Aufstellung der techn. und organ. Maßnahmen

Transkript

1 Aufstellung der techn. und organ. Maßnahmen (Anlage 9 BSDG) AFI - P.M. Belz Agentur für Informatik GmbH Stuttgart Stand:

2

3 1 Grundsätzliches Das Bundesdatenschutzgesetz (BDSG) schreibt mit 9 BDSG vor, dass Aussagen zu den Technischen und Organisatorischen Maßnahmen gemacht werden müssen, sofern personenbezogene Daten erhoben, verarbeitet oder genutzt werden. Insbesondere im Zusammenhang mit 11 BDSG, der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag, erfolgt hier eine Aufstellung obiger Maßnahmen, um sie der verantwortlichen Stelle (Auftraggeber) offenzulegen. Somit dient dieses Dokument als Anlage von Verträgen zur Auftragsdatenverarbeitung bzw. Grundlage für Kontrollen. 1.1 Datenschutz und Security Der Betriebliche Datenschutzbeauftragte prüft und kontrolliert die Einhaltung der Vorschriften des BDSG. Kontakt: datenschutzbeauftragter@afi-solutions.com. Bezogen aus der AEB Gesellschaft zur Entwicklung von Branchen-Software mbh sind die folgenden Dienstleistungen: Systemmanagement durch IT-Teams QM und Unternehmensorganisation Eine begrenzte Auswahl aus den IT-Teams vergibt Zugangsberechtigungen mit 4-Augen-Prinzip. Die IT-Teams kontrollieren diese regelmäßig stichprobenartig. Sie kann Einspruch erheben und ihr Veto einlegen. Für Mitarbeiter der AFI GmbH sind u.a. folgende Dokumente im Umfeld Sicherheit verbindlich zur Beachtung: Security Guide Geheimhaltung Datenverarbeitung Verpflichtungserklärung (G-D-V); mit Verpflichtung auf 5 BDSG (Datengeheimnis) Vertraulichkeitsvereinbarungen (NDA Non-Disclosure Agreement) zur Regelung von Geheimhaltungspflichten können mit der AFI GmbH als Vertragspartner abgeschlossen werden. 1.2 Qualitätssicherung durch QM Team Qualität steht in allen Bereichen im Vordergrund. Ihr wird eine besondere Stellung eingeräumt. Zur Sicherung der Qualität in Applikationen und Prozessen gibt es ein QM Team. Dieses definiert, optimiert und prüft die Prozesse der Applikationsentwicklung, aber auch der Wartung und des Services. Im Bereich der Applikationen werden dabei nicht nur Funktions- sondern auch Usability-Tests durchgeführt. Jede Neuerung wird dabei mehrfach geprüft und abgenommen. Aktualität fachlicher Anforderungen wird ständig verfolgt und umgesetzt. Im engen Kundenkontakt wird Wartung und Service bewertet und optimiert. Alle Schritte der Neuentwicklung sowie die Wartung der Applikationen durchlaufen definierte Prozesse. Technische und organisatorische Maßnahmen gemäß 9 BDSG 1

4 2 Angaben zu Kontrollmaßnahmen 2.1 Zutrittskontrolle Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen die personenbezogenen Daten verarbeitet und genutzt werden, zu verwehren. Server & Fernwartungsrouter sind durch Zutrittskontrolle (Codeschlösser, Codeschlüssel) zum Serverraum geschützt. Fernwartungssysteme sind gesichert durch: Zugriff auf Fernwartungsdaten nur für Berechtigte. Sicherung des Gebäudes und Identitätskontrolle aller Anwesenden außerhalb der Geschäftszeiten durch einen Wachdienst. Zentrale Aufbewahrung von Vergabe von elektronischen Codeschlüsseln (Tokens), Protokollierung der Aus- und Rückgabe. 2.2 Zugangskontrolle Zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Arbeitsplatzrechner sind gesichert durch: Anmeldung nur durch zentral gesteuertes Identity Management. Verpflichtung der Mitarbeiter zur Sperrung des Arbeitsplatzrechners. Automatische Sperrung der Arbeitsplatzrechner spätestens nach 15 Minuten. Zentrale Kennwortrichtline auch für Administrationszugänge (regelmäßiger Zwang zur Änderung der Kennwörter, Mindestanforderung an Kennwortlänge und Komplexität). 2.3 Zugriffskontrolle Sorge zu tragen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Zentrale Berechtigungsverwaltung, getrennt für System- und Anwendungszugang. Anwender können Berechtigungen nicht selbständig ändern. Anwender können nicht ohne Freigabe durch Vorgesetzten eine Änderung beantragen. Grundsätzlich keine externen Zugänge außer VPN- bzw. SSH gesicherte Verbindungen. Sicherheitsprüfungen der externen Zugänge durch darauf spezialisierte Firmen. Entsorgung vertraulicher Unterlagen / Datenträger durch darauf spezialisierte Firmen. 2 Technische und organisatorische Maßnahmen gemäß 9 BDSG

