02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)

Zweck dieser Richtlinie

Diese Sicherheitsrichtlinie umfasst Regelungen zur Sicherstellung der Informationssicherheit im Falle des Outsourcings von IT-Leistungen.

Geltungsbereich dieser Leitlinie

Diese Sicherheitsrichtlinie gilt für alle Betriebsteile und ist bei der Gestaltung von Outsourcing-Vorhaben zugrunde zu legen, wenn Dienstleistungen im Bereich Informationsverarbeitung betroffen sind.

Bereits vor jeder Outsourcing-Entscheidung sind Sicherheitsaspekte zu bedenken und bei einer Ausschreibung zu berücksichtigen.

Die Richtlinie ist gegenüber dem Outsourcing-Dienstleister als Prüfungsgrundlage zu nutzen und den Verträgen mit Dienstleistern zugrunde zu legen. Für die inhaltliche Bearbeitung sowie für die Pflege und Änderung der Texte ist der IT-Sicherheitsbeauftragte in Zusammenarbeit mit der Geschäftsführung zuständig und verantwortlich.

Auswahl eines Outsourcing-Dienstleisters

Es ist selten Erfolgversprechend, eine Geschäftsbeziehung lediglich auf Verträge und Regressansprüche zu begründen. Daher ist der Outsourcing-Dienstleister sorgfältig auszuwählen und eine vertrauensvolle und kooperative Zusammenarbeit anzustreben.

Bei der Auswahl ist zu prüfen, ob der Auftragnehmer als makellos, unbescholten und unbestechlich einzuschätzen ist (Zuverlässigkeit) und ob ein ernsthaftes und fachkundiges Betreiben der Dienstleistung gewährleistet ist (Seriosität).

Zu diesem Zweck sind folgende Punkte zu hinterfragen:

Referenzen
Kompetenz und Verfügbarkeit des Ansprechpartners
Vertrauenswürdigkeit der Mitarbeiter
Notfallplanung
Zertifizierungen
garantierte Verfügbarkeit (maximale Ausfallzeit)
Sicherheitskonzept und Sicherheitsrichtlinien.

Für die Beurteilung sollte bei größeren Vorhaben eine Besichtigung des Outsourcing-Dienstleisters erfolgen.

Vertragsspezifische Regelungen

Externen darf generell erst dann Zugang zu IT-Systemen und Anwendungen gewährt werden, wenn ein Vertrag unterschrieben wurde, der die Bedingungen für die Verbindung oder den Zugang definiert.

Im Vertrag ist schriftlich zu vereinbaren:

Weisungsgebundenheit des Outsourcing-Dienstleisters
Einhaltung der einschlägigen Gesetze, Vorschriften und internen Regelungen
Stillschweigen über alle bekannt werdenden Informationen
Technische und organisatorische Maßnahmen im Einflussbereich des Outsourcing-Dienstleisters und deren Kontrolle
Melde- und Kommunikationswege
Notfallvorsorgemaßnahmen
Personaleinsatz durch den Outsourcing-Dienstleister
Zutritts- und Zugangsrechte
Regelungen für den Fall der Nicht- oder mangelhaften Erfüllung
Verfügbarkeitsanforderungen
Rechte und Pflichten des externen Personals
Regelungen zur Haftung
Verfahren bei Beendigung des Vertrags

Organisation

Es sind auf beiden Seiten Verantwortliche zu benennen. Es ist sicherzustellen, dass diese ausreichende Befugnisse besitzen.

Externe Mitarbeiter sind vor Beginn ihrer Tätigkeit einzuweisen und über hausinterne Regelungen und Vorschriften zur Informationssicherheit sowie die organisationsweite Leitlinie zur Informationssicherheits zu unterrichten.

Externe Mitarbeiter, die (eventuell) Zugang zu vertraulichen Unterlagen und Daten bekommen könnten, sind schriftlich auf die Einhaltung der geltenden einschlägigen Gesetze, Vorschriften und internen Regelungen und zur Verschwiegenheit zu verpflichten.

Der Outsourcing-Dienstleister hat die Weisungen des Auftragnehmers zu befolgen. Dies ist regelmäßig zu überprüfen.

Aufträge an Subunternehmer durch den Outsourcing-Dienstleister bedürfen einer Genehmigung. Subunternehmer unterliegen den gleichen Anforderungen wie der Hauptauftragnehmer.

