02 26 PSL ISMS Umgang mit Informationssicherheitsereignissen und -vorfällen
Zweck
„Die geordnete Verarbeitung von Informationssicherheitsereignissen hat das Ziel, möglichen Schaden zu begrenzen und ein wiederholtes Eintreten zu verhindern.“ (Verband der Automobilindustrie e.V. (VDA), 2020)
Geltungsbereich
Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
Definitionen
Sicherheitsrelevantes Ereignis
Sicherheitsrelevante Ereignisse sind Ereignisse, die darauf hindeuten, dass Aspekte der Informationssicherheit oder des Datenschutzes beeinträchtigt sein könnten, oder dass eine getroffene Sicherheitsmaßnahme fehlschlägt oder fehlgeschlagen ist.
Sicherheitsvorfall
Ein Sicherheitsvorfall ist ein negatives Ereignis, das die Informationssicherheit (also Vertraulichkeit, Verfügbarkeit und/oder Integrität) von Daten, Informationen, Geschäftsprozessen, IT-Services, IT-Systemen, IT-Anwendungen oder der Infrastruktur beeinträchtigt.
Umgang mit sicherheitsrelevanten Ereignissen
Die Mitarbeiter sind angehalten, Auffälligkeiten an den Informationssicherheitsbeauftragten und die Administratoren zu melden.
Es ist nicht erforderlich, dass auf jede Meldung hin eine Maßnahme erfolgt. Es liegt im Ermessen des Informationssicherheitsbeauftragten, die Ereignisse ihrer Schwere entsprechend einzusortieren und gegebenenfalls Sofortmaßnahmen einzuleiten.
Betrifft ein Sicherheitsereignis personenbezogene Daten oder besteht die Möglichkeit, dass es Einfluss auf die Sicherheit personenbezogener Daten haben könnte, so ist umgehend der Datenschutzbeauftragte mit einzubeziehen. Wenn gesetzliche oder vertragliche Regelungen dies verlangen, sind auch externe Stellen und/oder betroffene Personen zu informieren.
Eine Übersicht über den Prozess ist in Abbildung 1 dargestellt. Detailinformationen zu den Teilprozessen „Schadensbegrenzung“, „Datenschutzvorfall“ und „Cyber Crime“ finden sich in den Dokumenten „Business Continuity Management“ (ISMS, 02_04), „Umgang mit Datenschutzvorfällen“ (ISMS, 03_19) bzw. „Umgang mit Cyber-Angriffen“ (ISMS, 03_18).
Ansprechpartner und Meldewege (auch im Bereich des Datenschutzes) sind allen Mitarbeitern bekannt und für jeden einsehbar. Darüber hinaus bestehen Handlungsanweisungen für bekannte Szenarien, die in regelmäßigen Abständen geprobt werden.
Besteht die Gefahr, dass Daten und Informationen von Kunden (oder anderen Parteien) außerhalb der Parasol Island GmbH von einem solchen Ereignis betroffen sein könnten, so ist auch der für diesen Kunden zuständige Projektleiter/Mitarbeiter zu informieren, damit evtl. auch der Kunde zeitnah darüber informiert werden kann.
Darüber hinaus ist es wünschenswert, Mitarbeiter dazu aufzufordern, potenzielle Schwächen in der Informationssicherheit von Systemen oder Prozessen festzuhalten und zu melden.
Hinsichtlich der Meldung von Datenschutzvorfällen sei an dieser Stelle auch auf die „Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten“ (Artikel 29 Datenschutzgruppe, 2018) verwiesen.
Der Informationssicherheitsbeauftragte ist dazu verpflichtet, sämtliche sicherheitsrelevanten Ereignisse zu erfassen und zu protokollieren.
Untersuchung und Bearbeitung des Vorfalls
Auf Sicherheitsvorfälle sollte umgehend reagiert werden. Daher ist es wichtig, dass schon im Vorfeld ausreichend Informationen zusammengestellt werden, um dies zu ermöglichen. Dazu gehört z.B. das Verzeichnis von Informationswerten und -trägern. Auch die Zuständigen in Abhängigkeit der Art des Vorfalls sind im Vorfeld zu definieren.