5 2.4 Weitergabekontrolle Sorge zu tragen, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Alle Download/Uploadverbindungen via Internet sind gesichert durch entweder SSL, SSH oder VPN. Alle Niederlassungen bzw. mobilen Systeme verwenden ausschließlich VPN oder SSH gesicherte Verbindungen, die der Hoheit der AEB Gesellschaft zur Entwicklung von Branchen- Software mbh unterliegen. Es findet keine lokale Speicherung personenbezogener Daten statt, alle Daten werden zentral in Stuttgart gehalten. Externe Verbindungen sind nur über freigegebene Anwendungen möglich. Externe Verbindungen sind nur über freigegebene Services möglich. Alle DFÜ-Verbindungen werden protokolliert soweit technisch machbar. 2.5 Eingabekontrolle Sorge zu tragen, dass nachträglich geprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Alle Systeme, die personenbezogene Daten verarbeiten, protokollieren sämtliche Eingaben, Änderungen, Löschungen. Diese Protokollierung stellt sicher, dass nachträglich festgestellt werden kann, ob und wenn von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind. Personalisierte Benutzerkonten auch in den Fachanwendungen. Trennung von System- und Anwendungsprotokollen, dadurch ist eine Manipulation der Anwendungsprotokolle auf Systemebene ausgeschlossen. 2.6 Auftragskontrolle Sorge zu tragen, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Regelung der Weisungen im Hauptleistungs- und Auftragsdatenverarbeitungsvertrag. Benutzer- und Rechteverwaltung auf Anwendungsebene durch den Auftraggeber. Übermittlung/Erfassung der Daten durch den Auftraggeber, er entscheidet, wann welche Daten übermittelt werden. Einhaltung dieser Kontrolle auch bei Vergabe Wartung/Fernwartung (wenn Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann; s. 11 Abs. 5 BDSG) Zugriff auf diese Daten haben nur Rollen mit entsprechender Zugriffsbefugnis. Einsatz von Musterverträgen und Regelungen für die Einschaltung von Subunternehmern. Technische und organisatorische Maßnahmen gemäß 9 BDSG 3

6 2.7 Verfügbarkeitskontrolle Sorge zu tragen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Die nachfolgend geschilderten Punkte gelten insbesondere für das Hosting-Umfeld der Firma AEB Gesellschaft zur Entwicklung von Branchen-Software mbh. Redundante Systeme Datenbank: Cluster Fileserver: SAN-Systeme Zentral gesteuerter Virenschutz Unterbrechungsfreie Stromversorgung Brandmelde- bzw. Brandlöschanlagen Bandsicherung Tägliche Bandsicherung Auslagerung der Daten in gesonderten Brandabschnitt 2.8 Trennungskontrolle Sorge zu tragen, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Trennung von: Mitarbeiterdaten Kundenkontaktdaten Kundentestdaten (Projektarbeit, Kundenentwicklungen) Fernwartungszugangsdaten Unterschiedliche Anwendungen: Für Kundendaten und Mitarbeiterdaten werden unterschiedliche Anwendungen eingesetzt. Berechtigungen innerhalb der Anwendung Kundenkontaktdaten sind von Fernwartungszugangsdaten getrennt. 4 Technische und organisatorische Maßnahmen gemäß 9 BDSG