(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
3. Geltungsbereich
Die Handlungsleitlinien gelten für die AUDI AG und sind im gesamten Audi Konzern anzuwenden und durch
konkrete IT-Regelungen im Einzelfall auszugestalten.
4. Einstufung und Kontrolle der Werte
Betriebsnotwendige IT-Systeme (siehe Anhang, Ziff. 3) sind in einem Verzeichnis zu erfassen. Die
Systemverantwortung ist einer Organisationseinheit, einem Gremium oder Beauftragten zuzuordnen.
Als betriebsnotwendig sind IT-Systeme einzustufen, deren Funktionsstörung den Fortbestand des
Unternehmens ernsthaft gefährden könnte oder deren Wiederherstellung bzw. Wiederbeschaffung einen
hohen Zeitaufwand und/oder hohe Kosten erfordern würde. Ferner sind Originale von wichtigen Urkunden
(z. B. Kaufverträge, Versicherungspolicen, Lizenzen) in diese Kategorie einzustufen.
Dieses Verzeichnis der erfassten IT-Systeme hat mindestens die folgenden Angaben zu enthalten:
Beschreibung der IT-Systeme einschließlich ihrer Schnittstellen zu anderen IT-Systemen,
Verantwortliche Stelle oder Person,
Bedeutung der IT-Systeme für die Geschäftsprozesse,
Einsatzort (physisch),
Einsatzbereich (fachlich),
Klassifizierung der Daten und ggf. Hinweise auf besondere Schutzerfordernisse und -maßnahmen,
Vorhandensein personenbezogener Daten.
5. Personelle Sicherheit
Nach der Bearbeitung von IT-Sicherheitsvorfällen, IT-Sicherheitsschwachstellen oder ITsicherheitsrelevanten
Funktionsstörungen sind Erkenntnisse über mögliche Auswirkungen auf andere
Geschäftsprozesse oder Sicherheitsmaßnahmen an den Vorgesetzten und an die IT-Sicherheitsorganisation
(siehe Anhang, Ziff. 4) zu melden.
Sind diese Vorfälle gravierend oder treten sie öfter auf, so sind sie im Rahmen der Qualitätssicherung
kontinuierlich zu prüfen, um ihre Entstehung in Zukunft möglichst zu verhindern und den Umgang mit
diesen Ereignissen zu verbessern.
6. Physische und umgebungsbezogene Sicherheit
Betriebsnotwendige IT-Systeme sind vor Stromausfall oder –schwankungen zu schützen (z. B. durch
unterbrechungsfreie Stromversorgung, durch Notstromaggregat).
Unmittelbar nach der Installation einer Daten- und Stromnetzkomponente sind vorhandene
systemspezifische Schutzmechanismen (z. B. Passwortschutz) zu aktivieren, um unzulässige
Manipulationen zu verhindern oder zumindest möglichst frühzeitig erkennen zu können.
Der Betreiber hat u. a. durch Wartung der Geräte sicherzustellen, dass die Verfügbarkeit, Vertraulichkeit
und Integrität von Daten gewährleistet ist.
Vor der Entsorgung oder Wiederverwendung von Geräten sind alle darauf enthaltenen Informationen
nachhaltig zu löschen.
Seite 4 von 14