[Seite 1]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 1 von 14
Anweisung zur Nutzung der Informationstechnik
Inhaltsverzeichnis
Seite
Präambel .......................................................................................................................................................... 2
1 Definitionen, Geltungsbereich und Nutzungsbedingungen ...................................................... 2
1.1 Definitionen ..................................................................................................................................... 2
1.2 Geltungsbereich ............................................................................................................................. 3
1.3 Nutzungsbedingungen ................................................................................................................... 3
1.4 Berechtigungen .............................................................................................................................. 4
1.5 Nutzung von Gastkonten ............................................................................................................... 4
1.6 Regelungen zum Ausscheiden ..................................................................................................... 4
1.7 Ausschluss von der Nutzung ........................................................................................................ 5
2 Beschaffung und Installation von IT-Komponenten ................................................................... 5
2.1 Beschaffung der Hardware und Software .................................................................................... 5
2.2 Verantwortung für die Installation ................................................................................................ 6
3 Betrieb und Nutzung von IT-Systemen ........................................................................................ 6
3.1 Nutzung von IT-Diensten des HZDR ............................................................................................. 6
3.2 Anschluss von IT-Komponenten .................................................................................................. 7
3.3 Nutzung dienstlicher stationärer und mobiler Computer .......................................................... 8
3.4 Nutzung dienstlicher mobiler Smart Devices .............................................................................. 8
3.5 Private Nutzung .............................................................................................................................. 9
3.6 Externer Zugang zum Datennetz .................................................................................................. 9
4 IT-Sicherheit und Datenschutz .................................................................................................... 10
4.1 Verantwortung .............................................................................................................................. 10
4.2 Zugangsschutz und Umgang mit Passwörtern ......................................................................... 10
4.3 Datensicherheit und Datenschutz .............................................................................................. 11
4.4 Virenschutz, Spam- und Webfilter .............................................................................................. 11
4.5 Verschlüsselung ........................................................................................................................... 12
4.6 Nutzung von Fernwartungssoftware .......................................................................................... 12
4.7 Nutzung von Nachrichten-Diensten ........................................................................................... 13
5 Inkrafttreten ................................................................................................................................... 13
6 Anhang .......................................................................................................................................... 14
[Seite 2]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 2 von 14
Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung männlicher und weib- licher Sprachformen verzichtet. Sämtliche Personenbezeichnungen gelten gleichwohl für jedes Ge- schlecht.
Präambel
Das Helmholtz-Zentrum Dresden - Rossendorf (HZDR) stellt seinen Mitarbeitern und Gästen die informationstechnische Infrastruktur (IT-Infrastruktur) des HZDR, die Arbeitsplatz-Informationstech- nik und ggf. mobile IT-Geräte für die Erfüllung ihrer Dienstaufgaben zur Verfügung.
Eine hochverfügbare, leistungsfähige, innovative und sichere IT-Infrastruktur ist ein Schlüssel für die effektive Arbeit am Forschungszentrum sowie für die Kommunikation des Zentrums nach außen. Um dies zu gewährleisten, sind von jedem Mitarbeiter sowie von den Gästen und Besuchern des Forschungsstandortes bestimmte Regeln zur Arbeit mit diesen IT-Einrichtungen zu beachten. Ins- besondere die Einhaltung der Datensicherheit, des Datenschutzes, der Zugangskontrolle und des sicheren Anschlusses von Datenendgeräten sind dabei von großer Bedeutung für jeden einzelnen Mitarbeiter und die Forschungsstandorte insgesamt.
Für die Gestaltung der IT-Infrastruktur und des Daten- und Kommunikationsnetzes des HZDR ist die Zentralabteilung Informationsdienste und Computing (FWC) zuständig. Die Nutzer der Informations- technik (Mitarbeiter, Gäste und Besucher) sind verpflichtet, die in dieser Anweisung aufgeführten Nutzungsbedingungen einzuhalten. Wichtige Ergänzungen zu dieser betrieblichen Regelung bein- haltet die Betriebsvereinbarung L 121 über die Nutzung von Telemediendiensten am HZDR.
1 Definitionen, Geltungsbereich und Nutzungsbedingungen
1.1 Definitionen
In der HZDR-Anweisung D 411 zur An- und Abmeldung von Personen am HZDR werden folgende Personengruppen unterschieden: • Mitarbeiter (inklusive Auszubildende, Hilfskräfte, Doktoranden), • Gäste / Gastwissenschaftler (externe Personen mit einer Tätigkeit am Standort), • Besucher (externe Personen ohne Tätigkeit am Standort), • Fremdfirmenmitarbeiter (Personen mit vertragsgebundener Leistungserbringung) und Interessenten (Personen, die sich für einen Service oder eine Tätigkeit am HZDR anmelden).
Aus Sicht der IT Nutzung wird unterschieden zwischen: • Gastnutzern (Personen ohne eigenes Nutzerkonto mit eingeschränkten Nutzungsrechten), • Nutzern (Personen mit Konto und vollen Nutzungsrechten) und • Administratoren (Personen mit Installationsrechten).
Administratoren sind durch die Zentralabteilung FWC autorisierte Personen. Es gibt zentrale Admi- nistratoren (Mitarbeiter von FWC) und Instituts-Administratoren. Diese werden von den Leitern der
[Seite 3]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 3 von 14
Institute und Zentralabteilungen eingesetzt. Die Aufgaben und Rechte der Administratoren sind in der L 221: „Regelung zum Betrieb informationstechnischer Systeme am HZDR“ definiert.
