Datenschutzfreundliches Projektmanagement Sven Thomsen Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Transkript

1 Datenschutzfreundliches Projektmanagement Sven Thomsen Datenschutz Schleswig-Holstein

2 Projekt? Definition Projekt: Vorhaben, das im Wesentlichen durch die Einmaligkeit der Bedingungen in ihrer Gesamtheit gekennzeichnet ist, wie z. B. Zielvorgabe, zeitliche, finanzielle, personelle und andere Begrenzungen; Abgrenzung gegenüber anderen Vorhaben; projektspezifische Organisation. (Quelle: DIN 69901, Begriffe im Projektmanagement)

3 Projektmanagement? Chaos-Studie (erstmals 1994, jährlich durchgeführt) drei Typen von Projekten Typ 1: Projekt erfolgreich abgeschlossen 15 % Typ 2: Projekt teilweise erfolgreich 53 % Typ 3: Projekt nicht erfolgreich 32 % Top 3 Hauptgründe fürs Scheitern: Fehlende Zuarbeit durch Benutzer Unvollständige/unklare Anforderungen Häufige Anforderungsänderungen Definition Projektmanagement (Gesellschaft für Informatik): Das Projekt führen, koordinieren, steuern und kontrollieren.

4 Datenschutzfreundliches Projektmanagement? Gesetzliche Grundlagen in Schleswig-Holstein für öffentliche Stellen / öffentliche Auftraggeber: Landesdatenschutzgesetz Schleswig-Holstein (LDSG, ) Landesverordnung über die Sicherheit und Ordnungsmäßigkeit automatisierter Verarbeitung personenbezogener Daten, Datenschutzverordnung (DSVO, ) Für Projekte, in denen während des Projektverlaufs oder nach Abschluss personenbezogene Daten verarbeitet werden: IT-Konzept, Sicherheitskonzept, Dokumentation, Test, Freigabe

5 Standardvorgehen I: Wasserfallmodell

6 Standardvorgehen II: V-Modell XT Quelle: V-Modell XT Version

7 Standardvorgehen II: V-Modell XT Quelle: V-Modell XT Version

8 Zwischenfazit Mindestanforderungen an Projektmanagement: Klar ausformulierte Anforderungen Klar definierte Projektziele Klar abgegrenzte Projektschritte Klar abgegrenzte Verantwortlichkeiten Datenschutzfreundliches Projektmanagement: Dedizierte Projektschritte, in denen Konzepte erstellt werden Stetige projektbegleitende Dokumentation Testen ist integraler Bestandteil des Projekts Abnahme und Freigabe vor Inbetriebnahme IT-Konzept, Sicherheitskonzept, Dokumentation, Test, Freigabe

9 Vereinfachtes Vorgehensmodell Projektbetrieb Produktivbetrieb

10 Vereinfachtes Vorgehensmodell Anforderungsanalyse Projektbetrieb Konzepterstellung Implementierung Funktionstests Integrationstests Abnahmetests Produktivbetrieb Pilotbetrieb Regelbetrieb

11 Anforderungsanalyse und Konzepterstellung Ergebnisse der Anforderungsanalyse und Konzepterstellung können direkt in ein IT-Konzept nach 4 DSVO übernommen werden Zum Nachweis der Zweckbestimmug des automatisierten Verfahrens sind die technischen und organisatorischen Vorgaben für die Verarbeitung sowie die erzielbaren Ergebnisse in einem informationstechnischen Konzept zu beschreiben. Wichtig: Sicherheitskonzept nicht vergessen! Als Arbeitspapier vor der Implementierung erstellen Während der Implementierung weiterentwickeln Während der Tests auf Vollständigkeit prüfen Vor der Abnahme und Freigabe fertigstellen Angemessene Konzeption Datenschutzfreundlichkeit

12 Funktionstests Kriterien Es gibt außer einer sehr kleinen Gruppe von Testern keine regulären Anwender des Verfahrens Ein Funktionstest findet in einer isolierten Testumgebung statt In einem Funktionstest dürfen keine personenbezogenen Daten verarbeitet und auch nicht aus anderen Produktivsystemen übernommen werden. Echtdaten sind vor Übernahme in das Testverfahren zu anonymisieren. Ziele: Erkenntnis über grundsätzliche Verwendbarkeit bevor personenbezogene Daten verwendet werden. Vorteil Enger gesetzlicher Rahmen zur Verarbeitung personenbezogener Daten findet keine Anwendung

13 Integrationstests und Abnahmetests Kriterien: Test in einer quasi-produktiven Umgebung Zeitlich streng limitiert Detailliert beschriebene Testszenarien Personenbezogene Daten können genutzt werden, aber nur im Rahmen zusätzlicher, minimalisierter Tests Wenn personenbezogene Daten genutzt werden, muss ein auf die Testbedingungen angepasstes (i.a. vereinfachtes) Sicherheitskonzept erstellt werden Ziele: Tests von Funktionalitäten, die durch Funktionstests in isolierter Testumgebung nicht durchgeführt werden können. Insbesondere Test der technischen und organisatorischen Sicherheitsmaßnahmen Verantwortliche Stelle testet das Verfahren abschließend vor Inbetriebnahme

14 Pilotbetrieb Kriterien: Produktivbetrieb in einem sehr eng zugenschittenen Bereich Zeitlich limitiert Führende Bearbeitung des Datenbestandes, kein Parallelbetrieb Auf engen Zuschnitt angepasstes IT-Konzept, Sicherheitskonzept und evtl. Risikoanalyse Pilotbetrieb muss durch Dienststellenleitung freigegeben werden Ziele: Test des Konzepts und der gewählten Implementierung auf Praxisgerechtheit Vorteil: Einschränkungen (z.b. bezgl. Nutzerzahlen) ermöglichen eine leichtere Evaluation und bringen schneller belastbare Aussagen

15 Fazit Professionelles Projektmanagement ist die Basis für datenschutzfreundliches Projektmanagement. Professionelles Projektmanagement erfüllt nebenbei die meisten Anforderungen aus Datenschutz und IT-Sicherheit. Vorausschauende Projektverantwortliche nutzen die Synergien zwischen Projektdokumentation und gesetzlich geforderten Dokumenten. Auftraggeber müssen eine saubere Konzeption unterstützen. Das ULD bietet Projektverantwortlichen eine frühzeitige und intensive Beratung bei Anforderungsanalyse, Konzept, Implementierung und Test an.

16 Kontakt Grundsatzfragen Systemdatenschutz Sven Thomsen Datenschutz Schleswig Holstein Holstenstraße Kiel Telefon: 0431 / Telefax: 0431 / ld3@datenschutzzentrum.de WWW: