SECURITY AWARENESS HANDBUCH SICHERHEITSBEWUSSTSEIN IN DER STADTVERWALTUNG USTER

Transkript

1 Version V02-public / 2011 SECURITY AWARENESS HANDBUCH SICHERHEITSBEWUSSTSEIN IN DER STADTVERWALTUNG USTER

2 Seite 2 / 8 INHALTSVERZEICHNIS 1. Einleitung 1.1. Vorbemerkungen 1.2. Security Awareness (Sicherheitsbewusstsein) 1.3. Security Awareness Handbuch 1.4. Herkunftsverweis der juristischen Informationen 1.5. Pflichten der Mitarbeitenden 1.6. Vertraulichkeit Ausnahmen von der Geheimhaltungspflicht 1.7. Integrität 1.8. Verfügbarkeit 2. Informatik 2.1. Risiken der Datenverarbeitung Bedrohungen in der Informatik Massnahmen zur Gewährleistung der Informationssicherheit Risikomanagement der Informationssicherheit Tabellen 2.2. Reporting von Sicherheitsverletzungen 2.3. Informationen über die Informatik-Infrastruktur der Stadt Uster Informatikstrategie Urhebergesetz, Lizenzierte Software, Copyright Allgemeine Sanktionen bei Missachtung der Informatik-Weisungen 2.5. Datenhaltung Datensicherung Was sind sensitive Daten - Datenklassifizierung 2.6. Netzwerk- und Computerressourcen Filebrowsing Unerlaubte Verbindungen Netzwerkinformation Lesen von Datenträgern (USB-Sticks, externe Festplatten und CD's 2.7. Informationen im Umgang mit Passwörtern Einstieg ins Netzwerk

3 Security Awareness Handbuch Seite 3 / Passwort Handhabung Verschiedene Authentisierungsmethoden Passwortspeicherung Passwortaufbau 2.8. Viren und virenähnliche Programme Computerviren Was ist ein Computervirus Welche Dateien sind auf eine Infizierung Anfällig? Wie arbeiten Viren Worms, sogenannte Würmer Trojanische Pferde Hoaxes Antivirenprogramme Viren manuell scannen 2.9. Umgang mit Gefahren im Umgang mit Fehlende Vertraulichkeit weiterleiten senden empfangen Spam Internet Gefahren im Internet Anonymität im Internet Logauswertungen im Internet Download vom Internet Freeware Shareware Cookies Was sind Cookies Was kann ein Cookie nicht Die Vorteile von Cookies Gefahren durch Cookies Soziale Netzwerke (Facebook, Twitter, XING...)

4 Seite 4 / 8 3. Datenschutz 3.1. Bundesgesetz über den Datenschutz 3.2. Gesetzliche Grundlagen der Überwachung Datenschutz in der Stadt Uster 3.3. Gesetz über die Information und den Datenschutz (IDG) des Kantons Zürich Öffentlichkeitsprinzip im IDG Datensperre 4. Gebäudesicherheit 4.1. Öffnungszeiten 4.2. Schlüsselbetrieb Lift 4.3. Alarmdisposition Feuerwehr 4.4. Organigramm Brandmelder Stadthaus 5. Öffentlichkeitsarbeit 5.1. Umgang mit Besuchern, externen Mitarbeitenden und unbekannten Personen 5.2. Umgang mit Medien 5.3. Clean Desk Policy (auch Clear Desk Policy genannt) 5.4. Drucker, Kopierer, Faxgeräte, Postfach, Papierkorb 5.5. Umgang mit Daten und Informationen im Allgemeinen 5.6. Social Engineering Ausnutzen der Schwachstelle Mensch 6. Personalien / Adressen [5.2] Die strategische Lenkung und Steuerung Der Informatikausschuss [5.3.3] Informatikbetreuer/innen der Abteilungen / 2.2 Informatik Sicherheitsbeauftragter Datenschutz in der Stadt Uster Aufsichtsstelle des Kantons Zürich Alarmdisposition Feuerwehr

5 Security Awareness Handbuch Seite 5 / 8 1. EINLEITUNG 1.1. Vorbemerkungen In der Kommunikationswelt sind Informationen und Daten äusserst heikle Werte. Bei der Behandlung von Informationen sind folgende Vorkehrungen zu treffen: Sachgemässe Verwaltung Regelmässige Kontrolle Optimaler Schutz Einhalten von Datenschutz- und Datensicherheitsrichtlinien Informationen haben einen bedeutenden und direkten Einfluss auf die Prozesse, das Umfeld, den Datenschutz und die Vertraulichkeit. Unter Informationen verstehen wir z. B.: Einwohner- und Steuerdaten Finanz- und Lieferanteninformationen Dokumente des Personaldienstes Dokumente der Abteilung Soziales Die Vernetzung zwischen der Stadtverwaltung, den Kunden, den Partnern und Lieferanten, vor allem über das Internet, erhöht die Komplexität der Informationssicherheit enorm. Informationswerte müssen mit entsprechenden Massnahmen vor folgenden Risiken geschützt werden: Verlust der Vertraulichkeit Verlust der Integrität Verlust der Verfügbarkeit Eine umfassende Informationssicherheit besteht nicht nur darin, bestimmte Technologien und Produkte einzusetzen. Das Benutzerverhalten spielt dabei eine zentrale Rolle. Um das Restrisiko so gering wie möglich zu halten, muss eine optimale Balance zwischen Technik, Organisation und Menschen gefunden werden. Technik Organisation Mensch

6 Seite 6 / Security Awareness (Sicherheitsbewusstsein) Der Informatik Sicherheitsbeauftragte ist für alle Bereiche der Informatiksicherheit verantwortlich. Die Sensibilisierung der Benutzer im Umgang mit Informationen spielt dabei eine zentrale Rolle. Mit dem Security Awareness Handbuch sollen folgende Ziele erreicht werden: Förderung des Sicherheitsbewusstseins bezüglich Risiken und Gefahren Der Umgang und die Handhabung mit und Internet sind bekannt Die Mitarbeitenden kennen die internen Richtlinien, Weisungen und gesetzlichen Bestimmungen, sowie die Konsequenzen bei deren Missachtung Der Umgang mit Daten bezüglich Vertraulichkeit, Klassifizierung und Verfügbarkeit, sowie die Kenntnisse der Rechte und Pflichten des Dateneigners sind bekannt Die Mitarbeitenden kennen die Weisungen aus den Gebieten Informatik, Datenschutz, Personaldienst, Gebäudesicherheit und Öffentlichkeitsarbeit Mit der Umsetzung dieser rein administrativen Massnahmen, wird das Gesamtrisiko der Datenunfälle bereits massiv verringert. Nach dem Lesen des Security Awareness Handbuches wird mit allen Mitarbeitenden eine Wissensvalidierung (Prüfung) durchgeführt. Damit wird garantiert, dass alle Mitarbeitenden das Security-Awareness-Handbuch gelesen und verstanden haben sich der Verantwortung im Zusammenhang mit der Einhaltung der Weisungen, sowie deren Konsequenzen bei Verletzungen bewusst sind Security Awareness Handbuch Das Security Awareness Handbuch ist vom Stadtrat am 11. Januar 2005 genehmigt und für alle Mitarbeitenden der Stadt Uster verbindlich erklärt worden. Es wurde primär für den Informatikeinsatz entwickelt. Um ein umfassendes Sicherheitsbewusstsein zu fördern, wurden weitere sicherheitsrelevante Gebiete miteinbezogen Herkunftsverweis der juristischen Informationen Die juristischen Informationen in diesem Dokument wurden unverändert aus einem Fachreferat von Herrn Beat Lehmann, lic. iur. Fürsprech, entnommen. Dieses Referat wurde im Namen und Auftrag der Firma Comicro-Netsys AG durchgeführt.

7 Security Awareness Handbuch Seite 7 / Pflichten der Mitarbeitenden Durch die Ausführung der Arbeit übernehmen die Mitarbeitenden (gemäss Obligationenrecht) folgende Pflichten: Sorgfaltspflicht im Umgang mit den betrieblich anvertrauten Produktionsmitteln (Art 321a Abs. OR) Haftung bei pflichtwidrigem Verhalten gegenüber dem Unternehmen (OR Art 97f und 321e Abs.1) Wahrung der Geschäfts- und Betriebsgeheimnisse (Art. 321a Abs. 4 OR) Beachten und Einhalten von Weisungen (Art. 321d OR) Bezüglich Amtsgeheimnis besteht gemäss Personalverordnung der Stadt Uster: 58, folgende Pflicht: Amtsgeheimnis Die Angestellten sind zur Verschwiegenheit über dienstliche Angelegenheiten verpflichtet, die ihrer Natur nach oder gemäss besonderer Vorschrift geheim zu halten sind. Diese Verpflichtung bleibt nach Beendigung des Arbeitsverhältnisses bestehen Vertraulichkeit Vertraulichkeit ist der Schutz vor unbefugter Bekanntgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein. Unter den Begriff der vertraulichen Daten fallen: Daten und Informationen, z. B. aus folgenden Bereichen: Einwohner, Steuern, Organisation, Finanzen, Geschäftsbeziehungen, Verträge, Personaldaten Im Besitz des Geheimnisherrn selbst oder mit ihm verbundenen Gesellschaften oder Geschäftspartnern Verkörpert auf Papier oder auf maschinell lesbaren Datenträgern. Beispiele: Daten, Berichte, Konzepte, Pläne, Diagramme, Zeichnungen, Berechnungen, Formeln oder Rezepte Nicht verkörpert Beispiele: Einsichten, Erkenntnisse, Know-how aus Besprechungen, Besuchen, Besichtigungen und Präsentationen Ausdrücklich mit der Bemerkung «vertraulich» bezeichnete oder aus den Umständen als vertraulich erkennbare Dokumente Unabhängig davon, ob darauf Schutzrechte wie z. B. Patente, Muster und Modelle oder das Urheberrecht bestehen Auch als Teil nicht vertraulicher Informationen

8 Seite 8 / Ausnahmen von der Geheimhaltungspflicht Ausnahmen, die nicht unter den Begriff der vertraulichen Daten fallen, ergeben sich wie folgt: Berechtigterweise bereits im Besitz des Empfängers Bei Empfang bereits allgemein bekannt Bekannt werden ohne das Zutun des Empfängers Erhalten von einer, zur Weitergabe berechtigten Person Selbstständige, unabhängige Eigenentwicklung 1.7. Integrität Integrität bezeichnet die Sicherstellung der Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen. Wenn der Begriff Integrität auf «Daten» angewendet wird, meint er, dass die Daten vollständig und unverändert sind. In der Informationstechnik wird er in der Regel weiter gefasst und auf «Informationen» angewendet. Der Begriff «Information» wird dabei für «Daten» verwendet, denen bestimmte Attribute wie z. B. Autor oder Zeitpunkt der Erstellung zugeordnet werden können. Der Verlust der Integrität von Informationen kann daher bedeuten, dass diese unerlaubt verändert wurden Verfügbarkeit Die Verfügbarkeit von Dienstleistungen, Funktionen eines IT-Systems, IT- Anwendungen oder IT-Netzen oder auch von Informationen ist vorhanden, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.