Bearbeitungs- und Prüfungsleitfaden Datenschutz & IT-Sicherheit

Transkript

1 Bearbeitungs- und Prüfungsleitfaden Datenschutz & IT-Sicherheit Neue Herausforderungen für die Interne Revision und den Datenschutzbeauftragten von Banken uind Sparkassen aufgrund der jüngsten BDSG-Novellen und der aktuellen MaRisk Bearbeitet von Michael Borchert, Andreas Kirsch, Andreas Kolb, Björn Toemmler 1. Auflage Buch. 280 S. Hardcover ISBN Format (B x L): 14,8 x 21 cm Wirtschaft > Finanzsektor & Finanzdienstleistungen: Allgemeines > Bankwirtschaft schnell und portofrei erhältlich bei Die Online-Fachbuchhandlung beck-shop.de ist spezialisiert auf Fachbücher, insbesondere Recht, Steuern und Wirtschaft. Im Sortiment finden Sie alle Medien (Bücher, Zeitschriften, CDs, ebooks, etc.) aller Verlage. Ergänzt wird das Programm durch Services wie Neuerscheinungsdienst oder Zusammenstellungen von Büchern zu Sonderpreisen. Der Shop führt mehr als 8 Millionen Produkte.

2 Inhaltsverzeichnis Abschnitt 1: Interne Überwachung der automatisierten Verarbeitung personenbezogener Daten 1 I. Personalwirtschaftliche Beurteilung der Aufgaben des Datenschutzbeauftragten (DSB) 3 II. 1. Wesentlicher Bestandteil des Internen Kontrollsystems Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 6 2. Zur Rolle als Datenschutzbeschwerdestelle in 4f BDSG Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise Positionierung gegenüber Geschäftsleitung und Mitarbeitern Fundstellen Wesentlicher Inhalt Checklisten Praktikerhinweise 12 Bewertung der Voraussetzungen für die erforderliche Fachkunde des DSB Mitgestaltung an datenschutzrelevanten Regelwerken Fundstellen Wesentlicher Inhalt Checkliste Informations- und kommunikationstechnische Kenntnisse Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 17 VII

3 III. IV. 3. Kenntnisse über datenschutzrelevanten Geschäftsprozesse Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 18 Kontrollhandlungen zur ordnungsgemäßen Anwendung der DV-Programme Datenverarbeitung in einem externen Rechenzentrum Fundstellen Wesentlicher Inhalt Checklisten Praktikerhinweise Institutsinterne Datenverarbeitungsanlage Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise Standardsoftwareprogramme auf dem PC Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 27 Geschäftsbereichsspezifische Schulung und Unterweisung der Mitarbeiter Einholung einer Verpflichtungserklärung Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise Datenschutzspezifische Regelungen im Intranet Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 34 VIII

4 3. Datenschutzrichtlinien in Ergänzung zu Arbeitsanweisungen Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 36 V. Prüfung der Zulässigkeitsvoraussetzungen bei der Erhebung, Speicherung, Veränderung und Übermittlung von Daten 37 VI. 1. Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 40 Überwachung der Löschung bzw. Sperrung personenbezogener Daten Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 42 VII. Benachrichtigung des Betroffenen Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 46 VIII. Regelungen zur Auskunftserteilung an den Betroffenen 46 IX. 1. Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 48 Erstellung und Führung eines internen Verfahrensverzeichnisses Fundstellen 49 IX

5 2. Wesentlicher Inhalt Checkliste Praktikerhinweise 51 X. Anlässe für die Vorabkontrolle Fundstellen Wesentlicher Inhalt Checklisten Praktikerhinweise 52 XI. Bewertung von Akquisitionsdateien Fundstellen Wesentlicher Inhalt Checkliste Praktikerhinweise 55 Abschnitt 2: Technische und organisatorische Maßnahmen zur Einhaltung besonderer Vorgaben für Datenschutz/ -sicherheit 57 I. Einführung 59 II. Besondere Maßnahmen zur Zutrittskontrolle Festlegung der Zutrittsberechtigung zu Hardware- Komponenten Einleitung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Zutrittsregelungen für bestimmte Personengruppen und für Ausnahmesituationen Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 79 X

6 3. Einsatz von Zufallsuntersuchungen Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 84 III. Benutzerkontrolle der Datenverarbeitungssysteme Überwachung der Zugangsberechtigungen Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Passwort-Identifikation des Benutzers Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 103 IV. Maßnahmen zur Zugriffskontrolle Beschränkung des Zugriffs auf den erforderlichen Umfang (Need-To-Know-Prinzip) Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Laufende Aktualisierung der Zugriffsberechtigungen Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Protokollierung der Zugriffe und Auditierung von Benutzerrechtezuweisungen 117 XI

7 3.1. Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Abgrenzung der dem Betriebsprüfer vorzulegenden steuerlich relevanten Daten Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 127 V. Weitergabekontrolle personenbezogener Daten Klassifizierung der Datenträger nach Schutzbedarf Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Richtlinien für die Durchführung von Transfers Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Überprüfung der Identität der Empfänger Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 140 VI. Kontrollen bei der Auftragsdatenverarbeitung Vorgaben für eine zweckmäßige Betriebsorganisation Einführung Wesentliche Anforderungen 141 XII

8 1.3. Checkliste Risiken Praktische Empfehlungen Verbindliche Festlegung sämtlicher Arbeitsabläufe Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen Überwachung der Einhaltung von Arbeitsanweisungen Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 157 VII. Verfügbarkeitskontrolle Einführung Wesentliche Anforderungen Checkliste Risiken Praktische Empfehlungen 166 Abschnitt 3: Umsetzung, Prüfung und Beurteilung des internen IT-Sicherheitsmanagements 167 I. Zielstellung und Aufbau dieses Abschnittes 169 II. Umsetzung, Prüfung und Beurteilung des internen IT- Sicherheitsmanagements Prüfungsumfeld Bedeutung Zwischenfazit Checkliste Prüfung und Beurteilung von IT-Umfeld und -Organisation Strategienpyramide 174 XIII

9 2.2. Checkliste IT-Organisation Checkliste Einzubeziehende Bereiche IT-Risikomanagement auf Gruppenebene Checkliste Abgleich der Geschäftsprozesse mit Organisationsrichtlinien und Prozessbeschreibungen Prüfungsvorgehen Checkliste Funktionstrennung mittels Kompetenzregelungen und Bearbeitungsvermerke Beachtenswerte Aspekte bei der Umsetzung der Funktionstrennungen, Kompetenzregelung und Bearbeitungsvermerke Checkliste Prüfung des Unsicherheitsfaktors Mensch (Anwendungsfehler, Manipulation) Problemskizzierung Checkliste Ad-hoc-Prüfung von Teilen des IKS durch Mitarbeiter unterschiedlicher Bereiche Nur eine Aufgabe der Revision? Checkliste 198 III. Überprüfung und Beurteilung infrastruktureller IT-Risiken Risikenaufnahme Prüfungshandlungen Zwischenfazit Checkliste Schutzfunktionen an Schnittstelle zwischen IT-Infrastruktur und Internet Ausgangslage Zwischenfazit Checkliste Beschränkung der Zugriffsrechte 206 XIV

10 IV. INHALTSVERZEICHNIS 3.1. Grundsätzliches Checkliste Beschränkung der IT-Zugriffsrechte Prüfung und Beurteilung des IT-Notfallkonzepts Grundsätzliche Anforderungen an eine IT- Notfallkonzeption Zwischenfazit Checkliste Sicherung der IT-Infrastruktur durch projektbegleitende Prüfungen Zielsetzung Checkliste 213 Prozessbegleitung und Prüfung für die Entwicklung und den Einsatz von IT-Anwendungen Organisatorische Rahmenbedingungen Einführung Checkliste Standardisierte Verfahren zur Veränderung der IT- Anwendungen/IT-Systeme Change-Management als zentraler Ansatzpunkt Checkliste Festlegung der Kriterien für Zeitpunkt, Art und Umfang von Prüfungshandlungen Festlegung des Rahmens der Begleitung/Prüfung Checkliste Prüfung der Programmentwicklung, Verfahren zur Bewertung und Auswahl von (zu erwerbenden) Programmen Idealtypischer Ablauf Checkliste Information der Geschäftsleitung bei schwerwiegenden Bedenken gegen den Programmeinsatz Ziel der Projekt-/Prozessbegleitung Checkliste 234 V. Auslagerung von IT-Systemen sowie IT-gestützten betrieblichen Funktionen 234 XV

11 1. Rahmenbedingungen Einführung Checkliste Integration der Kontroll- und Steuerungskreisläufe des Outsourcingnehmers in das IT-Sicherheitsmanagement des Outsourcinggebers Integrationserfordernis von outgesourcten Bereichen in die Unternehmenssteuerung Checkliste (Teil-) Outsourcing der besonders unternehmenskritischen IT-Sicherheit IT-Sicherheitsmanagement outsourcen? Checkliste Technisch-organisatorische Anforderungen unter Datenschutz- und Datensicherheitsaspekten Grundsätze Checkliste 244 Abschnitt 4: Datenschutzaudit nach 9a BDSG 247 I. Datenschutzaudit nach 9a BDSG Sichtung und Begutachtung der Unterlagen Checkliste Checkliste Checkliste Checkliste Auditierung vor Ort Bewertung und Analyse Abschlussmeeting Nach dem Audit ist vor dem Audit Prüfung durch die Aufsichtsbehörde Prüfung durch die Aufsichtsbehörde 258 XVI

12 II. Prüfungen der Innenrevision Datenschutz und Revision Praktische Empfehlungen 260 Literaturverzeichnis 263 XVII