Anforderung an die
Informationssicherheit
Anlage 6 zum Rahmenvertrag 1602_Breitbanbindung_DMZ_Strausberg
Aktenzeichen: 1602-NA-Breitbandanbindung-DMZ-Strausberg
Bitte zwingend den Titel aktualisieren, den Stand entfernen und danach dieses Textfeld löschen!!!
Der Auftragnehmer erkennt die hier festgelegten Anforderungen zur Informationssicherheit an:
Allgemeine Anforderungen an die Informationssicherheit
Anwendungsbereich
Diese Anforderungen sind anwendbar, wenn der Auftragnehmer zur Erbringung der vertraglich vereinbarten Leistungen auf Informationen der BWI zugreift, diese verarbeitet oder speichert. Ergänzend wird bei Nutzung eines von der BWI bereitgestellten Clients auf die Richtlinie Informationssicherheit im Umgang mit Arbeitsmitteln verwiesen.
Dies bedarf Maßnahmen zum Schutz der IT-Systeme, -Applikationen, -Netze und firmenvertraulichen Informationen vor ungewollter Offenlegung, unberechtigtem Zugriff, Manipulation, Schadsoftware, Hacking, Cyberangriffen und anderer Bedrohungen. Dazu ist es erforderlich, dass Geschäftspartner von BWI die nachfolgenden Regeln und Grundsätze einhalten und Schutzmaßnahmen weder außer Betrieb nehmen, umgehen oder in sonstiger Weise verändern.
Der Auftragnehmer verpflichtet sich zusätzlich zu den sonstigen vertraglichen Vereinbarungen, die hierin definierten Regeln und Grundsätze zu beachten sowie diese Unterlage seinen Mitarbeitern, die Zugang oder Zugriff auf IT-Systeme, -Applikationen und -Netze der BWI oder firmenvertrauliche Informationen erhalten, zur Kenntnis zu bringen, sie auf die Einhaltung zu verpflichten und die Einhaltung in geeigneter Weise zu überprüfen.
Der Auftragnehmer wird alle Mitarbeiter und Dritte (Unterauftragnehmer), die an der Erbringung der Leistungen beteiligt sind, in angemessener Weise anweisen, die Sicherheits- und Compliance-Anforderungen dieser Anlage zu beachten.
Geheimhaltungsvereinbarung
Wenn der Auftragnehmer Informationen der BWI oder Zugang zu ihnen erhält, wird er alle Informationen vertraulich behandeln und nur zur Erfüllung der vertraglichen Verpflichtungen (die Leistungen) mit der gebotenen Sorgfalt verwenden. Jede weitere Nutzung bedarf der vorherigen schriftlichen Zustimmung der BWI. Dies gilt nicht für Informationen, an denen der Auftragnehmer nachweisen kann, dass er zum Zeitpunkt des Erhalts der Informationen bereits einen Rechtsanspruch hatte oder die ihm bereits allgemein bekannt waren oder die ihm von einem Dritten rechtmäßig zugänglich gemacht werden würden, ohne dass eine Verpflichtung zur Geheimhaltung besteht.
Informationssicherheitsmanagementsystem
Zur Erbringung der Leistungen muss der Auftragnehmer ein angemessenes Informationssicherheitsmanagementsystem (ISMS) nach allgemein anerkannten Standards (z.B. ISO 27001) einführen und kontinuierlich verbessern. Dieses ISMS muss die Anforderungen (abhängig von den zu erbringenden Leistungen/zu liefernden Produkten) gemäß folgendem Kapitel 2 "Technische und organisatorische Maßnahmen (TOM)" erfüllen.
BWI und der Auftragnehmer benennen jeweils einen Ansprechpartner für das Thema Informationssicherheit und informieren diese kontinuierlich.
Der Auftragnehmer ist verpflichtet, BWI unverzüglich über jeden Sicherheitsvorfall zu informieren, der die Sicherheit der BWI-Informationen und/oder der Leistungserbringung beeinträchtigt.
Prüfungsrechte und unabhängiger Prüfungsbericht
Der Auftragnehmer räumt BWI das Recht zur Prüfung und Überwachung der Leistungserbringung ein. Der Auftragnehmer wird BWI entsprechende Informations- und Zugriffsrechte (einschließlich Zugang zu Informationssystemen) einräumen.
