03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln

Zurück zur ISMS Übersicht

Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln

Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.

Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.

Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.

Geltungsbereich

Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.

Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.

Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.

Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.

Temporäre Arbeitsumgebung

Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.

Best	OK	OK	OK	ALARP 1	unvorstellbar
OK	OK	ALARP 1	ALARP 2	Inakzeptabel 1	unwahrscheinlich
OK	ALARP 1	ALARP 2	Inakzeptabel 1	Inakzeptabel 2	entfernt vorstellbar
ALARP 1	ALARP 2	Inakzeptabel 1	Inakzeptabel 2	Inakzeptabel 3	gelegentlich
ALARP 2	Inakzeptabel 1	Inakzeptabel 2	Inakzeptabel 3	Inakzeptabel 4	wahrscheinlich
ALARP 3	Inakzeptabel 2	Inakzeptabel 3	Inakzeptabel 4	Supergau	häufig
Gering	Mittel	Hoch	Sehr Hoch	Katastrophal	-

Verschlüsselung

Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.

Weitergabe

Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.

Schnittstellen deaktivieren

Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.

Datensparsamkeit:

Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.  Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)

Einsichtnahme von Behörden auf Dienstreisen

Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.

Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.

Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.

Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.

Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.

Mitnahme in das private Umfeld

Analog zur geschäftlichen Entfernung von Betriebsmitteln müssen auch bei der Mitnahme ins private Umfeld sämtliche Sicherheitsmaßnahmen erfolgen. Zusätzlich muss sichergestellt sein, dass auch im privaten Umfeld keine unberechtigten Personen Zugriff auf die enthaltenen Informationen erhalten.

Eine allgemeine Entfernungserlaubnis ist nur erteilbar, wenn die Betriebsmittel keine als Vertraulich oder Streng Vertraulich eingestuften Informationen erhalten.

Eine Entfernung von als Vertraulich oder Streng Vertraulich eingestuften Informationen ist nur nach einer Risikoeinschätzung möglich und erfordert die Genehmigung der Geschäftsleitung. Hierbei ist jeder Einzelfall separat zu prüfen und auch nur eine Ausnahmegenehmigung möglich.

Entsorgung

Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.

Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.

Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.

Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.

Verlust

Geht ein Betriebsmittel verloren, während es vom Betriebsgelände entfernt wurde, muss dies umgehend dem Projektleiter und der Geschäftsleitung mitgeteilt werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.

Die für die Betriebsmittel verantwortliche Person ist dazu verpflichtet, das Betriebsmittel wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.

Da als Vertraulich und Streng Vertraulich eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.

Für Betriebsmittel, die keine eigene Verschlüsselung bieten, ist eine erhöhte Sorgfaltspflicht erforderlich. Gemäß der Sicherheitseinstufung müssen hier ggf. mehrere verantwortliche Personen ernannt werden.

Jeder Verlust erfordert eine gesonderte Prüfung mit

• Betrachtung des Schadens,
• Gründen für den Verlust,
• Maßnahmen, um zukünftige Verluste zu verhindern.

Gegebenenfalls können Sanktionen gegen den Verantwortlichen erhoben werden.

Verantwortlichkeiten

Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.

Verantwortlich für die geschäftliche / private Entfernung:

• Projektleitung
• Geschäftsleitung

Verantwortlich für die Entsorgung:

• Administration