(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
Anhang:
Gültigkeit:
Diese Regelungen sind für den Betrieb und die Administration von neuen IT-Systemen mit der
Veröffentlichung sofort bindend.
Für bestehende Systeme und Prozesse ist vom Systembetreiber ein Migrationskonzept zu erarbeiten, um
diese entsprechend anzupassen. Die Migration muss bis zum 31.12.2006 abgeschlossen sein.
Ziffer
1.
Speicherprogrammierbare Steuerungen (SPS) und Robotersteuerungen sind in verschließbaren Schränken
aufzubewahren oder durch entsprechende anderweitige geeignete Maßnahmen zu sichern. Der Zugang ist
nur Berechtigten zu ermöglichen.
Speicherprogrammierbare Steuerungen (SPS) und Robotersteuerungen sind in Netzen zu betreiben, in
denen nur die Kommunikation erlaubt ist, die für den Betrieb unbedingt erforderlich ist.
2.
Die jeweils aktuellen Informationen werden im Audi mynet veröffentlicht.
3.
Ein IT-System ist ein Gesamtsystem bestehend aus sämtlichen HW/SW-Komponenten inklusive deren
Kommunikationsbeziehungen untereinander.
4.
Die IT-Sicherheitsorganisation besteht aus dem Informations- und Datenschutz, dem IT-Sicherheitsteam,
der Expertengruppe IT-Sicherheit, den Competence Centern im Kontext der IT-Sicherheitsorganisation und
den IT-Sicherheitsbeauftragten in den Fachbereichen.
5.
Die Dokumentation ist in Abhängigkeit von gesetzlichen Anforderungen und Fachbereichsanforderungen zu
archivieren. So ist z. B. jegliche Dokumentation, die auch indirekt mit der Rechnungslegung zu tun hat, laut
den „Grundsätzen ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS)“ während der Lebenszeit
des Systems und danach 10 Jahre zu archivieren.
6.
Die Freigabe von Virenschutzsoftware erfolgt durch das Viren Competence Center (VCC).
7.
Verantwortlichkeit: I/FP.
8.
Die Beantragung einer Zugangs-/Zugriffsberechtigung für ein internes IT-System erfolgt schriftlich mit
dem Benutzerantrag. Alle Personen, die zur Benutzung eines Systems oder einer Applikation berechtigt
sind, sind formal zu erfassen.
9.
Verantwortlichkeit: Systemadministratoren, Mitarbeiter mit administrativen Rechten.
10.
Die Versions-/Korrekturstände sind in Abhängigkeit von gesetzlichen Anforderungen und
Fachbereichsanforderungen zu archivieren. So ist z. B. jegliche Dokumentation, die auch indirekt mit der
Rechnungslegung zu tun hat, laut den „Grundsätzen ordnungsmäßiger DV-gestützter
Buchführungssysteme (GoBS)“ während der Lebenszeit des Systems und danach 10 Jahre zu archivieren.
11.
Nationale Gesetze zur Anerkennung der elektronischen Signatur:
In der Bundesrepublik Deutschland gilt das Signaturgesetz – SigG. Hier sind die nationalen gesetzlichen
Rahmenbedingungen für den Einsatz elektronischer Signaturen beschrieben. Das an die EU-Richtlinie über
gemeinschaftliche Rahmenbedingungen für elektronische Signaturen vom 13.12.1999 [ECRL99]
Seite 13 von 14