Umfassen die Leistungen das Hosting der BWI-Informationen auf zentralen Systemen (z.B. Software-as-a-Service, Infrastructure-as-a-Service, IT-Hosting), so ist der Auftragnehmer verpflichtet, einen unabhängigen Auditbericht über die Wirksamkeit der Kontrollen für die Leistungserbringung vorzulegen.
Sub-Dienstleister (Unterauftragnehmer)
Der Auftragnehmer wird nur mit vorheriger schriftlicher Zustimmung der BWI Informationen an Dritte, wie z.B. Subdienstleister, auslagern oder an diese weitergeben. Der Auftragnehmer garantiert, dass die Sub-Dienstleister vertraglich an Informationssicherheitsanforderungen gebunden sind, die mindestens den Anforderungen dieser Anlage entsprechen.
Datenschutz
Soweit die Erbringung von Leistungen den Zugriff auf Daten erfordert, die den Datenschutzbestimmungen unterliegen, hält der Auftragnehmer die geltenden Datenschutzgesetze ein.
Dazu gehört auch die Einholung der schriftlichen Zustimmung der BWI, bevor BWI Daten einem internationalen Datentransfer (d.h. der Zugänglichmachung in einem anderen Drittland als in den vertraglichen Verpflichtungen des Auftragnehmers vorgesehen) unterzogen werden, es sei denn, alle entsprechenden internationalen Transfers erfolgen innerhalb der Europäischen Union bzw. in Länder mit einem angemessenen Datenschutzniveau, wie es die Europäische Union als angemessen erachtet.
Der Auftragnehmer wird mit BWI zusätzliche Vereinbarungen (z.B. Auftragsverarbeitungsvereinbarung) abschließen und BWI ermöglichen, Vereinbarungen mit Dienstleistern des Auftragnehmers zu treffen, wenn dies nach für BWI anwendbarem Recht erforderlich ist.
Aufbewahrung von Aufzeichnungen
Der Auftragnehmer wird BWI-Informationen unwiederbringlich löschen, sobald diese nicht mehr zur Erbringung der Leistungen oder zur Erfüllung gesetzlicher oder behördlicher Auflagen benötigt werden.
Technische und organisatorische Maßnahmen (TOM)
Die folgenden Abschnitte beschreiben technische und organisatorische Maßnahmen, die der Auftragnehmer im Rahmen seines Informationssicherheitsmanagementsystems umsetzen muss.
Diese TOM basieren auf dem internationalen Standard ISO 27002:2013 "Code of practice for information security controls".
Informationssicherheitsrichtlinien
Der Auftragnehmer muss umfassende Richtlinien für die Informationssicherheit nach anerkannten Industriestandards definieren, veröffentlichen und den Mitarbeitern des Auftragnehmers und relevanten externen Parteien mitteilen und regelmäßig überprüfen.
Beispiele für Best Practise:
ISO 27001
US NIST 800-53
ISO 27001 auf der Basis von IT-Grundschutz (200-Standards)
2Organisation der Informationssicherheit
Interne Organisation
Der Auftragnehmer muss Rollen und Verantwortlichkeiten für die Informationssicherheit definieren und fähiges Personal einsetzen.
Beispiele für Best Practise:
Informationsgüter im Eigentum des Auftragnehmers (z. B. IT-Anwendungen, Server, IT-Ausrüstung, IT-Leistungen),
Verantwortung für die Informationssicherheit in der Projektabwicklung,
umfassende Pflichten für die Informationssicherheit aller Mitarbeiter sowie der Vorgesetzten oder der Geschäftsleitung,
die Ernennung spezieller Mitarbeiter wie Informationssicherheitsbeauftragte oder Datenschutzbeauftragte.
Mobile Geräte und Telearbeit
Der Auftragnehmer muss eine Richtlinie und unterstützende Sicherheitsmaßnahmen zur Minimierung von Risiken durch die Nutzung von mobilen Geräten und Telearbeitsplätzen einführen.