Zutritts-, Zugangs- und Zugriffsrechte externer Mitarbeiter

Externe müssen sich ausweisen.

Sofern ein Zutritt zu Sicherheitszonen zwingend erforderlich ist, sind externe Mitarbeiter zu beaufsichtigen. Kurzfristig oder einmalig zum Einsatz kommendes Fremdpersonal ist wie Besucher zu begleiten oder zu beaufsichtigen.

Der Zugriff auf Daten durch Externe ist soweit wie möglich zu vermeiden. Externen kann, sofern dies zwingend erforderlich ist, ein zeitlich begrenzter Zugang gewährt werden, wenn entsprechende Sicherheitsmaßnahmen eingerichtet worden sind.

Sofern ein dauerhafter Zugang notwendig ist, sind einer namentlich benannten Person restriktive Zugangsrechte zu gewähren.

Es ist sicherzustellen, dass die externen Mitarbeiter keinen Zugriff auf Systeme außerhalb ihres Tätigkeitsbereiches erhalten.

„Regelungen zum Ende der Tätigkeiten“ sind zu beachten.

Sicherheitsmaßnahmen

Allgemeine Regelungen

Für umfangreiche oder komplexe Outsourcing-Vorhaben muss ein eigenes Sicherheitskonzept erstellt werden. Es ist seitens des externen Outsourcing-Dienstleisters ein Sicherheitsprozess zu etablieren, der zu kontrollieren ist. Die durchgeführten Arbeiten sind zu dokumentieren (Umfang, Ergebnisse, Zeitpunkt, evtl. Name des externen Mitarbeiters).

Eine Fehlerbeseitigung im Betriebssystem und in systemnaher Software darf durch das externe Personal nur nach Genehmigung erfolgen.

Es sind Regelungen zur Kommunikation und dem Datenaustausch zwischen Auftraggeber und dem Dienstleister zu schaffen. Hierbei ist auch die "Sicherheitsrichtlinie für die Internetnutzung" (siehe Musterdokument des BSI) zu beachten.

In Sicherheitszonen kann das Mitbringen tragbarer IT-Systeme, Mobiltelefone, Kameras etc. vom IT-Sicherheitsbeauftragten verboten werden.

Arbeiten durch externes Personal im Hause

Arbeiten, die von Externen innerhalb der Räumlichkeiten des Auftragnehmers stattfinden, sind in separaten Räumlichkeiten durchzuführen.

Bei Arbeiten an sensitiven Systemen bzw. Systemen mit sensitiven Daten hat eine fachkundige Kraft die Arbeiten zu beaufsichtigen.

Arbeiten durch externe Dienstleister außerhalb des Hauses

Wird Hardware zur Wartung oder Reparatur außer Haus gegeben, sind alle sensitiven Daten, die sich auf Datenträgern befinden, vorher sicher zu löschen. Der Transport von Datenträgern hat sicher zu erfolgen.

Externe Arbeiten über Fernzugriff

Generell ist der „Zugriff vor Ort“ dem „Fernzugriff“ vorzuziehen.

Die sichere Anbindung an das interne Netz ist zu regeln.

Es ist die "Sicherheitsrichtlinie zur IT-Nutzung" (Musterdokument des BSI) zu beachten.

Regelungen zum Ende der Tätigkeiten

Bei Beendigung des Auftragsverhältnisses muss eine geregelte Übergabe der Arbeitsergebnisse und der erhaltenen Unterlagen und Betriebsmittel erfolgen.

Es ist die ordnungsgemäße Funktion von gewarteten IT-Systemen zu überprüfen. Bei entsprechend gefährdeten IT-Systemen ist eine Virenüberprüfung durchzuführen.

Es sind außerdem sämtliche eingerichteten Zugangsberechtigungen und Zugriffsrechte zu entziehen bzw. zu löschen. Außerdem sind ausscheidende Mitarbeiter explizit darauf hinzuweisen, dass die Verschwiegenheitsverpflichtung auch nach Beendigung der Tätigkeit bestehen bleibt.

Daten, die im Rahmen des Outsourcings extern gespeichert wurden, sind nach Abschluss des Auftrags vollständig und sicher zu löschen. Dies ist zu kontrollieren.