Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

4.4. ERSTELLUNG UND UMSETZUNG
Der erste Punkt der Erstellung sollte eine Beratung mit allen Abteilungen sein, für die diese Policy
gelten soll. Hier sind Informationen über den normalen Geschäftsbetrieb wichtig, genauso wie bestehende
Probleme und Sicherheitslücken. Ein Bild des Ist-Zustandes der Firma muß erstellt werden.
Besonders wichtig sind hier auch bereits bestehende Dokumente zu (Sicherheits-)Konzepten und Arbeitsvorgängen.
Diese Dokumente sollten möglichst in die Policy und ihre zugehörigen Dokumente
eingearbeitet werden und danach nicht mehr als eigenständige Dokumente Anwendung finden. Wenn
diese weiterbestehen sollen, muß auf jeden Fall darauf geachtet werden, daß diese Policy-konform
sind und bleiben.
Personengruppen, die an der Erstellung der Policy beteiligt werden sollten, sind:
Mitarbeiter:
Management:
Betriebsrat &
-datenschützer:
Sicherheitsdienst:
Die einzelnen Mitarbeiter und Abteilungen können detailliert Auskunft
geben über bestehende Arbeitsabläufe, Vorgehensweisen und
gegebenenfalls auch über bestehende Probleme.
Autorisierung und Umsetzung von Policy und Sanktionen (s.o.)
Wahrung der (Persönlichkeits-)Rechte der Mitarbeiter und Information
über neue Rechte und Pflichten sowie Koordination mit bestehenden
Regelungen.
Vereinheitlichung der Policy mit bestehenden Sicherheitskonzepten,
Hinweise auf bestehende Sicherheitsprobleme sowie Klärung von
Art und Machbarkeit der Umsetzung von neuen Regelungen.
Weitere Informationen sollten extern eingeholt werden:
Jurist:
Datenschützer:
Versicherungen:
Es ist wichtig bzw. unumgänglich, daß die Policy mit dem jeweils
geltenden Recht verträglich ist. Er kann Hilfen bei der Festsetzung
von Sanktionen und deren Formulierungen geben sowie Ratschläge
zu Vorgehensweisen bei Sicherheitsbrüchen (Beweissicherung usw.).
Methoden zur Absicherung eines Systems (besonders im Bereich
Audit) können schnell in Konflikt mit geltenden Datenschutz-
Gesetzen führen. Wenn Daten über Aktivitäten von Benutzern erhoben
und verarbeitet werden sollen, muß vorab geklärt werden, ob
dies datenschutzrechtlich legitim ist. Der Datenschutzbeauftragte des
jeweiligen Bundeslandes kann hier Auskunft
geben.
Eine Beratung durch Versicherungen kann bei der Erstellung der
Risiko-Analyse (siehe 4.4.3) helfen, da die Risiko-Analyse für eine
Policy sehr ähnlich der einer Versicherung ist. Außerdem kann
eine Versicherung bei der Schätzung bestehender Werte helfen und
Auskunft geben über Wahrscheinlichkeiten von bestimmten Vorfällen
(Stromausfall, Einbruch etc.).
Die Informationen aus den jeweiligen Quellen müssen zusammengetragen, strukturiert und aufeinander
abgestimmt werden. Es ist hier besonders wichtig, bestehende Widersprüchlichkeiten aufzudecken
und zu verhindern, daß durch die Policy neue Unverträglichkeiten dazukommen.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 61