Beispiele für bewährte Verfahren:
Registrierung von Mobilgeräten
Standardkonfigurationen
zentralisierte Verwaltung mit Lösungen für das Management mobiler Geräte (MDM)
Zugangskontrolle
Fernlöschung bei Verlust oder Diebstahl
Richtlinie für die geschäftliche Nutzung von Geräten in Privatbesitz, falls zutreffend
Sicherheit im Personalwesen
Vor der Beschäftigung
Der Auftragnehmer führt vor der Einstellung Hintergrundprüfungen in Übereinstimmung mit den einschlägigen Gesetzen, Vorschriften und ethischen Grundsätzen durch. Hintergrundprüfungen müssen mindestens die Überprüfung der Vollständigkeit und Genauigkeit des Lebenslaufs des Kandidaten umfassen, einschließlich der behaupteten akademischen und beruflichen Qualifikationen, die für die Position relevant sind.
Beispiele für bewährte Verfahren:
Anfragen zu Ausbildung und Referenzen bei Bewerbungsgesprächen,
Identitätskontrollen,
Polizeiliches Führungszeugnis.
Die Verantwortlichkeiten von Mitarbeitern und Auftragnehmern sind in schriftlichen Verträgen zu dokumentieren.
Während der Beschäftigung
Das Management des Auftragnehmers muss sicherstellen, dass Mitarbeiter und Auftragnehmer ihre Verantwortung für die Informationssicherheit kennen und erfüllen.
Beispiele für Best Practise:
Verpflichtung der Unternehmensleitung für die Informationssicherheit,
Regelmäßige Sicherheitsschulungen,
Durchführung von Aufklärungsprogrammen für häufige Bedrohungen wie Phishing, Umgang mit vertraulichen oder persönlichen Informationen,
Disziplinarmaßnahmen im Falle von Sicherheitsverletzungen.
Beendigung und Wechsel des Arbeitsverhältnisses
Der Auftragnehmer muss sicherstellen, dass bei Vertragsbeendigung die Interessen des Unternehmens und der Kunden kontinuierlich geschützt werden.
Beispiele für Best Practise:
Rückgabe von Firmeneigentum (wie Laptops, Smartphones, Tablets, die sich im Besitz von Mitarbeitern, dem Auftragnehmern, Geschäftspartnern befinden) bei Beendigung des Vertrags,
Aufhebung der Zugangsrechte zu Software, Systemen und/oder Räumlichkeiten,
Kontrolle und Durchsetzung der Vertraulichkeitsvereinbarung für 10 Jahre nach Vertragsbeendigung.
Verwaltung von Vermögenswerten
Verantwortung für die Vermögenswerte
Der Auftragnehmer stellt sicher, dass alle mit Informationen und Einrichtungen und Systemen zur Informationsverarbeitung verbundenen Vermögenswerte (Information Assets) inventarisiert werden und ein für die Informationssicherheit verantwortlicher Eigentümer zugewiesen wird.
Beispiele für Best Practise:
Information Assets umfassen Geschäftsprozesse und Informationen, IT-Gegenstände wie Hardware, Software, Netzwerk sowie Standorte, Organisationsstruktur, Personal und Leistungen,
Zentrales Register für Anwendungen, Server, Infrastruktursysteme, Internetauftritte, Cloud Services, PCs, Laptops, Mobiltelefone und Tablets,
Zuweisung der Verantwortlichkeit pro Anlage (z.B. eine bestimmte Anwendung) oder pro Anlagenklasse (z.B. alle Linux-Server an einem Standort),
Siehe auch Abschnitt "Organisation der Informationssicherheit - Interne Organisation" oben.
Akzeptierte Nutzung von Informationsressourcen
Der Auftragnehmer muss die Mitarbeiter über geeignete, akzeptierte Nutzungsrichtlinien informieren. Wenn die Mitarbeiter des Auftragnehmers die Informationssysteme der BWI nutzen, müssen diese die entsprechenden Richtlinien der BWI einhalten.
Beispiele für Best Practise:
Umgang mit Unternehmens- und Kundeninformationen
Handhabung von IT-Geräten
Handhabung von Passwörtern
Sichere gemeinsame Nutzung von Daten mit Geschäftspartnern
Erkennung und Behandlung von betrügerischen E-Mails (Phishing)
Meldung von Informationssicherheitsvorfällen
Nutzung des Internets
Klassifizierung der Informationen
Der Auftragnehmer stellt sicher, dass die Informationen hinsichtlich der Vertraulichkeit, Integrität, Verfügbarkeit, Privatsphäre unter Berücksichtigung der potenziellen Geschäftsauswirkungen wie finanzielle Verluste, Prozessverzögerungen, Reputationsprobleme, Sicherheits-/Gesundheits-/Umweltprobleme klassifiziert werden.
Beispiele für Best Practise:
Handhabung von Verfahren zum Schutz von Informationen während ihres gesamten Lebenszyklus (Erstellung, Verarbeitung, Übertragung, Vernichtung usw.) durch Maßnahmen wie Verschlüsselung,
Die Kennzeichnung von Informationen ebenso wie die sichere Löschung ist zu entwickeln und konsequent anzuwenden.
Handhabung von Speichermedien
Der Auftragnehmer muss Verfahren zur sicheren Handhabung von Speichermedien, einschließlich Wechselmedien, physischem Transport und Entsorgung unter Berücksichtigung der darauf gespeicherten Informationen, definieren und umsetzen.
Beispiele für Best Practise:
Speichermedien müssen sicher gelöscht oder physisch zerstört werden, wenn sie nicht mehr verwendet werden.
Laptop-Festplatten müssen verschlüsselt werden.
Die Mitarbeiter sind anzuweisen, USB-Flash-Laufwerke, externe Festplatten oder SD-Karten zu verschlüsseln, wenn darauf Kundendaten gespeichert sind, die zuvor nicht offiziell veröffentlicht wurden.
Bei der physischen Übergabe von Medien ist eine Produkthistorie zu führen und zu dokumentieren.
Wenn Medien nicht verschlüsselt werden können, dürfen sie nicht unbeaufsichtigt gelassen werden und müssen physisch übergeben werden (d.h. kein Versand per Post).
Zugriffskontrolle
Der Auftragnehmer verpflichtet sich, auf der Grundlage der Geschäfts- und Sicherheitsanforderungen zur Verhinderung von unberechtigten Zugriffen, angemessene Zugangskontrollkonzepte zu definieren, zu dokumentieren und umzusetzen, für die Fälle in denen
BWI-Informationen, auf den Informationssystemen und/oder Speichermedien des Auftragnehmers gespeichert werden oder
auf BWI-Informationssysteme durch das eigene Netzwerk des Auftragnehmers zugegriffen wird.
Solche Zugangskontrollkonzepte sollen
die Zugangskontrollregeln und -rechte für jeden Benutzer oder jede Benutzergruppe eindeutig festlegen und
sowohl den logischen Zugriff (z.B. Zugriff auf Programme und Daten) als auch den physischen Zugang (z.B. Zugang zu Gebäuden oder Datenverarbeitungsräumen) berücksichtigen und
die Prozesse zur Verwaltung des Lebenszyklus des Benutzerzugriffs festzulegen.
Der Auftragnehmer muss über Technologie gemäß anerkannten Industriestandards verfügen, um die Zugangskontrollkonzepte angemessen umzusetzen.
Beispiele für Best Practise:
Registrierung der Benutzer und ihrer Konten mit zentralisierten Identitäts- und Zugangsmanagement-Prozessen / -Systemen
Workflows für Mitarbeiter, die in das Unternehmen eintreten oder es verlassen oder die Rolle im Rahmen ihres Arbeitsplatzes wechseln
Vergabe von Zugriffsrechten nur bei Bedarf zur Erfüllung einer bestimmten Rolle im Rahmen ihres Arbeitsplatzes (Need-to-know-Prinzip)
Workflows für die temporäre Vergabe von privilegierten (Administrator-) Zugriffsrechten, einschließlich der Überwachung der unter diesen Zugriffsrechten ausgeführten Aktivitäten
Workflows für die Zuweisung, Erneuerung / Rücksetzung, Widerruf von Passwörtern und anderen Berechtigungen
Workflows für die regelmäßige (mindestens jährliche) Überprüfung der Zugriffsrechte, die den IT-Benutzern zugewiesen wurden
der Zugang zu IT-Systemen ist eingeschränkt und erfordert z.B. Benutzername/Passwort, elektronisches Zertifikat oder marktübliche biometrische Maßnahmen.
