(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
Um Fehlbedienungen zu verhindern, sind Entwicklungs-, Test- und Produktivsysteme z. B. durch
unterschiedliche Benutzerkennungen oder Anmeldeverfahren zu sichern.
Entwicklungs-/Testpersonal darf nur einen zur Durchführung der erforderlichen Arbeit eingeschränkten
oder zeitlich begrenzten Zugriff auf Produktivumgebungen erhalten.
7.1.6. Externe Verwaltung von Geräten
Vor einer Betreuung und Verwaltung von IT-Systemen durch Fremdpersonal ist folgendes zu prüfen und
durchzuführen:
Genehmigungen der für Anwendung/Prozess zuständigen Personen sind einzuholen.
Verantwortlichkeiten und Verfahren für die Meldung und Behandlung von IT-Sicherheitsvorfällen
sind festzulegen.
IT-Notfallpläne sind neu zu bewerten und anzupassen (siehe Kapitel 10.1.5).
7.2. Systemplanung und -abnahme
Systemplaner sowie Betreiber von IT-Systemen/-Netzen haben bereits bei der Planung der Kapazitäten die
Anforderungen des späteren Betriebes zu berücksichtigen.
Die Sicherheitsanforderungen an ein IT-System sind mit den Benutzern/Benutzervertretern während der
Planung zu definieren und zu dokumentieren.
Der Systembetreiber hat unter Berücksichtigung des geltenden IT-Sicherheitsregelwerkes zusammen mit
den Benutzern/Benutzervertretern die zu erreichende IT-Sicherheit des IT-Systems zu planen. Dabei ist ein
Sollzustand des IT-Systems festzulegen. Der Istzustand ist nach Realisierung des IT-Systems zu prüfen und
freizugeben.
Die Systemplanung (Fachkonzeption, Systemdesign, Systemrealisierung) und -abnahme
(Systemeinführung) ist mittels des Systementwicklungsprozesses (SEP) durchzuführen.
7.3. Schutz vor bösartiger Software
Kommunikationsgeräte, die von Schadsoftware befallen sind, sind unter Berücksichtigung möglicher
Auswirkungen (z. B. Produktionsstillstand) vom internen Netzwerk zu trennen.
Von den zuständigen Stellen (siehe Anhang, Ziff. 6) freigegebene Virensoftware ist auf jedem
Kommunikationsgerät zu installieren. Die entsprechenden Virensignaturen sind regelmäßig zu
aktualisieren.
Die durch die zuständigen Stellen (siehe Anhang, Ziff. 7) freigegebenen Sicherheitspatche müssen zeitnah
installiert werden.
Vom Systembetreiber sind geeignete Netzübergangskomponenten (z. B. Intrusion Prevention System)
einzusetzen, um das Firmennetz vor Schadsoftware und einer Verbreitung derselben im Netzwerk zu
schützen.
7.4. Haushaltsorganisation
7.4.1. Back-up von Informationen
Alle Verantwortlichen für IT-Systeme, Applikationen oder Datenbanken haben sicherzustellen, dass eine
ausreichende Sicherung der Daten durch die zuständigen Stellen erfolgt.
Sicherungsverfahren sind zu planen, zu überwachen und zu dokumentieren.
Sicherungsdatenträger unterliegen den gleichen Sicherheitsanforderungen wie die Original-Daten (z. B.
Schutz gegen Diebstahl und unbefugten Zugriff). Sie sind getrennt vom IT-System aufzubewahren, um bei
einer Beschädigung oder Zerstörung des IT-Systems und seiner unmittelbaren Umgebung unversehrt zu
bleiben.
Seite 6 von 14