01 PSL ISMS Leitlinie

Einleitung

Die Parasol Island GmbH hat ein Managementsystem für Informationssicherheit (ISMS) etabliert, das dem Regelwerk nach ISA 5.0 des Verbandes der deutschen Automobilwirtschaft genügt. Das Regelwerk seinerseits basiert auf der Normenfamilie ISO27001 und der europäischen Datenschutz-Grundverordnung. Zentraler Bestandteil eines ISMS ist u.a. die Leitlinie zur Informationssicherheit.

Das vorliegende Dokument ist die Leitlinie zur Informationssicherheit der Parasol Island GmbH. Es beschreibt die Ziele und Organisationsstrukturen, welche für die Etablierung eines ganzheitlichen Informationssicherheitsprozesses nach VDA ISA erforderlich sind.

Geltungsbereich

Der Geltungsbereich des ISMS umfasst damit die gesamte Parasol Island GmbH an all ihren Standorten. Richtlinien und Arbeitsanweisungen gelten für alle (internen und externen) Mitarbeiter im Geltungsbereich. Zur besseren Übersicht kann der Geltungsbereich einzelner Dokumente auf einzelne Standorte oder (Mitarbeiter-)Rollen eingeschränkt werden.

Ansprechpartner

Zu allen Fragen bzgl. der Informationssicherheit ist der Ansprechpartner der aktuell genannte Informationssicherheitsbeauftragte (kurz: ISB).

Verantwortlichkeiten

Die Verantwortung für die ordnungsgemäße und sichere Aufgabenerledigung und damit für die Informationssicherheit trägt die Geschäftsleitung (Sebastian Druschel, Philip Hansen, Moritz von Schrötter, Nils Hartmann). Insbesondere obliegt ihnen die strategische Ausrichtung der Informationssicherheit, die den Kern dieser Leitlinie bildet.

Stellenwert der Informationsverarbeitung

Die Verarbeitung von vertraulichen Daten und Informationen spielt eine Schlüsselrolle in allen Leistungsbereichen der Parasol Island GmbH. Sowohl die internen Serviceprozesse (z.B. Personalentwicklung und Projektabrechnung), als auch die Kerngeschäftsprozesse in den Departments (ANM, FLM, INT, MEDIA) werden durch Informations- und Kommunikationstechnik maßgeblich unterstützt bzw. ermöglicht.

Vor diesem Hintergrund ist ein angemessenes Niveau der Informationssicherheit in den Geschäftsprozessen der Firmenstruktur der Parasol Island GmbH zu organisieren. Dabei ist es erklärtes Ziel der Parasol Island GmbH, dass alle Einrichtungen, die der Erstellung, Speicherung, Bearbeitung und Übertragung von Daten dienen, so ausgewählt, integriert und konfiguriert sind, dass für die auf ihnen verarbeiteten Daten zu jeder Zeit und unter allen Umständen das angemessene Maß an Vertraulichkeit, Integrität und Verfügbarkeit sichergestellt ist. Dies gilt auch für die Orte zur Aufbewahrung der Medien zur Datensicherung.

Die Einhaltung dieser Anforderungen ist unabdingbarer Bestandteil jedes Einsatzes von IT in den Departments sowie in allen Service Bereichen und ist mit technischen und organisatorischen Maßnahmen verbindlich sicherzustellen.

Unternehmensziele

Die Geschäftsführung der Parasol Island GmbH hat entschieden, dass ein angemessenes Sicherheitsniveau für den Schutzbedarf gemäß VDA ISA angestrebt werden soll. Das anzustrebende Sicherheitsniveau ist: TISAX Assessment Level 3.

Grundlage für diese Entscheidung war eine Gefährdungsabschätzung über die Werte der zu schützenden Güter sowie des vertretbaren Aufwands an Personal und Finanzmitteln für die Informationssicherheit. Ein zertifiziertes ISMS gilt potenziellen und aktuellen Kunden der Parasol Island als Qualitätsmerkmal der Dienstleistungserbringung und ist in vielen Fällen eine Voraussetzung für die Vergabe von Aufträgen bzw. die Listung als Lieferant.