Kryptographie
Der Auftragnehmer muss sicherstellen, dass die Kryptographie ordnungsgemäß und effektiv zum Schutz der Informationen eingesetzt wird.
Beispiele für bewährte Verfahren:
Verschlüsselung von Verschlusssachen während der Übertragung (z. B. E-Mail, Zugang zu Websites, Softwareschnittstellen),
Verschlüsselung im Ruhezustand in Datenbanken oder Dateispeichern
elektronische Signaturen wichtiger Dokumente
Nutzung von gesicherten Web-Services für den Datenaustausch anstelle von unverschlüsselten E-Mails
Nutzung und Schutz von kryptographischen Schlüsseln gemäß anerkannter Industriestandards und allgemein anerkannter Praktiken (Schlüsselverteilung, Speicherung, Wiederherstellung usw.).
Physikalische und umweltbezogene Sicherheit
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer Standorte betreibt, an denen BWI Informationen verarbeitet werden.
Der Auftragnehmer muss Schäden, Störungen und Interferenzen an Einrichtungen und Geräten und von Informationen innerhalb seiner Organisation durch organisatorische Maßnahmen, die Beschränkung des physischen Zugangs zu den Einrichtungen und den Schutz vor Umweltbedrohungen verhindern.
Beispiele für Best Practise:
Einrichtungen zur Verarbeitung von Informationen sind durch eine physische Abgrenzung (wie Mauern und Zäune), Sicherheitswachen und Videoüberwachung an wichtigen Ein-/Ausgangspunkten geschützt, um unbefugten Zugang zu verhindern
Wächter / Kartenleser / Smartcards zur Kontrolle und Aufzeichnung des Zugangs zu kritischen Bereichen wie Datenverarbeitungsanlagen
Angemessene Auswahl der Standorte unter Berücksichtigung von Risiken wie Feuer, Überschwemmung, Erdbeben, Unruhen etc.
Sicherheitsrichtlinien für Anlieferungs- und Verladebereiche
Schutz der Energie- und Telekommunikationsverkabelung vor Abhören und Störungen, redundante Verkabelung zur Vermeidung von Ausfällen im Schadensfall
Schutz der Ausrüstung in Ruhe und während des Transports, z.B. durch manuelle Zustellung statt Porto, unter Beachtung der Richtlinien für saubere Schreibtische
Betriebssicherheit
Betriebsprozesse und Verantwortlichkeiten, Backups, Installation von Software auf Betriebssystemen, Inhalte der Prüfung von Informationssystemen
Der Auftragnehmer muss den korrekten und sicheren Betrieb der Einrichtungen zur Verarbeitung von Informationen sicherstellen und gewährleisten, dass die Vorgänge innerhalb der betrieblichen Prozesse dokumentiert werden, einschließlich Änderungskontrollen, Beschränkung des Zugriffs auf Betriebssoftware, Backups & Wiederherstellung, Kapazitätsmanagement und Trennung der betrieblichen von anderen IT-Umgebungen.