In dieser Regelung werden folgende Gerätetypen mit Zugang zum Datennetz unterschieden: • Stationäre Computer oder -Endgeräte (PC, Drucker, Messgeräte, IP-Telefone, GLT etc.) • Mobile Computer (u.a. Notebook, Convertible) • Mobile Smart Devices (Smartphones oder Tablets, meist mit Android bzw. iOS System)
Das können dienstliche Geräte (Eigentum des HZDR) oder private Geräte (Eigentum des Nutzers oder einer Fremdfirma) sein. Sie werden auch bezüglich ihrer Konfiguration unterschieden in: • HDZR-konforme Geräte: Durch das HZDR beschafftes und von einem verantwortlichen Admi- nistrator nach den HZDR-Richtlinien konfiguriertes dienstliches IT-Gerät. Die Richtlinien für eine konforme Konfiguration (Betriebssystem, Berechtigungen, Virenschutz) sind im Intranet des HZDR aufgeführt. • Nicht HZDR-konforme Geräte: Privates oder dienstliches IT-Gerät ohne HZDR-konforme Kon- figuration.
HZDR-Datennetz: Das Daten- und Kommunikationsnetz des HZDR umfasst sowohl drahtgebundene als auch drahtlose Netze (wireless LANs) und erstreckt sich über den Standort Dresden-Rossendorf und andere Forschungsstandorte. Das Netz ist in verschiedene Teilnetze für die unterschiedlichen Anwendungsbereiche und Berechtigungen strukturiert. So gibt es interne Netze (z.B. für die instituts- interne Kommunikation und die Verwaltung), separate Netze für Gäste, für infrastrukturelle Kompo- nenten (z.B. Telefone, Zugangskontrolle, Gebäudeleittechnik) und auch abgetrennte Netze für be- stimmte Forschungsanlagen (sog. „Messnetze“).
Die Verantwortung für den Betrieb der spezifischen Messnetze liegt oft bei dem zuständigen Admi- nistrator. Die Gateways, die den Zugang zu diesen Sondernetzen herstellen, werden von der zent- ralen IT konfiguriert und betrieben, jedoch teilweise von Instituts-Administratoren mit verwaltet.
1.2 Geltungsbereich
Die in dieser IT-Nutzungsordnung beschriebenen organisatorischen, technischen und infrastruktu- rellen Maßnahmen und Methoden sind für alle Mitarbeiter und Gäste an den Standorten des Helm- holtz-Zentrum Dresden - Rossendorf e.V. verbindlich und gelten darüber hinaus auch für alle exter- nen Nutzer der IT-Infrastruktur des HZDR. Die hier festgelegten Regelungen gelten für die Beschaf- fung, die Installation, den Betrieb und die Nutzung von Informationstechnik und Software.
1.3 Nutzungsbedingungen
Eine Nutzung der IT-Infrastruktur des HZDR ist nur mit erteilter Nutzungsberechtigung nach der Anmeldung gestattet (siehe 1.1). Für den Zugang zu den IT-Diensten des HZDR erhält der Nutzer die Berechtigungen, Nutzerkonten und Informationen von der Zentralabteilung FWC.
Die Nutzung der IT-Infrastruktur am HZDR bedeutet für den Nutzer u.a.:
• die Ressourcen verantwortungsbewusst und nach den betrieblichen Richtlinien zu nutzen,
[Seite 4]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 4 von 14
• ohne ausdrückliche Einwilligung der zentralen IT oder des zuständigen Administrators keine Ein- griffe in die Hardwareinstallation vorzunehmen und die Basiskonfiguration der Betriebssysteme und des Netzwerkes nicht zu verändern, • keine unbekannte, nicht registrierte oder nicht sachgerecht lizensierte Hardware oder Software zu installieren und zu nutzen, • die Festlegungen zur IT-Sicherheit und zum Datenschutz strikt einzuhalten und • jeglichen Missbrauch der IT-Systeme und Angriffe auf die Authentizität, Integrität und Vertrau- lichkeit von Daten zu unterlassen und alle Maßnahmen zur Wahrung und Herstellung der IT- Sicherheit zu unterstützen.
Mit der Übernahme eines Nutzerkontos erklären Nutzer ihre Kenntnisnahme dieser HZDR-Anwei- sung (L 111) und akzeptieren diese.
1.4 Berechtigungen
Bei der IT-Administration werden die zentralen Administratoren durch Instituts-Administratoren in den Instituten und Zentralabteilungen unterstützt. Administrationsaufgaben werden durch die be- nannten IT-Administratoren ausgeübt. In Ausnahmefällen (z.B. wenn Software dies zum Betrieb er- fordert oder für bestimmte mobile Geräte) können die Rechte zur lokalen Administration an einge- wiesene und kompetente Nutzer delegiert werden.
Zur Erledigung von lokalen Administrationsaufgaben wird dem eingewiesenen Nutzer bei Bedarf ein separates Konto mit Administratorrechten zur Verfügung gestellt. Die Zuweisung von Administrator- rechten auf ein persönliches Nutzerkonto ist nicht gestattet. Ein Konto mit Administratorrechten darf nur zur Installation und Konfiguration von Systemen verwendet werden. Für die normalen Arbeits- abläufe ist das persönliche Nutzerkonto zu verwenden.
Der zuständige Administrator wird dem Nutzer im Intranet beim eigenen Benutzerkonto angezeigt:
Weiterführende Regelungen über die Verantwortung zur Administration sind in der HZDR-Anwei- sung L 221 „Regelung zum Betrieb informationstechnischer Systeme am HZDR“ aufgeführt.
