Technische Organisatorische Maßnahmen (TOMs)
Dieses Dokument beschreibt die allgemeinen Maßnahmen (Standard-Datenschutz-Maßnahmen) der Schwarz Gruppe zur Gewährleistung der Verarbeitungsgrundsätze gemäß Art. 5 Abs. 1 Datenschutz-Grundverordnung (DS-GVO) einschließlich der technischen und organisatorischen Maßnahmen (TOMs) gemäß Artikel 32 DS-GVO. Eventuell projekt- bzw. systemindividuelle Abweichungen oder Ergänzungen sind gesondert dokumentiert.
Überschriften, welche eine Zahlenfolge beinhalten, stellen Verweise auf die Schwarz-internen SIMPL-Policies dar. Diese konkretisieren die den Überschriften nachfolgenden Beschreibungen und können auf Anfrage bereitgestellt werden.
TOMs-Beschreibungen in der „muss“-Form stellen nicht einen Soll-, sondern den Ist-Zustand dar.
1 Datenschutzmanagement
Das Datenschutzmanagement richtet sich nach den gesetzlichen Vorgaben zum Datenschutz und ermöglicht es uns, den unternehmensinternen Datenschutz zu regeln, zu planen, zu steuern, umzusetzen und zu kontrollieren.
Die folgenden Maßnahmen gewährleisten, dass die oben genannten Voraussetzungen eingehalten werden:
Soweit gesetzlich erforderlich, ist ein Datenschutzbeauftragter bestellt, der auf Grundlage seiner beruflichen Qualifikation und insbesondere seines Fachwissens, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben, benannt wurde. Die Bereitstellung ausreichender Ressourcen für den Datenschutzbeauftragten ist grundsätzlich sichergestellt.
Durch unternehmensinterne Regelungen wird allen Mitarbeitern der Umgang mit Datenschutz vermittelt. Mitarbeiter sind auf das Datengeheimnis verpflichtet und werden angemessen, z. B. durch Schulungs- und Sensibilisierungsmaßnahmen, zu den Themen Datenschutz und Informationssicherheit informiert. Prozesse zur Identifikation und rechtzeitigen Meldung von Datenschutzverletzungen sind etabliert und kommuniziert.
Datenschutz ist Bestandteil der Unternehmensstrategie. Hierzu zählen beispielsweise die regelmäßige Berichterstattung oder die jederzeitige Möglichkeit der Eskalation von datenschutzrelevanten Sachverhalten gegenüber der Geschäftsführung. Die für ein Datenschutzmanagement erforderlichen Rollen sowie die Verantwortung des Bereiches Datenschutz sind festgelegt und kommuniziert worden. Ein regelmäßiger Austausch zwischen den Bereichen Datenschutz und Informationssicherheit ist gewährleistet.
Alle Prozesse, IT-Systeme oder sonstigen Verarbeitungen, in denen jeweils personenbezogene Daten verarbeitet werden, werden vom für den Prozess verantwortlichen Fachbereich im Verzeichnis von Verarbeitungstätigkeiten dokumentiert. Das zum jeweiligen Prozess erfasste Verarbeitungsformular enthält sämtliche datenschutzrelevanten Angaben, insbesondere zu Zwecken, Umfang, Herkunft und Löschfristen der verarbeiteten personenbezogenen Daten. Darüber hinaus werden Angaben zu beabsichtigten Auswertungen, der Art und den Umfang der Information der Betroffenen, dem Datenfluss, die hierfür eingesetzten IT-Systeme sowie die Übermittlung an interne oder externe Stellen sowohl innerhalb, als auch außerhalb der EU/EWR erfasst.
Bei der Neugestaltung oder Änderung von Prozessen, IT-Systemen oder sonstigen Verarbeitungen besteht eine Verpflichtung zur Einbindung des Bereichs Datenschutz bereits in der Konzeptionsphase. Jeder erfasste Prozess wird auf Basis der Angaben im Verarbeitungsformular im Hinblick auf Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz bewertet und auf die Einhaltung der Grundsätze der Rechtmäßigkeit und Verarbeitung nach Treu und Glauben sowie die Erfüllung der Informationspflichten gegenüber dem Betroffenen hingewirkt, damit dieser die Art und Weise der Verarbeitung nachvollziehen kann. Auf Grundlage der Bewertung entscheidet der Freigabe-Verantwortliche des Bereiches über die Implementierung des Prozesses. Bei Änderungen von Prozessen, IT-Systemen oder sonstigen Verarbeitungen wird der Ablauf erneut angestoßen.
2 Erfüllung von Betroffenenrechten
Betroffenen sind die ihnen zustehenden Rechte auf Benachrichtigung, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Erwirkung des Eingriffs in automatisierte Einzelentscheidungen bei Bestehen der gesetzlichen Voraussetzungen unverzüglich und wirksam zu gewähren. Die verarbeitende Stelle ist verpflichtet, die entsprechenden Maßnahmen umzusetzen.
Die folgenden Maßnahmen gewährleisten, dass geltend gemachte Betroffenenrechte umgesetzt werden:
Die Erfüllung von Betroffenenrechten ist durch etablierte Prozesse sichergestellt.
16-1
Ein Prozess zur Erkennung und Behandlung von Security Incidents sowie die Meldung an relevante Stakeholder muss definiert werden.
16-2
Security Incidents, die potenziell oder nachweislich die Informationen der Schwarz Gruppe betreffen, müssen zeitnah an die SOC/CERT Funktion der Schwarz Gruppe gemeldet werden.
20-2
Funktionen zur Löschung, Korrektur und Bereitstellung von personenbezogenen Daten müssen vorhanden sein und die Verarbeitung von personenbezogenen Daten muss eingeschränkt oder beendet werden können.
20-3
Wird über ein IT-System die Einwilligung in die Verarbeitung von personenbezogenen Daten eingeholt, muss die Einwilligung protokolliert werden.
3 Datenminimierung
Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Art. 5 Abs. 1 lit. c DS-GVO).
Die folgenden Maßnahmen gewährleisten, dass die oben genannten Voraussetzungen eingehalten werden:
20-4
IT-Systeme, die personenbezogene Daten verarbeiten, müssen über ein geeignetes Löschkonzept in Bezug auf die verarbeiteten personenbezogenen Daten verfügen.
20-5
In IT-Systemen, die personenbezogene Daten verarbeiten, muss eine geeignete Trennung von Datenbeständen erfolgen, die für unterschiedliche Zwecke oder, bei gemeinsam genutzten IT-Systemen, von unterschiedlichen verantwortlichen Stellen verarbeitet werden.
4 Transparenz
Sowohl Betroffene, als auch die Betreiber von Systemen sowie zuständige Kontrollinstanzen sollen erkennen können, welche Daten wann und für welchen Zweck bei einer Verarbeitungstätigkeit erhoben und verarbeitet werden, welche Systeme und Prozesse dafür genutzt werden, wohin die Daten zu welchem Zweck fließen und wer die rechtliche Verantwortung für die Daten und Systeme in den verschiedenen Phasen einer Datenverarbeitung besitzt. Transparenz ist für die Beobachtung und Steuerung von Daten, Prozessen und Systemen von ihrer Entstehung bis zu ihrer Löschung erforderlich und eine Voraussetzung dafür, dass eine Datenverarbeitung rechtskonform betrieben und in diese, soweit erforderlich, von betroffenen Personen informiert eingewilligt werden kann.
Die folgenden Maßnahmen gewährleisten, dass die oben genannten Voraussetzungen eingehalten werden:
Im Rahmen der datenschutzrechtlichen Bewertung von Prozessen ist sichergestellt, dass die Informationspflichten geprüft und eingehalten werden.
Der Einsatz von Auftragnehmern und Auftraggebern wird in einem Verzeichnis von Verarbeitungstätigkeiten beschrieben und dokumentiert.
1.1-1
Informationssicherheitsrichtlinien müssen über einen verbindlichen Vorgaben-Management-Prozess dokumentiert, freigegeben und an relevante Gruppen kommuniziert werden. Zusätzlich müssen diese regelmäßig hinsichtlich Eignung und Angemessenheit überprüft werden.
1.2-1
Informationssicherheitsrollen und -verantwortlichkeiten müssen definiert und entsprechenden Personen zugeordnet werden.
1.3-1
Informationssicherheitsrichtlinien für Anwender müssen definiert und an die Anwender kommuniziert werden.
1.4-1
Gesetzliche, regulatorische, selbstauferlegte und vertragliche Anforderungen an die Informationssicherheit müssen bekannt sein und dokumentiert werden.
2.1-1
Informationssicherheitsrisiken müssen identifiziert, bewertet, behandelt und überwacht werden.
2.2-1
Kennzahlen zur Steuerung der Informationssicherheitsziele müssen definiert und regelmäßig an die Unternehmensleitung berichtet werden, um Maßnahmen zur kontinuierlichen Verbesserung abzuleiten.
2.3-1
Informationssicherheitsrelevante Assets müssen identifiziert, dokumentiert und nach Kritikalität klassifiziert werden.
3.2-1
Alle Mitarbeiter müssen regelmäßig entsprechend ihrer Aufgaben bzgl. Informationssicherheit geschult und sensibilisiert werden.
4-1
Die Sicherheit von Prozessen, IT-Systemen und externen Dienstleistern muss regelmäßig und unabhängig auditiert werden.
12-1
Sicherheitsrelevante Systemereignisse müssen manipulationssicher protokolliert und kontinuierlich ausgewertet werden.
15-1
Informationssicherheitsanforderungen an externe Dienstleister und ein Recht zur Überprüfung dieser Anforderungen müssen definiert und vertraglich vereinbart werden.
16-1
Ein Prozess zur Erkennung und Behandlung von Security Incidents sowie die Meldung an relevante Stakeholder muss definiert werden.
16-2
Security Incidents, die potenziell oder nachweislich die Informationen der Schwarz Gruppe betreffen, müssen zeitnah an die SOC/CERT Funktion der Schwarz Gruppe gemeldet werden.
20-2
Funktionen zur Löschung, Korrektur und Bereitstellung von personenbezogenen Daten müssen vorhanden sein und die Verarbeitung von personenbezogenen Daten muss eingeschränkt oder beendet werden können.
20-3
Wird über ein IT-System die Einwilligung in die Verarbeitung von personenbezogenen Daten eingeholt, muss die Einwilligung protokolliert werden.
5 Zweckbindung
Bei der Verarbeitung personenbezogener Daten werden die hierfür bestimmten Zwecke im Vorfeld definiert und im jeweiligen Verarbeitungsformular im Verzeichnis von Verarbeitungstätigkeiten schriftlich festgehalten. Um eine Weiterverarbeitung für nicht mit den festgelegten Zwecken vereinbare Weise zu verhindern, wird die Zweckbindung durch geeignete technische und organisatorische Maßnahmen sichergestellt.
Die folgenden Maßnahmen gewährleisten, dass die oben genannten Voraussetzungen eingehalten werden:
Durch die verpflichtende Einbindung des Bereichs Datenschutz im Rahmen der Neugestaltung oder Änderung von Prozessen, IT-Systemen oder sonstigen Verarbeitungen - bereits in der Konzeptionsphase - ist sichergestellt, dass Änderungen festgelegter Zwecke erneut einer Bewertung unterzogen und im Falle einer Verletzung der Zweckbindung verhindert werden.
