werden. Hierfür kann zum Beispiel der Abteilungsleiter hinzugezogen werden.
• Der Nutzer ist über die Risiken der eingeräumten Administratorrechte zu belehren.

Kontrolle der Benutzerrechte

In die Vergabe der Benutzerrechte ist stichprobenartig, jedoch mindestens einmal jährlich, mit den Vorgaben abzugleichen und zu kontrollieren.

Die Administratorenrechte und Tätigkeiten sind halbjährlich zu kontrollieren.

Die Kontrolle der Administratorrechte erfolgt durch den Informationssicherheitsbeauftragten oder die Geschäftsleitung.

Vergabe von Benutzerrechten in der Agentursoftware

In der Agentursoftware werden Arbeitszeiten und Projektdaten sowie Adressbücher zentral verwaltet. Jeder Nutzer hat auch hier eine eindeutige Kennung. Die Zugriffsrechte auf Systembereiche und Funktionen lassen sich individuell durch Nutzergruppen einstellen, welche von der Geschäftsleitung vorgegeben sind. Derzeit nutzen wir für circa 100 Mitarbeiter ca. 20 verschiedene Nutzergruppen, welche mit der Geschäftsleitung abgestimmt, eingerichtet und zugewiesen wurden. Jedem Mitarbeiter kann dabei nur eine Benutzergruppe zugeordnet werden.

Überprüfung von Informationssystemen

In regelmäßigen Abständen, jedoch mindestens jährlich, sind die informationsverarbeitenden Systeme zu warten und auf technische Fehler zu prüfen (Systemaudit). Ziel soll es sein, die Zuverlässigkeit und somit auch die Sicherheit des Systems zu bewahren sowie Fehler zu beheben, die möglicherweise unangemessenen Datenzugriff ermöglichen.

Hierfür empfiehlt sich ein Zeitraum mit geringer Auslastung des Betriebs, zum Beispiel zwischen zwei Projekten. Der Zeitpunkt und die Dauer sind mit allen Abteilungsleitern frühzeitig abzustimmen. Die Systemnutzer sollten den Admin bei seiner Tätigkeit während des Audits nach Möglichkeit unterstützen.

Vor dem Durchführen ist der Umfang festzulegen, ein Plan mit Zielen zu erstellen und die genaue Vorgehensweise festzulegen. Die durchgeführten Diagnosen und Ergebnisse müssen protokolliert werden und der Geschäftsführung vorgelegt werden.

Zu testende Systeme:

• Lizenzserver
• Fileserver
• Renderfarm
• Firewall
• Klimaanalage
• Switches
• Workstations
• Backup und Archivierungssystem

Mögliche Tests und Diagnosen können sein:

• Sammeln von S.M.A.R.T. Daten
• Temperaturkontrollen
• Ram Test
• Kontrolle von Patches und Updates
• Kontrolle der Domänen Nutzergruppen
• Kontrolle der Inventarliste
• Portfreigaben kontrollieren
• Tiefgreifender Scan auf Schadsoftware
• Dienstleister für Klimaanlagenwartung

Mögliche Maßnahmen:

• Firmware-Updates bei Bedarf
• Erneuerung von Komponenten
• Reinigung von Computern
• Präventiv Festplatten austauschen
• Betriebssystem Neu-Installation