1.5 Nutzung von Gastkonten
Spezielle nichtpersonifizierte Nutzerkonten für kurzfristige Besucher sind jeweils einem Administra- tor des HZDR zugeordnet, der für die Vergabe des Kontos und die Unterweisung der Nutzer über die Nutzungsbedingungen verantwortlich ist. Durch diesen sind die Passwörter regelmäßig zu än- dern und Gastkonten bei nicht-Nutzung zu deaktivieren.
1.6 Regelungen zum Ausscheiden
Mit dem Ende des Beschäftigungsverhältnisses von Mitarbeitern bzw. des Vertragsverhältnisses von Gästen oder Fremdfirmen endet die Nutzungsberechtigung und die Nutzerkonten werden automa- tisch gesperrt. Auf Wunsch des Nutzers und mit dem Einverständnis des zuständigen Vorgesetzten
[Seite 5]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 5 von 14
können einige Dienste (z.B. das E-Mail Postfach) für einen befristeten Zeitraum (in der Regel 3 Mo- nate) weiter genutzt werden. Eine darüber hinaus gehende Nutzung ist vom Vorgesetzten mit ent- sprechender Begründung formlos (per E-Mail an FWCS) zu beantragen.
Die unter dem Nutzerkonto gespeicherten persönlichen Daten werden nach dieser Zeit gelöscht, es sei denn, eine erneute Beschäftigung innerhalb eines Jahres ist zum Zeitpunkt des Ausscheidens absehbar. Die Ablage von Daten mit fachlichem / dienstlichem Bezug ist vor dem Ausscheiden mit dem zuständigen Abteilungsleiter zu klären. Insbesondere Daten, die im Zusammenhang mit Publi- kationen stehen, müssen dauerhaft am HZDR archiviert werden (siehe HZDR-Anweisung A 213 Publikationsordnung).
1.7 Ausschluss von der Nutzung
Zuwiderhandlungen gegen die Regelungen der IT-Nutzungsordnung werden durch das HZDR ge- ahndet; bei Gefahr im Verzug erfolgt der sofortige Ausschluss von der Nutzung der IT-Systeme.
Bewusster Missbrauch oder unerlaubte Nutzung der IT-Systeme des HZDR, die den Interessen des HZDR oder dessen Ansehen in der Öffentlichkeit schadet, die Sicherheit des Netzes beeinträchtigt oder gegen geltende Rechtsvorschriften verstößt, kann zu arbeits- und/oder sonstigen rechtlichen Konsequenzen führen.
2 Beschaffung und Installation von IT-Komponenten
2.1 Beschaffung der Hardware und Software
Das HZDR ist auf den Einsatz von Standardsystemen orientiert. Die Zentralabteilung FWC legt nach Beratung in der IT-Kommission die Standardkonfigurationen für stationäre und mobile Geräte fest, die in bestimmten Zeitabständen unter Berücksichtigung der Bedürfnisse der Nutzer und entspre- chend der technischen Entwicklung angepasst werden. Die Standardsysteme werden ausgeschrie- ben und von ausgewählten Lieferanten bereitgestellt.
Abweichungen von der Standardkonfiguration können nur für begründete Spezialanforderungen, z.B. bei Computern, die in Apparaturen integriert sind, akzeptiert werden. Beschaffungsaufträge mit Abweichungen von den Standardkonfigurationen bedürfen einer Begründung des Bestellers (in der Bestellanforderung) mit Freigabe durch FWC.
Die Koordinierung der Softwarebeschaffung erfolgt durch die Zentralabteilung FWC, jede Software wird über den Beschaffungsprozess in der Softwaredatenbank des HZDR registriert. Die Standard- software für Arbeitsplatzrechner wird bei der Erstkonfiguration installiert. Die Liste der aktuellen Standardsoftware wird mit der IT-Kommission abgestimmt.
Ergebnisse (Daten, Projekte usw.), die mit akademisch lizensierter Software erstellt wurden, dürfen meist nicht für kommerzielle Zwecke (z.B. für Drittmittelprojekte) eingesetzt werden. Das gilt u.a. für CAD-Programme, aber auch für Modellierungs- oder Programmiersysteme. Für diesen Zweck kön- nen am HZDR z.T. spezielle kommerzielle Softwarelizenzen genutzt werden.
Die Verwendung einer Software setzt grundsätzlich die Prüfung der Berechtigung und die Verfüg- barkeit der notwendigen Lizenz durch den Nutzer oder dessen Vorgesetzten voraus. Der Nutzer
[Seite 6]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 6 von 14
einer Software erklärt sich mit deren Verwendung automatisch auch mit der Anerkennung der Li- zenzbedingungen einverstanden. Es ist nicht gestattet, lizenzierte Software unberechtigt zu verviel- fältigen oder weiterzugeben bzw. lizenzpflichtige Software unrechtmäßig zu nutzen.
Die Installation einer Anwendungssoftware, darf nur dann durch einen Administrator erfolgen, wenn der Nutzer oder dessen Vorgesetzter nachweisen kann, dass der Nutzer zur Anwendung der Soft- ware berechtigt ist und über die entsprechende Lizenz verfügt.
