02 22 PSL ISMS Projektbezogene Informationssicherheit

Zweck

„Bei der Durchführung von Projekten ist es wichtig, dass die Informationssicherheitsanforderungen berücksichtigt. werden. Dies gilt für Projekte der Organisation, unabhängig von der Art des Projekts. Durch eine geeignete Verankerung des Informationssicherheitsprozesses in den Projektmanagementmethoden der Organisation wird sichergestellt, dass keine Anforderungen übersehen werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Diese Richtlinie beschreibt den Umgang mit Informationssicherheit im Projektkontext. Zusätzlich zur Klassifikation eines Projektes bzgl. seines Schutzbedarfs ist für jedes Projekt eine Risikoanalyse erforderlich. Risiken, die in allen Projekten auftreten, müssen identifiziert und global behandelt werden.

Geltungsbereich

Diese Richtlinie gilt verbindlich für Projektleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Klassifizierung von Projekten

Jedes (Kunden-)Projekt ist bezüglich seines Schutzbedarfes zu klassifizieren. Die Klassifikation erfolgt anhand der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Entsprechende Klassen und die Konsequenzen dieser Einstufungen sind definiert und allen Mitarbeiter bekannt.

Die Klassifizierung erfolgt so früh wie möglich. Sie sollte bereits in der Angebotsphase mit dem Kunden besprochen und festgelegt werden. Projektindividuelle Anpassungen sind erlaubt, sind aber schriftlich festzuhalten.

Vor Projektbeginn sind alle Projektteilnehmer über die Klassifikation, daraus abgeleitete Regeln sowie über projektspezifische Vereinbarungen zu informieren.

Wenn sich die Klassifizierung während oder nach der Projektlaufzeit ändert, so ist dies umgehend zu dokumentieren. Alle Projektbeteiligten sind über diese Änderung und die daraus resultierenden Konsequenzen zu informieren.

Prototypenschutz

Die Klassifizierung eines Projektes schließt unabhängig von den oben genannten Schutzzielen auch die Tatsache mit ein, ob und inwieweit im Umfang des Projektes Prototypen verwendet werden. Zwar liegt der direkte Umgang mit Prototypen nicht bei Parasol Island, dennoch bedarf es in solchen Projekten besonderer Sorgfalt und Vorbereitung.

Daher gelten für Projekte mit Prototypen zusätzlich zu den o.g. Schutzzielen folgende Regelungen:

1. Mitarbeiter und Projektbeteiligte sind vor Projekteinstieg über die Regelungen und Maßnahmen in Bezug auf den Umgang mit Prototypen zu schulen. Dies schließt insbesondere projektspezifische Regelungen mit ein.
2. Je nach Projektfortschritt sind solche Schulungen in Bezug auf die für den jeweiligen Projektabschnitt geltenden Regelungen und Maßnahmen zu wiederholen.
3. Mitarbeiter, die regelmäßig in Projekten mit Prototypen umgehen, sind unabhängig von ihren Projekten im Umgang mit Prototypen zu schulen. Dies wird in der Richtlinie zu Schulungen und Weiterbildungen (ISMS, 02_15) festgelegt.

Veranstaltungen und Film- und Fotoshootings

„Es ist sicherzustellen, dass die jeweiligen Sicherheitsvorgaben des Auftraggebers für Ausstellungen und Veranstaltungen [und Film- und Fotoshootings] mit als schutzbedürftig klassifizierten Fahrzeugen, Komponenten oder Bauteilen bekannt sind.“ (8.5.1/8.5.2) (Verband der Automobilindustrie e.V. (VDA), 2020)

Wenn die Parasol Island in ihren Projekten in direkten Kontakt mit physischen Prototypen kommt, so ist bereits in einem frühen Projektstadium mit dem Kunden (und eventuell beteiligten Sicherheitsunternehmen) über die Anforderungen im Umgang mit diesen Prototypen zu sprechen. Diese sind schriftlich festzuhalten und dem Projektteam mitzuteilen. Sinnvollerweise erfolgt diese Abstimmung, Dokumentation und Information analog zu Maßnahmen, die im Zuge der Informationssicherheit vereinbart werden. Bei Bedarf sind in Abstimmung mit allen Beteiligten Sicherheitskonzepte (organisatorisch, technisch und personell) zu erstellen. In den meisten Fällen dürften dies die Kunden der Parasol Island durchführen; in dem Fall sind sie von Parasol zu unterstützen.