Bei der Verarbeitung im Auftrag eines Verantwortlichen oder im Falle gemeinsamer Verantwortlichkeit wird die ordnungsgemäße Vertragsgestaltung und Auftragserteilung i.d.R. durch die Verwendung von Musterverträgen sichergestellt und dokumentiert. Werden innerhalb der Schwarz Gruppe Verarbeitungen personenbezogener Daten beauftragt, erfolgt dies auf Grundlage der jeweils gültigen Rahmenvereinbarung über die „Erbringung datenschutzrelevanter Dienstleistungen innerhalb der Schwarz Gruppe“ und Nutzung eines Vertragsmusters zur Regelung der konkreten Datenverarbeitung im Einzelfall.
Auftragsverarbeiter haben die getroffenen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung offenzulegen. Einzelfallabhängig wird entschieden, ob neben der dokumentenbasierten Prüfung der technischen und organisatorischen Maßnahmen, weitere Prüfungsmaßnahmen eingeleitet werden.
Vor der Beauftragung einer Verarbeitung im Auftrag eines Verantwortlichen überzeugt sich der Verantwortliche in geeigneter Weise beim Auftragsverarbeiter von der Einhaltung der zugesicherten technischen und organisatorischen Maßnahmen. Abhängig von den Antworten und den vom Auftragsverarbeiter bereitgestellten Dokumenten wird entschieden, ob weitergehende Maßnahmen, wie z. B. eine Vor-Ort-Kontrolle oder die Beauftragung Dritter zur Überprüfung des gebotenen Datenschutzniveaus, erforderlich sind.
Mitarbeiter werden dahingehend sensibilisiert, dass sie im Falle einer Auftragsverarbeitung durch den Auftraggeber bereitgestellte personenbezogene Daten lediglich im Rahmen der Weisungen des Auftraggebers verarbeiten dürfen.
14.1-1
In produktiven Systemen dürfen keine Entwicklungen und Tests durchgeführt werden.
14.1-2
Best Practice Ansätze zur sicheren Softwareentwicklung müssen berücksichtigt und umgesetzt werden.
14.2-1
Vor der Produktivsetzung einer Softwareentwicklung muss diese auf Sicherheitsschwachstellen und korrekte Funktionalität geprüft werden.
20-1
IT-Systeme müssen nach Best Practice Ansätzen so gehärtet werden, dass nur Dienste und Funktionen aktiviert sind, die nach dem aktuellen Stand der Technik als sicher gelten und zum Betrieb notwendig sind.
20-3
Wird über ein IT-System die Einwilligung in die Verarbeitung von personenbezogenen Daten eingeholt, muss die Einwilligung protokolliert werden.
20-4
IT-Systeme, die personenbezogene Daten verarbeiten, müssen über ein geeignetes Löschkonzept in Bezug auf die verarbeiteten personenbezogenen Daten verfügen.
20-5
In IT-Systemen, die personenbezogene Daten verarbeiten, muss eine geeignete Trennung von Datenbeständen erfolgen, die für unterschiedliche Zwecke oder, bei gemeinsam genutzten IT-Systemen, von unterschiedlichen verantwortlichen Stellen verarbeitet werden.
6 Integrität
Informationstechnische Prozesse und Systeme haben die Spezifikationen kontinuierlich einzuhalten, die zur Ausübung ihrer zweckbestimmten Funktionen für sie festgelegt wurden. Die zu verarbeitenden Daten sollen unversehrt, vollständig, richtig und aktuell bleiben. Abweichungen von diesen Eigenschaften sollen ausgeschlossen oder zumindest feststellbar sein, damit sie berücksichtigt und korrigiert werden können.
Die folgenden Maßnahmen gewährleisten, dass die oben genannten Voraussetzungen eingehalten werden:
6.2-1
IT-Systeme müssen regelmäßig auf Schwachstellen überprüft werden und diese müssen innerhalb einer definierten Behebungsfrist, basierend auf ihrer Kritikalität, behoben werden.
6.3-1
Security Patches müssen regelmäßig und zeitnah nach Veröffentlichung auf IT-Systemen eingespielt werden.
8-1
IT-Systeme und Schnittstellen müssen durch den Einsatz von Anti-Malware Lösungen vor Schadsoftware geschützt werden.