2.2 Verantwortung für die Installation
Die IT-Infrastruktur des HZDR ist entsprechend den Erfordernissen einerseits und den technischen Randbedingungen andererseits strukturiert. Nutzer haben den Administratoren in angemessenem Umfang Zugang zu den IT-Systemen zu gewährleisten. Deren Maßnahmen zur Installation und Si- cherung des reibungsfreien Betriebes sind - soweit datenschutzrechtlich zulässig - zu akzeptieren. Solche Maßnahmen sind z.B.:
• Registrierung von Hard- und Software in den entsprechenden Datenbanken • Aufstellung und Verkabelung • Installation, Aktualisierung und Entfernung von Hard- und Software • Setzen und Entfernen von Berechtigungen für Nutzer • Analyse, Protokollierung und Überwachung (im datenschutzrechtlichen Rahmen, siehe auch Betriebsvereinbarung L121).
3 Betrieb und Nutzung von IT-Systemen
3.1 Nutzung von IT-Diensten des HZDR
Jedem Mitarbeiter wird ein persönliches HZDR E-Mail-Postfach zur Verfügung gestellt. Die E-Mail- Adresse setzt sich in der Regel zusammen aus dem ersten Buchstaben des Vornamens, dem Nach- namen und der Endung @hzdr.de (zum Beispiel m.mustermann@hzdr.de). Die Änderung der E- Mail-Adresse kann auf Antrag und mit einer entsprechenden Begründung erfolgen.
Für die dienstliche Kommunikation soll ausschließlich die HZDR E-Mail-Adresse verwendet werden. Dienstliche und externe Postfächer sind strikt voneinander zu trennen, beim Zugriff auf externe Post- fächer sind bevorzugt Webzugänge zu nutzen. Insbesondere dürfen Nutzer keine dienstlichen Nach- richten auf ein externes Postfach umleiten und keine privaten Nachrichten auf das dienstliche Post- fach.
Dienstliche E-Mails sind mit einer Text-Signatur am Ende der Nachricht zu versehen. Diese ent- spricht in Inhalt und Gestaltung im Wesentlichen den offiziellen Visitenkarten des HZDR ergänzt um Angaben zum Verein. Die Formatierung soll in einem einfachen Textformat erfolgen, die Postan- schrift ist optional, hier ein verbindliches Muster:
[Seite 7]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 7 von 14
Max Mustermann
Institut für Fluiddynamik
Helmholtz-Zentrum Dresden - Rossendorf e.V.
Tel: +49 (0) 351 260 1234
Vorstand: Prof. Dr. Dr. h. c. Roland Sauerbrey, Dr. Ulrich Breuer
Vereinsregister: VR 1693 beim Amtsgericht Dresden
Eine zusätzliche Signatur der Nachricht mit einem digitalen HZDR-Zertifikat ist, soweit technisch möglich, zu verwenden. Damit wird gesichert, dass die Nachricht nicht gefälscht bzw. verändert wurde. Persönliche digitale Zertifikate können von allen Mitarbeitern über ihr Nutzerkonto im Intranet beantragt werden.
Weitere Details und verbindliche Festlegungen zur Nutzung des E-Mail-Postfaches finden Sie in der L 121 „Betriebsvereinbarung über die Nutzung von Telemediendiensten am HZDR“ und im Intranet unter folgendem Link: https://www.hzdr.de/e-mail
Jedem Nutzer wird für dienstliche Zwecke weiterhin der Zugang zu Speicher- und Rechenressour- cen des HZDR bereitgestellt. Es ist nicht gestattet, dienstliche Daten über externe öffentliche Cloud- Dienste (iCloud, GoogleDrive, etc.) zu sichern, hierfür sind die HZDR eigenen, web-basierten Cloud- Angebote (OwnCloud, etc.) zu nutzen. Dies gilt insbesondere auch für die Login-Daten zu den Ser- vern des HZDR.
3.2 Anschluss von IT-Komponenten
Aktive Datennetzkomponenten (Switche, Router, WLAN-Access-Points, Umsetzer etc.) dürfen nur durch Mitarbeiter der FWC Datennetzgruppe installiert und verändert werden oder sind von diesen zu genehmigen. Der Anschluss von Modems an Standorten des HZDR ist untersagt, in begründeten Fällen kann eine Sondergenehmigung erteilt werden. Veränderungen an der Datennetzverkabelung dürfen nur die zuständigen Mitarbeiter von FWC oder von Ihnen beauftragte Personen vornehmen. Programme und Geräte zum Management des Datennetzes dürfen nur von der Datennetzgruppe bzw. nur mit Genehmigung von Mitarbeitern dieser Gruppe eingesetzt werden.
Der Netzanschluss von Nutzergeräten basiert auf spezifischen Regeln, welche die Sicherheit und den stabilen Betrieb gewährleisten. Generell bedarf der Anschluss aller IT-Geräte an das Datennetz der Anmeldung über die Verfahren des HZDR. Lediglich Nutzer, die am HZDR oder an ihren Hei- mateinrichtungen am „eduroam“-Dienst teilnehmen, können über das „eduroam“-Netzwerk den In- ternetzugang mit ihrer „eduroam“-Kennung ohne Anmeldung ihrer Geräte nutzen.
HZDR Geräte müssen in den Datenbanken des HZDR registriert und verwaltet werden. Die Zentral- abteilung FWC vergibt die initialen Konfigurationsparameter zur Netzanbindung (Rechnername, IP- Adresse, Netzkonfiguration) für das anzuschließende Gerät. Die Verwendung anderer Konfigurati- onsparameter muss mit FWC abgestimmt werden und richtet sich nach institutsspezifischen Anfor- derungen. Diese dürfen jedoch nicht in Konflikt zu bereits global verwendeten Parametern stehen.
[Seite 8]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 8 von 14
Nicht angemeldete, fehlerhaft konfigurierte oder den Netzbetrieb störende Geräte werden nach Rücksprache mit dem Instituts-Administrator von der Nutzung des Datennetzes ausgeschlossen.