Beispiele für Best Practise der Inhalte von Betriebsverfahren:
Installation und Konfiguration von Systemen, einschließlich der Überprüfung der technischen Konformität der Systemkonfiguration
Verarbeitung und Handhabung von Informationen, sowohl automatisiert als auch manuell, wie z.B. Schutz und Aufbewahrung von Ein- und Ausgabedateien, sichere Entsorgung der Ausgabe von fehlgeschlagenen Jobs
Daten- und Infrastruktur-Backups
Anforderungen an die Terminierung, einschließlich der Abhängigkeiten zu anderen Systemen, frühester Auftragsstart und späteste Auftragsabschlusszeiten
Anweisungen für die Behandlung von Fehlern oder anderen unvorhergesehenen Situationen, die während der Auftragsausführung auftreten können, einschließlich Einschränkungen bei der Verwendung von System-Einrichtungen
Support- und Eskalationskontakte einschließlich externer Supportkontakte im Falle unerwarteter betrieblicher oder technischer Schwierigkeiten
systemspezifische Neustart- und Wiederherstellungsverfahren, die den allgemeinen Desaster-Recovery-Prozessen entsprechen
Verwaltung von Audit-Trail- und Systemprotokollinformationen
Kapazitätsmanagement
Benutzer- und Zugriffsverwaltung, einschließlich der Segregation-of-Duties eine Definition der User-IDs des Systems
Handhabung von Änderungen der Software-Lizenzanforderungen, die sich aus Installationen, De-Installationen, Konfigurationsänderungen oder Aktivitäten zur Benutzerverwaltung ergeben können
Umgang mit Änderungen der Software- oder Infrastrukturkonfigurationen, Einstellungen oder Funktionalitäten
technisches Schwachstellenmanagement
Schutz vor Schadsoftware
Der Auftragnehmer schützt Informationen und Einrichtungen zur Verarbeitung von Informationen mit branchenüblichen Maßnahmen vor Schadsoftware.
Beispiele für Best Practise:
Einsatz von Schadsofware-Scannern auf PCs, Servern, Netzwerk-Gateways und mobilen Geräten
regelmäßige Aktualisierung von Schadsoftware-Definitionen und Scan-Engines
Sandbox-Technologie zur Erkennung noch unbekannter Schadsoftware
Protokollierung und Überwachung
Der Auftragnehmer protokolliert sicherheitsrelevante Ereignisse auf Informationssystemen wie Server, Netzwerk-Gateways, Mitarbeiterrechner, Schadsoftware-Scanner und anderer Sicherheitstechnik. Die Protokolle sind gegen Manipulationen zu schützen und zu analysieren, um Sicherheitsvorfälle rechtzeitig zu erkennen.
Beispiele für Best Practise:
Unbefugte Zugriffsversuche
Änderungen an Benutzern, Gruppen, Zugriffsrechten, Geräte-Besitz, Sicherheitseinstellungen und Systemkonfiguration
Nutzung von Privilegien
Verwendung von System-Einrichtungen
Start, Herunterfahren, An- oder Abmeldung des Informationssystems
Zugriff (Versuche) auf Protokoll- und Programmdateien
Zuordnung von IP-Adressen und Hostnamen
Schreibzugriff auf Dateien und Objekte, wenn besondere Anforderungen an die Integrität bestehen
Aktivierung und Deaktivierung von Schutzsystemen, wie z.B. Antiviren- und Intrusion Detection Systeme
Warnungen von Sicherheitssystemen und Software
Schutz von Log-Dateien vor unberechtigtem Zugriff (weder lesend noch schreibend)
Es muss ausreichend Personal eingesetzt werden, um die Protokolle rechtzeitig zu überwachen und auf Sicherheitsvorfälle zu reagieren
Technisches Schwachstellenmanagement
Der Auftragnehmer muss technische Schwachstellen verwalten, einschließlich der Überwachung der Schwachstellen, der Risikobewertung, der Behebung (einschließlich Patches, Härtung, Einschränkungen von Softwareinstallationen oder anderer Maßnahmen, wenn keine geeigneten Patches verfügbar sind).
Beispiele für Best Practise:
Einsatz von Schwachstellen-Scannern (z.B. Nessus)
zu entscheiden, wie die erkannten Schwachstellen z.B. durch Patches von Anbietern und des Auftragnehmers behoben werden können
Zeitpläne definieren, wann Schwachstellen auf der Grundlage der Kritikalität zu lösen sind
die Installation von Software auf Client-Rechnern einzuschränken
deaktivieren Sie nicht mehr benötigte Systemdienste
Kommunikation und Netzwerksicherheit
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer IT-Netzwerke zur Erbringung der Leistungen betreibt.
Der Auftragnehmer betreibt IT-Netzwerke zum Schutz von Informationen in Systemen und Anwendungen.