Bewusstsein für Informationssicherheit schaffen

Alle Mitarbeiter und die Unternehmensführung sind sich ihrer Verantwortung beim Umgang mit IT bewusst und unterstützen die Sicherheitsstrategie nach besten Kräften.

Um Informationssicherheit gewährleisten zu können, sind angemessene technische und organisatorische Maßnahmen erforderlich. Diese können nur dann hinreichend wirksam sein, wenn alle Beschäftigten die möglichen Gefährdungen für die Informationssicherheit kennen und in ihren Departments, Projekten bzw. Aufgabenbereichen entsprechend verantwortlich handeln.

Parasol Island verpflichtet sich, ihre Mitarbeiter kontinuierlich fortzubilden.

Gesetzeskonformität

Alle Mitarbeiter des Unternehmens halten die einschlägigen Gesetze und vertraglichen Regelungen ein. Negative finanzielle und immaterielle Folgen für das Unternehmen sowie für die Mitarbeiter durch Gesetzesverstöße sind zu vermeiden.

Wirtschaftlichkeit

Die Sicherheitsmaßnahmen müssen in einem wirtschaftlich vertretbaren Verhältnis zum Schaden stehen, der durch Sicherheitsvorfälle verursacht werden kann. Dieser wird durch den Wert der zu schützenden Informationen und der IT-Systeme definiert. Zu bewerten sind dabei nicht nur direkte finanzielle Schäden durch Zerstörung von Hardware-Systemen, sondern auch die Kosten der Wiederherstellung verlorener oder kompromittierter Informationen. Darüber hinaus müssen aber auch die Kosten in Betracht gezogen werden, die indirekt entstehen: z.B. Bußgelder in Folge von Gesetzesverstößen oder Schadensersatzforderungen aufgrund von Vertragsverletzungen. Hinzu kommt etwaiger Imageverlust, im schlimmsten Fall der Verlust der Zertifizierung und der Kunden, die diese fordern.

Kontinuierliche Verbesserung

Ferner strebt die Parasol Island GmbH die kontinuierliche Verbesserung aller Prozesse und Systeme bezüglich der Informationssicherheit an. Dies schließt die kontinuierliche Kontrolle aller Richtlinien und Arbeitsanweisungen sowie regelmäßige Reviews aller Risiken, aufgetretenen Vorfälle und technischen Systeme ein. Insbesondere werden darauf aufbauend weitere verbessernde Maßnahmen ergriffen.

Informationssicherheitsorganisation

Im Folgenden werden die zentralen Rollen beschrieben, die für die Verwaltung der Informationssicherheit bei der Parasol Island zuständig sind. Darüber hinaus werden für alle Informationen, Geschäftsprozesse sowie die unterstützenden informationstechnischen Systeme und Infrastruktureinrichtungen Verantwortliche (Informations-, Prozess- und Systemeigentümer, Eigentümer von Zielobjekten) benannt. Diese sind dafür zuständig, die geschäftliche Bedeutung von Informationen und Technik einzuschätzen und darauf zu achten, dass die Mitarbeiter dieser Bedeutung entsprechend handeln. Sie verwalten Zugriffsrechte und Autorisierungen in ihrem Zuständigkeitsbereich und sind gegenüber der Leitung rechenschaftspflichtig. Sie sind auch dafür verantwortlich, externen Dienstleistern und Kooperationspartnern die Vorgaben der Parasol Island GmbH zur Informationssicherheit zur Kenntnis zu geben und deren Einhaltung zu überwachen.

Geschäftsführung

Die Geschäftsführung ist das oberste Entscheidungsgremium. Sie erlässt verbindliche Regeln zur Informationssicherheit für die Parasol Island GmbH und gibt sie den Mitarbeitern bekannt. Die Geschäftsleitung muss das ISMS mindestens einmal jährlich überprüfen (bzw. immer im Falle von erheblichen Änderungen) und freigeben. Zweck dieser Überprüfung durch das Management ist der Nachweis der Angemessenheit, Eignung und Wirksamkeit des ISMS. Die Gesamtverantwortung für die ordnungsgemäße und sichere Aufgabenerfüllung (und damit die Informationssicherheit) verbleibt bei der Geschäftsführung.

