[Seite 1]
Fremdfirmenrichtlinie Anlage 1
Regelungen zur Informationssicherheit
bei der SEH
Inhaltsverzeichnis
- Grundlagen der Informationssicherheit ................................................................................ 2
- Klassifikation von Informationen ........................................................................................... 2
- Richtlinien für die elektronische Übermittlung von Daten ...................................................... 5
- Ansprechpartner*innen Richtlinien für den Zugang und Zutritt ............................................. 5
Stand: 27.10.2020 Seite 1 von 6
[Seite 2]
Fremdfirmenrichtlinie Anlage 1
1. Grundlagen der Informationssicherheit
(Auszug aus PIMS Informationssicher- heitsmanagment)
Unter Informationssicherheit ist nicht nur die klassische IT-Sicherheit zu verstehen. Der Begriff be- schreibt vielmehr den ganzheitlichen Schutz von Unternehmenswerten (Assets), zu denen auch In- formationen zählen, unter Betrachtung der Schutzziele Verfügbarkeit, Integrität und Vertraulichkeit.
2. Klassifikation von Informationen
(Klassifikation von Informationen 1.6_68_A02)
Definition von Informationen: Schützenswertes Unternehmensasset, welches in verschiedenen For- men vorliegen kann, z.B. in elektronischer Form als Datei, in physischer Form als Ausdruck, als gesprochenes Wort oder auch als Wissen von Mitarbeitern des Unternehmens.
Informationsklasse Beschreibung ÖFFENTLICH Informationen dürfen uneingeschränkt an jeden, einschließlich Massenme- dien, weitergegeben werden. Konsequenz bei Offenlegung: Kein Schaden, da Informationen für die Öffentlichkeit bestimmt sind. INTERN (Interner Informationen dürfen innerhalb der SEH weitergegeben, aber nicht veröffent- Gebrauch nur bei licht oder Massenmedien zugänglich gemacht werden. INTERNE Informatio- 68) nen dürfen Dritten, wie z.B. Dienstleistern, zugänglich gemacht werden, so- lange die SEH in einem Vertragsverhältnis zu diesen steht. Informationen dieser Klassifikationsstufe müssen nicht explizit gekennzeich- net werden. Konsequenz bei Offenlegung: Betroffen ist ein Teil der SEH. Es entsteht geringfügiger finanzieller Schaden und es kann zu rechtlichen Konsequenzen kommen. Imageverlust und eine Verärgerung von Kunden und Lieferanten ist möglich, aber unwahrscheinlich. VERTRAULICH Wenn es den Zielen der Arbeitsgruppe dient, dürfen Informationen auch an (Nur ISMS- Kollegen in der eigenen Organisation oder an andere Organisationen (z.B. Be- Geltungsbereich) rater, Dienstleister) weitergegeben werden („Need-to-know“-Prinzip, „Kenntnis nur, wenn nötig“). VERTRAULICHE Informationen dürfen Dritten nur zugänglich gemacht wer- den, wenn die Organisation eine Verschwiegenheitsvereinbarung geschlos- sen hat. Konsequenz bei Offenlegung: Betroffen ist ein Teil der Stadtentwässerung Hannover. Es entsteht finanzieller Schaden oder es kommt zu rechtlichen Konsequenzen kommen. Imageverlust und Verärgerung bei Kunden und Lieferanten ist wahrscheinlich. STRENG Informationen dürfen nur im Kreise der in einer Besprechung anwesenden VERTRAULICH Personen ausgetauscht werden. Dokumente dürfen vom Empfänger nur nach (Ausgewählte Mit- Genehmigung durch den Absender weitergegeben werden. arbeiter im Gel- STRENG VERTRAULICHE Informationen dürfen Dritten nur zugänglich ge- tungsbereich) macht werden, wenn die Organisation eine Geheimhaltungsvereinbarung ge- schlossen hat. Konsequenz bei Offenlegung: Betroffen ist die gesamte SEH. Es entsteht ein schwerer Schaden für die Ge- schäftszwecke und die Ziele der SEH. Es entstehen gravierende rechtliche Konsequenzen und ein erheblicher Verlust von Vertrauen und Ansehen bei Kunden und Lieferanten.
Stand: 27.10.2020 Seite 2 von 6
[Seite 3]
Fremdfirmenrichtlinie Anlage 1
Änderung der Klassifizierung Eine Information kann verschiedene Stufen an Vertraulichkeit durchlaufen. Eine Änderung der Klas- sifizierung kann daher nur durch den Verfasser oder den Eigentümer der jeweiligen Information er- folgen.