9.3-1
Die Anlage, Änderung und Zuweisung von Zugriffsrechten muss nachvollziehbar im 4-Augen-Prinzip erfolgen.
9.3-2
Die Vergabe von Berechtigungen muss nach dem Prinzip der minimalen Rechtevergabe erfolgen.
9.3-3
Berechtigungen müssen regelmäßig auf Angemessenheit überprüft und bei Bedarf angepasst werden.
12-1
Sicherheitsrelevante Systemereignisse müssen manipulationssicher protokolliert und kontinuierlich ausgewertet werden.
13.2-1
Das interne Netzwerk muss nach geeigneten Kriterien segmentiert und durch Kommunikationsregeln kontrolliert werden.
14.2-1
Vor der Produktivsetzung einer Softwareentwicklung muss diese auf Sicherheitsschwachstellen und korrekte Funktionalität geprüft werden.
14.2-2
Änderungen an IT-Systemen müssen getestet und freigegeben werden.
16-1
Ein Prozess zur Erkennung und Behandlung von Security Incidents sowie die Meldung an relevante Stakeholder muss definiert werden.
16-2
Security Incidents, die potenziell oder nachweislich die Informationen der Schwarz Gruppe betreffen, müssen zeitnah an die SOC/CERT Funktion der Schwarz Gruppe gemeldet werden.
7 Verfügbarkeit
Der Zugriff auf personenbezogene Daten und ihre Verarbeitung soll unverzüglich möglich. Die Verfügbarkeit umfasst die konkrete Auffindbarkeit von Daten z. B. durch Datenmanagement-Systeme, strukturierte Datenbanken und Suchfunktionen und die Fähigkeit der verwendeten technischen Systeme, Daten auch für Menschen angemessen darzustellen. Darüber hinaus sind zur Umsetzung der Verfügbarkeit Maßnahmen zu ergreifen, die sicherstellen, dass personenbezogene Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können. Es sind auch Maßnahmen umzusetzen, die die Verfügbarkeit der personenbezogenen Daten und der Systeme und Dienste, die diese verarbeiten, garantieren, wenn diese unter einer der Verarbeitung angemessenen zu erwartenden Last stehen und im Falle unerwartet hoher Last sicherstellen, dass der Schutz der personenbezogenen Daten nicht gefährdet ist. Sollte in Ausnahmefällen der Schutz personenbezogener Daten bezüglich der Verfügbarkeit dennoch verletzt werden, so ist sicherzustellen, dass Maßnahmen zur Behebung und Abmilderung der Verletzung getroffen werden.
Die folgenden Maßnahmen werden zur dauerhaften Sicherstellung der Verfügbarkeit von personenbezogenen Daten ergriffen:
Brand- und Blitzschutz: Alle zentralen Verwaltungs- und Sonderliegenschaften sind mit einer ausreichenden Anzahl an Feuerlöschgeräten gemäß ASR A2.2 ausgestattet. Ebenfalls sind Brandabschnitte gemäß den gesetzlichen und versicherungstechnischen Anforderungen mit Brandschutz- und Rauchschutztüren getrennt, insbesondere die Treppenräumen und notwendigen Flure.
Es sind immer mindestens zwei unabhängig voneinander getrennte Flucht- und Rettungswege ausgewiesen. In den Gebäuden sind je nach Größe und Ausdehnung Rauchwarnmelder, automatisierte Brandmelde- und/oder Löscheinrichtungen installiert. Alarme über Brandmeldungen, Löschmitteleinsätze, Wassereinbrüche und Stromausfälle werden zentral vom ständig besetzten Sicherheitsleitstand überwacht, von dort aus werden im Bedarfsfall die zuständigen Personen über eine Alarmierungssoftware informiert.
In allen Objekten werden Mitarbeiter in deren Arbeitsumgeben durch die jährliche Sicherheitsunterweisung unterwiesen. Zusätzlich werden durch regelmäßige Brandschutzhelferausbildungen Personen in die sachgemäße Handhabung der Brandmelder, Feuerlöscher und Wandhydranten unterwiesen. Es gilt ein generelles Rauchverbot auf allen Betriebsgeländen und insbesondere innerhalb von Gebäuden. Sofern die Gebäudeklassifizierung eine Blitzschutzanlage verlangt, wird diese in der jeweils geforderten Schutzklasse betrieben. Durch die schriftlich bestellten Brandschutzbeauftragten werden mindestens jährliche brandschutztechnische Begehungen durchgeführt, bei denen die oben genannten Punkte abgeprüft werden. Technische Anlagen werden entsprechend der gesetzlichen, berufsgenossenschaftlichen oder versicherungstechnischen Vorgaben inspiziert, gewartet und geprüft.
11.2-2
Rechenzentren und Serverräume müssen vor Umweltgefahren wie Wasser, Feuer, Überhitzung, Überspannung oder Stromausfällen geschützt werden.
12-2
Die Kapazitäten und Verfügbarkeiten von IT-Systemen müssen überwacht werden.
16-1
Ein Prozess zur Erkennung und Behandlung von Security Incidents sowie die Meldung an relevante Stakeholder muss definiert werden.
16-2
Security Incidents, die potenziell oder nachweislich die Informationen der Schwarz Gruppe betreffen, müssen zeitnah an die SOC/CERT Funktion der Schwarz Gruppe gemeldet werden.
17-1
Es müssen Notfallprozesse und getestete Notfallkonzepte existieren, die den Notbetrieb sowie die notwendige Kommunikation im Notfall sicherstellen.
18.1-1
Backups müssen regelmäßig durchgeführt werden. Backupmedien müssen an einem von der Datenverarbeitung entfernten Ort aufbewahrt werden.
18.2-1
Backups müssen durch regelmäßige Wiederherstellungstests auf Funktionsfähigkeit überprüft werden.
8 Vertraulichkeit
Personenbezogene Daten dürfen unbefugten Dritten nicht zur Kenntnis gelangen oder durch diese genutzt werden können. Unbefugte sind nicht nur Dritte außerhalb der verantwortlichen Stelle, sondern auch Beschäftigte, die zur Erbringung ihrer Aufgabe keinen Zugriff zu personenbezogenen Daten benötigen, oder Personen in Organisationseinheiten, die keinerlei inhaltlichen Bezug zu einer Verarbeitungstätigkeit oder zu der jeweiligen betroffenen Person haben. Die Vertraulichkeit personenbezogener Daten ist auch dann sicherzustellen, wenn die unterliegenden Systeme und Dienste unerwartet hoher Last unterliegen. Sollte in Ausnahmefällen die Vertraulichkeit dennoch verletzt werden, so ist sicherzustellen, dass Maßnahmen zur Behebung und Abmilderung der einhergehenden Verletzung des Schutzes personenbezogener Daten getroffen werden.
Einbruchsschutzmaßnahmen:
Gebäude sind im Regelfall umzäunt und Zufahrten mit Toren gesichert. Die Gebäude sind im Regelfall mit einer Einbruchmeldeanlage ausgestattet. Die Zugänge in das Gebäude werden überwacht. Im Gebäudeinneren werden die Räume mittels Bewegungsmeldern überwacht. Bei Auslösung wird eine ständig besetzte Stelle alarmiert.
Schlüsselverwaltung:
Bürogebäude sind stets verschlossen. Türen können nur durch entsprechend berechtigte elektronische Zutrittsmedien oder mechanische Schlüssel geöffnet werden. Elektronische Zutrittsmedien, mechanische Schlüssel und Zylinder folgen funktional der Unternehmensorganisation, so dass unmittelbare Vorgesetzte Zutritt zu den Büros ihrer Mitarbeiter haben. Büros, in denen personenbezogene Daten verarbeitet werden, werden bei längerer Abwesenheit der Mitarbeiter und nach Dienstschluss verschlossen und vertrauliche Daten in Großraumbüros in Büromöbeln unter Verschluss gehalten.
Die Verwaltung der sonstigen Zutrittsmedien und Schlüssel wie Ausgabe, Rücknahme, Inventar etc. wird über eine revisionssichere Software dokumentiert.
Die Vorgaben zum Umgang mit sonstigen Zutrittsmedien und Schlüsseln wie Weitergabe an Dritte, Verlust etc. ist entsprechend geregelt. Diese Regelungen finden sich auf dem entsprechenden Ausgabeformular wieder.
Für zentrale Standorte sind Generalschlüssel verschlossen und alarmgesichert beim Sicherheitsdienst oder Leitstand hinterlegt, um im Brandfall durch den Sicherheitsdienst für den gewaltfreien Zutritt an die Feuerwehr auszuhändigen. Die Aus- und Rückgabe von Schlüsseln wird protokolliert.
Zutrittskontrollsystem:
Zutritt für Mitarbeiter der Schwarz Unternehmensgruppe:
Die personalisierten, elektronischen Unternehmensausweise öffnen und schließen durch Vorhalten Eingangstüren zu Gebäuden, Etagen- und Flurtüren sowie Zugangstüren zu Sicherheitsbereichen, sowie Bürotüren. Die elektronischen Zutrittsprofile folgen i.d.R. den Arbeitsbereichen und der Position eines Mitarbeiters. Dazu kommen Funktionsprofile z. B. für die Gebäudereinigung und Gebäudetechnik. Die Ausgabe, die jeweiligen Zutrittsberechtigungen und Nutzung der elektronischen Unternehmensausweise sind protokolliert. Der Zugriff auf diese Daten erfolgt gemäß des dokumentierten Berechtigungskonzepts durch die Fachverantwortlichen.
Zutritt für dauerhaft tätige Fremdfirmen:
Techniker und Personal von Reinigungs- und Wartungsunternehmen erhalten personalisierte elektronische Unternehmensausweise mit erweiterten Zutrittsrechten, jedoch ohne Berechtigung zu den Sicherheitsbereichen. Sie werden für ihre Tätigkeiten in den Gebäuden von Mitarbeitern des zuständigen Fachbereichs eingewiesen und betreut und auf Anforderung der Fachbereiche durch den Sicherheitsdienst begleitet.
Zutritt für sonstige externe Dienstleister:
Handwerker erhalten bei Arbeitsbeginn eine elektronische Unternehmensausweise mit einfachen Zutrittsrechten, jedoch ohne Berechtigung zu den Sicherheitsbereichen. Sie werden für ihre Tätigkeiten in den Gebäuden von Mitarbeitern des zuständigen Fachbereichs eingewiesen und betreut und auf Anforderung der Fachbereiche durch den Sicherheitsdienst begleitet.
Zutritt für Besucher Gäste:
Zentrale Standorte verfügen über Empfänge, an denen sich Besucher während der Öffnungszeiten anmelden. Ein Mitarbeiter holt Gäste vom Wartebereich ab und begleitet sie während des Aufenthalts auf dem Gelände. Außerhalb der Empfangsöffnungszeiten und falls kein Empfang vorhanden ist, sind die Türen verschlossen. Besucher melden sich dann mittels Sprechanlage oder Telefon im Eingangsbereich beim Mitarbeiter oder an zentralen Standorten beim Sicherheitsdienst.
Videoüberwachung:
Gefährdete Standorte können über eine Videoüberwachung verfügen. Diese orientiert sich an einem jeweils für diesen Standort gültigen Videokonzept.
5-1
Bei der elektronischen Übertragung und Speicherung von Informationen müssen diese auf Basis ihrer Klassifikation angemessen vor unberechtigtem Zugriff geschützt werden.
6.2-1
IT-Systeme müssen regelmäßig auf Schwachstellen überprüft werden und diese müssen innerhalb einer definierten Behebungsfrist, basierend auf ihrer Kritikalität, behoben werden.
