Vertraulichkeit
Zutrittskontrolle
Folgende Maßnahmen verwehren Unbefugten den Zutritt zu den Büroräumen, in denen personenbezogene Daten verarbeitet, genutzt oder gespeichert werden:
Technische Maßnahmen
- Alarmanlage (gilt für Standorte Luisenstraße 37-39 (Headquater), Luisenforum/Kirchgasse 6, und Tower/Kirchgasse 2)
- Chipkarten/Transpondersystem
- RFID-basiertes Zutrittskontrollsystem für den Zutritt aller Mitarbeiter*innen zu den Büroflächen (alle Standorte)
- RFID-basiertes Zutrittskontrollsystem für den Zutritt in den Server-Raum, das Personal-Büro und das Archiv beschränkt auf bestimmte Mitarbeiter*innen (Need-to-Know-Prinzip)
- Türen mit Knauf Außenseite
- Videoüberwachung der Eingänge zu den Büroflächen
Organisatorische Maßnahmen
- Empfang am Standort Luisenstraße 37-39 (Headquarter), Besetzung zu Geschäftszeiten 9-17 Uhr
- Protokollierung der Besucher:innen in Besucherliste durch den Empfang
- Besucher:innen werden in den durch das Transpondersystem geschützten Bereichen von Mitarbeiter:innen begleitet
- Umgang mit Besucher*innen wird in einer Besucherrichtlinie explizit geregelt
- Zentrales Netzwerk-Equipment in abgeschlossenen Schränken
- Verwahrung mobiler Geräte im Büro in abschließbaren Schränken und Tresoren
- Sorgfalt bei der Auswahl des Reinigungsdienstes
Sorgfalt bei der Auswahl von sämtlichen Dienstleistern und Lieferanten, welche Zutritt zu den Büroflächen erhalten sowie Begleitung dieser durch Mitarbeiter:innen - Sicherheitsdienst am Standort Luisenforum/Kirchgasse 6 (Headquarter)
- außerhalb der Öffnungszeiten des Luisenforums patrouilliert der Sicherheitsdienst
- Zugang zu den Büroräumen dann nur in Begleitung des Sicherheitsdienstes möglich
Zugangskontrolle
Folgende Maßnahmen verhindern, dass Anlagen von Unbefugten genutzt werden können:
Technische Maßnahmen
- Login mit Benutzername und Passwort
- Zentrale Passwortvergabe: Passwörter werden von einer IT-Software nach festgelegten Kriterien (Vorgabe Länge und Komplexität) generiert
- Zwei-Faktor-Authentifizierung für Google-Workspace und darüber authentifizierte Anwendungen
- Zentrale, softwaregestützte Kennwortverwaltung mit Zugriffshistorie
- Zugriff auf Serversysteme nur mit persönlicher passwortgeschützter Schlüsseldatei über eine verschlüsselte Verbindung mittels SSH (Secure Shell)
- Betrieb von Firewallsoftware auf jedem Serversystem
- Mobile Device Management
- Einsatz einer verschlüsselten VPN-Verbindung bei Remote-Zugriffen
- Verschlüsselung von Datenträgern, insb. Notebooks und Smartphones sowie Backup-Datenträgern
- Flächendeckender Einsatz von Encryption at Rest
- Automatische Desktopsperre
- Biometrische Zugangssperre für den Zugang zu Tresoren (Fingerabdruckscanner)
Organisatorische Maßnahmen
- Verwalten von Benutzerberechtigungen auf Basis der Notwendigkeit und eindeutige Zuordnung von Benutzerkonten zu Benutzer:innen
- Dokumentierter und checklistenbasierter Ablauf für das Anlegen und Sperren von neuen/ausscheidenden Mitarbeiter:innen (On-/Offboarding) bzw. die Anpassung von Berechtigungen im Falle eines Rollen und/oder Teamwechsels (Changeboarding)
- Regelmäßige Überprüfung der Benutzerberechtigungen auf deren weitere Erforderlichkeit
- Jährlicher Passwortwechsel wird sichergestellt
- Elektronische Schlüssel für den Remote-Zugang sind eindeutig autorisierten Benutzern zugeordnet
- Softwaretechnische Steuerung, mit welchen Schlüsseln auf die Serversysteme zugegriffen werden kann
- Passwort-Richtlinie zur sicheren Wahl und dem ordnungsgemäßen Umgang mit Passwörtern
- Richtlinie zum Umgang mit personenbezogenen Daten
- Richtlinie zur Nutzung von mobilen Datenträgern
Zugriffskontrolle
Folgende Maßnahmen gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
Technische Maßnahmen
- Aktenvernichtung nach DIN 66399 (Sicherheitsstufe 3)
- Physische Löschung von Datenträgern durch qualifizierte Dienstleister
- Zentrale Protokollierung von Zugriffen und Systemereignissen
Organisatorische Maßnahmen
- Einsatz eines Berechtigungskonzeptes
- Verwaltung der Benutzerrechte durch Administratoren
- Prozess auf Basis diverser Checklisten zur Vergabe und zum Entzug von Rechten bei Eintritt in und Austritt aus dem Unternehmen sowie im Rahmen von Rollen-/Teamwechseln
Trennungskontrolle
Folgende Maßnahmen gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können:
Technische Maßnahmen
- Trennung von Produktiv- und Testsystem durch unterschiedliche virtuelle Maschinen
- Abschottung unabhängiger Systeme durch VLANs, Firewalling und virtuelle Maschinen mit jeweils eigenen Datenbanken
Organisatorische Maßnahmen
- Steuerung über ein Berechtigungskonzept
