(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
7. Management der Kommunikation und des Betriebs
7.1. Betriebsverfahren und –verantwortlichkeiten
7.1.1. Dokumentierte Betriebsverfahren
Anweisungen, die für den Betrieb eines IT-Systems zu berücksichtigen sind, sind vom Betreiber zu erstellen
und aktuell zu halten, z. B. in Form von Betriebshandbüchern. Bei Veröffentlichungen ist darauf zu achten,
dass keine sicherheitsrelevanten Fakten (z. B. Firewallkonfiguration) an unberechtigte Dritte bekannt
gemacht werden. Die Dokumentation ist gemäß gesellschaftsspezifischer Regelungen (siehe Anhang, Ziff.
5) zu archivieren.
7.1.2. Kontrolle von Veränderungen
Änderungen an produktiven IT-Systemen müssen über ein definiertes Verfahren geplant, getestet,
genehmigt und dokumentiert werden, bevor sie im produktiven Betrieb umgesetzt werden.
Änderungsabsichten (change requests) sind schriftlich zu dokumentieren und von der verantwortlichen
Stelle (z. B. Änderungen an Anwendungssytemen durch den Informationseigentümer, Änderungen an der
Infrastruktur durch den Betreiber) zu genehmigen.
Die Auswirkungen der geplanten Änderungen sind an einem Testsystem zu untersuchen. Das Testsystem ist
in Abwägung des potentiellen Risikos mit dem dafür erforderlichen Aufwand aufzubauen. Im Notfall kann
vom Betreiber ein beschleunigtes Verfahren im IT-Notfallplan (siehe Kapitel 10) definiert werden. Dabei ist
sicherzustellen, dass durch die Änderungen keine Sicherheitsmaßnahmen unterlaufen werden.
Das Sicherheitsniveau muss während und nach der Änderung erhalten bleiben. Wenn Risiken nicht
ausgeschlossen werden können, hat die Planung auch eine Rückfalllösung vorzusehen und Kriterien
vorzugeben, wann diese zum Tragen kommen soll.
Änderungen am IT-System sind zu protokollieren. Bei einer fehlgeschlagenen Änderung ist das IT-System
möglichst in den ursprünglichen Zustand zu versetzen. Vor einer neuen Durchführung ist die Ursache
festzustellen.
Sofern Änderungen an produktiven Daten nicht über das Anwendungssystem gemacht werden können, sind
auch diese Änderungen zu protokollieren.
Alle von den Änderungen betroffenen Personen sind rechtzeitig zu informieren.
7.1.3. Verfahren für das Management von Vorfällen
Um bei IT-Sicherheitsvorfällen rasch und effektiv reagieren zu können, ist es notwendig, dass der
Systembetreiber Verfahren, d. h. Anweisungen, Maßnahmen, eingesetzte Mittel etc., zur Behandlung von
Vorfällen erarbeitet, umsetzt und aktuell hält.
7.1.4. Pflichtentrennung
Ausführende (z. B. Programmierung, Entwicklung) und kontrollierende (z. B. Audit, Abnahme) Tätigkeiten
sind personell voneinander zu trennen.
Zudem sind Tätigkeiten dann zu trennen, wenn ohne eine Trennung ein erhöhtes Risiko einer willentlichen
oder unwissentlichen Fehlhandhabung zu Lasten des Konzerns besteht (Vier-Augen-Prinzip).
Vor der Einführung von Software sind die Verantwortlichkeiten zu regeln (z. B. für die Erstellung von
Pflichtenheften, die Produktvorauswahl, das Testen, das Freigeben, die Installation und den Betrieb).
7.1.5. Trennung von Entwicklungs- und Betriebsanlagen
Entwicklungs-, Testsoftware und Software im laufenden Betrieb müssen auf unterschiedlichen IT-
Systemen und/oder Netzbereichen laufen.
Seite 5 von 14