IT-Leitung

Die zentrale Instanz für die operative IT-Sicherheit ist die IT-Leitung. Sie ist für den sicheren Betrieb der IT und die Umsetzung geeigneter Sicherheitsmechanismen verantwortlich. In Zusammenarbeit mit dem Informationssicherheitsbeauftragten bringt sie die für die Informationssicherheit spezifischen Aspekte und Anliegen ein und ist für die Umsetzung geeigneter Sicherheitsmaßnahmen zuständig.

Die IT-Leitung stellt sicher, dass der Informationssicherheitsbeauftragte frühzeitig in alle IT-Projekte eingebunden wird.

Informationssicherheitsbeauftragter (ISB)

Als zentrale Sicherheitsinstanz der Parasol Island GmbH ernennt die Geschäftsleitung einen Informationssicherheitsbeauftragten (ISB), der für alle operativen Belange und Fragen der Informationssicherheit zuständig ist. Die Verantwortung der einzelnen Departments für die Informationssicherheit im Rahmen ihrer Aufgabenerfüllung bleibt davon unberührt.

Der Informationssicherheitsbeauftragte hat folgende Aufgaben:

Steuerung des Informationssicherheitsprozesses und Mitwirkung bei allen damit zusammenhängenden Aufgaben,
Überprüfung der Umsetzung der Vorgaben zur Informationssicherheit,
Vorschlag von neuen Sicherheitsmaßnahmen und -strategien,
Vertretung der Geschäftsführung in allen Angelegenheiten der Informationssicherheit,
Ansprechpartner für die Mitarbeiter in den Fragen der Informationssicherheit,
Koordination von Sensibilisierungs- und Schulungsmaßnahmen, sowie die
Meldung von besonders sicherheitsrelevanten Zwischenfällen.

Bei Gefahr im Verzug ist der ISB oder sein Stellvertreter berechtigt, erforderliche Sicherheitsmaßnahmen auch kurzfristig umzusetzen oder anzuordnen. Dies kann bis zur vorübergehenden Sperrung von Anwendungen oder Netzzugängen führen. Die Geschäftsleitung der Parasol Island GmbH ist hiervon unverzüglich zu unterrichten.

Datenschutzbeauftragter (DSB)

Als zentrale Datenschutzinstanz gemäß DSGVO/ BDSG der Parasol Island GmbH ernennt die Geschäftsleitung einen Datenschutzbeauftragten (DSB), der für alle operativen Belange und Fragen des Datenschutzes zuständig ist soweit sie im Kern personenbezogene Daten betreffen.

Es muss sichergestellt werden, dass der DSB ordnungsgemäß und frühzeitig in alle Datenschutzfragen eingebunden wird. Er muss bei der Erfüllung seiner Aufgaben mit den erforderlichen Ressourcen, einem Zugang zu personenbezogenen Daten und Verarbeitungsvorgängen sowie zur Erhaltung seines Fachwissens unterstützt werden.

Der DSB hat folgende Aufgaben:

Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Datenschutz-Pflichten
Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen
Beratung im Zusammenhang mit der Datenschutz Folgenabschätzung nach Art. 35 DSGVO und Überwachung ihrer Durchführung,

Zusammenarbeit mit der Aufsichtsbehörde,

Anlaufstelle für die Aufsichtsbehörde.

Informationssicherheits- bzw. Datenschutzkoordinator

Sowohl der Datenschutzbeauftragte als auch der Informationssicherheitsbeauftragte können in Absprache mit der Geschäftsführung Mitarbeiter als Koordinatoren bestimmen. Diese vertreten sie in den einzelnen Standorten.

Fachverantwortliche

Fachverantwortliche sind in dem ihnen zugewiesenen Verantwortungsbereich (z.B. Projekt, Kunde, Department) zuständig sind für

die Festlegung der geschäftlichen Relevanz der verarbeiteten Informationen und deren Schutzbedarf,
die Sicherstellung, dass Verantwortlichkeiten explizit definiert und Sicherheits- und Kontrollmaßnahmen zur Verwaltung und zum Schutz der im Verantwortungsbereich befindlichen Informationen implementiert werden.
Erstellung, Fortschreibung und Umsetzung der sich aus dieser Leitlinie und anderen Richtlinien ergebenden Arbeitsanweisungen.