Beispiele für Best Practise:
Segmentierung von Netzwerken, durch Firewalls getrennte Segmente
Firewall-Regel-Lebenszyklus-Management vorhanden
Intrusion Prevention System (IPS), im Falle des Outsourcings ist der Outsourcer verpflichtet, die anerkannte Sicherheitspraxis zu befolgen
Sicherheitsereignisse werden protokolliert und die Protokolle werden zentral von einem SIEM-System analysiert
Systembeschaffung, -entwicklung und -wartung
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer IT-Systeme (Informationssysteme) zur Erbringung der Leistungen nutzt.
Sicherheitsanforderungen an Informationssysteme
Der Auftragnehmer stellt sicher, dass die Anforderungen an die Informationssicherheit bei der Beschaffung, Entwicklung und Wartung von Informationssystemen systematisch ermittelt und in den Entwicklungs- und Unterstützungsprozessen berücksichtigt werden.
Beispiele für Best Practise:
Anforderungen an die Zugangskontrolle
Einsatz von statischen Code-Analyse-Tools für selbstentwickelte Software
Sicherheitspenetrationstests für Webanwendungen nach OWASP-Prinzipien
Verschlüsselung von Informationen während der Übertragung und/oder bei der Speicherung (in Ruhe)
digitale Signaturen
spezifische Geschäftsprozessanforderungen wie z.B. Genehmigungen oder bestimmte Dokumentationen
Vollständigkeitskontrollen
Sicherheit in Entwicklungs- und Unterstützungsprozessen
Wenn der Auftragnehmer Informationssysteme entwickelt, muss er die Informationssicherheit innerhalb des Entwicklungslebenszyklus von Informationssystemen konzipieren und umsetzen. Dies umfasst Sicherheitsbewertungen, sichere Systementwicklungsverfahren, Änderungskontrollverfahren, angemessene Test- und Genehmigungsverfahren.
Beispiele für Best Practise:
Regeln für die Entwicklung von Software und Systemen
formale Änderungskontrollverfahren
Überprüfung und Prüfung von Änderungen
Grundsätze der sicheren Systemtechnik
Umgebungen für Entwicklung / Test / Produktion
Überwachung der ausgelagerten Systementwicklung
Prüfung der Sicherheitsfunktionalität
Abnahmetestprogramme, Schutz der Testdaten.
Einsatz von Unterauftragnehmern
Dieser Abschnitt ist anwendbar, wenn der Auftragnehmer zur Leistungserbringung Unterauftragnehmer einsetzt, die auf BWI-Informationen zugreifen, diese verarbeiten oder speichern können.
Der Auftragnehmer wird die schriftliche Zustimmung der BWI einholen, bevor ein Sub-Dienstleister erstmals Zugang zu BWI-Informationen erhält. Der Auftragnehmer stellt sicher, dass Regelungen in die Verträge mit Unterauftragnehmern aufgenommen werden, die Anforderungen dieser Anlage erfüllen. Der Auftragnehmer wird die Leistungserbringung seiner Subdienstleister regelmäßig überwachen, überprüfen und auditieren.
Beispiele für Best Practise:
Zertifizierung für das Informationssicherheitsmanagement (z.B. ISO 27001)
Anforderung von SOC2- oder ISAE 3000-Outsourcing-Berichten für Unterauftragnehmer (z.B. Cloud-Hosting-Anbieter)
BWI erhält eine Kopie jedes für die Leistungen relevanten Unterauftrags für Auditzwecke (ohne Preisinformationen)
Vereinbarung von Audit-Rechten mit Subunternehmern (z.B. ausgelagerter Rechenzentrumsbetrieb, ausgelagerte Softwareentwicklung)
Management von Informationssicherheitsvorfällen
Der Auftragnehmer muss Managementverantwortlichkeiten und -verfahren festlegen, um eine schnelle, effektive und ordnungsgemäße Reaktion auf Informationssicherheitsvorfälle zu gewährleisten. Dies beinhaltet die Implementierung von Meldewegen und deren Nutzung durch Mitarbeiter und Dritte, die rechtzeitige Bewertung gemeldeter Ereignisse, die angemessene Reaktion auf Ereignisse, die als Sicherheitsvorfall gelten, angemessene Eskalations- und Kommunikationsverfahren, die Behebung von Problemen sowie Verfahren für forensische Beweise, die für disziplinarische oder rechtliche Maßnahmen erforderlich sind.
