1. Datensicherung und Notfallwiederherstellung - tomtec

IT Sicherheitshandbuch für KMU
Bei der Einstellung von IT-Administratoren ist besondere Sorgfalt nötig: Sie haben weitgehende und
umfassende Befugnisse, insbesondere sind sie in der Lage, auf alle Daten zuzugreifen, sie zu verändern
und Berechtigungen so zu vergeben, dass erheblicher Missbrauch möglich ist. Das hierfür
eingesetzte Personal muss sorgfältig ausgewählt werden und absolut vertrauenswürdig sein.
VERFAHREN BEIM AUSSCHEIDEN VON MITARBEITERN
Beim Ausscheiden von Mitarbeitern aus dem Unternehmen sollten folgende grundlegende Punkte
beachtet werden:
■ Sämtliche Unterlagen, ausgehändigte Schlüssel, ausgeliehene IT-Geräte (z.B. tragbare
Rechner, Speichermedien, Dokumentationen) sind zurückzufordern.
■ Sämtliche Zugangsberechtigungen und Zugriffsrechte müssen entzogen bzw. gelöscht
werden, dies betrifft vor allem auch Berechtigungen für eventuelle Telearbeitszugänge.
■ Wenn eine Zugangsberechtigung zu einem IT-System zwischen mehreren Personen geteilt
wurde (z.B. mittels eines gemeinsamen Passwortes), muss nach Ausscheiden einer
der Personen die Zugangsberechtigung sofort geändert werden. Wenn Administratoren
oder andere Schlüsselpersonen ausscheiden, müssen auch alle anderen Passwörter
geändert werden, die ihnen bekannt waren.
■ Nach Möglichkeit sollte eine Neuvergabe des bestehenden Benutzerkontos an einen
anderen Mitarbeiter vermieden bzw. ausgeschlossen werden.
REGELUNGEN FÜR DEN EINSATZ VON FREMDPERSONAL
Betriebsfremde Personen wie z.B. Reinigungspersonal oder Mitarbeiter von IT-Dienstleistern können
leicht Zugang zu vertraulichen Unternehmensdaten erhalten und stellen unter Umständen
eine erhebliche Bedrohung dar.
Einige einfache Regeln sollten beachtet werden, um vertrauliche Informationen zu schützen:
■ Externe Mitarbeiter, die über einen längeren Zeitraum in einem Unternehmen tätig
sind und Zugang zu vertraulichen Unterlagen und Daten erhalten könnten, müssen
schriftlich (im Rahmen von Geheimhaltungsverpflichtungen) auf die Einhaltung der
geltenden einschlägigen Gesetze, Vorschriften und internen Regelungen verpflichtet
werden.
■ Für Fremdpersonal, das nur kurzfristig oder einmalig zum Einsatz kommt, gelten die
gleichen Regeln wie für Besucher, d.h. dass etwa der Aufenthalt in sicherheitsrelevanten
Bereichen nur in Begleitung von Mitarbeitern des Unternehmens erlaubt ist.
38