04215 Lenkung von Aufzeichnungen
|
Eine Aufzeichnung ist gemäß ISO 9001 eine dokumentierte Information, die einen Nachweis über ausgeführte Tätigkeiten oder über erreichte Ergebnisse enthält. Eine Aufzeichnung liefert häufig auch Informationen darüber, ob und in welchem Maße eine Vorgabe (Forderung aus Gesetzen, von Behörden, von Kunden usw.) erfüllt wurde oder wird und wie die Wirksamkeit der Umsetzung zu beurteilen ist. In einem Information Security Management System (ISMS) haben Aufzeichnungen eine hohe Bedeutung. Sie müssen unter Berücksichtigung von Vertraulichkeit, Integrität und Verfügbarkeit z. B. ordnungsgemäß erstellt, aufgezeichnet, aufgehoben und gelöscht werden.
Der Beitrag erläutert die Anforderungen an die Lenkung von Aufzeichnungen und gibt Hilfestellung für den Aufbau und die Einführung eines entsprechenden internen Verfahrens. Arbeitshilfen: von: |
1 Einleitung
Zielsetzung
In diesem Beitrag werden Notwendigkeit und Vorgehensweise zur Erstellung und Lenkung von Aufzeichnungen beim Aufbau und Betrieb eines Information Security Management System (ISMS) aufgezeigt.
In diesem Beitrag werden Notwendigkeit und Vorgehensweise zur Erstellung und Lenkung von Aufzeichnungen beim Aufbau und Betrieb eines Information Security Management System (ISMS) aufgezeigt.
Aufzeichnungen gehören zu der in ISO/IEC 27001 [1] geforderten Dokumentierten Information.
7.5 Dokumentierte Information
7.5.1 Allgemeines
Das Informationssicherheitsmanagementsystem der Organisation muss beinhalten:
| a) | die von dieser internationalen Norm geforderte dokumentierte Information; und |
| b) | dokumentierte Information, welche die Organisation als notwendig für die Wirksamkeit des Managementsystems bestimmt hat. |
In ISO/IEC 27000 [2] ist festgelegt:
2.23 Dokumentierte Information
Information, die von einer Organisation (2.57) gelenkt und aufrechterhalten werden muss, und das Medium, auf dem sie enthalten ist
Anmerkung 1 zum Begriff: Dokumentierte Information kann in jeglichem Format oder Medium vorliegen, sowie aus jeglicher Quelle stammen.
Anmerkung 2 zum Begriff: Dokumentierte Information kann sich beziehen auf:
| • | das Managementsystem (2.46), einschließlich damit verbundener Prozesse (2.61); |
| • | Information, die für den Betrieb der Organisation geschaffen wurden (Dokumentation); |
| • | Nachweise erreichter Ergebnisse (Aufzeichnungen). |
Der Begriff „Aufzeichnung” ist in ISO 9000 [3] näher definiert:
3.8.10 Aufzeichnung
Dokument (3.8.5), das erreichte Ergebnisse angibt oder einen Nachweis ausgeführter Tätigkeiten bereitstellt
Anmerkung 1 zum Begriff: Aufzeichnungen können beispielsweise angewendet werden zur Darlegung von Rückverfolgbarkeit (3.6.13) und zum Nachweis von Verifizierung (3.8.12), Vorbeugungsmaßnahmen (3.12.1) und Korrekturmaßnahmen (3.12.2).
Anmerkung 2 zum Begriff: Aufzeichnungen bedürfen üblicherweise nicht einer Überwachung durch Revision.
Problemstellung
Die nachfolgenden Beispiele zeigen, dass Aufzeichnungen bedeutsam sind und deren Lenkung eine wichtige Aufgabe im Unternehmen darstellt:
Die nachfolgenden Beispiele zeigen, dass Aufzeichnungen bedeutsam sind und deren Lenkung eine wichtige Aufgabe im Unternehmen darstellt:
Beispiel 1
Ein Mitarbeiter verstößt gegen die Anweisung, nicht mehr benötigte Druckausgaben mit vertraulichen Informationen nur in den dafür vorgesehenen „Datenschutztonnen” zu entsorgen. Bei seiner Anhörung zur Klärung dieses Vorfalls beruft sich der Mitarbeiter darauf, dass ihm diese Anweisung unbekannt sei.
Ein Mitarbeiter verstößt gegen die Anweisung, nicht mehr benötigte Druckausgaben mit vertraulichen Informationen nur in den dafür vorgesehenen „Datenschutztonnen” zu entsorgen. Bei seiner Anhörung zur Klärung dieses Vorfalls beruft sich der Mitarbeiter darauf, dass ihm diese Anweisung unbekannt sei.
Im vorliegenden Fall konnte das Unternehmen nachweisen, dass der Mitarbeiter vor wenigen Monaten an einer innerbetrieblichen Schulung teilgenommen hat, bei der u. a. genau diese Anweisung vermittelt worden ist. Als formaler Nachweis konnte eine vom Mitarbeiter unterzeichnete Teilnehmerliste vorgelegt werden, auf der Titel, Ort, Teilnehmer und die Schulungsinhalte vermerkt waren.
Beispiel 2
In einem Unternehmen wurde bei der anonymisierten, stichprobenartigen Überprüfung des Internetverkehrs festgestellt, dass Videos mit kinderpornografischen Inhalten geladen wurden. Unter Einschaltung des Betriebsrats, des Datenschutzbeauftragten und im Einklang mit bestehenden Betriebsvereinbarungen wurde festgestellt, welcher Benutzer diese Inhalte geladen hatte.
In einem Unternehmen wurde bei der anonymisierten, stichprobenartigen Überprüfung des Internetverkehrs festgestellt, dass Videos mit kinderpornografischen Inhalten geladen wurden. Unter Einschaltung des Betriebsrats, des Datenschutzbeauftragten und im Einklang mit bestehenden Betriebsvereinbarungen wurde festgestellt, welcher Benutzer diese Inhalte geladen hatte.
Beispiel 3
Ein Kunde erhielt eine E-Mail mit virenverseuchtem Anhang. Der Sender der E-Mail konnte über Protokolle nachweisen, dass mindestens täglich sein Virenscanner aktualisiert wird und somit eine angemessene Maßnahme zum Schutz des E-Mail-Verkehrs betrieben wird.
Ein Kunde erhielt eine E-Mail mit virenverseuchtem Anhang. Der Sender der E-Mail konnte über Protokolle nachweisen, dass mindestens täglich sein Virenscanner aktualisiert wird und somit eine angemessene Maßnahme zum Schutz des E-Mail-Verkehrs betrieben wird.
Lösung/Lösungsweg
Die folgenden Abschnitte beschreiben – nach der grundsätzlichen Definition der verwendeten Begriffe – eine Vorgehensweise für den Aufbau eines Verfahrens zur Lenkung von Aufzeichnungen. Die Lenkung umfasst das gesamte Management dieser Unterlagen, das für die Erstellung sowie die Verwaltung und Aufbewahrung von Aufzeichnungen erforderlich ist.
Die folgenden Abschnitte beschreiben – nach der grundsätzlichen Definition der verwendeten Begriffe – eine Vorgehensweise für den Aufbau eines Verfahrens zur Lenkung von Aufzeichnungen. Die Lenkung umfasst das gesamte Management dieser Unterlagen, das für die Erstellung sowie die Verwaltung und Aufbewahrung von Aufzeichnungen erforderlich ist.
2 Begriffe
In Anlehnung an die im Kapitel 1 zitierten Begriffsdefinitionen werden für ein ISMS die Begriffe Vorgabedokumente und Aufzeichnungen festgelegt:
Vorgabedokument
Ein Vorgabedokument ist ein Dokument, das
Ein Vorgabedokument ist ein Dokument, das
| • | nach innen und außen gerichtete Informationen über das ISMS und seine Prozesse bereitstellt, |
| • | beschreibt, wie das ISMS angewendet wird, |
| • | Anforderungen an ein ISMS enthält, |
| • | Empfehlungen oder Vorschläge enthält, |
| • | Informationen darüber bereitstellt, wie Tätigkeiten und Prozesse konsistent auszuüben bzw. durchzuführen sind. |
Beispiele für Vorgabedokumente sind:
| • | Gesetze und Vorschriften |
| • | Kundenforderungen |
| • | Erwartungen der Öffentlichkeit |
| • | Forderungen von Shareholder |
| • | Erwartungen von Stakeholder |
| • | Informationssicherheitspolitik |
| • | Informationssicherheitshandbuch |
| • | Sicherheitsrichtlinien |
| • | Verfahrensanweisungen |
| • | Arbeitsanweisungen |
| • | Betriebsvereinbarungen |
Aufzeichnungen
Eine Aufzeichnung ist eine Unterlage, die einen Nachweis über ausgeführte Tätigkeiten oder über erreichte Ergebnisse enthält. Eine Aufzeichnung liefert i. d. R. einen Nachweis darüber, ob und in welchem Maß eine Vorgabe (Forderung) erfüllt wurde. Über Nachweise kann ggf. auch die Wirksamkeit der Umsetzung von Vorgaben ermittelt und beurteilt werden.
Eine Aufzeichnung ist eine Unterlage, die einen Nachweis über ausgeführte Tätigkeiten oder über erreichte Ergebnisse enthält. Eine Aufzeichnung liefert i. d. R. einen Nachweis darüber, ob und in welchem Maß eine Vorgabe (Forderung) erfüllt wurde. Über Nachweise kann ggf. auch die Wirksamkeit der Umsetzung von Vorgaben ermittelt und beurteilt werden.
Beispiele für Aufzeichnungen sind:
| • | Schulungs- und Ausbildungsnachweise |
| • | Nachweise über durchgeführte Sicherheitsbelehrungen |
| • | Protokolle der Log-in-/Log-out-Zeiten der Benutzer |
| • | Protokolle über die Zugriffe der Benutzer auf besonders geschützte Daten |
| • | Bericht über das ISMS-Audit bei einem Lieferanten |
| • | Prüfbericht über den Test einer Firewall |
| • | Aufzeichnungen über Besucher |
| • | Aufzeichnungen einer Videokamera |
| • | Besprechungsnotizen |
| • | Projektberichte |
| • | Bericht über Sicherheitsvorfälle |
| • | Aufzeichnungen über Vertragsprüfungen |
| • | Kostenberichte |
| • | Ergebnisse ergriffener Korrekturmaßnahmen |
| • | Ergebnisse ergriffener Vorbeugungsmaßnahmen |
| • | Jahresbericht des Informationssicherheitsbeauftragten an die Leitung |
Checkliste
Einen Sonderfall stellen Checklisten dar. Eine Checkliste kann eine Vorgabe sein, nach der z. B. eine Tätigkeit auszuführen oder ein Ergebnis zu prüfen ist. Wird die Checkliste angewendet und während der Ausführung einer Tätigkeit oder der Prüfung eines Ergebnisses „ausgefüllt”, dann ist dies eine Aufzeichnung.
Einen Sonderfall stellen Checklisten dar. Eine Checkliste kann eine Vorgabe sein, nach der z. B. eine Tätigkeit auszuführen oder ein Ergebnis zu prüfen ist. Wird die Checkliste angewendet und während der Ausführung einer Tätigkeit oder der Prüfung eines Ergebnisses „ausgefüllt”, dann ist dies eine Aufzeichnung.