02 11 PSL ISMS Richtlinie zur Auslagerung von Arbeitsprozessen (Outsourcing)

Zweck

„Es wird auch in der Zusammenarbeit mit Kooperationspartnern und Auftragnehmern ein angemessenes Informationssicherheitsniveau beibehalten.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Diese Sicherheitsrichtlinie umfasst Regelungen zur Sicherstellung der Informationssicherheit im Falle des Outsourcings von IT-Leistungen.

Bereits vor jeder Outsourcing-Entscheidung sind Sicherheitsaspekte zu bedenken und bei einer Ausschreibung zu berücksichtigen.

Die Richtlinie ist gegenüber dem Outsourcing-Dienstleister als Prüfungsgrundlage zu nutzen und den Verträgen mit Dienstleistern zugrunde zu legen. Für die inhaltliche Bearbeitung sowie für die Pflege und Änderung der Texte ist der IT-Sicherheitsbeauftragte in Zusammenarbeit mit der Geschäftsführung zuständig und verantwortlich.

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für Projektleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Auswahl eines Outsourcing-Dienstleisters

Es ist selten erfolgversprechend, eine Geschäftsbeziehung lediglich auf Verträge und Regressansprüche zu begründen. Daher ist der Outsourcing-Dienstleister sorgfältig auszuwählen und eine vertrauensvolle und kooperative Zusammenarbeit anzustreben.

Bei der Auswahl ist zu prüfen, ob der Auftragnehmer als makellos, unbescholten und unbestechlich einzuschätzen ist (Zuverlässigkeit) und ob ein ernsthaftes und fachkundiges Betreiben der Dienstleistung gewährleistet ist (Seriosität).

Zur Einschätzung der Risiken (auch bzgl. der Informationssicherheit) sind folgende Punkte zu hinterfragen:

Referenzen
Kompetenz und Verfügbarkeit des Ansprechpartners
Vertrauenswürdigkeit der Mitarbeiter
Notfallplanung
Zertifizierungen
garantierte Verfügbarkeit (maximale Ausfallzeit)
Sicherheitskonzept und Sicherheitsrichtlinien.

Für die Beurteilung sollte bei größeren Vorhaben oder einem erhöhten Schutzbedarf der verarbeiteten Informationen eine Besichtigung des Outsourcing-Dienstleisters erfolgen.

Vertragsspezifische Regelungen

„Geheimhaltungsvereinbarungen dienen dem rechtlichen Schutz von Informationen einer Organisation, insbesondere wenn diese über die Organisationsgrenze hinaus ausgetauscht werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020) Auch hinsichtlich des Informationssicherheitsniveaus und der daraus folgenden Maßnahmen werden vertragliche Vereinbarungen getroffen. Dies erfolgt auf Basis des für die verarbeitenden Informationen ermittelten Schutzbedarfs. Handelt es sich um Tätigkeiten, die im Auftrag eines Kunden der Parasol Island durchgeführt werden, so sind vertragliche Vereinbarungen zwischen der Parasol Island und dem Kunden an den Unterauftragnehmer weiterzugeben. Dasselbe gilt – sofern zugelassen – bei der Beauftragung weiterer Subdienstleister durch den Unterauftragnehmer.

Die Einhaltung der getroffenen Vereinbarungen wird in regelmäßigen Abständen durchgeführt.

Im Vertrag ist schriftlich zu vereinbaren:

Weisungsgebundenheit des Outsourcing-Dienstleisters
Einhaltung der einschlägigen Gesetze, Vorschriften und internen Regelungen
Stillschweigen über alle bekanntwerdenden Informationen
Technische und organisatorische Maßnahmen im Einflussbereich des Outsourcing-Dienstleisters und deren Kontrolle
Melde- und Kommunikationswege
Notfallvorsorgemaßnahmen
Personaleinsatz durch den Outsourcing-Dienstleister
Zutritts- und Zugangsrechte
Regelungen für den Fall der Nicht- oder mangelhaften Erfüllung
Verfügbarkeitsanforderungen
Rechte und Pflichten des externen Personals
Regelungen zur Haftung
Verfahren bei Beendigung des Vertrags

Organisation

Es sind auf beiden Seiten Verantwortliche zu benennen. Es ist sicherzustellen, dass diese ausreichende Befugnisse besitzen.

Externe Mitarbeiter sind vor Beginn ihrer Tätigkeit einzuweisen und über hausinterne Regelungen und Vorschriften zur Informationssicherheit sowie die organisationsweite Leitlinie zur Informationssicherheit zu unterrichten.

Externe Mitarbeiter, die (eventuell) Zugang zu vertraulichen Unterlagen und Daten bekommen könnten, sind schriftlich auf die Einhaltung der geltenden einschlägigen Gesetze, Vorschriften und internen Regelungen und zur Verschwiegenheit zu verpflichten.

Der Outsourcing-Dienstleister hat die Weisungen des Auftragnehmers zu befolgen. Dies ist regelmäßig zu überprüfen.