Nur HZDR-konforme IT-Geräte (siehe 1.1) werden im internen HZDR-Netz zugelassen. Für nicht HZDR-konforme IT-Geräte werden Gastnetze bereitgestellt, die es dem Nutzer ermöglichen, nach der Registrierung (des Gerätes oder via „eduroam“) eingeschränkte Netzdienstleistungen (z.B. In- ternetzugang) in Anspruch zu nehmen.
Unter Beachtung bestimmter Voraussetzungen kann die Registrierung fremder Geräte für das in- terne Netz beantragt werden (siehe https://www.hzdr.de/network). Mit der Integration von „Frem- drechnern“ unterwirft sich der Besitzer / Nutzer den am HZDR geltenden Regelungen.
3.3 Nutzung dienstlicher stationärer und mobiler Computer
Die Nutzung von dienstlichen Computern, die durch das HZDR bereitgestellt werden, ist zur Erfül- lung arbeitsrelevanter Aufgaben vorgesehen. Die Installation von Anwendungen (Apps) erfolgt durch einen Administrator, in der Regel basierend auf Standard-Konfigurationen. Die Zentralabteilung FWC behält sich vor, die installierten Anwendungen in regelmäßigen Abständen durch Stichproben in den Logs zu kontrollieren.
Dienstliche mobile Computer (Notebooks) werden i.W. wie stationäre Computer behandelt. Dienst- liche Notebooks, die im internen Netz als Arbeitsplatz-Computer verwendet werden, bekommen dar- über regelmäßig Sicherheitseinstellungen und Updates. Wie bei den stationären Arbeitsplatzcom- putern kann der Abruf von E-Mails, Kontakten und Kalendern von den E-Mail-Servern des HZDR über die nativen E-Mail Anwendungen erfolgen, alternativ können auch die Webservices genutzt werden.
Die Beachtung der Vorgaben für IT-Sicherheit und Datenschutz (siehe Kapitel 4) ist bei der mobilen Nutzung von besonderer Bedeutung. Zum Schutz sensibler Daten sind diese auf mobilen Compu- tern generell verschlüsselt zu speichern (siehe 4.5).
3.4 Nutzung dienstlicher mobiler Smart Devices
Durch das HZDR bereitgestellte mobile Smart Devices, wie Smartphones oder Tablets, sind zwin- gend vor der ersten Inbetriebnahme von der Zentralabteilung FWC zu konfigurieren. Diese Konfigu- ration umfasst unter anderem die Aufnahme des Gerätes in die zentrale Mobilgeräteverwaltung des HZDR und die Einrichtung einer Container-App (z.B. „Sophos Secure E-Mail“) zusammen mit dem Benutzer. Diese App kann aus den entsprechenden App-Stores geladen werden. Änderungen an dieser Konfiguration sind dem Benutzer untersagt. Die Zentralabteilung FWC behält sich vor die Geräte in regelmäßigen Abständen auf abweichende Konfigurationen zu prüfen.
Der Abruf von E-Mails, Kontakten und Kalendern von den E-Mail-Servern des HZDR hat auf mobilen Smart Devices ausschließlich über die von der Zentralabteilung FWC bereitgestellten Container-App oder die Web-Angebote des HZDR zu erfolgen.
Die Nutzung von Social-Media-Anwendungen auf Dienstgeräten des HZDR ist zur Erfüllung dienst- licher Aufgaben möglich. Dabei ist generell darauf zu achten, dass keine Daten des HZDR an Dritte weitergegeben werden. Dies wird zum einen durch die Nutzung des HZDR-Containers gewährleis- tet, muss aber bei der Konfiguration und Nutzung jeder weiteren Anwendung beachtet werden.
[Seite 9]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 9 von 14
3.5 Private Nutzung
Der Internet-Zugang steht den Beschäftigten als Arbeitsmittel im Rahmen der Aufgabenerfüllung und der Weiterbildung zur Verfügung. Die private Nutzung ist in der L 121: „Betriebsvereinbarung über die Nutzung von Telemediendiensten am HZDR“ geregelt.
Die private Nutzung der HZDR IT-Infrastruktur ist in geringfügigem Umfang nur dann zulässig, wenn die dienstliche Aufgabenerfüllung und die Verfügbarkeit des IT-Systems für dienstliche Zwecke nicht beeinträchtigt werden und haushaltsrechtliche Grundsätze dem nicht entgegenstehen.
Private Daten, die nicht im Rahmen der dienstlichen Aufgabenerfüllung benötigt werden, sind weder auf lokalen Dienstcomputern noch auf HZDR-Netzwerk- oder Cloud-Speichern abzulegen. Zur Si- cherung der Verfügbarkeit von Speicherplatz für alle Nutzer, behält sich die Zentralabteilung FWC vor, solche Daten nach Rücksprache mit dem Nutzer zu löschen.
Private Geräte können unter Einhaltung bestimmter Nutzungsbedingungen für den Zugriff auf Dienste oder Daten des HZDR genutzt werden. Dabei müssen dienstliche und private Daten strikt getrennt bleiben. Die Nutzung der Web-Angebote des HZDR zum Abruf der E-Mails, Kalender, Kon- takte und dafür freigegebene Daten über Webbrowser ist jederzeit möglich. Des Weiteren können private mobile Computer und Smart Devices in den Gastnetzen des HZDR verwendet werden.
