BE:IT/Maßnahmen
- Startseite Berlin IT
- Kontakt
- Mitmachen
- FAQ
DIe Modulare IT-RichtlInie (DIMITRI)
- Einleitung und Übersicht
- Angebotene Dienste
- Betriebene Systeme
- Vergebene Berechtigungen
- Getroffene Maßnahmen
Inhaltsverzeichnis
Allgemeine Maßnahmen zur Gewährleistung eines ordnungsgemäßen Betriebs
Beschreibung: Es wird ein Rufnummernverzeichnis der beauftragten Mitarbeiter, damit diese in dringenden Angelegenheiten telefonisch erreicht werden können. Das Rufnummernverzeichnis wird durch den Vorstand geführt. Änderungen von Rufnummern sind durch die Mitarbeiter dem Vorstand bekanntzugeben.
Weitere Informationen: BE:IT/Maßnahmen/Erreichbarkeit in dringlichen Angelegenheiten
Zutrittskontrolle
Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren
BE:IT/Maßnahmen/Zutrittskontrolle
Findet Anwendung bei: IT-Systemen, die in Rechenzentren betrieben werden
Beschreibung: Datenverarbeitungsanlagen werden in Rechenzentren betrieben. Die Zutrittskontrolle ist daher nur durch das Rechenzentrum durchführbar. Dies wird bei der Auswahl von Rechenzentren berücksichtigt. Die entsprechenden Verfahrensbeschreibungen der Rechenzentren werden vor Abschluß eines Vertrages geprüft. Im Zweifelsfalle wird der Beauftragte für den Datenschutz zu Rate gezogen.
Weitere Informationen: BE:IT/Maßnahmen/Zutrittskontrolle durch Rechenzentrum
Zugangskontrolle
zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können
Findet Anwendung bei: Diensten, die Daten der allgemeinen Öffentlichkeit zugänglich machen
Beschreibung: Ein Dienst, der Daten der allgemeinen Öffentlichkeit zugänglich machen soll oder Daten von der allgemeinen Öffentlichkeit zur Verarbeitung annehmen soll, führt dies über dafür geeigneten Internetprotokolle durch. Eine Anmeldung oder Registrierung des Nutzenden wird hierfür nicht durchgeführt.
Weitere Informationen: BE:IT/Maßnahmen/Zugangskontrolle Öffentlich
Findet Anwendung bei: Diensten und Systemen, bei denen eine Benutzeranmeldung möglich ist
Beschreibung: Zum Erlangen einer Berechtigung, die mehr Möglichkeiten vorsieht als für die allgemeinen Öffentlichkeit vorgesehen sind, ist es Anmeldung unter Verwendung eines Anmeldenamen sowie eines Kennworts oder eines kryptographischen Schlüssels erforderlich. Diese Anmeldung findet über eine kryptographisch gesicherten Verbindung statt. Die Verwendung eines kryptographischer Schlüssel ist gegenüber der Anmeldung mit Kennwort der Vorzug zu geben, sofern nicht technische oder organisatorische Gründe dagegen sprechen.
Weitere Informationen: BE:IT/Maßnahmen/Zugangskontrolle Benutzer
Findet Anwendung bei: Diensten und Systemen, bei denen besondere administrative Berechtigungen erlangt werden können
Beschreibung: Bei der Verwendung von Berechtigungen eines Administrators wird sichergestellt, dass nicht nur die Benutzeranmeldung sondern die gesamte Sitzung kryptographisch abgesichert ist. Sofern technisch möglich wird zur Anmeldung ein Benutzername und ein kryptographischer Schlüssel verwendet.