7-1
Die Löschung, Vernichtung und Entsorgung von Datenträgern muss über ein, nach aktuellem Stand der Technik, als sicher geltendes Verfahren erfolgen und nachvollziehbar dokumentiert werden.
7-2
Endpoint-Protection-Lösungen müssen Schreib- und Lesezugriffe auf mobile Speichermedien und Schnittstellen kontrollieren.
7-3
Vertrauliche Papierdokumente müssen unter Verschluss gehalten werden. Diese dürfen nicht unbeaufsichtigt liegen gelassen werden und müssen sicher vernichtet werden.
9.1-1
Beim Ausscheiden von Mitarbeitern müssen alle Berechtigungen zeitnah entzogen werden.
9.1-2
Benutzerkonten müssen eindeutig einer Person zugeordnet werden.
9.2-1
Der Zugriff auf Informationen innerhalb von IT-Systemen muss über sichere Authentifizierungsmethoden erfolgen.
9.2-2
Zugriffe von externen Netzwerken auf interne Informationen müssen über eine Multi-Faktor-Authentifizierung erfolgen.
9.2-3
Authentifizierungsinformationen müssen bei der Übermittlung und Speicherung vor unberechtigtem Zugriff geschützt werden.
9.2-4
Standard-Passwörter und -Konten müssen geändert bzw. gesperrt werden.
9.2-5
Endgeräte müssen bei Inaktivität automatisch gesperrt werden. Die Entsperrung darf nur durch persönliche Authentifizierung möglich sein.
9.2-6
Die Kriterien zur Nutzung von Passwörtern müssen vor dem Erraten und systematischen Ausprobieren (Brute-Force-Angriff) von Passwörtern schützen.
9.3-1
Die Anlage, Änderung und Zuweisung von Zugriffsrechten muss nachvollziehbar im 4-Augen-Prinzip erfolgen.
9.3-2
Die Vergabe von Berechtigungen muss nach dem Prinzip der minimalen Rechtevergabe erfolgen.
9.3-3
Berechtigungen müssen regelmäßig auf Angemessenheit überprüft und bei Bedarf angepasst werden.
10.1-1
Zur Verschlüsselung müssen sichere und nicht kompromittierte kryptografische Verfahren verwendet werden.
10.2-1
Es dürfen nur vertrauenswürdige und nicht kompromittierte Zertifizierungsstellen (CA) genutzt werden.
10.3-1
Das Erstellen, Verteilen, Speichern und Löschen von Zertifikaten muss einem definierten Prozess folgen.
10.4-1
Geschäftliche Daten müssen über öffentliche Netze verschlüsselt übertragen werden.
11.1-1
Über ein Zutrittskonzept muss sichergestellt werden, dass der physische Zutritt zu geschäftlichen Räumlichkeiten nur auf berechtigte Personen beschränkt wird.
11.2-1
Unberechtigte Zutritte zu Rechenzentren und Serverräumen müssen erkannt und gemeldet werden.
13.1-1
Der Zugriff auf das interne Netzwerk muss auf berechtigte User und Systeme beschränkt werden.
13.2-1
Das interne Netzwerk muss nach geeigneten Kriterien segmentiert und durch Kommunikationsregeln kontrolliert werden.
13.4-1
Der Zugriff von externen Netzwerken auf das interne Netzwerk darf nur für definierte und kontrollierte Verbindungen möglich sein.
13.5-1
Der Zugriff auf externe Netzwerke und Internetseiten muss kontrolliert werden.
22-1
Es muss sichergestellt werden, dass auf geschäftliche Daten von verlorenen oder gestohlenen mobilen Endgeräten nicht durch unberechtigte Dritte zugegriffen werden kann.
22-2
IT-Geräte dürfen im öffentlichen Raum nicht unbeaufsichtigt gelassen werden oder müssen vor unberechtigtem Zugriff geschützt werden.