Der Fachverantwortliche muss den Zugang auf Informationen sowie den Umfang und die Art der Autorisierung definieren, die im jeweiligen Verfahren erforderlich sind.

Mitarbeiter

Die Mitarbeiter sollen sich stets der Bedeutung der Informationssicherheit bewusst sein und aktiv an der Abwehr und Bekämpfung von materiellen und ideellen Schäden mitwirken. Sie sollen verantwortungsbewusst mit den Informationssystemen und den darauf gespeicherten und dort verarbeiteten Daten umgehen und auf die Wahrung von Betriebs- und Geschäftsgeheimnissen achten.

Der Schutz der Integrität, Verfügbarkeit und Vertraulichkeit von Werten unterliegt der Verantwortung der Eigentümer der jeweiligen Werte.

Bei Unregelmäßigkeiten müssen die Mitarbeiter unverzüglich den Informationssicherheitsbeauftragten und ihre Vorgesetzten informieren. Es wird erwartet, dass jeder Nutzer von IT-Systemen die vorliegende Informationssicherheitsleitlinie sowie für sie geltende Richtlinien und Arbeitsanweisungen kennt und beachtet.

Externe Leistungserbringer

Personen und Unternehmen, die nicht zur Parasol Island GmbH gehören, für diese aber Leistungen erbringen (Auftragnehmer), haben die Vorgaben gemäß dieser Leitlinie und aller davon abgeleiteten Dokumente einzuhalten. Der Auftraggeber informiert den Auftragnehmer über diese Regeln und verpflichtet ihn in geeigneter Weise zur Einhaltung. Dazu gehört auch, dass der Auftragnehmer bei erkennbaren Mängeln und Risiken eingesetzter Sicherheitsmaßnahmen den Auftraggeber zu informieren hat.

Folgen bei Zuwiderhandlung

Beabsichtigte oder grob fahrlässige Handlungen, die Sicherheitsvorgaben verletzen, können finanzielle Verluste bedeuten, Mitarbeiter, Geschäftspartner und Kunden schädigen oder den Ruf der Parasol Island GmbH gefährden. Bewusste Verstöße gegen verpflichtende Sicherheitsregeln können arbeitsrechtliche und unter Umständen auch strafrechtliche Konsequenzen haben und zu Regressforderungen führen.

Als Straftaten kommen in Betracht:

das unbefugte Verschaffen von Daten, die nicht für den Mitarbeiter bestimmt und die gegen den unberechtigten Zugang besonders gesichert sind,
die unbefugte Weitergabe oder Veröffentlichung von Daten, die der Geheimhaltung unterliegen,
das Schädigen fremden Vermögens durch unrichtiges Gestalten eines Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugtes Verwenden von Daten oder durch unbefugtes Einwirken auf den Ablauf eines Programms,
das rechtswidrige Löschen, Verändern, Unterdrücken und Unbrauchbarmachen von Daten,
das unbefugte Zerstören, Beschädigen, Unbrauchbarmachen, Beseitigen oder Verändern einer Datenverarbeitungsanlage oder eines Datenträgers oder
strafbewehrte Verstöße gegen die Datenschutz-Grundverordnung.

Verstöße gegen die Informationssicherheit sind unverzüglich dem Informationssicherheitsbeauftragten bzw. dem Datenschutzbeauftragen zu melden.

Als Verstöße gelten insbesondere Handlungen, die aufgrund einer Abweichung von dieser Leitlinie oder weiteren Richtlinien zur Informationssicherheit

der Parasol Island GmbH oder ihren Kunden materielle oder immaterielle Schäden zufügen,
den unberechtigten Zugriff auf Informationen, deren Preisgabe und/oder Änderung zulassen,
die Nutzung von Verwaltungsinformationen für illegale Zwecke beinhalten oder
eine Kompromittierung des Ansehens der Parasol Island GmbH zur Folge haben.

Abgeleitete Dokumente

Basierend auf dieser Leitlinie wurden weitere Richtlinien und Arbeitsanweisungen erstellt, die in ihrer Gänze einen Großteil des ISMS ausmachen und in gleicher Form gültig sind.