(IT)-Sicherheitshandlungsleitlinien für Systembetreiber und ... - Audi

IT-Sicherheitshandlungsleitlinien für Systembetreiber und Administratoren Status: Freigegeben
8.4. Kontrolle des Betriebssystemzugriffs
Das Netzwerk ist auf nicht autorisierte Endgeräte zu prüfen.
IT-Systeme, die den Zugang Unbefugter ungehindert zulassen, dürfen nicht eingesetzt werden, sondern
sind durch geeignete IT-Systeme zu ersetzen, durch geeignete Maßnahmen zu schützen oder durch
entsprechende Zusatzsoftware oder –hardware nachzurüsten.
Pflicht der Systemverantwortlichen ist es, ein sicheres Anmeldeverfahren umzusetzen. Dazu sind folgende
Vorgaben zu erfüllen:
Bei falscher Eingabe bei der Anmeldung darf das IT-System nicht anzeigen, welcher Teil der Daten
fehlerhaft war.
Erfolglose Versuche sind aufzuzeichnen.
Die für das Anmeldeverfahren erlaubte maximale Zeit ist zu begrenzen. Bei Überschreitung hat das
IT-System die Anmeldung abzubrechen.
Allen Benutzern ist eine eindeutige Benutzerkennung für ihren persönlichen und alleinigen Gebrauch
zuzuweisen, damit Aktivitäten auf die verantwortliche Einzelperson zurückgeführt werden können.
Die Benutzerkennungen dürfen, soweit technisch möglich, keinerlei Auskunft über die Zugriffsrechte des
Benutzers geben.
Die Systemverantwortlichen haben die Mindestforderungen bei der Passwortfestlegung (siehe „IT-
Sicherheitshandlungsleitlinien für Mitarbeiterinnen und Mitarbeiter“) durch entsprechende
Systemumsetzungen zu unterstützen.
Dialogsitzungen, die über einen längeren Zeitraum nicht mehr aktiv benutzt werden, sind zu deaktivieren
oder durch geeignete Maßnahmen zu schützen.
8.5. Zugriffskontrolle für Anwendungen
Vom Administrator ist sicherzustellen, dass der Anwender innerhalb der Anwendung nur Zugriff auf die für
ihn freigegebenen Informationen erhält.
8.6. Überwachung des Systemzugriffs und der Systembenutzung
IT-Sicherheitsvorfälle sind zu dokumentieren.
Bei der Passwortvergabe/-änderung ist zu überprüfen, ob Passwörter gemäß den Passwortregeln gebildet
werden.
8.7. Mobile Computing
Mobiles Arbeiten im Netz außerhalb des Konzernnetzwerkes mit einem tragbaren Computer erfordert eine
sichere Remote Anbindung. Die Identifikation und Authentisierung erfolgt mittels „Wissen und Besitz“. Die
Datenübertragung ist mit einer sicheren Verschlüsselung zu schützen.
9. Systementwicklung und –wartung
Die Installation von Software darf nur von autorisierten Personen (siehe Anhang, Ziff. 9) durchgeführt
werden.
Neue oder geänderte Programme für Produktivsysteme dürfen nur nach erfolgreichen Tests sowie nach
Freigabe durch Informationseigentümer und Systembetreiber eingesetzt werden. Die Versions-
/Korrekturstände der eingesetzten Software sind zu dokumentieren und gemäß gesellschaftsspezifischer
Regelungen (siehe Anhang, Ziff. 10) zu archivieren.
Beim Zugriff auf Testdaten ist der Grundsatz „Kenntnis, nur wenn nötig“ zu beachten.
Der Test von Software ist nur in der dafür vorgesehenen Testumgebung zulässig. Dabei ist sicherzustellen,
dass der produktive Betrieb nicht in Mitleidenschaft gezogen wird.
Seite 9 von 14