Angebote, Verträge, Ausschreibungen Angebote und Verträge zu Geschäften über allgemein angebotene Leistungen zu allgemein bekann- ten Gegenleistungen ohne besondere Nebenabreden werden mindestens in die Vertraulichkeits- stufe INTERN eingestuft. Der kaufmännische Teil von Ausschreibungen ist bis zum Zeitpunkt der Vergabe als STRENG VERTRAULICH einzustufen, danach mindestens als INTERN. Der technische Teil einer Ausschrei- bung ist je nach Inhalt mindestens als VERTRAULICH zu klassifizieren. Weitergehende Anforderungen (z.B. des Vergaberechts) bleiben unberührt.
Informationen von Dritten Die Stadtentwässerung Hannover wahrt die Vertraulichkeit von Kunden- und Lieferanteninformatio- nen und trifft dafür entsprechende Vorkehrungen. Die gesetzlichen und vertraglichen Bestimmungen werden beachtet. Grundsätzlich gelten für Informationen, die der Stadtentwässerung Hannover überlassen und mit keiner Informationsklasse gekennzeichnet wurden die gleichen Regelungen wie für interne Informationen der Stadtentwässerung Hannover (INTERN).
Explizite Kennzeichnung Sind Informationen explizit als VERTRAULICH oder STRENG VERTRAULICH zu kennzeichnen, so ist der Träger der Information (z.B. Papierbogen, DVD, Festplatte, Ordner, Protokoll, etc.) deutlich erkennbar mit der jeweiligen Kennzeichnung zu versehen. Mehrseitige Dokumente in Papier- oder Dateiform sind auf allen Seiten in der Kopfzeile entsprechend zu kennzeichnen; die Gesamtseiten- zahl muss erkennbar sein. Bei STRENG VERTRAULICHEN Informationen ist der Empfängerkreis auf dem Informationsträger zu bezeichnen. Empfänger können Personen, Stellen, Rollen oder Organisationseinheiten sein. VERTRAULICHE oder STRENG VERTRAULICHE Informationen in Papierform sind bei externem Versand im verschlossenen Kuvert zu versenden und der Empfänger mit dem Zusatz „persönlich“ zu benennen. Wenn bei VERTRAULICHEN oder STRENG VERTRAULICHEN Informationen das Risiko der Öff- nung durch nicht befugte Dritte besteht, sowie grundsätzlich bei allen STRENG VERTRAULICHEN Informationen, sind Kuvertierungen doppelt auszuführen; die innere ist mit der Kennzeichnung der Informationsklasse zu versehen, die äußere darf keinen Hinweis auf die Vertraulichkeit enthalten. Die explizite Kennzeichnung hat immer Vorrang vor der impliziten Kennzeichnung.
Implizite Kennzeichnung Die implizite Kennzeichnung stellt innerhalb eines Kernnutzerbereiches eine Erleichterung für die tägliche Arbeit dar. Die Informationen oder Informationsträger werden dabei nicht selbst gekenn- zeichnet; der Nutzer kennt die Klassifizierung anhand der Art der Information und wurde entspre- chend geschult und sensibilisiert. Die implizite Kennzeichnung ist möglich, solange die damit gekennzeichneten Informationen den Kernnutzerbereich nicht verlassen. Wenn Informationen den Kernnutzerbereich verlassen, so ist ge- nerell eine explizite Kennzeichnung mit der Informationsklasse erforderlich.
Dokumente im Entwurfsstadium Dokumente, die sich noch im Entwurfsstadium befinden sind nicht von der Einstufung des Doku- ments in die jeweilige Informationsklasse entbunden.
Stand: 27.10.2020 Seite 3 von 6
[Seite 4]
Fremdfirmenrichtlinie Anlage 1
Ausdrückliche Verpflichtungserklärungen Jeder externe Dienstleister und Lieferant muss sich zur Verschwiegenheit verpflichten, sofern er potentiell Zugriff auf Daten oder Informationen der Stadtentwässerung Hannover hat. Das kann be- reits vor Abschluss eines Vertrags, z.B. im Rahmen von Verhandlungen, der Fall sein. Dann hat er zuvor eine Erklärung zur Verschwiegenheitspflicht (NDA) zu unterschreiben. Daneben ist darauf zu achten, dass ein mit ihm später geschlossener Vertrag ebenfalls eine Verschwiegenheitspflicht ent- hält. Die Verschwiegenheitspflicht (NDAs) für Lieferanten oder Dienstleister erstellt die Innenrevision und händigt der Einkauf aus. Der jeweilige Auftraggeber ist verantwortlich dafür, mit dem ISK68 den Schutzbedarf der Daten zu klassifizieren und danach die Innenrevision, mit der Ausfertigung des NDAs zu beauftragen.
Beispiele und Regeln zum Umgang mit Informationen Die Regeln zum Umgang mit Informationen werden in folgender Tabelle -Umgang mit klassifizierten Informationen- zusammengefasst.
Bild ist Beispielhaft: Revision 1 (1.6_68_A02 Handout Umgang mit klassifizierten Informationen)
Stand: 27.10.2020 Seite 4 von 6
[Seite 5]
Fremdfirmenrichtlinie Anlage 1
3. Richtlinien für die elektronische Übermittlung von Daten
(ISMS Sicher- heitsrichtlinie Mobile Datenträger & 1.7_68_A01 Sicherheitsrichtlinie Kryptographie und PKI-Betrieb)
Datenträger nicht unbeaufsichtigt herumliegen zu lassen.
- Alle Medien die portabel (z.B. DVD, USB-Stick, SD-Card) sind, gehören in den Fokus.
- Es sind nur Dienstliche Datenträger erlaubt.
- Die Datenträger müssen verschlüsselt werden.
- Die Verschlüsselung ist getrennt vom Datenträger aufzubewahren.
- Bei Weitergabe ist die Verschwiegenheitserklärung zu kontrollieren
- Das Verschlüsselungsprogramm Bit Locker ist anzuwenden.
- Die Weitergabe des Schlüssels zum entsperren erfolgt über SMS oder fernmündlich
- Die Verwendung der folgenden Hashalgorithmen ist aufgrund der mangelnden Kollisionsresis- tenz im KRITIS-Geltungsbereich der SEH verboten:
- DES / Triple-DES
- MD5 / HMAC-MD5
- SHA1 / HMAC-SHA1
- Ausnahmen, beispielsweise aufgrund der Verwendung von Altsystemen, sind explizit durch den AGKo zu genehmigen.
- Mitarbeiter der SEH sind dazu verpflichtet, betriebsfremde Dateien und Datenträger mit einem Intranet PC ohne aktive Netzwerkverbindung mit aktueller Virendefinition zu scannen. Bei Ver- dacht auf Infektion mit Schadsoftware ist der Rechner vom Netzwerk getrennt zu halten und ein Sicherheitsvorfall zu melden.
4. Ansprechpartner*innen Richtlinien für den Zugang und Zutritt
(1.7_68_A02 Sicherheitsrichtlinie Zugangs- und Zutrittsschutzkonzeption)
Zur Sicherung der Informationen gilt auch ein eingeschränkter Zugang/Zutritt zu den Bereichen der Stadtentwässerung Hannover. Es wird hierbei zwischen allgemeinem Sicherheitsbereich und Hoch- sicherheitsbereich unterschieden. Die Zuteilung zu welchem (Sicherheits- bzw. Hochsicherheits-) Bereich der von der Fremdfirma betretene Bereich liegt, wird in der Arbeitsbeschreibung, bzw. - erlaubnis beschrieben.
Grundsätzliche Vorschriften in Sicherheitsbereichen Das Mitführen eines Lichtbild-Ausweises (Personal-/Dienstausweis oder gleichwertig) ist zwingend vorgeschrieben und auf Verlangen vorzuzeigen. Folgende Tätigkeiten sind in Hochsicherheitsbereichen strengstens untersagt:
- Unautorisiertes anschließen von Geräten
- Sämtliche Arten von Aufzeichnungen wie z.B. Video, Tonband oder Fotos die nicht für das Aus- üben der Tätigkeit notwendig sind
- Essen, Trinken und Rauchen
- Mitführen von schnell entflammbaren Materialien, außer den für die Tätigkeit notwendigen Verstöße sind als Sicherheitsvorfall zu dokumentieren und gemäß der Meldung von Vorfällen zu melden
Stand: 27.10.2020 Seite 5 von 6
[Seite 6]
Fremdfirmenrichtlinie Anlage 1
Hochsicherheitsbereich In den Hochsicherheitsbereichen gelten zusätzlich zu den grundsätzlichen Vorschriften folgende Vorschriften:
- Betriebsfremde haben sich vor Beginn ihrer Tätigkeiten bei den zuständigen Aufsichtspersonen der SEH anzumelden und auszuweisen.
- Die Bewegungsfreiheit innerhalb der Hochsicherheitsbereiche beschränkt sich ausschließlich auf den direkten Tätigkeitsbereich. Sämtliche Aktivitäten und Besuche im Hochsicherheitsbereichen müssen von der zuständigen Auf- sichtsperson vermerkt werden.
Zutrittsvorschriften für Elektrische Betriebsstätten Elektrische Betriebsstätten müssen stets verschlossen gehalten werden. Sie dürfen nur von Elekt- rofachkräften oder anderweitig elektrotechnisch unterwiesenen Personen bzw. von anderen Perso- nen nur unter Aufsicht von Elektrofachkräften oder in den Betrieb elektrisch Anlagen unterwiesenen Personen betreten werden (nach DIN VDE).
Verschließen nach Beendigung der Arbeit Jegliche Netzwerk- und Fernwirktechnik ist stets unter Verschluss und vor Fremdzugriff geschützt zu halten. Nach Beendigung der Arbeit haben die Mitarbeitenden dafür Sorge zu tragen, dass alle geöffneten Schließungen wieder verschlossen werden.
Stand: 27.10.2020 Seite 6 von 6