(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
Vor Ablauf der technologieabhängigen Lebensdauer des jeweiligen Datenträgers sind die Daten auf neue
Datenträger zu überspielen. Es ist dabei sicherzustellen, dass die erforderliche Hardware und Software zum
Lesen und Beschreiben der Datenträger über die gesamte Aufbewahrungsdauer der Daten vorhanden ist.
Bei der Archivierung von Daten sind firmeninterne und gesetzliche Aufbewahrungsfristen einzuhalten. Die
Lesbarkeit von archivierten Datenträgern ist in angemessenen Zeitabständen zu überprüfen.
7.4.2. Bedienerprotokolle
Die Tätigkeiten der Systembetreiber an IT-Systemen mit vertraulichen und/oder geheimen Informationen
sind zu protokollieren.
Die Protokolle haben mindestens Folgendes zu enthalten:
eine eindeutige Identifikation der protokollierten Person (z. B. Name oder Kennung),
Beginn und Beendigung der Tätigkeit am IT-System,
aufgetretene Systemfehler,
durchgeführte Maßnahmen.
Protokollauswertungen haben regelmäßig im Rahmen von Audits und bei Verdacht auf IT-
Sicherheitsvorfälle zu erfolgen.
7.4.3. Fehlerprotokoll
Von Benutzern gemeldete Fehler und Fehlfunktionen sind zu protokollieren.
Die vom Betreiber veranlassten Maßnahmen zur Fehlerbehebung müssen technisch korrekt und von
berechtigtem Personal durchgeführt werden.
7.5. Netzwerkmanagement
Der sichere Betrieb von IT-System/-Netzen ist vom jeweiligen Betreiber zu gewährleisten.
Das Sicherheitsniveau der Kommunikations- und der Netzwerkressourcen ist der Gefährdung und der
Sensibilität der zu übertragenden Daten anzupassen.
7.6. Sicherheit von Systemdokumentation
Der Zugriff auf schützenswerte Systemdokumentation ist auf die Personen zu beschränken, die diese
Informationen zur Erfüllung ihrer definierten Arbeitsumfänge benötigen.
7.7. Austausch von Informationen und Software
Der Systembetreiber ist für die Zuverlässigkeit von Kommunikationsdiensten (z. B. E-Mail, ftp)
verantwortlich. Bei den E-Maildiensten ist folgendes zu beachten:
Bei der Vergabe von E-Mail Adressen ist auf Eindeutigkeit zu achten.
Gruppen-E-Mail Adressen dürfen nur für den E-Mail-Empfang verwendet werden.
Postfächer sind gegen Zugriffe Unbefugter zu schützen.
Für nicht zustellbare E-Mail Nachrichten erfolgt eine automatische Rückmeldung.
Öffentlich zugängliche IT-Systeme sind für alle (z. B. Mitarbeiter, Kunden, Geschäftspartner, Medien) frei
zugänglich und zur Nutzung verfügbar.
Informationen, die in das öffentlich zugängliche IT-System eingegeben und dort verarbeitet werden, sind
vollständig, korrekt und zügig zu verarbeiten. Sie sind während des Bearbeitungsprozesses und bei der
Speicherung zu schützen.
Öffentlich zugängliche IT-Systeme dürfen nur über sichere Netzübergangskomponenten Zugang zu
internen Netzen haben.
Seite 7 von 14