Betriebsmittel

Platzierung und Schutz von Betriebsmitteln

Maßnahme

Betriebsmittel sind so zu platzieren und zu schützen, dass Risiken durch Umweltbedrohungen und Gefährdungen sowie Möglichkeiten für den unautorisierten Zugriff verringert werden.

Umsetzung

Betriebsmittel wie Rechner, Drucker oder sonstige betriebsnotwendigen Geräte sind gegen Verlust bzw. Diebstahl dadurch geschützt, dass sie ohne Erlaubnis nicht außerhalb des Unternehmens platziert werden dürfen. Gegen unberechtigten Zugriff sind diesbezüglich schützenswerte Geräte (v.a. Rechner) durch die Gruppenrichtlinien des Active Directory geschützt.

Sofern sich Betriebsmittel, insbesondere Notebooks und Beamer, nicht im Unternehmen befinden, dürfen diese nicht unbeaufsichtigt gelassen oder müssen an einem sicheren, abschließbaren Ort aufbewahrt werden. Notebooks dürfen nicht im Auto belassen werden.

Server sind grundsätzlich in abgeschlossenen Sicherheitsbereichen unterzubringen. Die Telefonanlage ist ebenfalls in einem klimatisierten und zugangsgeschützten Raum untergebracht.

Versorgungseinrichtungen

Maßnahme

Betriebsmittel müssen vor Stromausfällen und anderen Betriebsunterbrechungen durch Ausfälle von Versorgungseinrichtungen geschützt werden.

Umsetzung

1. Der Betrieb der Infrastruktur im Rechenzentrum ist über SLAs mit dem Rechenzentrums-Betreiber Digital Reality abgesichert.
2. Die Stromversorgung in der Zentrale erfolgt redundant über 2 unterschiedliche Hauseinführungen, die jedoch an dasselbe Versorgungsunternehmen angebunden sind. Sämtliche Server in der Zentrale sind an zwei USVs angeschlossen, die einen geregelten Shutdown-Prozess gewährleisten. Die Funktionalität der USVs wird im Zuge der jährlichen Backup-Überprüfung getestet (s. Wiki).

Da sich Versorgungs- und Betriebs-Unterbrechungen in der Zentrale nicht auf das Produktivsystem im Rechenzentrum auswirken, wird in der Zentrale ein geringeres Schutzniveau akzeptiert. Nähere Informationen zu Desaster-Recovery-Maßnahmen finden sich im Abschnitt Business Continuity Management und den verlinkten Wikis.

Sicherheit der Verkabelung

Maßnahme

Stromversorgungs- und Telekommunikationskabel, die zur Übertragung von Daten oder zur Unterstützung von Informationsdiensten verwendet werden, sind vor dem Abfangen der Daten sowie vor Beeinträchtigung oder Beschädigung zu schützen.

Umsetzung

1. Die Kabelwege sind in geeigneten Kabelführungseinrichtungen zu führen. im Gebäude Cronenbergerstraße sind die einzelnen Verteilpunkte mit einem Backbone verbunden und zur Vermeidung von Potentialproblemen in Glasfaser ausgeführt.
2. Zusätzlich besteht eine Richt-Funkstrecke (5GHz) zwischen den Gebäuden Klauberger Str.1 und Cronenbergerstr. 58.
3. Der Internetzugang ist redundant in DSL und Glasfasertechnik. Als Backup existiert weiterhin ein Router, der mit SIM-Karte betrieben werden kann.
4. Die Verkabelung zu den Arbeitsplätzen ist, wenn möglich, in Kabelkanälen ausgeführt. Die Verkabelung ist in CAT 6-Technik ausgeführt.

Instandhaltung von Gerätschaften

Maßnahme

Gerätschaften müssen ordnungsgemäß instand gehalten und gepflegt werden, um ihre Verfügbarkeit und Integrität sicherzustellen.

Umsetzung

1. Im Wesentlichen sind hier die elektrischen Geräte zu beachten. Diese werden regelmäßig, spätestens jedoch nach 6 Jahren, als BGV A3-Prüfung für ortfeste und ortsveränderliche elektrische Geräte durchgeführt. Die Prüfung erfolgt durch den Elektrofachbetrieb.
2. Die unterbrechnungsfreien Stromversorgungen (USVs) werden überwacht und regelmäßig, mindestens ein Mal im Jahr, überprüft (s. Wiki ).
3. Die Wartung der Geräte im Rechenzentrum ist durch den Vertrag mit dem Rechenzentrumsbetreiber abgedeckt.

Entfernung von Werten

Maßnahme

Ausstattung, Informationen oder Software dürfen nicht ohne vorherige Autorisierung vom Standort entfernt werden.

Umsetzung

Das Entfernen von Geräten ist Grundsätzlich mit dem Abteilungsleiter oder der Geschäftsleitung abzusprechen. Können auf den Geräten Daten gespeichert werden, so muss zusätzlich der IT-Leiter eingebunden werden um die Löschung sicher zu stellen.