Beispiele für bewährte Verfahren:
Sammlung von Informationssicherheitsereignissen von Servern, Netzwerk-Gateways, Endpunktgeräten und Sicherheitssystemen und deren Korrelation in einem SIEM-System;
Sammeln von Sicherheitsereignissen vom IT-Servicedesk und von IT-Dienstleistern; Klassifizierungsskalen zur "Triage" und Bewertung von Informationssicherheitsereignissen hinsichtlich ihrer Kritikalität
zentrale Teams zur Überwachung, Erkennung, Analyse und Berichterstattung von Informationssicherheitsereignissen und -vorfällen
Integration von externen Quellen über Indikatoren für die Gefährdung (IOCs)
Erstellung von Aufzeichnungen über Sicherheitsvorfälle sowohl auf technischer als auch auf Managementebene (z.B. in MISP- und Wiki-Systemen)
Eskalation und Kommunikation an interne und externe Stakeholder oder Organisationen, einschließlich BWI
Aspekte der Informationssicherheit im Business Continuity Management
Der Auftragnehmer muss Prozesse, Verfahren und Kontrollen einführen, dokumentieren, implementieren und aufrechterhalten, um die Kontinuität der vertraglich vereinbarten Leistung zu gewährleisten.
Beispiele für Best Practise:
Einrichtungen zur Verarbeitung von Informationen müssen mit einer ausreichenden Redundanz implementiert werden, um die Anforderungen an die Verfügbarkeit zu erfüllen
Die Anforderungen an die Informationssicherheit müssen auch in Not-, Katastrophen- und Krisensituationen angemessen berücksichtigt werden
Compliance
Einhaltung der gesetzlichen und vertraglichen Anforderungen
Der Auftragnehmer stellt sicher, dass Verstöße gegen gesetzliche, behördliche, regulatorische oder vertragliche Verpflichtungen im Zusammenhang mit der Informationssicherheit und gegen jegliche Sicherheitsanforderungen vermieden werden.
Beispiele für Best Practise:
Alle relevanten Anforderungen und die Vorgehensweise des Auftragnehmers zur Erfüllung dieser Anforderungen müssen für jedes Informationssystem und den Auftragnehmer explizit identifiziert, dokumentiert und auf dem neuesten Stand gehalten werden.
Es sind geeignete Verfahren zu implementieren, um die Einhaltung der gesetzlichen, behördlichen und vertraglichen Anforderungen in Bezug auf die Rechte an geistigem Eigentum und die Nutzung proprietärer Softwareprodukte zu gewährleisten.
Die Aufzeichnungen müssen vor Verlust, Zerstörung, Verfälschung, unbefugtem Zugriff und unbefugter Freigabe geschützt werden, in Übereinstimmung mit den gesetzlichen, behördlichen, vertraglichen und geschäftlichen Anforderungen.
Die Privatsphäre und der Schutz personenbezogener Daten werden gemäß den einschlägigen Gesetzen und Vorschriften, soweit anwendbar, gewährleistet.
Kryptographische Kontrollen werden in Übereinstimmung mit allen relevanten Vereinbarungen, Gesetzen und Vorschriften verwendet.
Überprüfung der Informationssicherheit
Der Auftragnehmer stellt sicher, dass die Informationssicherheit in Übereinstimmung mit den Richtlinien und Verfahren des Auftragnehmers implementiert und betrieben wird.
Beispiele für Best Practise:
Der Ansatz des Auftragnehmers für das Management der Informationssicherheit und seine Umsetzung (d. h. Kontrollziele, Kontrollen, Richtlinien, Prozesse und Verfahren für die Informationssicherheit) sind in geplanten Abständen oder bei wesentlichen Änderungen unabhängig zu überprüfen.
Die Manager müssen regelmäßig die Übereinstimmung der Informationsverarbeitung und der Verfahren in ihrem Verantwortungsbereich mit den entsprechenden Sicherheitsrichtlinien, -standards und sonstigen Sicherheitsanforderungen überprüfen.
Die Informationssysteme sind regelmäßig auf die Einhaltung der Informationssicherheitsrichtlinien und -standards des Auftragnehmers zu überprüfen.