Aufträge an Subunternehmer durch den Outsourcing-Dienstleister bedürfen einer Genehmigung. Subunternehmer unterliegen den gleichen Anforderungen wie der Hauptauftragnehmer.

Prototypenschutz

Insbesondere bei Projekten, die mit Prototypen zu tun haben, und die daher besondere Anforderungen an den Schutz dieser Prototypen haben, sind darüber hinaus folgende Punkte zu beachten:

Vor der Beauftragung des Dienstleisters ist die schriftliche Freigabe durch den Auftraggeber einzuholen. Sollte dieser den Einsatz ablehnen, so ist ein anderer Dienstleister zu finden, oder eine Möglichkeit, die Tätigkeiten mit internen Kräften zu leisten.
Sicherheitsvorgaben durch den Auftraggeber sind von uns und allen beteiligten Subdienstleister einzuhalten. Daher ist mit dem Auftraggeber zu klären, wie diese Vorgaben aussehen. Dann müssen diese an alle Projektbeteiligten kommuniziert werden. Vorzugsweise geschieht dies mit einer schriftlichen Bestätigung durch die Dienstleister. Zu Projektbeginn müssen alle Sicherheitsmaßnahmen noch einmal mit allen Projektbeteiligten durchgesprochen werden. Siehe hierzu auch die Richtlinie zu projektbezogener Informationssicherheit (ISMS, 02_22).
Wenn der Auftraggeber dies fordert, dann ist sicherzustellen, dass auch unsere Dienstleister über ein TISAX-Label o.ä. verfügen.

Geheimhaltungsvereinbarungen

„Geheimhaltungsvereinbarungen dienen dem rechtlichen Schutz von Informationen einer Organisation, insbesondere wenn diese über die Organisationsgrenze hinaus ausgetauscht werden.“ (6.1.2) (Verband der Automobilindustrie e.V. (VDA), 2020) Sobald Informationen mit Personen außerhalb der Parasol Island geteilt werden oder diese Zugriff auf Informationen haben könnten, muss eine Geheimhaltungsvereinbarung (auch: NDA, Non-Disclosure-Agreement) mit ihnen geschlossen werden. Dies kann mit dem Unternehmen oder einer Einzelperson geschehen.

Geheimhaltungsvereinbarungen sollten grundsätzlich unbefristet sein und über das Vertragsverhältnis hinaus bestehen bleiben. Darüber hinaus müssen die folgenden Angaben darin enthalten sein (Vergleiche auch (Verband der Automobilindustrie e.V. (VDA), 2020), Control 6.1.2):

beteiligte Personen/beteiligte Organisationen,
der Art der von der Vereinbarung umfassten Informationen,
den Gegenstand der Vereinbarung,
die Gültigkeitsdauer der Vereinbarung (befristet oder dauerhaft),
den Verantwortlichkeiten des/der Verpflichteten,
sowie mögliche Nachweise zur Einhaltung von Vorgaben (z. B. Prüfung eines unabhängigen Dritten oder Auditrechte)

Prototypenschutz

Beim Umgang mit Prototypen müssen Geheimhaltungsvereinbarungen nicht nur zwischen den Unternehmen, sondern auch persönlich mit jedem oder jeder einzelnen Projektbeteiligten geschlossen werden.

Sicherheitsmaßnahmen

Zutritts-, Zugangs- und Zugriffsrechte externer Mitarbeiter

Externe müssen sich ausweisen.

Sofern ein Zutritt zu Sicherheitszonen zwingend erforderlich ist, sind externe Mitarbeiter zu beaufsichtigen. Kurzfristig oder einmalig zum Einsatz kommendes Fremdpersonal ist wie Besucher zu begleiten oder zu beaufsichtigen.

Der Zugriff auf Daten durch Externe ist soweit wie möglich zu vermeiden. Externen kann, sofern dies zwingend erforderlich ist, ein zeitlich begrenzter Zugang gewährt werden, wenn entsprechende Sicherheitsmaßnahmen eingerichtet worden sind.

Sofern ein dauerhafter Zugang notwendig ist, sind einer namentlich benannten Person restriktive Zugangsrechte zu gewähren.

Es ist sicherzustellen, dass die externen Mitarbeiter keinen Zugriff auf Systeme außerhalb ihres Tätigkeitsbereiches erhalten.

„Regelungen zum Ende der Tätigkeiten“ sind zu beachten.

Externen darf generell erst dann Zugang zu IT-Systemen und Anwendungen gewährt werden, wenn ein Vertrag unterschrieben wurde, der die Bedingungen für die Verbindung oder den Zugang definiert.

Allgemeine Regelungen

Für umfangreiche oder komplexe Outsourcing-Vorhaben muss ein eigenes Sicherheitskonzept erstellt werden. Es ist seitens des externen Outsourcing-Dienstleisters ein Sicherheitsprozess zu etablieren, der zu kontrollieren ist. Die durchgeführten Arbeiten sind zu dokumentieren (Umfang, Ergebnisse, Zeitpunkt, evtl. Name des externen Mitarbeiters).