Örtlichkeiten, die die Parasol Island als Dreh- oder Veranstaltungsorte aussucht, sind vom Kunden freizugeben. Vor Ort ist den Anweisungen des für den Prototypen verantwortlichen Sicherheitspersonals unbedingt Folge zu leisten. Es empfiehlt sich, bereits im Vorfeld, Verhaltensregeln bei besonderen Vorkommnissen festzulegen, bzw. mit dem Sicherheitspersonal zu besprechen.

Umgang mit Bildmaterial

Auch wenn Bildmaterial im weitesten Sinne Information ist, und damit allen Anforderungen und Regelungen der Informationssicherheit bzgl. sehr hohem Schutzbedarf unterliegt, sei an dieser Stelle noch einmal darauf hingewiesen, dass Prototypen für die Kunden Parasol Island (insbesondere der Automobilbranche) besonders schützenswert und wichtig sind. Daher gilt es auch hier, besonders umsichtig im Umgang damit zu sein.

So empfiehlt es sich z.B., dass Datenträger mit Bildmaterial (sofern technisch umsetzbar) die Kundenumgebung nicht verlassen, sondern vom Kunden im Anschluss an die Aufnahme diese Daten übernehmen und diese über ihre eigene Webplattform der Parasol bereitstellen. In diesem Fall muss das Material nicht (physisch) transportiert werden, sondern kann in den sicheren Räumlichkeiten (ISMS, 02_03) abgerufen und auf den Server der Parasol übertragen werden. Datenträger, bei denen dies (z.B. aufgrund des Umfangs an Bildmaterial) nicht möglich ist, sollten (insbesondere bei langen oder unsicheren Strecken) als Kopien auf unterschiedlichen Wegen transportiert werden (Redundanz). Eine Kopie der Daten sollte außerdem beim Kunden verbleiben, bis die Daten sicher Parasol Island erreicht haben. Vorzugsweise ist auch der Versand/Transport in Absprache mit dem Kunden vorzunehmen.

Auch bei Übergaben des Bildmaterials ist darauf zu achten, dass diese sicher sind und nur solche Personen involviert sind, die auch für den Empfang berechtigt sind.

Risikomanagement in Projekten

In jedem Projekt wird zu Projektbeginn, im besten Fall bereits während der initialen Projektplanung eine Risikoanalyse vorgenommen. Notwendig ist eine Analyse der Risiken bezüglich der Informationssicherheit, aber es empfiehlt sich, auch andere Projektrisiken zu betrachten. Auf Basis der Analyse sind Maßnahmen zur Risikobehandlung abzuleiten. Die Risikoanalyse ist vom Projektleiter durchzuführen. Auf Wunsch kann der Informationssicherheitsberater dabei unterstützen. Bei streng vertraulichen Projekten ist der Informationssicherheitsberater verpflichtend mit einzubeziehen.

Risiken, die die Parasol Island im Ganzen behandeln kann, werden im Zuge des allgemeinen Risikomanagements betrachtet (ISMS, 02_12), so dass nur die projektspezifischen Risiken betrachtet werden müssen.

Ergeben sich während des Projektverlaufs Änderungen an den Risikofaktoren, so ist die Risikoanalyse zu wiederholen und die Maßnahmen gegebenenfalls an die neuen Verhältnisse anzupassen. Insbesondere bei Projekten mit hohem Schutzbedarf oder Projekten mit langem Projektzeitraum, sind die Risiken und Maßnahmen regelmäßig zu überprüfen und eventuell neu zu bewerten.

In einzelnen Projekten gewonne Erkenntnisse, die sich aus den Risiken und Maßnahmen ableiten lassen, und die zu einer Verbesserung der Informationssicherheit bzw. im Umgang mit Projektrisiken führen, sind auf alle Projekte zu übertragen.