Diese untersuchen und bewerten den Vorfall und koordinieren entsprechende Maßnahmen zur Behebung oder Eingrenzung der Auswirkungen.
Informationspolitik
Unter Umständen müssen betroffene interne und externe Stellen über den Vorfall informiert werden. Dies sind insbesondere diejenigen Stellen, die direkt durch den Sicherheitsvorfall Schäden erleiden könnten, Gegenmaßnahmen ergreifen müssen oder solche, die Informationen über Sicherheitsvorfälle aufbereiten und bei der Vorbeugung oder Behebung helfen können. In Einzelfällen kann es auch notwendig sein, die Medien zu informieren.
Anweisungen für bestimmte Schadensszenarien mit den nötigen Kontaktdaten sind vorab zusammenzustellen.
Nachbereitung
Jeder leitende Mitarbeiter der Parasol Island ist verpflichtet, sich über neue Bedrohungen und Gefahren in seinem Bereich zu informieren. Dies schließt insbesondere den Informationssicherheitsbeauftragten und den Datenschutzbeauftragten mit ein. Alle übrigen Mitarbeiter werden in regelmäßigen Abständen informiert und geschult (ISMS, 02_15).
Geschäftsführung und Informationssicherheitsbeauftragter besprechen in regelmäßigen Abständen, jedoch mindestens einmal im Monat, die aufgetretenen Meldungen und beschließen daraufhin geeignete Maßnahmen, um auf die Ereignisse zu reagieren.
Prozessbeschreibung / Arbeitsanweisungen
Erkennen von Sicherheitsereignissen
Da Sicherheitsereignisse sehr abstrakt definiert sind, mag das Erkennen von Sicherheitsereignissen schwerfallen. Zu diesem Zweck sind im WIKI der Parasol Island beispielhaft verschiedene Szenarien aufgeführt (WIKI, Sicherheitsvorfälle). Sicherheitsereignisse reichen von nicht abgeschlossenen Türen, offen liegengelassenen Dokumenten, unverschlüsselt versendeten Daten bis hin zu kompromittierten Accounts oder Zerstörung des Serverraums durch Feuer.
Ein Sicherheitsereignis kann z.B. durch Mitarbeiter, Kunden oder Partnerunternehmen bemerkt werden, zudem kann technisches Personal einen (drohenden oder tatsächlichen) Ausfall feststellen, oder ein „Incident“ kann automatisch von einem Event-Monitoring-System ausgelöst werden.
Wichtig ist es, Sicherheitsereignisse zu erkennen und zu beheben, bevor sie sich zu einem Sicherheitsvorfall ausweiten. Sollten sie erkannt werden, sind sie nach Möglichkeit umgehend Maßnahmen zur Beseitigung zu ergreifen, indem z.B. der Kollege darauf hingewiesen wird, offen liegende Dokumente zu verschließen oder offenstehenden Türen zu schließen, die Feuerwehr zu benachrichtigen oder die IT zu informieren, dass ein Account oder ein Gerät gesperrt werden sollte.
Meldung von Sicherheitsereignissen
Bei Sicherheitsereignissen sind der Head of Department zu informieren. Bei Sicherheitsereignissen, welche die IT betreffen, zusätzlich die IT-Administration. Darüber hinaus müssen alle Sicherheitsereignisse dem Informationssicherheitsbeauftragten gemeldet werden. Dieser protokolliert das Auftreten von Sicherheitsereignissen, kontrolliert und koordiniert Gegenmaßnahmen. Zur Meldung von Sicherheitsereignissen an den ISB reicht eine E-Mail an informationssicherheit@parasol-island.com.
Diese Verteilerliste wird von Informationssicherheitsbeauftragtem und Geschäftsführung eingesehen. In dringenden Fällen (oder wenn keine Möglichkeit mehr zur elektronischen Kommunikation besteht) sollte die Meldung allerdings telefonisch erfolgen, um sicherzustellen, dass umgehend gehandelt werden kann.
