(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
Personenbezogene, vertrauliche oder geheime Daten sind vor der Übernahme von produktiven IT-Systemen
in die Testsysteme so zu verfälschen, dass ein Rückschluss auf die Original-Daten nicht mehr möglich ist,
sofern auf diese Daten Personen Zugriff erhalten, die diese nicht unbedingt für die Erfüllung ihrer
vertragsgegenständlichen Arbeiten benötigen.
Das Kopieren oder die Nutzung von Informationen aus laufenden IT-Systemen ist nur nach vorheriger
Genehmigung durch den Informationseigentümer zulässig. Die kopierten Daten unterliegen den gleichen
IT-Sicherheitsanforderungen wie die Original-Daten.
Benutzte Informationen aus laufenden IT-Systemen sind nach Durchführung des Tests nicht
wiederherstellbar zu löschen.
Zugriffsberechtigungen, die für laufende IT-Systeme gelten, müssen auch für Testanwendungen beachtet
werden.
Sicherheitsupdates von Software-Herstellern sind zeitnah einzuspielen.
Die Sicherheit von Anwendungen darf durch den Einsatz von Administrationswerkzeugen und –protokollen
nicht gefährdet werden.
Vor der Installation neuer Softwareversionen oder Patches ist durch Tests sicherzustellen, dass weder der
Betrieb noch die Sicherheit durch die Änderungen gefährdet sind.
Bei Änderungen sind die betroffenen Beschreibungen der Benutzerverfahren und der
Betriebsdokumentation anzupassen.
Wenn Änderungen an gekauften Softwarepaketen durchgeführt werden, sind die Auswirkungen auf
bestehende Regelungen und Sicherheitsmaßnahmen zu klären. Änderungen dürfen nur erfolgen, wenn dies
lizenzrechtlich und aufgrund der Wartungsverträge zulässig ist.
10. Management des kontinuierlichen Geschäftsbetriebs
10.1. Aspekte zur Aufrechterhaltung des Geschäftsbetriebs
Unvorhergesehene oder unerwartete Ereignisse, die einen Ausfall von IT-Systemen über eine nicht
tolerierbare Zeit und einen Schaden für Geschäftsprozesse zur Folge haben, werden im Folgenden
einheitlich als IT-Notfall bezeichnet.
10.1.1. Prozess für das Management des kontinuierlichen Geschäftsbetriebs
Zur Aufrechterhaltung des kontinuierlichen IT-Geschäftsbetriebs hat der Systembetreiber organisatorische
Maßnahmen/Prozesse für das Management aufzubauen, um kritische IT-Geschäftsprozesse zu
identifizieren und zu bewerten.
10.1.2. Aufrechterhaltung des Geschäftsbetriebs und Auswirkungsanalyse
Eine Organisationseinheit oder das Gesamtunternehmen darf durch den Eintritt eines unerwarteten IT-
Ereignisses (z. B. Ausfall) nicht handlungs- oder geschäftsunfähig werden.
Um dieses zu erreichen, sind zum einen vorsorgliche Maßnahmen erforderlich, damit ein unerwartetes IT-
Ereignis keinen Notfall zur Folge hat. Zum anderen sind Maßnahmen zu bestimmen, die bei Eintritt des IT-
Notfalls durchzuführen sind.
Die IT-Notfallvorsorge muss sich an den Anforderungen der Geschäftsprozesse, die beim Ausfall von IT
entstehen, orientieren. Mit Hilfe von Risikoanalysen sind mögliche Schadensfälle bezüglich der
Eintrittswahrscheinlichkeit und der Schadenshöhe zu bewerten. Bei der Bewertung von Notfallschäden ist
die Anzahl der betroffenen Anwender zu berücksichtigen sowie die geschäftliche Bedeutung der IT für
Geschäftsprozesse.
10.1.3. Verfassen und Implementieren von Plänen zur Aufrechterhaltung des Geschäftsbetriebs
Das notwendige Niveau der Dienstleistung und die maximal zu akzeptierenden Ausfallzeiten von
geschäftskritischen informationsverarbeitenden IT-Systemen sind zu definieren und zu dokumentieren.
Seite 10 von 14