Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

4.3. ZUSÄTZLICHE DOKUMENTE
Eine mögliche Hierarchie ist:
Policy:
Standard:
Richtlinie bzw.
Handbuch:
Die Policy ist absolut bindend, jedoch nur sehr kurz und allgemein
gefaßt. Sie sollte jedem Mitarbeiter ausgehändigt werden und bekannt
sein.
Ein Standard gestattet seltene Ausnahmefälle, ist aber ausführlicher
und detaillierter. Er richtet sich an eine kleinere Personengruppe, wie
zum Beispiel eine Abteilung oder eine bestimmte Art von Mitarbeitern.
Eine Richtlinie ist nur schwach bindend, aber sehr ausführlich und
spezifisch. Sie richtet sich nur an die Person, die die beschriebene
Aufgabe in der Praxis durchführt. Richtlinien für einzelne Bereiche
können zu Handbüchern zusammengefaßt werden, zum Beispiel die
Richtlinien zu Datensicherung und Speicherung von Daten zu einem
Handbuch „Datenhaltung“.
Je weiter oben ein Dokument in dieser Hierarchie steht, desto bindender ist es und um so weniger Ausnahmen
läßt es zu. Je weiter unten ein Dokument steht, desto ausführlicher und spezifischer werden
die Anweisungen und Erklärungen und desto kleiner wird der Personenkreis, für den das Dokument
relevant ist.
Da sich alle Dokumente nur auf Funktionen von Mitarbeitern und Einrichtungen beziehen, muß zu
jeder Zeit klar ersichtlich sein, welche Mitarbeiter jeweils aktuell diese Funktionen ausüben. Legt z.B.
ein Standard eine Aufgabe in den Bereich eines Operators, dann muß klar ersichtlich sein, welche
Mitarbeiter als Operatoren tätig sind und wann diese Dienst haben. Auch diese Aufstellungen sollten
jedem Mitabeiter zugänglich sein, für den ein jeweiliges Dokument gilt.
Eine Regelung zur Datensicherung könnte im obigen Modell folgendermaßen formuliert werden:
Policy:
Standard:
Richtlinie:
„Alle kritischen Daten müssen regelmäßig gesichert werden.“
„Backups sollen wöchentlich durch den Operator auf ein geeignetes
Medium vorgenommen werden.“
“Backups sollten an jedem Freitagabend mit dem Programm tar
auf DAT-Band gespeichert und mindestens ein Jahr gelagert werden.
Nach dem Schreiben sollte das Band durch Wiedereinlesen auf Korrektheit
geprüft werden.“
Bei diesen Beispielen stellen die Formulierungen für Richtlinie und Standard jeweils natürlich nur
einen kleine Auszug des Textes zur Umsetzung des jeweils darüberliegenden Dokumentes dar.
Während die Aufgabe einer Policy weitgehend darin besteht, Ge- und Verbote auszusprechen, haben
der Standard und besonders die Richtlinien zusätzlich auch helfende und erklärende Aspekte. Sie
legen nicht nur fest, welche Dinge getan werden sollen, sondern geben Hilfen wie dies am sinnvollsten
und effizientesten erreicht werden kann und idealerweise auch, in begrenztem Rahmen, warum eine
Regelung so gewählt wurde. Die Dokumente, die einer Policy beigefügt sind, sollen den Benutzern in
erster Linie helfen, die Policy korrekt und ohne große Behinderungen umzusetzen bzw. anzuwenden.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 59