Aide Mémoire 071212 "Überwachung ... - ZLG

Aide-mémoire
07121202
Überwachung computergestützter Systeme Seite 32 von 56
Zentralstelle der Länder für Gesundheitsschutz
bei Arzneimitteln und Medizinprodukten
ZLG
2.4.8 Sicherheit
12. Sicherheit - Anhang 11
12.1 1 Es sollten physikalische und/ oder logische Maßnahmen implementiert sein, um den
Zugang zu computergestützten Systemen auf autorisierte Personen zu beschränken.
2 Geeignete Maßnahmen zur Vermeidung unerlaubten Systemzugangs können die Verwendung
von Schlüsseln, Kennkarten, persönlichen Codes mit Kennworten, biometrische Verfahren
sowie den eingeschränkten Zugang zu Computern mit zugehöriger Ausrüstung und
Datenspeicherungsbereichen einschließen.
12.2 1 Der Umfang der Sicherheitsmaßnahmen ist von der Kritikalität des computergestützten
Systems abhängig.
12.3 1 Erteilung, Änderung und Entzug von Zugriffsberechtigungen sollten aufgezeichnet
werden.
12.4 1 Systeme zur Verwaltung von Daten und Dokumenten sollten die Identität des Anwenders,
der Daten eingibt, ändert, bestätigt oder löscht, mit Datum und Uhrzeit aufzeichnen.
2.4.8 Sicherheit
Nr. Fragen und Bezug Kommentierung
2.4.8.1 Zur Erhöhung der Sicherheit von CS kommen verschiedene Maßnahmen in
Betracht, z. B. Datenspeicherung, geregelter Datenzugriff, Datenverschlüsselung,
Virenschutz, Verwendung von Firewalls. Die Auswahl der Maßnahmen
richtet sich nach der Kritikalität des Systems und der Daten.
2.4.8.2 Die Vergabe von Zugangsberechtigungen soll gewährleisten, dass das im Betrieb
beschäftigte Personal Zugriff auf die Daten und Programme erhält, die zur
Erfüllung der übertragenen Aufgaben erforderlich sind.
2.4.8.3 Je nach Betriebssystem bestehen unterschiedliche Möglichkeiten. Sofern mehrere
Personen Zugriff zum System haben, dürfen Zugriffe auf Dateien und Programme
nur mit entsprechender Autorisierung möglich sein. Dabei ist zu beachten,
dass zur Vergabe solcher Rechte vielfach mehrere Ebenen bestehen. So ist
es möglich, eine Datei oder ein Programm nur für einen einzigen Benutzer zugänglich
zu machen. Es ist jedoch ebenso möglich, diese Rechte für eine bestimmte
Gruppe (z. B. alle Meister) oder eben für alle Nutzer mit Zugangsberechtigung
zum System zu vergeben.
2.4.8.4 Sofern Zugriffsrechte für Gruppen vergeben wurden, kann im Rahmen einer
Inspektion z. B. geprüft werden, welche Gruppen bestehen und welche Personen
welchen Gruppen zugeordnet sind. Die Vergabe von Zugriffsrechten für
Gruppen ist nur in Ausnahmefällen zulässig, z. B. bei Leserechten.
2.4.8.5 Wenn man sich dann noch erläutern lässt, welche Rechte die einzelnen Gruppen
haben, kann überprüft werden, ob die einzelnen Personen nur die zur Erfüllung
ihrer Aufgabe notwendigen Rechte haben.
öffentlich