Private Geräte dürfen im Regelfall nicht für die Synchronisation und Speicherung dienstlicher Daten verwendet werden. Ist im Einzelfall eine Nutzung unabdingbar, ist die Synchronisation von dienstli- chen E-Mails, Kalendern und Kontakten nur dann gestattet, wenn dieses über eine verschlüsselte Container-App (eine HZDR-spezifische oder durch das HZDR freigegebene App) erfolgt. Die Nut- zung einer solchen App kann dazu führen, dass Gerätedaten (Systeminformationen, Telefonnum- mer) auf Servern des HZDR gespeichert werden.
3.6 Externer Zugang zum Datennetz
Für den Zugriff auf Ressourcen und Daten des HZDR von außen über das Internet stehen verschie- dene Zugänge (Citrix, SSH, OwnCloud, ThinLinc, etc.) über Gateways zur Verfügung. Der Zugriff wird dabei durch zentrale Firewalls, die von FWC verwaltet werden, reglementiert.
Allen Mitarbeitern stehen Webportale zur Verfügung, über das zentrale Dienste (https://www.hzdr.de/citrix) und zentrale Daten (https://vpn.hzdr.de) erreicht werden können. In be- gründeten Ausnahmefällen kann mittels Virtual Privat Network (VPN) von externen auf interne Ge- räte und Dienste zugegriffen werden, dies ist gesondert zu beantragen. Die Berechtigung dazu wird HZDR-Mitarbeitern und in begründeten Ausnahmefällen auch Gästen bei Bedarf erteilt. Die Einwahl erfolgt dabei über verschlüsselte Kanäle.
Die Einwahl in das Netz des HZDR setzt neben der notwendigen Autorisierung auch ein Mindestmaß an Sicherheit auf der Gegenstelle voraus (u.a. ein aktueller Virenschutz). Bei der Nutzung von pri- vaten Geräten für die Einwahl trägt jeder Nutzer selbst die Verantwortung dafür, das Gerät entspre- chend abzusichern. Für die Nutzung der Dienste über einen externen Zugang gelten die gleichen Sicherheitsbestimmungen und Nutzungsbedingungen wie für eine interne Nutzung am HZDR und seinen Forschungsstellen. Das HZDR übernimmt keine Haftung für eventuelle Folgen, die durch die Nutzung dieses Zugangs an externen Geräten entstehen können.
[Seite 10]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 10 von 14
Für die Nutzung von genehmigter Heimarbeit können dienstliche Geräte bereitgestellt oder alternativ auch private Geräte verwendet werden. Die dafür vorgesehenen konformen dienstlichen Computer verbinden sich automatisch mit dem HZDR Netz, bevorzugt wird dabei ein virtueller Arbeitsplatz auf HZDR Servern geöffnet. Für Heimarbeit eingesetzte private Geräte unterliegen dabei den bereits genannten Einschränkungen für die Synchronisation und Speicherung dienstlicher Daten, ein- schließlich E-Mails. Auch hier sind die Verbindung mit einem virtuellen Arbeitsplatz am HZDR oder die Nutzung der angebotenen Web- und Citrix Services die bevorzugten Nutzungsvarianten.
4 IT-Sicherheit und Datenschutz
4.1 Verantwortung
IT-Sicherheit setzt verantwortungsbewusstes und sachkundiges Handeln jedes einzelnen Nutzers voraus. Die Verantwortung für die Einhaltung der IT-Sicherheit im gegebenen organisatorischen Si- cherheitsrahmen trägt jeder Mitarbeiter selbst sowie der jeweilige Vorgesetzte.
Die zentrale Organisation der IT-Sicherheit nimmt der IT-Sicherheitsbeauftragte des HZDR in Zu- sammenarbeit mit der Zentralabteilung FWC, den Instituts-Administratoren und dem Datenschutz- beauftragten des HZDR wahr.
Das Abhören und Mitschneiden von Daten aus dem Datennetz sowie das Scannen des Datennetzes sind verboten. Ein Fernzugriff für Administratoren auf eine laufende Sitzung eines Nutzers an einem Arbeitsplatzcomputer oder Server ist generell nur durch aktive Freischaltung durch den Nutzer selbst zulässig (siehe auch 5.6).
Verstöße und Mängel, welche die IT-Sicherheit oder den Schutz und die Integrität von Daten verlet- zen, sind umgehend an den IT-Sicherheitsbeauftragten bzw. den Datenschutzbeauftragten zu mel- den.
4.2 Zugangsschutz und Umgang mit Passwörtern
Der Zugang zu den IT-Systemen ist vom Mitarbeiter gegen unbefugte Nutzung zu sichern (Ausschal- ten, Abmelden, Passwortschutz etc.). Alle Datenendgeräte (insbesondere Notebooks, Tablets, Mo- biltelefone, etc.) sind vor unbefugtem Zugriff und Diebstahl zu schützen. Ein Verlust muss umgehend gemeldet werden.
Passwörter werden ausschließlich für die persönliche Authentifizierung und Nutzung verwendet. Sie sind geheim zu halten, das heißt sie dürfen anderen Personen nicht mitgeteilt oder in irgendeiner Weise offengelegt oder hinterlegt werden.
Passwörter sind vom Nutzer so zu wählen, dass sie von Dritten nicht einfach zu erraten sind (keine naheliegenden Namen oder Begriffe und Kombinationen, mindestens ein Sonderzeichen). Pass- worte müssen bestimmten Regeln entsprechen und sind zyklisch zu ändern. Die Zentralabteilung FWC gibt diese Regeln vor und überwacht deren Einhaltung. Die Passwortrichtlinie des HZDR fin- den Sie im Intranet unter: https://www.hzdr.de/passwd
[Seite 11]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 11 von 14
4.3 Datensicherheit und Datenschutz
Die Zentralabteilung FWC stellt Dienste zur Ablage und Sicherung von Daten (Backup und Archivie- rung) bereit. Wichtige Daten sind auf den dafür zur Verfügung stehenden institutsinternen oder zent- ralen File-Servern abzulegen. Für die Speicherung dienstlicher Daten sind interne Angebote sowie ggf. Ressourcen der Kooperationspartner im Rahmen der Kooperationsvereinbarungen zu nutzen.