Eine Fehlerbeseitigung im Betriebssystem und in systemnaher Software darf durch das externe Personal nur nach Genehmigung erfolgen.

Es sind Regelungen zur Kommunikation und dem Datenaustausch zwischen Auftraggeber und dem Dienstleister zu schaffen. Hierbei ist auch die "Sicherheitsrichtlinie für die Internetnutzung" (siehe Musterdokument des BSI) zu beachten.

In Sicherheitszonen kann das Mitbringen tragbarer IT-Systeme, Mobiltelefone, Kameras etc. vom IT-Sicherheitsbeauftragten verboten werden.

Arbeiten durch externes Personal im Hause

Arbeiten, die von Externen innerhalb der Räumlichkeiten des Auftragnehmers stattfinden, sind in separaten Räumlichkeiten durchzuführen.

Bei Arbeiten an sensitiven Systemen bzw. Systemen mit sensitiven Daten hat eine fachkundige Kraft die Arbeiten zu beaufsichtigen.

Arbeiten durch externe Dienstleister außerhalb des Hauses

Wird Hardware zur Wartung oder Reparatur außer Haus gegeben, sind alle sensitiven Daten, die sich auf Datenträgern befinden, vorher sicher zu löschen. Der Transport von Datenträgern hat sicher zu erfolgen.

Externe Arbeiten über Fernzugriff

Generell ist der „Zugriff vor Ort“ dem „Fernzugriff“ vorzuziehen. Die sichere Anbindung an das interne Netz ist zu regeln.

Regelungen zum Ende der Tätigkeiten

Bei Beendigung des Auftragsverhältnisses muss eine geregelte Übergabe der Arbeitsergebnisse und der erhaltenen Unterlagen und Betriebsmittel erfolgen.

Es ist die ordnungsgemäße Funktion von gewarteten IT-Systemen zu überprüfen. Bei entsprechend gefährdeten IT-Systemen ist eine Virenüberprüfung durchzuführen.

Es sind außerdem sämtliche Zugangsberechtigungen und Zugriffsrechte zu entziehen bzw. zu löschen. Außerdem sind ausscheidende Mitarbeiter explizit darauf hinzuweisen, dass die Verschwiegenheitsverpflichtung auch nach Beendigung der Tätigkeit bestehen bleibt.

Daten, die im Rahmen des Outsourcings extern gespeichert wurden, sind nach Abschluss des Auftrags vollständig und sicher zu löschen. Dies ist zu kontrollieren.

Externe Projektvergabe

Einstufung

Vor der Vergabe eines Projektes an eine Fremdfirma wird der Aufgabenbereich einer sicherheitstechnischen Überprüfung unterzogen. Sämtliche Informationen werden ihrer Sicherheitsstufe entsprechend aufgelistet und es wird geprüft, ob die Fremdfirma diese Informationen zur Durchführung des Projektes benötigt.

Die höchste Sicherheitsstufe, für die von der Fremdfirma benötigten Informationen, definiert das Mindestmaß an Sicherheit, das die Firma erfüllen muss.

Daraus geht hervor, dass eine Fremdfirma, die die Sicherheitseinstufung „Vertraulich“ und „Streng Vertraulich“ erfüllen muss, dieselbe Sicherheitszertifizierung besitzen muss wie Parasol Island GmbH.

Für die Sicherheitseinstufung „Intern“ ist die vertragliche Verpflichtung zur Einhaltung der Verschwiegenheit über die Informationen erforderlich. Dies geschieht in Form einer Verschwiegenheitserklärung (NDA).

Ebenso muss das produzierte Produkt der geforderten Informationssicherheitsrichtlinie entsprechen. Hierbei geht es um die allgemein gültigen Sicherheitsnormen, denen auch die Parasol Island GmbH verpflichtet ist. Bei Serveranwendungen sind dies beispielsweise Schutz vor SQL-Injections, Cross-Site-Scripting und Einfügen von Schadcode in Dateiuploads.

Kontrolle

Die Zertifizierung wird durch die Kontrolle der Zertifikate seitens der Projektleitung vor Beginn der Datenübergabe durchgeführt. Eine Verschwiegenheitserklärung wird analog dazu gehandhabt. Erst nach erfolgreicher Prüfung dürfen Informationen mit erhöhter Sicherheitseinstufung an die Fremdfirma übertragen werden.

Im laufenden Projekt prüft die Projektleitung, ob die geforderten Sicherheitsmechanismen bei der Informationsübermittlung konsequent eingesetzt werden.

Auf Außeneinsätzen werden begleitende Fremdfirmen ebenfalls von der Projektleitung entsprechend beobachtet und kontrolliert.

Das Produkt wird, falls es sich um eine Anwendung handelt, während der Entwicklung, jedoch spätestens am Ende der Entwicklung einer Sicherheitsüberprüfung unterzogen. Hierbei werden Penetrationstests durchgeführt und der Quellcode in Abhängigkeit von der Projektkomplexität entweder vollständig oder in Teilen einer Sichtprüfung unterzogen.