03 27 PSL ISMS Schutzziele
Zweck
[edit]Dieses Dokument definiert die Schutzbedarfskategorien bei der Parasol Island. Entsprechend der Richtlinie zum Umgang mit Informationswerten (ISMS, 02_20) wurden diese von der Geschäftsführung festgelegt.
Geltungsbereich
[edit]Dieses Dokument gilt verbindlich für alle Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.
Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.
Definition Schutzbedarfe
[edit]Für die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit werden die folgenden Schutzbedarfsklassen festgelegt.
Vertraulichkeit
[edit]Für die Einstufung der Vertraulichkeit stellt sich die Frage: Für wen ist es notwendig, diese Daten zu sehen? Der Personenkreis, der Informationen einsehen darf, sollte so klein wie möglich gehalten werden.
Nicht gekennzeichnete Informationen werden generell als „Intern“ klassifiziert.
Öffentlich
[edit]| Vertraulichkeitsstufe Öffentlich | |
| Personenkreis | Daten dürfen in einem nicht veränderbaren Format (z.B. *.pdf) mit jedem geteilt werden. |
| Übertragung | Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten. |
| Speicherung | Die Daten können in beliebiger Form gespeichert und transportiert werden. |
| Vernichtung | Elektronische Daten können mit dem Betriebssystem inhärenten Möglichkeiten gelöscht werden.
Papierbasierte Daten können über den Papiermüll entsorgt werden. |
Intern
[edit]| Vertraulichkeitsstufe Intern | |
| Personenkreis | Die Daten dürfen nur von Mitarbeitern der Parasol Island GmbH eingesehen und genutzt werden. Ausnahmen können durch den Informationseigentümer oder durch ihn berechtigte Personen festgelegt werden. |
| Übertragung | Es gibt keine Einschränkungen hinsichtlich der Übertragung der Daten. |
| Speicherung | Die Daten können in beliebiger Form gespeichert und transportiert werden. Dies gilt auch für papierbasierte Daten. |
| Vernichtung | Elektronische Daten können mit dem Betriebssystem inhärenten Möglichkeiten gelöscht werden.
Papierbasierte Daten müssen über einen beliebigen Aktenvernichter entsorgt werden. |
Vertraulich
[edit]| Vertraulichkeitsstufe Vertraulich | |
| Personenkreis | Die Daten dürfen nur von speziell berechtigten Personengruppen oder Außenstehenden eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen und Ausnahmen werden durch den Informationseigentümer oder speziell von ihm berechtigte Personen getroffen. |
| Übertragung | Die Daten dürfen innerhalb der Parasol Island GmbH unverschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH darf nur verschlüsselt erfolgen (verschlüsseltes VPN, verschlüsselte E-Mail, im Veracrypt Container). Die papierbasierte Übertragung außerhalb der Parasol Island GmbH darf nur in verschlossenen Umschlägen erfolgen. |
| Speicherung | Die Daten dürfen innerhalb der Parasol Island GmbH in beliebiger Form gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, müssen die Daten verschlüsselt abgelegt werden (z.B. Veracrypt mit AES 128 bit).
Papierbasierte Daten müssen nach dem täglichen Arbeitsende in einem verschließbaren Schrank gelagert werden. |
| Vernichtung | Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (min. US DoD 5220.22-M (8-306. / E) (3 Passes)).
Papierbasierte Daten müssen über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 4) entsorgt werden. |
Streng vertraulich (geheim)
[edit]| Vertraulichkeitsstufe Streng Vertraulich (Geheim) | |
| Personenkreis | Die Daten dürfen nur vom Informationseigentümer und von ihm speziell berechtigten Personen eingesehen und genutzt werden. Die Festlegung der Zugriffsberechtigungen wird ausschließlich durch den Informationseigentümer getroffen.
Die Klassifizierung ist auf jeder Seite kenntlich zu machen (Fußzeile). |
| Übertragung | Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt übertragen werden. Eine Übertragung außerhalb der Parasol Island GmbH ist nicht zulässig. Dies gilt auch für papierbasierte Daten. |
| Speicherung | Die Daten dürfen innerhalb der Parasol Island GmbH nur verschlüsselt gespeichert und transportiert werden. Auf Datenträgern, die außerhalb der Büroräume genutzt werden, dürfen diese Daten nicht gespeichert werden.
Die papierbasierte Aufbewahrung ist nur in verschlossenen Datenschränken zulässig. |
| Vernichtung | Elektronische Daten müssen mit entsprechenden Programmen gelöscht werden (Gutmann 35 Passes).
Papierbasierte Daten müssen vom Informationseigentümer oder einer speziell von ihm berechtigten Person über einen Aktenvernichter (DIN 66399 Sicherheitsstufe 4) entsorgt werden. |
Integrität
[edit]Wie fehlerbehaftet oder beschädigt dürfen Daten sein, ohne dass ein Schaden entsteht? Das beinhaltet auch den Schutz vor Veränderung durch Unbefugte. Kann man einen Verlust der Daten kompensieren?
Die Klassifizierung ist wichtig für das angemessene Maß der Planung von Zugriffsrechten, Schutzmaßnahmen und Einhaltung der Backup Planung.
Nicht gekennzeichnete Informationen haben für das Schutzziel Integrität die Stufe „Mittel“.
| Klasse | Beschreibung |
| Gering |
|
| Mittel |
|
| Hoch |
|
| Sehr hoch |
|
Verfügbarkeit
[edit]Wie kritisch ist die Verfügbarkeit von IT-Systemen und Infrastruktur?
Nicht gekennzeichnete Informationen haben für das Schutzziel Verfügbarkeit die Stufe „Mittel“.
| Klasse | Beschreibung |
| Gering |
|
| Mittel |
|
| Hoch |
|
| Sehr hoch |
|