Sicherheit von Betriebsmitteln und Werten außerhalb der Betriebsgebäude

Maßnahme

Sicherheitsvorkehrungen werden unter Berücksichtigung der diversen Risiken bei Arbeiten außerhalb der Betriebsgebäude der Organisation auch auf Werte außerhalb des Standorts angewandt.

Umsetzung

Geräte außerhalb des Unternehmens sind im Wesentlichen Notebooks und Handys.

1. Diese sind in geeigneten Transportbehältern (z.B. Notebooktasche) zu befördern.
2. Notebooks müssen zwingend passwortgeschützt sein und nach dem Aufklappen ein Passwort abfragen oder über eine ähnliche Sicherheitsvorkehrung verfügen (z.B. Fingerabdruckscanner). Handys sind durch PIN oder andere Zugangssicherungsverfahren zu schützen.
3. Sind auf den Geräten Zugangskennungen abgelegt, so sind diese durch zusätzliche Verschlüsselungsmaßnahmen zu schützen. Dies kann z.B. ein TrueCrypt/VeraCrypt-Container mit starkem Passwort sein. Solch ein verschlüsselter Bereich darf im zugeklappten Zustand nicht automatisch wieder ohne Passworteingabe verbunden werden.

Sichere Entsorgung oder Wiederverwendung von Betriebsmitteln

Maßnahme

Alle Geräte, die Speichermedien enthalten, müssen vor ihrer Entsorgung oder Wiederverwendung überprüft werden, um sicherzustellen, dass vertrauliche Daten und lizenzierte Software entfernt oder sicher überschrieben wurden.

Umsetzung Werden Rechner der Entsorgung oder Weiterverwendung zugeführt, so sind die darin enthaltenen Datenträger sicher zu löschen. Dies erfolgt durch mehrfache Formatierung. Magnetplatten werden bei Entsorgung zusätzlich physisch zerstört. Bis zum Zeitpunkt der physischen Zerstörung werden ausgemusterte Speichergeräte in einem verschließbaren Schrank aufbewahrt.

1. Zuständig hierfür ist die IT-Abteilung.
2. Werden Geräte weiterverkauft oder verschenkt, so werden diese vorher neu aufgesetzt.
3. Handys sind ebenfalls komplett zu löschen und auf Werkszustand zurück zu setzen.
4. Dokumente mit vertraulichen Informationen (vor allem Informationen über Personen und Kunden, sowie aktuelle Testinhalte) sind über einen Schredder zu entsorgen. Dies ist im Wiki unter Klassifizierung von Informationen zu finden.

Das [Wiki] (https://u-form.atlassian.net/wiki/spaces/II/pages/156958739/Alte+Festplatten) zeigt gewippte Festplatten und auf den Unterseiten Hinweise, wie dabei vorzugehen ist.

Unbeaufsichtigte Benutzerausstattung

Maßnahme

Benutzer müssen sicherstellen, dass unbeaufsichtigte Ausstattung angemessen geschützt ist.

Umsetzung

1. Arbeitsplätze und Server dürfen - wenn keine Personen die Rechner nutzen - keine Informationen auf dem Bildschirm anzeigen, die Dritte einsehen können. Dies lässt sich am einfachsten durch einen Bildschirmschoner erreichen, der sich nach spätestens 10 Minuten Inaktivität selbst einschaltet.
2. Besser ist es, beim Verlassen des Arbeitsplatzes den Bildschirmschoner einzuschalten. Dies geht unter Windows durch die Nutzung der Tastenkombination Windows - L.
   Diese Maßnahme wird den Mitarbeitern u.a. im Wiki-Artikel 11 Goldene IS-Regeln erläutert.
3. Die Wahl des Bildschirmschoners ist frei. Er darf jedoch keine Informationen anzeigen, die vorher auf dem Bildschirm standen und sollte auch, aus Energiespargründen, keine rechenintensiven Aufgaben ausführen. Auch darf der Bildschirmschoner Dritten keine Rechenzeit zur Verfügung stellen.

Der Grundsatz des aufgeräumten Schreibtischs und des leeren Bildschirms

Maßnahme

Der Grundsatz des aufgeräumten Schreibtisches für Papiere und Wechselmedien sowie des leeren Bildschirms für informationsverarbeitende Einrichtungen muss Anwendung finden.

Umsetzung

1. Wird der Arbeitsplatz verlassen, so dürfen für Fremde keine vertraulichen Informationen einsehbar sein. Dies umfasst sowohl Unterlagen auf dem Schreibtisch/im Büro als auch den Bildschirm.
2. Daher muss auf allen Rechnern mit vertraulichen Informationen ein Bildschirmschoner mit Passwortschutz aktiv sein, der sich spätestens nach 10 Minuten Inaktivität einschaltet. Die Benutzer sind angehalten, die Bildschirmschoner beim Verlassen des Raumes selbst einzuschalten (z.B. durch die Tastenkombination Windows - L.
3. Vertrauliche Unterlagen müssen im abschliessbaren Rollcontainer oder Schrank verschlossen aufbewahrt werden. Dies gilt nicht, wenn der gesamte Raum ein Sicherheitsbereich ist und beim Verlassen des letzten Mitarbeiters abgeschlossen wird.

Reviewdatum: 12.11.2024, Johannes Imhof