Weitere Informationen: BE:IT/Maßnahmen/Zugangskontrolle Administrator
Zugriffskontrolle
zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können
Weitergabekontrolle
zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist
Eingabekontrolle
zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogenen Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind
Auftragskontrolle
zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können
Verfügbarkeitskontrolle
zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind
Beschreibung: Es wird ein automatisiertes Verfahren betrieben, das laufend die Verfügbarkeit eines angebotenen Dienste überprüft. Das Verfahren wird derart eingerichtet, dass bei Auftreten einer Nichtverfügbarkeit die Administratoren darüber benachrichtigt werden. Bei Kenntniserlangung einer Nichtverfügbarkeit leiten die Administratoren unverzüglich geeignete Maßnahmen zu Wiederherstellung der Verfügbarkeit ein. Die Ereignisse der Nichtverfügbarkeit sind durch das eingesetzte Verfahren zu dokumentieren.
Weitere Informationen: BE:IT/Maßnahmen/Überwachung von Dienstverfügbarkeit
Beschreibung: Es wird ein automatisiertes Verfahren betrieben, das laufend die für den Betrieb des Dienstes oder Systems relevanten Ressourceninformationen protokolliert.
Dies sind insbesondere: {{{Ressourcen}}}
Die protokollierten Daten werden durch die Administratoren regelmäßig - mindestens wöchentlich - auf bevorstehende Engpässe von Ressourcen überprüft. Wenn aufgrund der protokollierten Daten anzunehmen ist, dass Engpässe an Ressourcen bevorstehen, ergreifen die Administratoren geeignete Maßnahmen um nicht mehr benötigte Ressourcen freizugeben. Sofern anzunehmen ist, dass die zu erwartenden Engpässe nur durch Bereitstellung weiterer Ressourcen vermieden werden können, ist der Vorstand hierüber unverzüglich in Kenntnis zu setzen.
Weitere Informationen: BE:IT/Maßnahmen/Überwachung von Systemressourcen
Beschreibung: Die Datenspeicherung des Systems erfolgt in einem RAID-{{{raidlevel}}}-Verbund, um bei Ausfall einer Festplatte keinen Datenverlust zu erleiden. Damit bei Ausfall einer Festplatte diese unverzüglich ersetzt werden kann, werden die Administratoren automatisiert über einen solchen benachrichtigt.
Weitere Informationen: BE:IT/Maßnahmen/Redundante Datenspeicherung
Beschreibung: Es wird eine automatisierte Sicherung aller für einen Dienst relevanten Daten auf einem IT-System durchgeführt, das nicht selbst diesen Dienst erbringt. Besonders schützenswerte Daten sind vor Übertragung unter Anwendung eines dem Stand der Technik entsprechenden kryptographischen Verfahren zu verschlüsseln. Der Schlüssel zur Entschlüsselung der Datensicherung wird durch die Administratoren aufbewahrt und zusätzlich beim Vorstand hinterlegt. Die Sicherung wird zumindest {{{MinInterval}}} durchgeführt. Es werden die Sicherungen zumindest der letzten {{{HoldInterval}}} aufbewahrt. Die Sicherungen werden spätestens nach {{{MaxInterval}}} gelöscht.
Es wird regelmäßig - zumindest einmal im Quartal - durch geeignete Maßnahmen durch die Administratoren geprüft, ob ein Wiedereinspielen einer Datensicherung tatsächlich durchführbar wäre. Der Systembetrieb darf dabei nicht beeinträchtigt werden. Im Rahmen der Prüfung wiederhergestellte Daten werden unverzüglich nach Abschluß der Überprüfung gelöscht.
Sofern sich zur Durchführung des Systembetriebs die Notwendigkeit ergibt,
Datensicherungen ganz oder teilweise wiederherzustellen, wird dies durch die
Administratoren durchgeführt. Sofern dabei Bestands- oder Nutzungsdaten wiederhergestellt werden, bedarf dies einer vorherigunden Genehmigung
durch den Vorstand. Wenn die Datensicherung ganz oder teilweise nicht wiederhergestellt werden kann, teilen die Administratoren dies dem Vorstand mit. Die Wiederherstellung, einschließlich erfolgloser Versuche, von Datensicherungen wird durch die Administratoren dokumentiert.
Weitere Informationen: BE:IT/Maßnahmen/Datensicherung
Trennungsgebot
zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
