chrisbst48/itgrundschutzcompendium_2023 huggingface dataset:
SYS.3.2.1.A6 Datenschutzeinstellungen und Berechtigungen
Die Datenschutzeinstellungen MÜSSEN so restriktiv wie möglich konfiguriert werden. Der Zugriff MUSS restriktiv konfiguriert bzw. deaktiviert werden. Dies gilt insbesondere auch nach der Installation von Updates. Wo dies technisch nicht möglich ist, MÜSSEN die Berechtigungseinstellungen regelmäßig geprüft und erneut gesetzt werden. Der Zugriff von Apps und Betriebssystem auf Daten und Schnittstellen MUSS angemessen eingeschränkt werden. Sicherheitsrelevante Berechtigungseinstellungen MÜSSEN so festgelegt werden, dass sie nicht durch Benutzende oder Apps geändert werden können. Insbesondere der Zugriff auf Kamera, Mikrofon sowie Ortungs- und Gesundheits- bzw. Fitnessdaten MUSS auf Konformität mit den organisationsinternen Datenschutz- und Sicherheitsvorgaben überprüft werden.
SYS.3.2.1.A7 Verhaltensregeln bei Sicherheitsvorfällen
Gehen Geräte verloren oder werden unberechtigte Änderungen an Gerät und Software festgestellt, MÜSSEN die Benutzenden sofort die Zuständigen informieren.
SYS.3.2.1.A8 Installation von Apps
Sie SOLLTEN nur freigegebene Apps installieren dürfen. Es MUSS unterbunden werden, dass sich Apps aus nicht zugelassenen Quellen installieren lassen. Die Institution MUSS regeln, ob, wie und welche Apps Benutzende selbst auf ihren Geräten installieren dürfen. Die Institution MUSS festlegen, aus welchen Quellen Apps installiert werden dürfen.
SYS.3.2.1.A9 Restriktive Nutzung von funktionalen Erweiterungen
Die funktionalen Erweiterungen SOLLTEN keinen automatischen Zugriff auf schützenswerte Informationen haben. Sie SOLLTEN die festgelegte Grundkonfiguration nicht umgehen oder ändern können. Funktionale Erweiterungen SOLLTEN nur restriktiv genutzt werden. Wenn möglich, SOLLTE auf funktionale Erweiterungen verzichtet werden.
SYS.3.2.2 Mobile Device Management (MDM)
Informationsverbund/übergeordnete Aspekte R2
SYS.3.2.2.A1 Festlegung einer Strategie für das Mobile Device Management
Gewährleistet sie die notwendige Mandantentrennung? Es MUSS eine Strategie erarbeitet werden, die festlegt, wie Mitarbeitende mobile Endgeräte benutzen dürfen und wie die Geräte in die IT-Strukturen der Institution integriert sind. • Welche Compliance-Anforderungen müssen durchgesetzt werden? • Welche mobilen Geräte und welche Betriebssysteme muss das MDM unterstützen? • Muss die MDM-Lösung mandantenfähig sein? • Müssen Cloud-Dienste eingebunden werden? • Müssen Dokumentenmanagementsysteme eingebunden werden? • Muss das MDM auch Peripheriegeräte einbinden und verwalten? • Welches Betriebsmodell soll eingesetzt werden: private Endgeräte (Bring Your Own Device, BYOD), personalisierte Endgeräte (Eigentum der Institution) oder nicht personalisierte Endgeräte (Eigentum der Institution, gemeinsam genutzt)? Die Strategie MUSS schriftlich fixiert und von dem oder der ISB freigegeben werden. Grundlage MUSS dabei der Schutzbedarf der zu verarbeitenden Informationen sein. Die Strategie MUSS mindestens folgende Aspekte abdecken: • Darf das MDM als Cloud-Dienst betrieben werden? • Soll das MDM durch die Institution selbst betrieben werden? • Soll das MDM alle Apps bereitstellen oder dürfen die Benutzenden selber Apps installieren? Welche Restriktionen gibt die Institution bei bereitgestellten oder selbst installierten Apps vor? • Soll das MDM in eine weitere Infrastruktur eingebunden werden? • Welche Anforderungen bezüglich Supportleistungen und Reaktionszeiten sind an die anbietende Institution des MDM zu stellen?
SYS.3.2.2.A10 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A11 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A12 Absicherung der MDM-Betriebsumgebung
Das zugrundeliegende Betriebssystem SOLLTE gehärtet werden. Das MDM selbst SOLLTE durch technische Maßnahmen abgesichert werden, um dem Schutzbedarf der hinterlegten oder verarbeiteten Informationen zu genügen.
SYS.3.2.2.A13 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A14 Benutzung externer Reputation-Services für Apps
Das MDM SOLLTE dann mithilfe dieser Informationen aus dem Reputation-Service die Installation von Apps zumindest einschränken. Wenn die Administrierenden einer Institution die erlaubten Apps nicht selbst auswählen können und die Benutzenden selbstständig Apps auf ihren Geräten installieren dürfen, SOLLTE ein sogenannter Reputation-Service eingesetzt werden.
SYS.3.2.2.A15 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A16 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A17 Kontrolle der Nutzung von mobilen Endgeräten
Insbesondere SOLLTEN sogenannte Jailbreaks oder sogenanntes Routen erkannt werden. Es SOLLTEN angemessene Kriterien definiert werden, aufgrund derer die Geräte zu überwachen sind, ohne gegen gesetzliche oder interne Regelungen zu verstoßen.
SYS.3.2.2.A18 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A19 Einsatz von Geofencing
Anschließend SOLLTEN die Sicherheitsmaßnahmen unter Beachtung gesetzlicher und interner Regelungen umgesetzt werden. Bevor das Gerät selektiv oder vollständig gelöscht wird, SOLLTEN die zuständigen Administrierenden und das Sicherheitsmanagement sowie die Benutzenden informiert werden. Erst mit einer angemessenen zeitlichen Verzögerung SOLLTE das Gerät selektiv oder vollständig gelöscht werden. Wird der geografische Bereich verlassen, SOLLTEN entsprechend klassifizierte Informationen oder das Gerät vollständig gelöscht werden. Die Bereiche, an denen diese zusätzlichen Sicherheitsmaßnahmen nötig sind, SOLLTEN identifiziert werden. Durch die Hinterlegung einer Geofencing-Richtlinie SOLLTE sichergestellt werden, dass Geräte mit schutzbedürftigen Informationen nicht außerhalb eines zuvor festgelegten geografischen Bereichs verwendet werden können.
SYS.3.2.2.A2 Festlegung erlaubter mobiler Endgeräte
Das MDM MUSS so konfiguriert werden, dass nur mit freigegebenen Geräten auf Informationen der Institution zugegriffen werden kann. Es DÜRFEN nur von der Institution zugelassene mobile Endgeräte beschafft werden. Es MUSS festgelegt werden, welche mobilen Endgeräte und Betriebssysteme in der Institution zugelassen sind. Alle erlaubten Geräte und Betriebssysteme MÜSSEN den Anforderungen der MDM-Strategie genügen und die technischen Sicherheitsanforderungen der Institution vollständig erfüllen.
SYS.3.2.2.A20 Regelmäßige Überprüfung des MDM
Sicherheitseinstellungen MÜSSEN regelmäßig überprüft werden. Bei neuen Betriebssystemversionen der mobilen Endgeräte MUSS vorab geprüft werden, ob das MDM diese vollständig unterstützt und die Konfigurationsprofile und Sicherheitseinstellungen weiterhin wirksam und ausreichend sind. Abweichungen MÜSSEN korrigiert werden. Die zugeteilten Berechtigungen für Benutzende und Administrierende MÜSSEN regelmäßig daraufhin überprüft werden, ob sie weiterhin angemessen sind (Minimalprinzip).
SYS.3.2.2.A21 Verwaltung von Zertifikaten
Die Installation von nicht vertrauenswürdigen und nicht verifizierbaren (Root-) Zertifikaten durch Benutzende SOLLTE durch das MDM verhindert werden. Das MDM SOLLTE Mechanismen unterstützen, um die Gültigkeit von Zertifikaten zu überprüfen. Zertifikate zur Nutzung von Diensten auf dem mobilen Endgerät SOLLTEN zentral über das MDM installiert, deinstalliert und aktualisiert werden.
SYS.3.2.2.A22 Fernlöschung und Außerbetriebnahme von Endgeräten
Werden in dem mobilen Endgerät externe Speicher genutzt, SOLLTE geprüft werden, ob diese bei einem Remote Wipe ebenfalls gelöscht werden sollen. Diese Funktion SOLLTE vom MDM unterstützt werden. Der Prozess zur Außerbetriebnahme des mobilen Endgerätes (Unenrollment) SOLLTE sicherstellen, dass keine schutzbedürftigen Daten auf dem mobilen Endgerät oder eingebundenen Speichermedien verbleiben. Dies SOLLTE insbesondere dann gelten, wenn das Unenrollment aus der Ferne ausgeführt wird. Das MDM SOLLTE sicherstellen, dass sämtliche dienstliche Daten auf dem mobilen Endgerät aus der Ferne gelöscht werden können (Remote Wipe bei bestehender Datenverbindung).
SYS.3.2.2.A23 Durchsetzung von Compliance-Anforderungen
1. selbstständiges Versenden von Warnhinweisen, 4. Löschen des kompletten Geräts, 5. Verhindern des Zugangs zu Unternehmens-Apps sowie 6. Verhindern des Zugangs zu den Systemen und Informationen der Institution. 3. Löschen der vertraulichen Informationen der Institution, Hierzu SOLLTEN entsprechende Funktionen bereitgestellt werden: 2. selbstständiges Sperren des Geräts, Verstöße gegen die Regelungen der Institution oder sogar eine Manipulation des Betriebssystems SOLLTEN mit einer geeigneten Lösung erkannt werden. Bei Verdacht auf einen Verstoß oder eine Manipulation SOLLTE ein Alarm an die zuständigen Administrierenden und das Sicherheitsmanagement in der Institution gesandt werden. Die folgenden Aktionen SOLLTEN bei Verdacht auf Verstoß gegen Regelungen oder Manipulation des Betriebssystems ausgeführt werden.
SYS.3.2.2.A3 Auswahl eines MDM-Produkts
Wenn eine geeignete MDM-Software beschafft werden soll, MUSS sichergestellt sein, dass sich mit ihr alle in der MDM-Strategie festgelegten Anforderungen erfüllen lassen. Auch MUSS sie sämtliche technischen und organisatorischen Sicherheitsmaßnahmen umsetzen können und alle zugelassenen mobilen Endgeräte unterstützen.
SYS.3.2.2.A4 Verteilung der Grundkonfiguration auf mobile Endgeräte
Ein nicht über MDM konfiguriertes Endgerät DARF NICHT auf Informationen der Institution zugreifen können. Wenn die Geräte die Grundkonfiguration erhalten, MÜSSEN sie sich im Werkszustand befinden. Die Verbindung der mobilen Endgeräte zum MDM MUSS angemessen abgesichert werden. Bei bereits benutzten Geräten MÜSSEN vorher alle institutionsbezogenen Daten gelöscht werden. Alle mobilen Endgeräte MÜSSEN, bevor sie eingesetzt werden, in das MDM integriert werden.
SYS.3.2.2.A5 Installation des MDM-Clients(umbenannt von Installation des MDM Clients in Vorjahres-Edition)
Wenn mobile Endgeräte an Mitarbeitende übergeben werden, MUSS, wenn vom Betriebssystem nicht bereits bereitgestellt, darauf der MDM-Client installiert und konfiguriert sein.
SYS.3.2.2.A6 Protokollierung des Gerätestatus
Bei Bedarf SOLLTE der aktuelle Status der verwalteten Endgeräte durch den IT-Betrieb ermittelt werden können (Device Audit). Der Lebenszyklus einschließlich der Konfigurationshistorie eines mobilen Endgerätes SOLLTE ausreichend protokolliert und zentral abrufbar sein.
SYS.3.2.2.A7 Installation von Apps
Das MDM SOLLTE die Installation, Deinstallation und Aktualisierung erzwingen, sobald eine Verbindung zum mobilen Endgerät besteht. Das MDM SOLLTE eine Block- oder Allow-List für die Installation von Apps ermöglichen. Über das MDM installierte Apps SOLLTEN NICHT durch Benutzende deinstalliert werden können. Apps SOLLTEN gemäß den Anforderungen des geplanten Einsatzszenarios über das MDM installiert, deinstalliert und aktualisiert werden.
SYS.3.2.2.A8 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.2.A9 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3 iOS (for Enterprise)
IT-System R2
SYS.3.2.3.A1 Strategie für die iOS-Nutzung
Hierzu MUSS eine Strategie zur iOS-Nutzung vorliegen, in der Aspekte wie die Auswahl der Endgeräte oder Strategien für Datensicherungen festgelegt werden. Außerdem MÜSSEN Jailbreaks organisatorisch untersagt und nach Möglichkeit technisch verhindert werden. Es MUSS geregelt werden, ob zusätzliche Apps von Drittanbietenden genutzt werden sollen bzw. dürfen. Wird ein MDM eingesetzt, so MÜSSEN die iOS-basierten Geräte über das MDM verwaltet und konfiguriert werden.
SYS.3.2.3.A10 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A11 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A12 Verwendung von Apple-IDs
Falls möglich, SOLLTE der Apple Business Manager für Volumenlizenzen (früher Volume Purchase Program, VPP) sowie eine zentralisierte Installation von Apps verwendet werden. Statt einer persönlichen Apple-ID der Benutzenden SOLLTE eine anonymisierte Apple-ID verwendet werden.
SYS.3.2.3.A13 Verwendung der Konfigurationsoption „Einschränkungen unter iOS“
Alle nicht benötigten oder erlaubten Funktionen bzw. Dienste von iOS SOLLTEN deaktiviert werden. Basierend auf dem Einsatzzweck und dem zugrundeliegenden Schutzbedarf SOLLTE geprüft werden, welche der Funktionen „Sperrbildschirm“, „Unified Communication“, „Siri“, „Hintergrundbild“, „Verbindung mit Host-Systemen“ und „Diagnose- und Nutzungsdaten“ einzusetzen sind.
SYS.3.2.3.A14 Verwendung der iCloud-Infrastruktur
Bevor die umfängliche oder selektive Nutzung der iCloud-Infrastruktur für eine dienstliche Nutzung freigegeben wird, SOLLTE bewertet werden, ob die allgemeinen Geschäftsbedingungen der Firma Apple mit den internen Richtlinien hinsichtlich Verfügbarkeit, Vertraulichkeit, Integrität und Datenschutz vereinbar sind. Wird die Nutzung der iCloud-Infrastruktur erlaubt, SOLLTE die Identität am iCloud-Webservice durch eine Zwei-Faktor-Authentisierung geprüft werden. Ansonsten SOLLTE die iCloud-Nutzung für einen rein dienstlichen Bedarf auf ein geringes Maß reduziert oder komplett ausgeschlossen werden.
SYS.3.2.3.A15 Verwendung der Continuity-Funktionen
Auf Basis der Bewertungsergebnisse SOLLTE geregelt werden, inwieweit diese Funktionen technisch bzw. organisatorisch eingeschränkt werden. Wurde die Nutzung der iCloud-Infrastruktur nicht grundsätzlich durch das Sicherheitsmanagement der Institution untersagt, SOLLTE die Vereinbarkeit der Continuity-Funktionen mit den internen Richtlinien unter Berücksichtigung der Aspekte Vertraulichkeit und Integrität bewertet werden.
SYS.3.2.3.A16 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A17 Verwendung der Gerätecode-Historie
Im Konfigurationsprofil SOLLTE die Anzahl der eindeutigen Codes bis zur ersten Wiederholung auf einen angemessenen Wert festgelegt sein.
SYS.3.2.3.A18 Verwendung der Konfigurationsoption für den Browser Safari
Die bereits in der Institution etablierten Browserrichtlinien SOLLTEN entsprechend auch für Safari durch technische und organisatorische Maßnahmen umgesetzt werden. Das Einsatzumfeld der Geräte SOLLTE beachtet werden. Dabei SOLLTEN die bereits etablierten Anforderungen für Browser auf stationären und tragbaren PCs als Grundlage für die Absicherung der iOS-basierten Geräte dienen sowie die Einsatzszenarien.
SYS.3.2.3.A19 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A2 Planung des Einsatzes von Cloud-Diensten
Bevor iOS-basierte Geräte verwendet werden, MUSS festgelegt werden, welche Cloud-Services in welchem Umfang genutzt werden sollen bzw. dürfen. Daher SOLLTE geprüft werden, ob zur Geräteregistrierung Apple Business Manager (früher Device Enrollment Program, DEP) genutzt werden kann. Außerdem SOLLTE berücksichtigt werden, dass beispielsweise bereits die Aktivierung von Einzelgeräten mit einer Apple-ID hiervon betroffen ist. Dabei SOLLTE berücksichtigt werden, dass iOS-basierte Geräte grundsätzlich eng mit iCloud-Diensten von Apple verzahnt sind.
SYS.3.2.3.A20 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A21 Installation von Apps und Einbindung des Apple App Stores
Zahlungen im App Store SOLLTE NICHT über biometrische Verfahren bestätigt werden. Um sicherzustellen, dass den autorisierten Benutzenden die benötigten Apps zum notwendigen Zeitpunkt ausreichend zur Verfügung stehen, SOLLTE überlegt werden, den Apple Business Manager in die MDM-Infrastruktur zu integrieren.
SYS.3.2.3.A22 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A23 Verwendung der automatischen Konfigurationsprofillöschung
Nach Ablauf des definierten Zeitraums oder an einem bestimmten Tag, SOLLTE das Konfigurationsprofil ohne Zutun des IT-Betriebs gelöscht werden. Geräte, die über einen klar definierten Zeitraum durchgängig offline sind, SOLLTEN ihren Zugang zur internen Infrastruktur verlieren. Falls Benutzende des Geräts vor Ablauf der Frist auf das interne Netz zugreift, SOLLTE der Zeitraum bis zur automatischen Löschung des Konfigurationsprofils erneuert werden. Falls sicherzustellen ist, ob die Benutzenden noch im Besitz ihres Gerätes sind, SOLLTEN sie aktiv zum Zugriff innerhalb einer Frist aufgefordert werden. Falls die Frist ohne Zugriff verstreicht, sollte das Konfigurationsprofil der entsprechenden Benutzenden automatisch gelöscht werden.
SYS.3.2.3.A24 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A25 Verwendung der Konfigurationsoption für AirPrint
Freigegebene AirPrint-Drucker SOLLTEN den Benutzenden durch ein Konfigurationsprofil bereitgestellt werden. Um zu vermeiden, dass Informationen auf nicht vertrauenswürdigen Druckern von Benutzenden ausgedruckt werden können, SOLLTEN stets alle Kommunikationsverbindungen über die Infrastruktursysteme der Institution geführt werden.
SYS.3.2.3.A26 Keine Verbindung mit Host-Systemen
Um zu vermeiden, dass iOS-basierte Geräte unautorisiert mit anderen IT-Systemen verbunden werden, SOLLTEN die Benutzenden iOS-basierte Geräte ausschließlich mit dem MDM verbinden können.
SYS.3.2.3.A27 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A3 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A4 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A5 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A6 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A7 Verhinderung des unautorisierten Löschens von Konfigurationsprofilen
Damit Konfigurationsprofile nicht unautorisiert gelöscht werden können, MÜSSEN geeignete technische (z. B. durch den betreuten Modus) oder organisatorische Maßnahmen getroffen und umgesetzt werden. Benutzende von mobilen Endgeräten SOLLTEN für den Sinn und Zweck der Sicherheitsmaßnahmen sensibilisiert werden.
SYS.3.2.3.A8 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.3.A9 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.4 Android
IT-System R2
SYS.3.2.4.A1 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.4.A2 Deaktivieren des Entwicklermodus(umbenannt von Deaktivieren der Entwickler-Optionen in Vorjahres-Edition)
In allen Android-basierten Geräten SOLLTE der Entwicklermodus deaktiviert sein.
SYS.3.2.4.A3 Einsatz des Multi-User- und Gäste-Modus
Benutzende auf einem Android-basierten Gerät SOLLTEN natürliche Personen sein. Es SOLLTE festgelegt werden, ob dazu der Multi-User- oder Gäste-Modus verwendet werden muss. Es SOLLTE geregelt sein, ob ein Gerät mit anderen Personen geteilt werden darf.
SYS.3.2.4.A4 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.4.A5 Erweiterte Sicherheitseinstellungen
Es SOLLTEN nur freigegebene Sicherheits-Apps Rechte zur Geräteadministration bekommen oder sich als „Trust Agents“ eintragen lassen. Dies SOLLTE regelmäßig überprüft werden. Weiterhin SOLLTE es nur erlaubten Apps möglich sein, auf Nutzungsdaten und auf Benachrichtigungen zuzugreifen.
SYS.3.2.4.A6 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.2.4.A7 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.3.3 Mobiltelefon
IT-System R2
SYS.3.3.A1 Sicherheitsrichtlinien und Regelungen für die Nutzung von Mobiltelefonen(umbenannt von Sicherheitsrichtlinien und Regelungen für die Mobiltelefon-Nutzung in Vorjahres-Edition)
Die Sicherheitsrichtlinie zur dienstlichen Nutzung von Mobiltelefonen SOLLTE Bestandteil der Schulung zu Sicherheitsmaßnahmen sein. Im Hinblick auf die Nutzung und Kontrolle der Geräte MUSS eine Sicherheitsrichtlinie erstellt werden. Jeder benutzenden Person eines Mobiltelefons MUSS ein Exemplar der Sicherheitsrichtlinie ausgehändigt werden. Es MUSS regelmäßig überprüft werden, ob die Sicherheitsrichtlinie eingehalten wird.
SYS.3.3.A10 Sichere Datenübertragung über Mobiltelefone
Die dafür erlaubten Schnittstellen SOLLTEN festgelegt werden. Es SOLLTE geregelt sein, welche Daten über Mobiltelefone übertragen werden dürfen. Außerdem SOLLTE beschlossen werden, wie die Daten bei Bedarf zu verschlüsseln sind.
SYS.3.3.A11 Ausfallvorsorge bei Mobiltelefonen
Muss ein defektes Mobiltelefon repariert werden, SOLLTEN zuvor alle Daten gelöscht und das Gerät auf den Werkszustand zurückgesetzt werden. Die auf einem Mobiltelefon gespeicherten Daten SOLLTEN in regelmäßigen Abständen auf einem externen Medium gesichert werden. Es SOLLTEN immer Ersatzgeräte vorhanden sein, um ein ausgefallenes Mobiltelefon kurzfristig ersetzen zu können.
SYS.3.3.A12 Einrichtung eines Mobiltelefon-Pools
Zudem SOLLTEN die Benutzenden auf die Einhaltung der Sicherheitsleitlinie hingewiesen werden. Bei häufig wechselnden Benutzenden dienstlicher Mobiltelefone SOLLTE eine Sammelaufbewahrung (Pool) eingerichtet werden. Die Ausgabe und Rücknahme von Mobiltelefonen und Zubehör SOLLTE dokumentiert werden. Vor der Ausgabe SOLLTE sichergestellt werden, dass die Mobiltelefone aufgeladen und mit den nötigen Programmen und Daten für die neuen Besitzenden ausgestattet sind. Nachdem die Geräte wieder zurückgegeben wurden, SOLLTEN sie auf den Werkszustand zurückgesetzt werden.
SYS.3.3.A13 Schutz vor der Erstellung von Bewegungsprofilen bei der Nutzung von Mobilfunk(umbenannt von Schutz vor der Erstellung von Bewegungsprofilen bei der Mobilfunk-Nutzung in Vorjahres-Edition)
Um eine Ortung über GPS zu verhindern, SOLLTE diese Funktion abgeschaltet werden. Es SOLLTE geklärt werden, ob sich die Erstellung von Bewegungsprofilen durch Dritte negativ auswirken kann oder als Problem angesehen wird. Falls eine Ortung über das Mobilfunknetz verhindert werden soll, SOLLTE das Mobiltelefon abgeschaltet und der Akku entfernt werden.
SYS.3.3.A14 Schutz vor Rufnummernermittlung bei der Nutzung von Mobiltelefonen(umbenannt von Schutz vor Rufnummernermittlung bei der Mobiltelefon-Nutzung in Vorjahres-Edition)
Außerdem SOLLTEN KEINE SMS- und MMS-Nachrichten versendet werden. Um zu verhindern, dass die verwendeten Rufnummern bestimmten Personen zugeordnet werden können, SOLLTEN Rufnummern für ausgehende Anrufe unterdrückt werden. Rufnummern von Mobiltelefonen SOLLTEN NICHT veröffentlicht oder an unbefugte Dritte weitergegeben werden.
SYS.3.3.A15 Schutz vor Abhören der Raumgespräche über Mobiltelefone
Damit vertrauliche Informationen nicht abgehört werden können, SOLLTE dafür gesorgt werden, dass keine Mobiltelefone zu vertraulichen Besprechungen und Gesprächen in die entsprechenden Räume mitgenommen werden. Falls erforderlich, SOLLTE das Mitführungsverbot durch Mobilfunk-Detektoren überprüft werden.
SYS.3.3.A2 Sperrmaßnahmen bei Verlust eines Mobiltelefons
Falls möglich, SOLLTEN vorhandene Mechanismen zum Diebstahlschutz, wie Fernlöschung oder -sperrung, genutzt werden. Bei Verlust eines Mobiltelefons MUSS die darin verwendete SIM-Karte zeitnah gesperrt werden. Alle notwendigen Informationen zur Sperrung von SIM-Karte und Mobiltelefon MÜSSEN unmittelbar griffbereit sein.
SYS.3.3.A3 Sensibilisierung und Schulung der Mitarbeitenden im Umgang mit Mobiltelefonen(umbenannt von Sensibilisierung und Schulung der Mitarbeiter im Umgang mit Mobiltelefonen in Vorjahres-Edition)
Den Benutzenden MUSS der Prozess bekannt sein, durch den die Mobiltelefone gesperrt werden können. Mitarbeitende MÜSSEN für die besonderen Gefährdungen der Informationssicherheit durch Mobiltelefone sensibilisiert werden. Sie MÜSSEN in die Sicherheitsfunktion der Mobiltelefone eingewiesen sein. Die Benutzenden MÜSSEN darauf hingewiesen werden, wie die Mobiltelefone sicher und korrekt aufbewahrt werden sollten.
SYS.3.3.A4 Aussonderung und ordnungsgemäße Entsorgung von Mobiltelefonen und darin verwendeter Speicherkarten
Es MUSS überprüft werden, ob alle Daten gelöscht wurden. Mobiltelefone MÜSSEN vor der Entsorgung auf den Werkszustand zurückgesetzt werden. Es SOLLTE zudem sichergestellt werden, dass die Mobiltelefone und eventuell darin verwendete Speicherkarten ordnungsgemäß entsorgt werden. Falls die Mobiltelefone und Speicherkarten erst zu einem späteren Zeitpunkt beziehungsweise in größerer Anzahl entsorgt werden, MÜSSEN die gesammelten Mobiltelefone und Speicherkarten vor unberechtigtem Zugriff geschützt werden.
SYS.3.3.A5 Nutzung der Sicherheitsmechanismen von Mobiltelefonen
Falls möglich, SOLLTE das Gerät an die SIM-Karte gebunden werden (SIM-Lock). Die verfügbaren Sicherheitsmechanismen SOLLTEN auf den Mobiltelefonen genutzt und vorkonfiguriert werden. Die SIM-Karte SOLLTE durch eine sichere PIN geschützt werden. Die Super-PIN/PUK SOLLTE nur im Rahmen der definierten Prozesse von den Zuständigen benutzt werden. Das Mobiltelefon SOLLTE durch einen Geräte-Code geschützt werden.