Analyse von Sicherheitsereignissen
Sofern das Sicherheitsereignis eine IT-Komponente betrifft, muss die IT-Administration das Ereignis analysieren und bewerten. Bewertungskriterien sind:
- Auswirkungen auf die Leistungserbringung gegenüber Kunden
- Auswirkungen auf die interne Leistungserbringung
- Gefährdete oder beeinträchtigte Geschäftsprozesse
- Gefährdete „Parteien“ intern (z.B. Mitarbeiter) / extern (z.B. Kunden, Unterauftragnehmer)
Zu den Einschätzungen können bei Bedarf der ISB, die Projektleiter/Kundenverantwortlichen und/oder die Geschäftsführung hinzugezogen werden.
Sofern das Sicherheitsereignis einen sonstigen Aspekt der Informationssicherheit betrifft, muss der Head of Department das Ereignis analysieren und bewerten. Die Bewertungskriterien sind analog zum IT-Sicherheitsereignis. Auch hier können bei Bedarf der ISB, die Projektleiter/Kundenverantwortlichen und/oder die Geschäftsführung hinzugezogen werden.
Die Analyse ist schriftlich festzuhalten und dem Informationssicherheitsbeauftragten zur Protokollierung zur Verfügung zu stellen.
Protokollierung von Sicherheitsereignissen
Der Informationssicherheitsbeauftragte erfasst alle Sicherheitsereignisse im Protokoll. Dabei werden die folgenden Daten erfasst.
Daten zur Bearbeitung des Ereignisses
| Titel | Dem Ereignis einen Namen geben, zur allgemeinen Identifikation |
| Datum des Auftretens | Der (wahrscheinliche/geschätzte/ ermittelte) Zeitpunkt des Ereignisses |
| Datum des Bekanntwerdens | Der Zeitpunkt, an dem das Ereignis gemeldet wurde |
| Beschreibung des Sachverhalts | Beschreibung dessen, was passiert ist |
| Kommentare | Hier können im Laufe der Untersuchung Kommentare erfasst werden |
| Abschlussdatum | Das Datum, an dem das Ereignis abgeschlossen wurde |
| Abschlussbericht | Ein ausführlicher Bericht zu dem Ereignis, Bearbeitung und den daraus resultierenden Maßnahmen. |
Kategorien zur statistischen Auswertung
| Status | Offen
In Bearbeitung Abgeschlossen |
| Schwere des Vorfalls | Keine negativen Auswirkungen
Geringfügige Auswirkungen Mittlere Auswirkungen Gravierende Auswirkungen |
| Betroffene Informationswerte | Verlinkung mit der Verwaltung primärer und sekundärer Informationswerte |
| Betroffene Informationsträger | Verlinkung mit der Verwaltung primärer und sekundärer Informationswerte |
| Ursache | Fehlbedienung
Regelverstoß Naturgewalt Externer Angriff Interner Angriff Technischer Defekt |
Behandlung von Sicherheitsvorfällen
Sofern die Behandlung eines solches Ereignis nicht bereits im ISMS (ISMS, 03_10) dokumentiert wurde, kümmern sich Geschäftsführung und Informationssicherheitsbeauftragter unter Hinzuziehen benötigten Fachpersonals (z.B. IT-Administration) um eine zielgerichtete, zügige Bearbeitung des Vorfalls. Die Vorgehensweise ist je nach Vorfall zu bestimmen.
Review und Verbesserungen
Sicherheitsereignisse und Sicherheitsvorfälle müssen erfasst und in regelmäßigen Abständen durch den ISB an die Geschäftsführung berichtet werden (unter Nutzung der Protokollierung). Je nach Sicherheitsereignis oder Sicherheitsvorfall muss das Risiko eines erneuten gleichartigen Sicherheitsereignisses bewertet werden, damit technische, organisatorische oder wirtschaftliche Gegenmaßnahmen ergriffen werden können, um das Risiko des erneuten Eintretens zu verringern oder ganz zu beseitigen.
Handelte es sich um einen Vorfall, dessen Behandlung noch nicht dokumentiert war, so wird die entsprechende Arbeitsanweisung (ISMS, 03_10) ergänzt.