Orientierungshilfe. Erforderliche Maßnahmen der technischen und organisatorischen Sicherheit

Transkript

1 Orientierungshilfe für Erforderliche Maßnahmen der technischen und organisatorischen Sicherheit Die nachfolgende Übersicht stellt die grundlegend notwendigen Maßnahmen dar, die zur Erreichung der technischen und organisatorischen Sicherheit bei der Be- und Verarbeitung personenbezogener Daten ergriffen werden müssen. Aufgrund der Eigenart der jeweils zu be- und verarbeitenden personenbezogenen Daten oder aufgrund besonderer gesetzlicher Bestimmungen und Vorschriften können weitere Maßnahmen erforderlich sein. Sofern eine einzelne Maßnahme auf mehrere Art und Weisen und mit unterschiedlich intensiver Schutzwirkung realisiert werden kann, so ist jeweils die Form der Realisierung zu wählen, die der spezifischen Umgebung, der spezifischen Schutzwürdigkeit der zu be- und verarbeitenden Daten und dem spezifischen Bedrohungspotenzial angemessen Rechnung trägt. Ist eine Maßnahme in der nachfolgenden Tabelle in der Form "()" markiert, so ist diese nur für den Fall zu ergreifen, dass besonders schutzwürdige personenbezogene Daten be- und verarbeitet werden. Für einzelne Maßnahmen oder Maßnahmenbündel liegen spezielle und detaillierte Orientierungshilfen vor, die bei Bedarf angefordert werden können.

2 - 2 - Infrastrukturelle Maßnahmen Einbruchsschutz (Fenster, Tü- ren) Vermeidung wasserführender Leitungen verdeckte Kabelführung Notausschalter verschlossene Behälter, Schränke, Räume Einbruchmeldeanlage Feuchtigkeitsmeldeanlage Brandmeldeanlage gesicherte Klimatisierung gesicherte Stromversorgung Überspannungsschutz angepasste Stromkreisaufteilung schadensminimierende Netztopologie unterbrechungsfreie Stromversorgung Brandabschottung der Versorgungstrassen Vermeidung von Brandbrücken geeignete Feuerlöschgeräte möglichst geringe Brandlast (Papier, usw.) separates Datensicherungsarchiv gesicherte Übergangsstelle(n)

3 - 3 - Zugangssicherheitsmaßnahmen abgeschotteter Bereich verschlossene Räume Zutrittskontrollen (Ausweisleser,...) festgelegte Zugangsberechtigungen revisionsfähige Schlüsselverwaltung

4 - 4 - Zugriffssicherheitsmaßnahmen begrenzte System- Managerfunktion Deaktivierung nicht benutzter Anschlüsse eindeutige Benutzeridentifizierung starke Benutzerauthentifizierung bedarfsgerechte Rechtezuweisung Nutzung von Boot-/Setup- Passwort Datenverschlüsselung (Festplatte) () () () passwortgeschützte Bildschirm- Dunkelschaltung Sperrung von Diskettenlaufwerken () separate Zugriffssicherheitssoftware Begrenzung der erfolglosen Anmelde- versuche geregelte Systemverwaltung zwangsläufige (Benutzer- Menüführung) Sperren der Betriebssystemebene Vom Benutzer vergebbare Passworte Verschluss der Sicherungsdatenträger sicherheitsspezifische Netztopologie Trennung von eingehenden und ausgehenden Verbindungen Festlegung berechtigter Kommunikationspartner (Rufnummern)

5 - 5 - Organisatorische Maßnahmen Funktionstrennung Sicherheitsrichtlinien Programmierrichtlinien (Menütechnik, Benutzerführung,...) -Verpflichtungserklärung (Mitarbeiter) klare Verantwortungsregelungen Verfahrensverzeichnis formalisierte Berechtigungsvergabe, Berechtigungsänderung und -widerruf Freigabeverfahren für Software Trennung von Test und Produktion Geregelte Datenträgerverwaltung (inkl. Aufbewahrungsrichtli- nien) Geregelte Eingangskontrolle von Datenträgern und Dokumenten Virenvorsorge Richtlinien für Passwortaufbau Richtlinien für Passwortgebrauch Verbot privater Hardware Verbot privater Software Überwachung von Fremdpersonal unangemeldete und unregelmäßige Kontrollen Bedienungs- und Benutzeranweisungen Benutzerservice und -betreuung

6 - 6 - Beweissicherungsmaßnahmen sicherheitsrelevante Protokollierung Protokollaufbewahrung (z. B. 1 Jahr) revisionsfähige Schlüsselverwaltung revisionsfähige Benutzerverwaltung Programmentwicklungsdokumenta-tion Programmablaufdokumentation Dokumentation der Abruf- und Übermittlungsprogramme Dokumentation der Empfänger

7 - 7 - Notfallvorsorgemaßnahmen Übersicht Verfügbarkeitsanforde- rungen Datensicherungskonzept Störfallplan Notfallhandbuch Notfallübungen Wiederanlaufplan Wiederanlauftest Ersatzbeschaffungsplan

8 - 8 - Übertragungssicherheitsmaßnahmen Verschlüsselungskomponenten () Nutzung von Standardangeboten (z.b. Rückruffunktionen, Virtuelles Netz) Einrichten geschlossener Benutzergruppen Vertragliche Pflichtenfestlegung Deaktivierung unbenutzter stellen

9 - 9 - Personelle Sicherheitsmaßnahmen schriftliches Anforderungsprofil gründliche Einweisung regelmäßige fachliche Weiterbildung regelmäßige Belehrung und Schulung in einschlägigen Gesetzen und Vorschriften Vertretungsregelung schriftl. Festlegung Fremdpersonal

10 Sonstige Sicherheitsmaßnahmen Entsorgungsregelung Festplatten Entsorgungsregelung sonstiger maschinell lesbarer Datenträger Entsorgungsregelung Druckerzeugnisse Kontrolle der Sicherheitsorganisation Verträge mit Fremdfirmen Netzwerkdokumentation (Kabelplan, usw.) einheitliche Beschaffungsstrategie