Dr. Christian Thiel. Institut für Informations- und Prozessmanagement FHS ST. Gallen

Größe: px

Ab Seite anzeigen:

Download "Dr. Christian Thiel. Institut für Informations- und Prozessmanagement FHS ST. Gallen"

Jobst Glöckner
vor 8 Jahren
Abrufe

1 Dr. Christian Thiel Institut für Informations- und Prozessmanagement FHS ST. Gallen

2 Und was meinst Du mit IT Sicherheit?

3 Was ist IT-Sicherheit aus rechtlicher Sicht? Definition in 2 Abs. 2 BSI-Gesetz: Sicherheit in der Informationstechnik ( ) bedeutet die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Unversehrtheit oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen 1. in informationstechnischen Systemen oder Komponenten oder 2. bei der Anwendung von informationstechnischen Systemen oder Komponenten. 3

Sicherheitsstandards, die die Verfügbarkeit, Unversehrtheit oder Vertraulichkeit von Informationen

4 Die klassischen Schutzziele der IT-Sicherheit Verfügbarkeit Unversehrtheit (Integrität) Vertraulichkeit Authentizität Schutz vor unbefugter Vorenthaltung von Informationen oder Betriebsmitteln / des Zugangs zu Daten Schutz vor unbefugter Veränderung von Informationen/ Manipulation Schutz vor unbefugter Preisgabe von Informationen/ vor unbefugter Kenntnisnahme Schutz vor falschen Absendern 4

Betriebsmitteln / des Zugangs zu Daten Schutz vor unbefugter Veränderung von Informationen/

5 Kannst Du uns mal die Management Summary Deiner Gesetze, Vorordnungen usw. geben?

6 Rechtliche Anforderungen an die IT im Unternehmen Kein einheitliches Gesetz, das die rechtlichen Anforderungen an die Unternehmens-IT formuliert Dschungel der rechtlichen Vorgaben (national und international) Forderung nach Kontrolle und Transparenz Aktien- und Handelsgesetzgebung KonTraG, OR Basel II Sarbanes Oxley Act Corporate Governance Kodex In Deutschland / in der Schweiz schreibt kein Gesetz vor, wie Unternehmen im Bereich der IT-Sicherheit compliant sind. 6

und Transparenz Aktien- und Handelsgesetzgebung KonTraG, OR Basel II Sarbanes Oxley Act Corporate Governance Kodex In

7 Recht fordert IT-Sicherheit Aber Gesetze beeinflussen IT und IT-Sicherheit, z.b. Datenschutzgesetz und Verordnung Telekommunikationsgesetz / Fernmeldegesetz OR und Geschäftsbücherverordnung / KonTraG Grundsätze der ordnungsgemässen Datenbearbeitung Aufbewahrungspflicht, Risikomanagement Spezialnormen für bestimmte Branchen (Geldwäschereigesetz, Produkthaftpflicht) Steuerrecht Allg. zivilrechtliche Verpflichtungen (z.b. aus Verträgen mit Kunden, aus Versicherungsverträgen, Deliktische Haftung gegenüber Dritten, Urheberschutz und Lizenz-Management) 7

8 Und wenn wir nicht wollen?

9 Folgen bei Verstössen Rechtliche: Schadensersatz Bussgeld Persönliche Haftung (KonTraG, OR, Fahrlässigkeit ) Strafbarkeit (Vorsatz): Haftstrafe oder Geldstrafe Unterlassungsanspruch aus Urheber- oder Wettbewerbsrecht Kürzung der Versicherungsleistungen Ökonomische: Umsatzeinbussen wegen Betriebsausfall Reputationsverlust Herabsetzung der Bonität Nichtberücksichtigung bei der öffentlichen Vergabe 9

Urheber- oder Wettbewerbsrecht Kürzung der Versicherungsleistungen Ökonomische: Umsatzeinbussen

10 Haftungspyramide Wer ist verantwortlich? Delegation? Aufsicht Unternehmensleitung Mitarbeitende Drittbeauftragte / Externe 10

11 Und wie sollen wir was machen? 11

12 Compliance Begriff Einhaltung von Gesetze Verträge Verordnungen Richtlinien Selbstverpflichtungen Vorgaben Auslegungen Kommentare Konsequenzen Normen Frameworks Best-Practices Strategische Entscheidung Risiken Schutzziele ISMS Operative Umsetzung IT-Risiken IT-Compliance

Konsequenzen Normen Frameworks Best-Practices Strategische

13 Regelkreis Compliance Pragmatisch Regulatorische Anforderungen Technik, Prozesse, Organisation, Personal. Standards BDSG Telekom Regularien Compliance Rahmen TRs D Gesetz Ziele / Vorgaben zu Funktionalität, Datenschutz & Informationssicherheit Datenschutz Managementsyst em Informationssicherheit Managementsystem Anwendungsbetrieb Technischer Betrieb Infrastruktur und IT-Systeme Revision Betrachtungsgegenstände

Funktionalität, Datenschutz & Informationssicherheit Datenschutz Managementsyst em

14 Zusammenfassung Vielzahl rechtlicher Anforderungen mit impliziten Anforderungen an die IT-Sicherheit Wenn "zu wenig Sicherheit: Persönliche Haftung des Vorstands/ der Geschäftsführung z.b. nach KonTraG / OR Persönliche Haftung des Mitarbeiters wegen Verletzung Arbeitsvertrag Wenn zu viel Sicherheit (z.b. Überwachung ): Strafbarkeit droht aus DSG, etc Private Nutzung Internet / regeln/untersagen Einwilligung zu Kontrolle / Filtering einholen 14

nach KonTraG / OR Persönliche Haftung des Mitarbeiters wegen Verletzung Arbeitsvertrag Wenn zu viel Sicherheit (z.

Ähnliche Dokumente

Rechtliche Aspekte der (revisions-) sicheren Administration von IT-Systemen Secure Linux Administration Conference, 07.

NetworkedAssets GmbH Rechtliche Aspekte der (revisions-) sicheren Administration von IT-Systemen Secure Linux Administration Conference, 07. Dezember 2006 Rechtliche Aspekte Administration Gliederung Praktische