Nur auf den institutsinternen sowie zentralen Verzeichnissen und Servern erfolgt eine automatische Sicherung. Für die Sicherung und Archivierung lokal abgelegter Daten trägt jeder Nutzer selbst die Verantwortung, er kann dafür geeignete Werkzeuge nutzen, die ihm dafür bereitgestellt werden. Die Zentralabteilung FWC stellt zur Datensicherung geeignete Backupdienste bereit, die für einen Zeit- raum von 90 Tagen mit inkrementellen Backups die darin erfassten Daten zur Wiederherstellung vorhalten.
Die Entscheidung über die Schutzwürdigkeit der Daten – und damit den Speicherort - obliegt dem pflichtgemäßen Ermessen der jeweiligen Verantwortlichen, sofern keine anderen Festlegungen ge- troffen sind. Die Übertragung und die Speicherung schutzwürdiger Daten (vor allem auf mobilen Geräten und Datenträgern) sollen verschlüsselt erfolgen. Datenträger mit schutzwürdigen Daten sind generell verschlossen aufzubewahren. Der Umgang mit personenbezogenen oder personen- beziehbaren Daten hat nach den jeweils geltenden Vorschriften des Datenschutzes zu erfolgen und ist mit dem Datenschutzbeauftragten des HZDR abzustimmen (siehe A 200 HZDR Anweisung zum Datenschutz).
Datenträger, die nicht mehr genutzt werden (Festplatten, Magnetbänder, CD‘ s, USB-Sticks, u. ä.) müssen vor der Verschrottung der entsprechenden Geräte ausgebaut und über die Abteilung Si- cherheit, Strahlenschutz (FKTS) fachgerecht entsorgt werden. Sollen Geräte mit Datenträgern ex- tern weiterverwendet oder veräußert werden, so müssen die zugehörigen Datenträger vorher im Rechenzentrum abgegeben und dort fachgerecht (zertifiziert) gelöscht werden.
4.4 Virenschutz, Spam- und Webfilter
Die Zentralabteilung FWC organisiert den Viren- und Spamschutz des HZDR. Jeder Nutzer hat sich den dafür notwendigen Maßnahmen unterzuordnen und die zentral bereitgestellten Virenscanner auf den lokalen Computern zu nutzen. Bei Windows-Systemen ist dieser nach der Erstinstallation automatisch aktiviert. Der Virenschutz steht für Windows, Linux und macOS - Betriebssysteme zur Verfügung, eine Installation ist generell vorgeschrieben. Für Geräte, auf denen der Virenschutz Funktionen zu stark einschränken würde, sind geeignete Ersatzmaßnahmen in Absprache mit den Instituts-Administratoren oder FWC vorzunehmen. Bei Verdacht auf Infizierung oder Fehlfunktionen ist die Zentralabteilung FWC unverzüglich zu informieren und das Gerät umgehend vom Datennetz zu trennen. Geräte ohne aktuellen Virenschutz dürfen nicht in den internen Netzen betrieben wer- den.
Um das Bedrohungspotenzial für die IT-Systeme zu verringern, ist eine Nutzung von dienstlichen Wechseldatenträgern (USB-Sticks, externe Festplatten etc.) ausschließlich zu dienstlichen Zwecken gestattet. Die Datenträger sind vor der Verwendung an einem HZDR-Rechner mit aktuellem Vi- renscanner zu überprüfen. Aus dem Internet heruntergeladene Daten werden automatisch durch den Virenscanner überprüft und im Falle einer Infektion in Quarantäne verschoben. Eine Nutzung von privaten Wechseldatenträgern auf Dienstgeräten ist nicht gestattet.
[Seite 12]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 12 von 14
Am HZDR wird in Zusammenarbeit mit dem DFN ein zentraler Spamfilter betrieben. Auf Basis der Betriebsvereinbarung L 121 („Nutzung von Telemediendiensten“) markiert dieser verdächtige oder blockiert eindeutig als Spam erkannte E-Mails. Eine Benachrichtigung der Mitarbeiter erfolgt im Fall des Blockierens nicht. Besteht der Verdacht, dass E-Mails fälschlicherweise als Spam klassifiziert wurden, ist die Zentralabteilung FWC zu verständigen.
Ein großer Teil von Schadsoftware wird über entsprechende Webseiten verteilt. Um vor gefährlichen Seiten und Seiten mit zweifelhaftem Inhalt zu warnen und diese ggf. zu blockieren, betreibt das HZDR einen Webfilter. Falsch klassifizierte Seiten können jederzeit gemeldet und freigeschaltet wer- den. Der Betrieb des Webfilters erfolgt auf Basis der Betriebsvereinbarung L 121 und in Abstimmung mit dem Betriebsrat, Datenschutzbeauftragten und Vorstand des HZDR.
Regelungen zur IT-Sicherheit finden Sie im Intranet unter: https://www.hzdr.de/it-security
4.5 Verschlüsselung
Um einen Verlust sensibler Daten durch Diebstahl von mobilen Endgeräten zu vermeiden, sind diese dienstlichen Endgeräte (z.B. Notebooks, Tablets, Smartphones) zu verschlüsseln. Dies gilt zwin- gend für alle Geräte, welche die HZDR Standorte verlassen und für die das technisch möglich ist.
Für Geräte mit Windows-Betriebssystemen stellt die Abteilung FWC eine zentrale Lösung für die Verwaltung der verschlüsselten Informationen bereit, die dafür einzusetzen ist.
Auch für alle Geräte mit nicht-Windows-Betriebssystemen ist die betriebssysteminterne Verschlüs- selung zu verwenden. Bei der Einrichtung und Administration der Geräte unterstützt die Zentralab- teilung FWC bzw. Instituts-Administratoren, die Verantwortung die entsprechenden Geräte zu ver- schlüsseln, liegt bei den Nutzern. FWC kann die Durchsetzung der Richtlinie stichprobenhaft prüfen.
Dateien mit erhöhtem Schutzbedarf sind gesondert auf Dateiebene zu verschlüsseln. Zur Einrich- tung und Durchführung einer solchen Verschlüsselung geben die Abteilung FWCS und der IT-Si- cherheitsbeauftragte des HZDR Hilfestellungen.
Weiterführende Regelungen zur Verschlüsslung finden Sie im Intranet unter: https://www.hzdr.de/encryption
4.6 Nutzung von Fernwartungssoftware
Bei der Nutzung von Fernwartungssoftware muss das gleiche Sicherheitsniveau erreicht werden, wie bei der Nutzung interner Dienste. Daher ist vor der Verwendung von Fernwartungssoftware durch den Instituts-Administrator sicherzustellen, dass die Betreiber unterwiesen und nur unbedingt notwendige Berechtigungen und Informationen freigegeben wurden.
Das die Fernwartungssoftware einsetzende Institut, ggf. mit der kooperierenden Fremdfirma (z.B. für Serviceaufgaben), muss dafür Sorge tragen, dass diese nicht missbräuchlich verwendet und nur unter Wahrung der Lizenzbedingungen eingesetzt wird.
Grundsätzlich darf die Fernwartungssoftware nicht dauerhaft und nicht automatisiert verbunden sein, sie ist immer vom jeweiligen Nutzer aktiv zu starten. Fernwartungsvorgänge sind grundsätzlich zu beaufsichtigen.
[Seite 13]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 13 von 14
Weiterführende Regelungen zur Nutzung von Fernwartungssoftware finden Sie im Intranet unter folgendem Link: https://www.hzdr.de/remote-management
4.7 Nutzung von Nachrichten-Diensten
Standardmäßig sind die zentral bereitgestellten Konferenzsysteme (z.B. Videokonferenzsysteme) oder die Angebote des HZDR für den Arbeitsplatz zu nutzen (siehe Informationen im Intranet). Wenn eine Nutzung dieser nicht möglich ist (z.B. durch die Vorgabe von Kooperationspartnern), können lokale Alternativen verwendet werden. Diese müssen mit dem IT-Sicherheitsbeauftragten abge- stimmt werden und sind durch die Administratoren zu konfigurieren und aktuell zu halten. Der Betrieb von Messaging-Servern durch Nutzer ist nicht zulässig.
Geräte mit eingebautem Mikrofon oder Kamera sollten während einer vertraulichen Besprechung aus dem Raum entfernt oder zumindest ausgeschaltet werden. Eine gestartete Messaging-Verbin- dung bleibt solange aktiv, bis sie explizit beendet wird, auch wenn der Mitarbeiter das Gerät verlässt. Daher ist beim Verlassen des Gerätes die Verbindung zu trennen.
Weiterführende Regelungen zur Nutzung von Nachrichtendiensten am Arbeitsplatz finden Sie in der Betriebsvereinbarung L 121 über die „Nutzung von Telemediendiensten am HZDR“ und die HZDR- Anweisung L 131 zur „Social Media Policy“.
5 Inkrafttreten
Diese Anweisung tritt mit Unterzeichnung durch den Vorstand zum 01.02.2019 in Kraft und ersetzt alle bisherigen Regelungen zum Thema.
[Seite 14]
IT-Nutzungsordnung Datum: 01.04.19 Rev.: 4 HZDR-Anweisung Nr. L 111 (4) Seite: 14 von 14
6 Anhang
Dienste und Ansprechpartner
Erster Ansprechpartner bei Problemen am Arbeitsplatz ist immer der für das jeweilige Institut / die Zentralabteilung zuständige Administrator (siehe Kap. 3.2).
Für das Einreichen von Support- oder Problemanfragen gibt es im Intranet Portal des HZDR ein sogenanntes „User-Helpdesk“: • https://www.hzdr.de/support Dieses leitet die Meldungen umgehend und automatisch an die zuständigen Administratoren weiter. Weiterhin gibt es eine telefonische Hotline: • Hotline im Rechenzentrum: 3317 Über den folgenden Link erreichen Sie alle relevanten Ansprechpartner und Informationen.
Informationen und Links
Das Rechenzentrum befindet sich im Gebäude 614 und ist von 08:00 bis 16:00 geöffnet. In dieser Zeit ist die Hotline erreichbar, es erfolgt die Nutzer An- und Abmeldung („elektronischer Laufzettel“) und es können Druckaufträge abgeholt werden.
Alle wichtigen Informationen und interaktiven Dienste finden Sie im HZDR Intranet auf den Seiten der Zentralabteilung FWC.
https://www.hzdr.de/itservices
Wichtige Meldungen zu aktuellen Wartungsmaßnahmen oder Störungen finden unter: