RiLi-Informationssicherheit KKU - Versionsgeschichte

Dirk am 3. März 2025 um 04:50 Uhr

2025-03-03T04:50:42Z

← Nächstältere Version		Version vom 3. März 2025, 06:50 Uhr
Zeile 449:		Zeile 449:
	''Unterschrift, Name der Leitung''		''Unterschrift, Name der Leitung''
	[[Kategorie:Mustervorlage]]		[[Kategorie:Mustervorlage]]
			[[Kategorie:KMU]]

Dirk: /* Zielsetzung */

2025-02-23T10:53:14Z

Zielsetzung

← Nächstältere Version		Version vom 23. Februar 2025, 12:53 Uhr
Zeile 38:		Zeile 38:

	==Einleitung ==		==Einleitung ==
	~~IT-Sicherheit~~ ist ein komplexes Thema und erfordert Erfahrung und spezifische Fachkenntnisse. Insbesondere kleine und Kleinstunternehmen wie die ''<Organisation>'' stehen hier vor besonderen Herausforderungen. Die ''<Organisation''> nutzt als Grundlage für die Erstellung dieser Sicherheits-Richtlinie den Standard DIN SPEC 27076, hier insbesondere den Anforderungskatalog in Anhang A.		Informationssicherheit ist ein komplexes Thema und erfordert Erfahrung und spezifische Fachkenntnisse. Insbesondere kleine und Kleinstunternehmen wie die ''<Organisation>'' stehen hier vor besonderen Herausforderungen. Die ''<Organisation''> nutzt als Grundlage für die Erstellung dieser Sicherheits-Richtlinie den Standard DIN SPEC 27076, hier insbesondere den Anforderungskatalog in Anhang A.

	==Geltungsbereich==		==Geltungsbereich==
Zeile 46:		Zeile 46:
	''Definition der Ziele der Organisation mit kurzer Beschreibung der Inhalte wie z.B.: (Inhalte bei Bedarf anpassen)''		''Definition der Ziele der Organisation mit kurzer Beschreibung der Inhalte wie z.B.: (Inhalte bei Bedarf anpassen)''

	Ziel ~~dieses~~ Sicherheits-~~Richtlinies der ''<Organisation>''~~ ist es:		Ziel dieser Sicherheits-Richtlinie ist es:

	*'''Bewusstsein für Informationssicherheit fördern'''Das Sicherheitsbewusstsein aller Mitarbeitenden und Stakeholder soll gefördert werden, um Risiken für die <''Organisation''> zu minimieren und schnell und gezielt auf Sicherheitsvorfälle reagieren zu können.		*'''Bewusstsein für Informationssicherheit fördern'''Das Sicherheitsbewusstsein aller Mitarbeitenden und Stakeholder soll gefördert werden, um Risiken für die <''Organisation''> zu minimieren und schnell und gezielt auf Sicherheitsvorfälle reagieren zu können.
Zeile 57:		Zeile 57:

	==Rechtliche Rahmenbedingungen==		==Rechtliche Rahmenbedingungen==
	''Auflistung der ~~Gesetzlichen~~ Rahmenbedingungen der Organisation und kurze Beschreibung z.B.: (Inhalte anpassen)''		''Auflistung der gesetzlichen Rahmenbedingungen der Organisation und kurze Beschreibung z.B.: (Inhalte anpassen)''

	* Europäischen Datenschutz-Grundverordnung (DSVGO)		* Europäischen Datenschutz-Grundverordnung (DSVGO)
Zeile 132:		Zeile 132:

	====Beauftragter für Informationssicherheit====		====Beauftragter für Informationssicherheit====
	''In Kleinstunternehmen (< 10 MA) kann dies im ungünstigsten Fall die Organisationsleitung selbst sein, besser ist es jedoch, einen Mitarbeitenden zu benennen, der bereits Erfahrung ~~mit~~ Informationssicherheit hat oder bereit ist, sich in das Thema einzuarbeiten. Die Organisationsleitung selbst ist keine gute Wahl, da sie sich auf die wirtschaftlichen Ziele der Organisation konzentriert, was zu einem Zielkonflikt mit der Informationssicherheit führen kann. Wenn intern die fachliche Kompetenz fehlt und entsprechende finanzielle Ressourcen verfügbar sind kann ggf. auch ein externer ~~ISB~~ beauftragt werden.''		''In Kleinstunternehmen (< 10 MA) kann dies im ungünstigsten Fall die Organisationsleitung selbst sein, besser ist es jedoch, einen Mitarbeitenden zu benennen, der bereits Erfahrung im Bereich Informationssicherheit hat oder bereit ist, sich in das Thema einzuarbeiten. Die Organisationsleitung selbst ist keine gute Wahl, da sie sich auf die wirtschaftlichen Ziele der Organisation konzentriert, was zu einem Zielkonflikt mit der Informationssicherheit führen kann. Wenn intern die fachliche Kompetenz fehlt und entsprechende finanzielle Ressourcen verfügbar sind kann ggf. auch ein externer Informationssicherheitsbeauftragter beauftragt werden.''

	Der Informationssicherheitsbeauftragte (ISB) ist für den Aufbau und die Koordination des Informationssicherheitsmanagements verantwortlich und ~~untersteht als Stabsstelle~~ direkt der Organisationsleitung.		Der Informationssicherheitsbeauftragte (ISB) ist für den Aufbau und die Koordination des Informationssicherheitsmanagements verantwortlich und arbeitet direkt mit der Organisationsleitung zusammen.

	Seine Aufgaben sind u.a.:		Seine Aufgaben sind u.a.:
Zeile 142:		Zeile 142:
	*Entwicklung und Fortschreibung der '''Sicherheitskonzeption''' der Organisation		*Entwicklung und Fortschreibung der '''Sicherheitskonzeption''' der Organisation
	* Begleitung und '''Auswertung von Sicherheitsvorfällen'''		* Begleitung und '''Auswertung von Sicherheitsvorfällen'''
	*Begleitung der Einführung neuer Verfahren und Anwendungen		*Begleitung der Einführung neuer '''Verfahren und Anwendungen'''

	Die Geschäftsführung hat <Name des ISB> zum Informationssicherheitsbeauftragten (ISB) ernannt.		Die Geschäftsführung hat <Name des ISB> zum Informationssicherheitsbeauftragten (ISB) ernannt.
Zeile 273:		Zeile 273:
	Für normale Benutzeraccounts ohne administrative Berechtigungen gelten zusätzlich folgende Regeln:		Für normale Benutzeraccounts ohne administrative Berechtigungen gelten zusätzlich folgende Regeln:

	*Die Mindestlänge des Passworts beträgt 8 Zeichen		*Die Mindestlänge des Passworts beträgt 10 Zeichen
	*Das Passwort muss aus mindestens drei der folgenden Zeichengruppen bestehen:		*Das Passwort muss aus mindestens drei der folgenden Zeichengruppen bestehen:
	**Großbuchstaben (ABCDEFG...)		**Großbuchstaben (ABCDEFG...)
Zeile 283:		Zeile 283:
	*Die letzten fünf Passworte dürfen nicht erneut verwendet werden.		*Die letzten fünf Passworte dürfen nicht erneut verwendet werden.
	*Bei mehr als fünf Fehlversuchen sollte eine Eingabeverzögerung von mindestens einer Minute oder die zusätzliche Abfrage eines Captcha erfolgen, alternativ muss der Account nach mehr als fünf Fehlversuchen gesperrt werden.		*Bei mehr als fünf Fehlversuchen sollte eine Eingabeverzögerung von mindestens einer Minute oder die zusätzliche Abfrage eines Captcha erfolgen, alternativ muss der Account nach mehr als fünf Fehlversuchen gesperrt werden.
			''Besser wäre die Nutzung eines zweiten Faktors (Token, Biometrie,...) oder von [[Passkey]].''

	===Datensicherung===		===Datensicherung===

Dirk am 10. Dezember 2024 um 17:51 Uhr

2024-12-10T17:51:42Z

← Nächstältere Version		Version vom 10. Dezember 2024, 19:51 Uhr
Zeile 6:		Zeile 6:
	Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''		Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''

	''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen (~~CyberSicherheitsCheck~~) und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch rudimentäre Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden.''		''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen (CyberRisikoCheck) und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch rudimentäre Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden.''

	''Ein expliziter Nachweis einer Sicherheitsrichtlinie oder gar eine Zertifizierung auf dieser Basis ist hier nicht vorgesehen. Dennoch kann es für die betroffenen Kleinst- und Kleinunternehmen sinnvoll sein, die Ergebnisse der Beratung in eine unternehmenseigene Informationssicherheitsrichtlinie einfließen zu lassen, so dass das Unternehmen zumindest über eine rudimentäre schriftliche Informationssicherheitsrichtlinie verfügt, in der die umgesetzten oder angestrebten Maßnahmen zur Informationssicherheit dokumentiert sind. Diese Sicherheitsrichtlinie kann auch zur Vorbereitung einer Beratung oder unabhängig davon als mit vertretbarem Aufwand einfach umsetzbares internes Regelwerk und Einstieg in ein Sicherheitsmanagement des Unternehmens dienen.''		''Ein expliziter Nachweis einer Sicherheitsrichtlinie oder gar eine Zertifizierung auf dieser Basis ist hier nicht vorgesehen. Dennoch kann es für die betroffenen Kleinst- und Kleinunternehmen sinnvoll sein, die Ergebnisse der Beratung in eine unternehmenseigene Informationssicherheitsrichtlinie einfließen zu lassen, so dass das Unternehmen zumindest über eine rudimentäre schriftliche Informationssicherheitsrichtlinie verfügt, in der die umgesetzten oder angestrebten Maßnahmen zur Informationssicherheit dokumentiert sind. Diese Sicherheitsrichtlinie kann auch zur Vorbereitung einer Beratung oder unabhängig davon als mit vertretbarem Aufwand einfach umsetzbares internes Regelwerk und Einstieg in ein Sicherheitsmanagement des Unternehmens dienen.''

Dirk am 10. Dezember 2024 um 17:49 Uhr

2024-12-10T17:49:41Z

← Nächstältere Version		Version vom 10. Dezember 2024, 19:49 Uhr
Zeile 6:		Zeile 6:
	Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''		Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''

	''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch rudimentäre Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden.''		''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen (CyberSicherheitsCheck) und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch rudimentäre Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden.''

	''Ein expliziter Nachweis einer Sicherheitsrichtlinie oder gar eine Zertifizierung auf dieser Basis ist hier nicht vorgesehen. Dennoch kann es für die betroffenen Kleinst- und Kleinunternehmen sinnvoll sein, die Ergebnisse der Beratung in eine unternehmenseigene Informationssicherheitsrichtlinie einfließen zu lassen, so dass das Unternehmen zumindest über eine rudimentäre schriftliche Informationssicherheitsrichtlinie verfügt, in der die umgesetzten oder angestrebten Maßnahmen zur Informationssicherheit dokumentiert sind. Diese Sicherheitsrichtlinie kann auch zur Vorbereitung einer Beratung oder unabhängig davon als mit vertretbarem Aufwand einfach umsetzbares internes Regelwerk und Einstieg in ein Sicherheitsmanagement des Unternehmens dienen.''		''Ein expliziter Nachweis einer Sicherheitsrichtlinie oder gar eine Zertifizierung auf dieser Basis ist hier nicht vorgesehen. Dennoch kann es für die betroffenen Kleinst- und Kleinunternehmen sinnvoll sein, die Ergebnisse der Beratung in eine unternehmenseigene Informationssicherheitsrichtlinie einfließen zu lassen, so dass das Unternehmen zumindest über eine rudimentäre schriftliche Informationssicherheitsrichtlinie verfügt, in der die umgesetzten oder angestrebten Maßnahmen zur Informationssicherheit dokumentiert sind. Diese Sicherheitsrichtlinie kann auch zur Vorbereitung einer Beratung oder unabhängig davon als mit vertretbarem Aufwand einfach umsetzbares internes Regelwerk und Einstieg in ein Sicherheitsmanagement des Unternehmens dienen.''

Dirk am 10. Dezember 2024 um 05:42 Uhr

2024-12-10T05:42:36Z

← Nächstältere Version		Version vom 10. Dezember 2024, 07:42 Uhr
Zeile 6:		Zeile 6:
	Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''		Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''

	''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden ~~sollen~~.''		''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch rudimentäre Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden.''

	''Ein expliziter Nachweis einer Sicherheitsrichtlinie oder gar eine Zertifizierung auf dieser Basis ist hier nicht vorgesehen. Dennoch kann es für die betroffenen Kleinst- und Kleinunternehmen sinnvoll sein, die Ergebnisse der Beratung in eine unternehmenseigene Informationssicherheitsrichtlinie einfließen zu lassen, so dass das Unternehmen zumindest über eine rudimentäre schriftliche Informationssicherheitsrichtlinie verfügt, in der die umgesetzten oder angestrebten Maßnahmen zur Informationssicherheit dokumentiert sind. Diese Sicherheitsrichtlinie kann auch zur Vorbereitung einer Beratung oder unabhängig davon als mit vertretbarem Aufwand einfach umsetzbares internes Regelwerk und Einstieg in ein Sicherheitsmanagement des Unternehmens dienen.''		''Ein expliziter Nachweis einer Sicherheitsrichtlinie oder gar eine Zertifizierung auf dieser Basis ist hier nicht vorgesehen. Dennoch kann es für die betroffenen Kleinst- und Kleinunternehmen sinnvoll sein, die Ergebnisse der Beratung in eine unternehmenseigene Informationssicherheitsrichtlinie einfließen zu lassen, so dass das Unternehmen zumindest über eine rudimentäre schriftliche Informationssicherheitsrichtlinie verfügt, in der die umgesetzten oder angestrebten Maßnahmen zur Informationssicherheit dokumentiert sind. Diese Sicherheitsrichtlinie kann auch zur Vorbereitung einer Beratung oder unabhängig davon als mit vertretbarem Aufwand einfach umsetzbares internes Regelwerk und Einstieg in ein Sicherheitsmanagement des Unternehmens dienen.''
Zeile 19:		Zeile 19:

	==Informationssicherheits-Richtlinie==		==Informationssicherheits-Richtlinie==
	Informationssicherheits-Richtlinie ''der <Organisation>'' ~~auf Basis von DIN SPEC 27076 "Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen“~~		Informationssicherheits-Richtlinie ''der <Organisation>''

	===Unternehmen===		===Unternehmen===

Dirk: /* Zielsetzung */

2024-12-09T18:13:41Z

Zielsetzung

← Nächstältere Version		Version vom 9. Dezember 2024, 20:13 Uhr
Zeile 16:		Zeile 16:
	''Text in kursiver Schrift ist Erläuterungstext und muss gelöscht oder durch eigenen Text ersetzt werden. Text in <spitzen Klammern> ist ein Platzhalter und muss mit eigenen Bezeichnungen oder Daten ersetzt werden.'' Nicht kursiver Text ''ist ein Formulierungs- oder Regelungsvorschlag, der direkt übernommen werden kann oder an die Gegebenheiten der eigenen Organisation angepasst werden muss. Bezeichnungen wie "Organisation", "Organisationsleitung" usw. sind durch die entsprechenden Firmen, Behörden oder sonstigen Geschäftsbezeichnungen der eigenen Organisation zu ersetzen.''		''Text in kursiver Schrift ist Erläuterungstext und muss gelöscht oder durch eigenen Text ersetzt werden. Text in <spitzen Klammern> ist ein Platzhalter und muss mit eigenen Bezeichnungen oder Daten ersetzt werden.'' Nicht kursiver Text ''ist ein Formulierungs- oder Regelungsvorschlag, der direkt übernommen werden kann oder an die Gegebenheiten der eigenen Organisation angepasst werden muss. Bezeichnungen wie "Organisation", "Organisationsleitung" usw. sind durch die entsprechenden Firmen, Behörden oder sonstigen Geschäftsbezeichnungen der eigenen Organisation zu ersetzen.''

	''Inhaltlich sind alle Formulierungsvorschläge auf ihre Umsetzbarkeit in der Organisation zu prüfen und durch organisationsspezifische Regelungen zur konkreten Umsetzung zu ergänzen.''		''Inhaltlich sind alle Formulierungsvorschläge auf ihre Umsetzbarkeit in der Organisation zu prüfen und bei Bedarf durch organisationsspezifische Regelungen zur konkreten Umsetzung zu ergänzen.''

	==Informationssicherheits-Richtlinie==		==Informationssicherheits-Richtlinie==
Zeile 63:		Zeile 63:
	*Telekommunikationsgesetz (TKG)		*Telekommunikationsgesetz (TKG)
	*Telemediengesetz (TMG)		*Telemediengesetz (TMG)
	*''ggf. weitere branchenspezifische Gesetze und Regelungen''		*''ggf. weitere branchenspezifische Gesetze und Regelungen (siehe auch [[Rechtsgrundlagen]])''

	==Geschäftsprozesse==		==Geschäftsprozesse==
Zeile 89:		Zeile 89:
	\|-		\|-
	\|'''Produktion oder Fertigung'''		\|'''Produktion oder Fertigung'''
	\| Herstellung von Produkten oder die Bereitstellung von Dienstleistungen. Hier werden Ressourcen, Materialien und Arbeitskräfte genutzt, um das Endprodukt oder die Dienstleistung gemäß den betrieblichen Standards und Anforderungen herzustellen.		\| ''Herstellung von Produkten oder die Bereitstellung von Dienstleistungen. Hier werden Ressourcen, Materialien und Arbeitskräfte genutzt, um das Endprodukt oder die Dienstleistung gemäß den betrieblichen Standards und Anforderungen herzustellen.''
	\|N.N.		\|''N.N.''
	(Produktionsleiter)		''(Produktionsleiter)''
	\|-		\|-
	\|'''Vertrieb und Marketing'''		\|'''Vertrieb und Marketing'''
	\| Die Vermarktung und den Verkauf von Produkten oder Dienstleistungen. Dies beinhaltet die Entwicklung von Marketingstrategien, die Identifizierung potenzieller Kunden, die Werbung, den Verkauf und die Pflege von Vertriebskanälen, um Produkte oder Dienstleistungen erfolgreich auf dem Markt zu positionieren.		\| ''Die Vermarktung und den Verkauf von Produkten oder Dienstleistungen. Dies beinhaltet die Entwicklung von Marketingstrategien, die Identifizierung potenzieller Kunden, die Werbung, den Verkauf und die Pflege von Vertriebskanälen, um Produkte oder Dienstleistungen erfolgreich auf dem Markt zu positionieren.''
	\|N.N.		\|''N.N.''
	(Vertriebsleiterin)		''(Vertriebsleiterin)''
	\|-		\|-
	\|'''Kundenbetreuung und Service'''		\|'''Kundenbetreuung und Service'''
	\|Bestehende Kunden zufriedenzustellen und zu unterstützen. Der Prozess umfasst die Bearbeitung von Kundenanfragen, Beschwerden oder Problemen, um sicherzustellen, dass die Kunden einen qualitativ hochwertigen Service und Support erhalten.		\|''Bestehende Kunden zufriedenzustellen und zu unterstützen. Der Prozess umfasst die Bearbeitung von Kundenanfragen, Beschwerden oder Problemen, um sicherzustellen, dass die Kunden einen qualitativ hochwertigen Service und Support erhalten.''
	\|N.N.		\|''N.N.''
	(Leitung Kundebetreuung)		''(Leitung Kundebetreuung)''
	\|-		\|-
	\|'''Forschung und Entwicklung'''		\|'''Forschung und Entwicklung'''
	\|Die Erforschung neuer Ideen, Technologien oder Produkte sowie auf die kontinuierliche Verbesserung bestehender Angebote. Ziel ist es, Innovationen zu fördern und die Wettbewerbsfähigkeit des Unternehmens zu steigern. Dies beinhaltet die Planung, Umsetzung und Evaluierung von Forschungs- und Entwicklungsprojekten.		\|''Die Erforschung neuer Ideen, Technologien oder Produkte sowie auf die kontinuierliche Verbesserung bestehender Angebote. Ziel ist es, Innovationen zu fördern und die Wettbewerbsfähigkeit des Unternehmens zu steigern. Dies beinhaltet die Planung, Umsetzung und Evaluierung von Forschungs- und Entwicklungsprojekten.''
	\|N.N.		\|''N.N.''
	(Entwicklungsleitung)		''(Entwicklungsleitung)''
	\|}		\|}

Zeile 132:		Zeile 132:

	====Beauftragter für Informationssicherheit====		====Beauftragter für Informationssicherheit====
	''In Kleinstunternehmen (< 10 MA) kann dies im ungünstigsten Fall die Organisationsleitung selbst sein, besser ist es jedoch, einen Mitarbeitenden zu benennen, der bereits Erfahrung mit Informationssicherheit hat oder bereit ist, sich in das Thema einzuarbeiten. Die Organisationsleitung selbst ist keine gute Wahl, da sie sich auf die wirtschaftlichen Ziele der Organisation konzentriert, was zu einem Zielkonflikt mit der Informationssicherheit führen kann.''		''In Kleinstunternehmen (< 10 MA) kann dies im ungünstigsten Fall die Organisationsleitung selbst sein, besser ist es jedoch, einen Mitarbeitenden zu benennen, der bereits Erfahrung mit Informationssicherheit hat oder bereit ist, sich in das Thema einzuarbeiten. Die Organisationsleitung selbst ist keine gute Wahl, da sie sich auf die wirtschaftlichen Ziele der Organisation konzentriert, was zu einem Zielkonflikt mit der Informationssicherheit führen kann. Wenn intern die fachliche Kompetenz fehlt und entsprechende finanzielle Ressourcen verfügbar sind kann ggf. auch ein externer ISB beauftragt werden.''

	Der Informationssicherheitsbeauftragte (ISB) ist für den Aufbau und die Koordination des Informationssicherheitsmanagements verantwortlich und untersteht als Stabsstelle direkt der Organisationsleitung.		Der Informationssicherheitsbeauftragte (ISB) ist für den Aufbau und die Koordination des Informationssicherheitsmanagements verantwortlich und untersteht als Stabsstelle direkt der Organisationsleitung.
Zeile 150:		Zeile 150:
	Der ISB nimmt selbst regelmäßig an Fortbildungen zur Informationssicherheit teil und erhält dafür ein angemessenes Budget.		Der ISB nimmt selbst regelmäßig an Fortbildungen zur Informationssicherheit teil und erhält dafür ein angemessenes Budget.

	Er schult und sensibilisiert alle Mitarbeitenden regelmässig (mind. ~~2x / Jahr~~) zu Themen der Informationssicherheit.		Er schult und sensibilisiert alle Mitarbeitenden regelmässig (mind. jährlich) zu Themen der Informationssicherheit.

	====Meldung von Sicherheitsvorfällen====		====Meldung von Sicherheitsvorfällen====
Zeile 230:		Zeile 230:

	Die betroffenen Mitarbeitenden müssen hierfür die "[[Erklärung für mobiles Arbeiten]]" unterschreiben und damit bestätigen, dass sie die Regelungen für mobiles Arbeiten beachten und einhalten.		Die betroffenen Mitarbeitenden müssen hierfür die "[[Erklärung für mobiles Arbeiten]]" unterschreiben und damit bestätigen, dass sie die Regelungen für mobiles Arbeiten beachten und einhalten.

			''Alternativ zu den genannten Regelungen und Erklärungen können hier die wesentlichen Punkte aufgeführt werden.''

	===Identitäts- und Berechtigungsmanagement===		===Identitäts- und Berechtigungsmanagement===
Zeile 296:		Zeile 298:

	=====Versionierung=====		=====Versionierung=====
	Versionierung von Backups wird implementiert, um auf verschiedene Zeitpunkte zurückgreifen zu können. Dies erleichtert die Wiederherstellung von Daten in verschiedenen Zuständen.		Eine Versionierung von Backups wird implementiert, um auf verschiedene Zeitpunkte zurückgreifen zu können. Dies erleichtert die Wiederherstellung von Daten in verschiedenen Zuständen.

	====Restore-Tests====		====Restore-Tests====
Zeile 313:		Zeile 315:
	#*Anpassung an geschäftliche Veränderungen - Regelmäßige Überprüfung und Anpassung der Backup-Strategie an geschäftliche Veränderungen, wie zum Beispiel die Einführung neuer Systeme oder Daten.		#*Anpassung an geschäftliche Veränderungen - Regelmäßige Überprüfung und Anpassung der Backup-Strategie an geschäftliche Veränderungen, wie zum Beispiel die Einführung neuer Systeme oder Daten.
	====Ressourcen- und Budgetplanung====		====Ressourcen- und Budgetplanung====
	Die Datensicherung erfordert angemessene Ressourcen und Budget. Dies beinhaltet die Bereitstellung von ausreichendem Speicherplatz für Backups, die Anschaffung von Backup-Software und Hardware, sowie die Schulung ~~des Personals~~.		Die Datensicherung erfordert angemessene Ressourcen und Budget. Dies beinhaltet die Bereitstellung von ausreichendem Speicherplatz für Backups, die Anschaffung von Backup-Software und Hardware, sowie die Schulung der zuständigen Mitarbeitenden. Die <''Geschäftsleitung''> stellt die nötigen Ressourcen bereit.

	====Verschlüsselung und Compliance====		====Verschlüsselung und Compliance====
Zeile 323:		Zeile 325:
	====Patch-Management-Prozess====		====Patch-Management-Prozess====
	*'''Planung:''' Für alle Systeme wird ein Patch-Management-Plan erstellt, der festlegt, wie und wann Patches und Updates durchgeführt werden.		*'''Planung:''' Für alle Systeme wird ein Patch-Management-Plan erstellt, der festlegt, wie und wann Patches und Updates durchgeführt werden.
	*'''Quellen für Patches''': ~~Siwoweit~~ vorhanden, werden Benachrichtigungen von Softwareherstellern und Sicherheitsplattformen ~~boniert~~, um über neue Patches informiert zu werden.		*'''Quellen für Patches''': Soweit vorhanden, werden Benachrichtigungen von Softwareherstellern und Sicherheitsplattformen aboniert, um über neue Patches informiert zu werden.
	* '''Bewertung und Testung''': Vor der Implementierung neuer Patches werden diese in einer Testumgebung geprüft, um Kompatibilitätsprobleme zu vermeiden.		* '''Bewertung und Testung''': Vor der Implementierung neuer Patches für kritische Systeme, werden diese in einer Testumgebung geprüft, um Kompatibilitätsprobleme zu vermeiden.
	*'''Implementierung''': Patches und Updates werden regelmäßig monatlich am ''<Wartungsfenster definieren>'' installiert. Dringende Sicherheitspatches können außerplanmäßig und kurzfristig umgesetzt werden.		*'''Implementierung''': Patches und Updates werden regelmäßig monatlich am ''<Wartungsfenster definieren>'' installiert. Dringende Sicherheitspatches können außerplanmäßig und kurzfristig umgesetzt werden.

Zeile 341:		Zeile 343:

	==== Betriebliche Maßnahmen====		==== Betriebliche Maßnahmen====
	*'''Regelmäßige Updates''': Viele Malware-Attacken nutzen Sicherheitslücken in veralteter Software. Die Betriebssysteme und alle installierten Programme werden deshalb durch regelmäßige Updates auf dem neuesten Stand gehalten (siehe [[~~SiKo~~-KKU#Patch- und Änderungsmanagement\|Patch- und Änderungsmanagement]]).		*'''Regelmäßige Updates''': Viele Malware-Attacken nutzen Sicherheitslücken in veralteter Software. Die Betriebssysteme und alle installierten Programme werden deshalb durch regelmäßige Updates auf dem neuesten Stand gehalten (siehe [[RiLi-Informationssicherheit KKU#Patch- und Änderungsmanagement\|Patch- und Änderungsmanagement]]).
	*'''Zugriffsrechte''': Die Benutzerrechte werden auf die für die jeweiligen Aufgaben unbedingt notwendigen Berechtigungen beschränkt. Administrative Rechte werden nur Mitarbeitern gewährt, die diese für ihre Arbeit benötigen.		*'''Zugriffsrechte''': Die Benutzerrechte werden auf die für die jeweiligen Aufgaben unbedingt notwendigen Berechtigungen beschränkt. Administrative Rechte werden nur Mitarbeitern gewährt, die diese für ihre Arbeit benötigen.
	*'''Datensicherung''': Auf allen zentralen Servern werden täglich Datensicherungen durchgeführt (siehe [[~~SiKo~~-KKU#Datensicherung\|Datensicherung]]). Im Falle eines Malware-Befalls können wir so verlorene Daten wiederherstellen.		*'''Datensicherung''': Auf allen zentralen Servern werden täglich Datensicherungen durchgeführt (siehe [[RiLi-Informationssicherheit KKU#Datensicherung\|Datensicherung]]). Im Falle eines Malware-Befalls können wir so verlorene Daten wiederherstellen.

	====Schulung und Bewusstsein====		====Schulung und Bewusstsein====

Dirk am 11. September 2024 um 09:56 Uhr

2024-09-11T09:56:21Z

← Nächstältere Version		Version vom 11. September 2024, 11:56 Uhr
Zeile 4:		Zeile 4:
	\|description=Muster Richtlinie zur Informationssicherheit auf Basis von DIN SPEC 27076 "Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen.		\|description=Muster Richtlinie zur Informationssicherheit auf Basis von DIN SPEC 27076 "Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen.
	}}{{SHORTDESC:Informationssicherheit für Klein- und Kleinstunternehmen (frei nach DIN SPEC 27076).}}		}}{{SHORTDESC:Informationssicherheit für Klein- und Kleinstunternehmen (frei nach DIN SPEC 27076).}}
	Mustervorlage: '''"Richtlinie zur Informationssicherheit ~~nach DIN SPEC 27076~~"'''		Mustervorlage: '''"Richtlinie zur Informationssicherheit für KKU"'''

	''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden sollen.''		''Die DIN SPEC 27076 regelt die Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen und stellt somit '''keine''' Grundlage für eine Sicherheitsrichtlinie oder gar ein ISMS dar. Sie definiert jedoch Anforderungen, die im Rahmen der Beratung nach DIN SPEC 27076 in einem definierten Prozess vom Berater abgefragt werden sollen.''

Dirk am 11. September 2024 um 09:54 Uhr

2024-09-11T09:54:57Z

← Nächstältere Version		Version vom 11. September 2024, 11:54 Uhr
Zeile 1:		Zeile 1:
	~~{{Vorlage:Entwurf}}~~
	{{#seo:		{{#seo:
	\|title=Informationssicherheit für Klein- und Kleinstunternehmen (frei nach DIN SPEC 27076)		\|title=Informationssicherheit für Klein- und Kleinstunternehmen (frei nach DIN SPEC 27076)
	\|keywords=Beispiel,Muster,Informationssicherheit,Richtlinie,DIN 27076,Kleinunternehmen,Kleinstunternehmen		\|keywords=Beispiel,Muster,Informationssicherheit,Richtlinie,DIN 27076,Kleinunternehmen,Kleinstunternehmen
	\|description=Muster Richtlinie zur Informationssicherheit auf Basis von DIN SPEC 27076 "Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen.		\|description=Muster Richtlinie zur Informationssicherheit auf Basis von DIN SPEC 27076 "Beratung zur IT- und Informationssicherheit für Klein- und Kleinstunternehmen.
	}}		}}{{SHORTDESC:Informationssicherheit für Klein- und Kleinstunternehmen (frei nach DIN SPEC 27076).}}
	Mustervorlage: '''"Richtlinie zur Informationssicherheit nach DIN SPEC 27076"'''		Mustervorlage: '''"Richtlinie zur Informationssicherheit nach DIN SPEC 27076"'''

Zeile 333:		Zeile 332:
	* '''Überprüfung und Monitoring''': Nach der Durchführung einer Änderung muss das System getestet und überwacht werden, um sicherzustellen, dass alles ordnungsgemäß funktioniert und keine neuen Sicherheitslücken entstanden sind.		* '''Überprüfung und Monitoring''': Nach der Durchführung einer Änderung muss das System getestet und überwacht werden, um sicherzustellen, dass alles ordnungsgemäß funktioniert und keine neuen Sicherheitslücken entstanden sind.

	=== ## Schutz vor Schadprogrammen===		=== Schutz vor Schadprogrammen===
	Der Schutz vor Schadsoftware erfordert ein Bündel aus technischen und organisatorischen Maßnahmen sowie ein hohes Maß an Bewusstsein bei allen Mitarbeitenden.		Der Schutz vor Schadsoftware erfordert ein Bündel aus technischen und organisatorischen Maßnahmen sowie ein hohes Maß an Bewusstsein bei allen Mitarbeitenden.

	====Präventive Sicherheitsmaßnahmen====		====Präventive Sicherheitsmaßnahmen====
	*'''Antivirensoftware:''' Auf allen Endgeräten und Servern wird eine aktuelle Antivirensoftware eingesetzt. Die Software wird automatisch aktualisiert und überwach die Systeme in Echtzeit.		*'''Antivirensoftware:''' Auf allen Endgeräten und Servern wird eine aktuelle Antivirensoftware eingesetzt. Die Software wird automatisch aktualisiert und überwach die Systeme in Echtzeit.
	*'''Firewalls''': An allen Netzübergängen werden Firewalls eingesetzt. Auf allen Servern und Clientsysteme ist eine lokale ~~Firewakk~~ aktiviert um unser Netzwerk und den Datenverkehr zu schützen.		*'''Firewalls''': An allen Netzübergängen werden Firewalls eingesetzt. Auf allen Servern und Clientsysteme ist eine lokale Firewall aktiviert um unser Netzwerk und den Datenverkehr zu schützen.
	* '''E-Mail-Sicherheit''': Auf den zentralen Email-Systemen werden eingehende Nachrichten auf Schadsoftware und Phishing-Angriffe überprüfen.		* '''E-Mail-Sicherheit''': Auf den zentralen Email-Systemen werden eingehende Nachrichten auf Schadsoftware und Phishing-Angriffe überprüfen.

Zeile 344:		Zeile 343:
	*'''Regelmäßige Updates''': Viele Malware-Attacken nutzen Sicherheitslücken in veralteter Software. Die Betriebssysteme und alle installierten Programme werden deshalb durch regelmäßige Updates auf dem neuesten Stand gehalten (siehe [[SiKo-KKU#Patch- und Änderungsmanagement\|Patch- und Änderungsmanagement]]).		*'''Regelmäßige Updates''': Viele Malware-Attacken nutzen Sicherheitslücken in veralteter Software. Die Betriebssysteme und alle installierten Programme werden deshalb durch regelmäßige Updates auf dem neuesten Stand gehalten (siehe [[SiKo-KKU#Patch- und Änderungsmanagement\|Patch- und Änderungsmanagement]]).
	*'''Zugriffsrechte''': Die Benutzerrechte werden auf die für die jeweiligen Aufgaben unbedingt notwendigen Berechtigungen beschränkt. Administrative Rechte werden nur Mitarbeitern gewährt, die diese für ihre Arbeit benötigen.		*'''Zugriffsrechte''': Die Benutzerrechte werden auf die für die jeweiligen Aufgaben unbedingt notwendigen Berechtigungen beschränkt. Administrative Rechte werden nur Mitarbeitern gewährt, die diese für ihre Arbeit benötigen.
	*'''Datensicherung''': Es werden ~~regelmäßige~~ Datensicherungen durchgeführt (siehe [[SiKo-KKU#Datensicherung\|Datensicherung]]). Im Falle eines Malware-Befalls können wir so verlorene Daten wiederherstellen.		*'''Datensicherung''': Auf allen zentralen Servern werden täglich Datensicherungen durchgeführt (siehe [[SiKo-KKU#Datensicherung\|Datensicherung]]). Im Falle eines Malware-Befalls können wir so verlorene Daten wiederherstellen.

	====Schulung und Bewusstsein====		====Schulung und Bewusstsein====
Zeile 353:		Zeile 352:

	====Firewall====		====Firewall====
			Die Organisation betreibt eine Firewall, um unser Unternehmensnetzwerk vor unbefugtem Zugriff und Cyberangriffen zu schützen. Sie bildet eine entscheidende Sicherheitsbarriere, die nur autorisierte Verbindungen zulässt und den ein- und ausgehenden Datenverkehr auf potenzielle Bedrohungen überwacht.

			===== Installation der Firewall =====
			Die Firewall ist so in die Netzwerkarchitektur der Organisation integriert, dass nur erlaubter Datenverkehr in das Netzwerk gelangt und sie unser Netz vor Angriffen aus dem Internet schützt. Jede neu angeschaffte IT-Hardware oder Software, die eine Netzwerkverbindung herstellt, muss hinter der Firewall betrieben werden.

			===== Konfiguration der Firewall =====
			Die Firewall wird so konfiguriert, dass nur die für die Organisation unbedingt erforderlichen Dienste und Verbindungen zugelassen sind. Die Konfiguration wird nach dem Prinzip der minimalen Berechtigung vorgenommen, um das Risiko von Angriffen durch unnötig geöffnete Ports oder Dienste zu minimieren.

			Die Firewall-Konfiguration muss regelmäßig überprüft und bei Bedarf angepasst werden, insbesondere bei Änderungen an der Netzwerkinfrastruktur oder den Geschäftsanforderungen.

			===== Zuständigkeiten =====
			Für die Entscheidung über die Konfiguration der Firewall ist eine verantwortliche Person benannt, die über die notwendigen technischen Kenntnisse verfügt. Diese Person trägt die Verantwortung für die ordnungsgemäße Einrichtung und Pflege der Firewall-Regeln.

			''Diese Person kann in kleinen Organisationen ggf. auch ein externer Dienstleister sein.''

			Vor jeder Änderung an der Konfiguration muss das Risiko für die Organisation bewertet und dokumentiert werden.

			===== Dokumentation und Überprüfung =====
			Jede Änderung an der Firewall-Konfiguration muss dokumentiert werden, einschließlich der Gründe für die Änderung und der durchgeführten Tests zur Sicherstellung der Funktionsfähigkeit. Eine regelmäßige Überprüfung der Firewall-Regeln ist erforderlich, um sicherzustellen, dass die Konfiguration den aktuellen Anforderungen entspricht und Sicherheitsrisiken minimiert werden.

			===== Notfallmaßnahmen =====
			Bei einem Sicherheitsvorfall muss die Firewall sofort überprüft und gegebenenfalls angepasst werden, um die Bedrohung einzudämmen und den Betrieb des Netzwerks zu sichern.

			===== Schulung =====
			Mitarbeitende, die mit der Verwaltung der Firewall betraut sind, müssen regelmäßig an Schulungen zu den Themen Netzwerksicherheit und Firewall-Konfiguration teilnehmen, um die Sicherheitsanforderungen der Organisation zu gewährleisten.

	====Passwortschutz====		====Passwortschutz====

Dirk am 22. Juni 2024 um 09:37 Uhr

2024-06-22T09:37:04Z

Änderungen zeigen

Dirk am 17. April 2024 um 19:28 Uhr

2024-04-17T19:28:41Z

← Nächstältere Version		Version vom 17. April 2024, 21:28 Uhr
Zeile 346:		Zeile 346:

	==== Fernwartung ====		==== Fernwartung ====
			Für Fernzugriffe und Fernwartung gelten in der Organisation folgende allgemeine Sicherheitsanforderungen, die darauf abzielen, die Sicherheit und Integrität der Systeme und Daten während dieser Aktivitäten zu gewährleisten:

			===== Authentifizierung und Autorisierung =====

			* Es ist eine starke Authentifizierung erforderlich, um sicherzustellen, dass nur autorisierte Benutzer auf die Systeme zugreifen können.
			* Die Autorisierung muss genau festlegen, welche Ressourcen und Daten ein Benutzer während des Fernzugriffs oder der Fernwartung nutzen oder ändern kann.
			* Eine Zwei-Faktor-Authentisierung ist mindestens bei Ferwartung mit administrativen Berechtigungen und bei Fernzugriff auf personebezogenen Daten obligatorisch.

			===== Verschlüsselung des Datenverkehrs =====

			* Alle Daten, die während des Fernzugriffs und der Fernwartung übertragen werden, müssen angemessen verschlüsselt sein, um sie vor unbefugtem Zugriff zu schützen.
			* Die Verwendung von sicheren Protokollen wie SSL/TLS für die Datenübertragung ist unerlässlich.

			===== Überwachung =====

			* Eine Überwachung und Protokollierung von Fernzugriffssitzungen ist nötig, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren.

	==== Elementarschäden ====		==== Elementarschäden ====
	Der Schutz vor Elementarschäden bezieht sich auf Maßnahmen zum Schutz von Gebäuden, Anlagen und Ressourcen vor Naturkatastrophen und extremen Umwelteinflüssen (Sturm, Wasser, Hitze, Blitzschlag).		Der Schutz vor Elementarschäden bezieht sich auf Maßnahmen zum Schutz von Gebäuden, Anlagen und Ressourcen vor Naturkatastrophen und extremen Umwelteinflüssen (Sturm, Wasser, Hitze, Blitzschlag).

	''Es müssen alle für die Organisation relevanten Elementarschadensrisiken erfasst und entsprechende Schutzmaßnahmen beschrieben werden. So ist z.B. nicht überall mit Hochwasser zu rechnen, während bestimmte Gebiete besonders gefährdet sind. Bei angemieteten Gebäuden und Räumen ist auf einen ausreichenden Brandschutz zu achten, bei IT-Betriebsräumen ist z.B. zu beachten, dass ein Standard-ABC-Feuerlöscher zwar den Brand löscht, das darin enthaltene Löschpulver aber so aggressiv ist, dass auch nicht direkt vom Feuer betroffene IT-Komponenten durch das Löschpulver zerstört werden. Hier sollten technikschonende CO2-Löscher eingesetzt werden, die wiederum durch die Sauerstoffverdrängung ein Risiko für das Personal darstellen, so dass das Personal in der sicheren Handhabung unterwiesen werden sollte.''		''Es müssen alle für die Organisation relevanten Elementarschadensrisiken erfasst und entsprechende Schutzmaßnahmen beschrieben werden. So ist z.B. nicht überall mit Hochwasser zu rechnen, während bestimmte Gebiete besonders gefährdet sind. Bei angemieteten Gebäuden und Räumen ist auf einen ausreichenden Brandschutz zu achten, bei IT-Betriebsräumen ist z.B. zu beachten, dass ein Standard-ABC-Feuerlöscher zwar den Brand löscht, das darin enthaltene Löschpulver aber so aggressiv ist, dass auch nicht direkt vom Feuer betroffene IT-Komponenten durch das Löschpulver zerstört werden können. Hier sollten technikschonende CO2-Löscher eingesetzt werden, die wiederum durch die Sauerstoffverdrängung ein Risiko für das Personal darstellen, so dass das Personal in der sicheren Handhabung unterwiesen werden sollte.''

	Kurze Bestandsaufnahme der relevanten Elementarschänden:		Kurze Bestandsaufnahme der relevanten Elementarschänden: