03 04 PSL ISMS Arbeitsanweisung zum Entfernen von Betriebsmitteln
Zurück zur ISMS Übersicht
Ziel der Arbeitsanweisung zum Entfernen von Betriebsmitteln
Hier soll die Handhabung von Parasol Island IT-Systemen genauer beschrieben werden, wenn diese das Betriebsgelände verlassen. Insbesondere mobile Geräte wie Tablet-Computer, Smartphones oder Notebooks sind von einem erhöhten Risiko betroffen.
Dies beinhaltet auch den Umgang oder das Verhalten, wenn das Gerät entsorgt werden muss, verloren gegangen ist oder gestohlen wurde.
Die Einschätzung des Sicherheitsrisikos und die Handhabung von mobilen und entfernbaren Geräten wird hier ebenso vorgegeben.
Geltungsbereich
Diese Arbeitsanweisung gilt für alle Beschäftigten der Parasol Island GmbH und für Nicht-Beschäftigte, soweit sie für Parasol Island GmbH tätig werden.
Die Regelungen dieser Arbeitsanweisung gelten uneingeschränkt. Sie sind verbindlich und dürfen nicht umgangen werden. Ausnahmen von der Leitlinie sind nicht zulässig, es sei denn, sie sind in der Leitlinie ausdrücklich aufgeführt.
Diese Ausführung ersetzt weder die Richtlinie für IT-Nutzung noch andere Regelungen, sondern dient ausschließlich als ergänzende Information.
Mit Veröffentlichung einer neuen Version werden vorangegangene Versionen, die bis dahin veröffentlicht wurden, ungültig.
Temporäre Arbeitsumgebung
Diese Übersicht gilt für Dienstreisen, Messen und Filmdrehs.
| Intern | Papier: |
|
| Datenspeicher: |
| |
| Remote: |
| |
| Vertraulich | Papier: |
|
| Datenspeicher: |
| |
| Remote: |
| |
| Geheim | Papier: |
|
| Datenspeicher: |
| |
| Remote: |
|
Alternative Arbeitsumgebung (Home Office)
| Best | OK | OK | OK | ALARP 1 | unvorstellbar |
| OK | OK | ALARP 1 | ALARP 2 | Inakzeptabel 1 | unwahrscheinlich |
| OK | ALARP 1 | ALARP 2 | Inakzeptabel 1 | Inakzeptabel 2 | entfernt vorstellbar |
| ALARP 1 | ALARP 2 | Inakzeptabel 1 | Inakzeptabel 2 | Inakzeptabel 3 | gelegentlich |
| ALARP 2 | Inakzeptabel 1 | Inakzeptabel 2 | Inakzeptabel 3 | Inakzeptabel 4 | wahrscheinlich |
| ALARP 3 | Inakzeptabel 2 | Inakzeptabel 3 | Inakzeptabel 4 | Supergau | häufig |
| Gering | Mittel | Hoch | Sehr Hoch | Katastrophal | - |
Entfernbare Endgeräte
Eine allgemeine Entfernungserlaubnis existiert für permanent überlassene Betriebsmittel, die vom Mitarbeiter ständig mitgeführt werden. Hier findet im Vorfeld eine Sicherheitsschulung statt, in der der sichere Umgang mit den Betriebsmitteln vermittelt wird.
Mobile Endgeräte sind in der Inventarliste erfasst. Der verantwortliche Mitarbeiter wird dort ebenfalls vermerkt. Der Mitarbeiter hat eine Verpflichtungserklärung zu unterschreiben, dass er über seine Pflichten informiert wurde.
Verschlüsselung
Wenn Daten auf Geräten transportiert werden, sollten diese verschlüsselt werden. Dies gilt sowohl für aktiv genutzte Geräte als auch für mobile Datenträger (USB-Sticks, mobile Festplatten etc.). Manche Geräte erlauben die Verwendung eines Festplattenkennworts – es wird empfohlen, von dieser Möglichkeit Gebrauch zu machen. Wenn der Speicher des Gerätes über Speicherkarten erweitert wird, ist auch der Inhalt dieser Karten nach Möglichkeit zu verschlüsseln.
Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.
Fernlöschung
Ist die Funktion einer Fernlöschung in einem Gerät vorhanden, ist diese vor der Herausgabe des Geräts an den Mitarbeiter, vom Systemadministrator aktiviert worden.
Weitergabe
Das Gerät darf nie unbeaufsichtigt sein. Die Weitergabe des Geräts an Dritte oder Fremde ist in keinem Fall zulässig.
Entsorgung
Die Entsorgung von Betriebsmitteln erfordert die Genehmigung der Geschäftsleitung.
Nicht mehr benötigte oder defekte Betriebsmittel müssen vor ihrer Entsorgung auf möglicherweise enthaltene Informationen hin überprüft werden.
Jegliche vorhandene Information, die als Intern oder höher eingestuft wurde, ist sachgemäß zu entfernen, indem nach Möglichkeit entweder die Datenträger entfernt werden (Festplatten, Flash-Speicherkarten, CDs / DVDs, etc.) oder die Datenträger mit einem geeigneten Tool mehrfach überschrieben werden.
Ist eine geeignete Löschung der Daten nicht möglich, müssen die entsprechenden Komponenten gegebenenfalls mechanisch aus dem Betriebsmittel entfernt werden. Ist eine Trennung nicht möglich, muss das Betriebsmittel, wie die Datenträger selbst auch, durch mechanische Einwirkung unlesbar gemacht werden.
Schnittstellen deaktivieren
Sämtliche Funk- (WLAN, Bluetooth etc.), Infrarot- und andere Kommunikationsschnittstellen sind zu deaktivieren, sofern diese nicht benutzt werden.
Datensparsamkeit:
Wenn Daten unbedingt auf mobilen Geräten benötigt werden, sollte die Auswahl der Daten auf das Nötigste beschränkt werden. Es wird insbesondere darauf hingewiesen, dass die Speicherung von Passwörtern im Klartext nicht zulässig ist. Zudem sollten die für die Benutzer-Authentifikation und die Verschlüsselung verwendeten Passwörter in jedem Fall die derzeit gültigen Anforderungen hinsichtlich Passwortlänge und Komplexität erfüllen.
Systempflege
Der Nutzer ist dafür verantwortlich, das Betriebssystem und die Software der mobilen Endgeräte aktuell zu halten.
Sichtschutz
Bei der Nutzung mobiler Endgeräte mit Display in der Öffentlichkeit ist ein Sichtschutz zu verwenden.
Verlust
Allgemeine Vorkehrungsmaßnahmen gegen Diebstahl sollten getroffen werden. (Auch in verschlossenen Fahrzeugen dürfen Geräte nicht sichtbar gelagert werden.)
Geht ein Betriebsmittel verloren, muss dies umgehend gemeldet werden. Besteht der begründete Verdacht, dass es gestohlen wurde, ist zudem die Polizei einzuschalten.
Der Nutzer ist dazu verpflichtet, das Endgerät im Rahmen seiner Möglichkeiten wieder aufzufinden, sei es durch die Durchsuchung der möglichen Verlustorte, Aufsuchen von Fundbüros oder die Befragung beteiligter Kollegen oder Fremdfirmen.
Da als sensibel eingestufte Inhalte nur in verschlüsselter Form auf mobilen Betriebsmitteln gelagert werden dürfen, ist der Sicherheitsschaden über den wirtschaftlichen Schaden hinaus verhältnismäßig klein.
Wenn das Gerät über Funktionen der Fernlöschung verfügt, ist die verantwortliche Person verpflichtet, die Löschung zu initiieren.
Einsichtnahme von Behörden auf Dienstreisen
Bei Dienstreisen in manchen Ländern besteht die Gefahr, dass Behörden Einsicht in Daten mit erhöhter Sicherheitsklassifizierung verlangen. Je nach Reiseziel kann diese unangenehme Situation durchaus gesetzlich legitimiert sein. Da die Gesetzgebung im Konflikt mit der Vertraulichkeitsklassifizierung der Daten steht, muss im Vorfeld mit dem Informationseigner, in der Regel ein Kunde, eine Lösung für diesen Fall abgesprochen und vertraglich festgehalten werden. Während der Risikoabschätzung für Projekte ist bereits vor Vertragsabschluss vom Projektleiter die Möglichkeit einer solchen Situation zu berücksichtigen. Im Vertrag ist für diesen Fall vor allem eine Priorisierung zwischen den Sicherheitszielen Verfügbarkeit und Vertraulichkeit festzulegen, da Einzug oder Zerstörung des Geräts oder Datenträger meist eine Alternative zur Offenlegung darstellt.
Für den Fall, dass eine vertragliche Regelung im Vorfeld nicht getroffen wurde, ist die Vertraulichkeit immer zu priorisieren, auch wenn dies einen Verlust des Datenträgers bedeutet.
Wenn die Möglichkeit besteht, sind die Daten bereits vor Reiseantritt verschlüsselt an den Zielort oder einen vom Zielort aus erreichbaren Server zu transferieren. In jedem Fall ist unmittelbar vor Reiseantritt oder Transfer zum Zielort ein Backup der Daten anzulegen.
Vor Reiseantritt hat der Reisende die Kontaktdaten eines vertrauten Anwalts zu erhalten, um sich im Ernstfall Rechtsbeistand einholen zu können.
Der Mitarbeiter soll den Behörden Kooperationsbereitschaft signalisieren. Zu diesem Zweck hat er ausfüllbare Geheimhaltungsvereinbarungen bei dem betreffenden Gerät mitzuführen. Für die Möglichkeit, dass sich die Mitarbeiter der Behörde zum Unterzeichnen einer Geheimhaltungsvereinbarung bereit erklären, ist diesen Einblick zu gewähren. Ein Aushändigen der Informationen ist ausgeschlossen. Das beinhaltet auch Aufzeichnungen der Informationen in allen Formen, insbesondere Fotografie, Film, Ton oder Handzeichnungen.
Verantwortlichkeiten
Verantwortlich für die Überwachung der Entfernung von Betriebsmitteln sind die administrativen Mitarbeiter. Diese können die eigentliche Entfernung an geeignete Mitarbeiter delegieren.
Verantwortlich für die geschäftliche / private Entfernung:
- Projektleitung
- Geschäftsleitung
Verantwortlich für die Entsorgung:
- Administration