chrisbst48/itgrundschutzcompendium_2023 huggingface dataset:
OPS.1.1.7.A22 Einbindung des Systemmanagements in automatisierte Detektionssysteme
Eine Systemmanagement-Lösung SOLLTE mit einem System zur Erkennung sicherheitsrelevanter Schwachstellen automatisiert überwacht werden. Im Anforderungskatalog zur Auswahl einer Systemmanagement-Lösung SOLLTEN die erforderlichen Schnittstellen und Übergabeformate spezifiziert werden. Dabei SOLLTE nachvollziehbar festgelegt werden, welche Ereignisse an das SIEM weitergeleitet werden. Die Protokollierung von sicherheitsrelevanten Ereignissen des Systemmanagements SOLLTE in ein Security Information and Event Management (SIEM) eingebunden werden.
OPS.1.1.7.A23 Standort-übergreifende Zeitsynchronisation für das Systemmanagement
Die Zeitsynchronisation SOLLTE sowohl für die Systemmanagement-Lösung als auch für die zu verwaltenden Systeme über alle Standorte der Institution sichergestellt werden. Dafür SOLLTE eine gemeinsame Referenzzeit benutzt werden.
OPS.1.1.7.A24 Automatisierte Überprüfung von sicherheitsrelevanten Konfigurationen durch geeignete Detektionssysteme
Sicherheitsrelevante Konfigurationen der Systemmanagement-Lösung und der zu verwaltenden Systeme SOLLTEN durch geeignete Detektionssysteme regelmäßig auf Abweichungen vom Sollzustand sowie auf potenzielle Schwachstellen überprüft werden.
OPS.1.1.7.A25 Protokollierung und Reglementierung von Systemmanagement-Sitzungen
Während der Überwachung SOLLTE nicht nur bei konkreten Regelverstößen, sondern auch bei Anomalien im Benutzendenverhalten eine Alarmierung erfolgen. Die Sitzungsinhalte, insbesondere die Aktivitäten von Benutzenden auf der Systemmanagement-Lösung sowie sämtliche direkte Zugriffe auf zu verwaltende Systeme, SOLLTEN kontinuierlich durch eine technische Lösung protokolliert und reglementiert werden. Dabei SOLLTEN die Aktivitäten auf Befehlsebene, d. h. manuelle und automatisierte Befehle, kontrolliert und gegebenenfalls unterbunden werden.
OPS.1.1.7.A26 Entkopplung von Zugriffen auf die Systemmanagement-Lösung
Jeder administrative Zugriff auf die Systemmanagement-Lösung SOLLTE durch die Nutzung von Sprungservern abgesichert werden.
OPS.1.1.7.A3 Zeitsynchronisation für das Systemmanagement
Alle Komponenten der Systemmanagement-Lösung, inklusive der zu verwaltenden Systeme, MÜSSEN eine synchrone Uhrzeit nutzen. Die Systemzeit MUSS für jedes zu verwaltende System und für die Systemmanagement-Lösung über geeignete Protokolle synchronisiert werden.
OPS.1.1.7.A4 Absicherung der Systemmanagement-Kommunikation
Ist auch dies nicht möglich, dann MÜSSEN ergänzende Sicherheitsmechanismen auf anderer Ebene eingesetzt werden, z. B. Tunnelmechanismen über verschlüsseltes VPN oder vergleichbare Lösungen. Sobald die Systemmanagement-Lösung und die zu verwaltenden Systeme über die produktive Infrastruktur kommunizieren, MÜSSEN dafür sichere Protokolle verwendet werden. Falls keine sicheren Protokolle verwendet werden können, dann MUSS ein eigens dafür vorgesehenes Administrationsnetz (Out-of-Band-Management) verwendet werden (siehe NET.1.1 Netzarchitektur und -design).
OPS.1.1.7.A5 Gegenseitige Authentisierung von Systemmanagement-Lösung und zu verwaltenden Systemen
Die Authentisierung zwischen Systemmanagement-Lösung und zu verwaltenden Systemen MUSS in beide Richtungen erfolgen. Die Authentisierung MUSS in das übergreifende Authentisierungskonzept eingebunden sein. Die Authentisierung MUSS mittels sicherer Protokolle erfolgen.
OPS.1.1.7.A6 Absicherung des Zugriffs auf die Systemmanagement-Lösung
Der Zugriff von Benutzenden auf die Systemmanagement-Lösung MUSS abgesichert werden durch • eine sichere und angemessene Authentisierung und Autorisierung der Benutzenden sowie • eine sichere Verschlüsselung der übertragenen Daten. Eine angemessene Authentisierungsmethode MUSS ausgewählt werden. Der Auswahlprozess MUSS dokumentiert werden. Die Stärke der verwendeten kryptografischen Verfahren und Schlüssel MUSS regelmäßig überprüft und bei Bedarf angepasst werden. Die Systemmanagement-Lösung MUSS über eine Autorisierungskomponente sicherstellen, dass Benutzende ausschließlich solche Aktionen durchführen können, zu denen sie berechtigt sind.
OPS.1.1.7.A7 Festlegung einer Sicherheitsrichtlinie für das Systemmanagement
• Vorgaben für die Abstimmung mit dem Netzmanagement, z. B. Vergabe von IP-Adressen oder DNS-Namen. Die Richtlinie SOLLTE allen Personen, die am Systemmanagement beteiligt sind, bekannt sein. Die Sicherheitsrichtlinie SOLLTE zudem grundlegend für die Arbeit dieser Personen sein. Es SOLLTE regelmäßig und nachvollziehbar überprüft werden, dass die in der Richtlinie geforderten Inhalte umgesetzt werden. Die Ergebnisse SOLLTEN dokumentiert werden. Die Sicherheitsrichtlinie SOLLTE mindestens das Folgende festlegen: • die Bereiche des Systemmanagements, die über zentrale Management-Werkzeuge und - Dienste realisiert werden, • Vorgaben für die Zugriffskontrolle, • das Konfigurationsmanagement für die Daten, die von der Systemmanagement-Lösung verwaltet werden, z. B. Versionierung von Konfigurationen, • die Aufgaben im Systemmanagement, die automatisiert realisiert werden sollen, Für das Systemmanagement SOLLTE eine Sicherheitsrichtlinie erstellt und nachhaltig gepflegt werden. • Vorgaben für die Netztrennung, • Vorgaben für die Protokollierung, • Vorgaben für die Qualitätssicherung beim Einsatz von Automatisierungsfunktionen, z. B. Skripte, • Vorgaben für den Schutz der Kommunikation, • die operativen Grundregeln des Systemmanagements sowie
OPS.1.1.7.A8 Erstellung eines Systemmanagement-Konzepts
• Protokollierung, Dabei SOLLTEN mindestens folgende Aspekte bedarfsgerecht berücksichtigt werden: • Methoden, Techniken und Werkzeuge für das Systemmanagement, • Bereitstellung von Systemmanagement-Informationen für andere Betriebsbereiche, • Einbindung des Systemmanagements in die Notfallplanung, sowie • benötigten Netzübertragungskapazitäten der Systemmanagement-Lösung. • Vorgaben an Entwicklung und Test von Automatisierungsfunktionen, • Absicherung des Zugangs und der Kommunikation, • Absicherung auf Ebene des Netzes, insbesondere Zuordnung von Systemmanagement-Komponenten zu Sicherheitszonen, • Automatisierung, insbesondere die zentrale Verteilung von Konfigurationsdateien auf die zu verwaltenden Systeme, • Umfang des Monitorings und der Alarmierung für jedes zu verwaltende System, Ausgehend von der Sicherheitsrichtlinie für das Systemmanagement SOLLTE ein Systemmanagement-Konzept erstellt und kontinuierlich gepflegt werden. • Meldeketten bei Störungen und Sicherheitsvorfällen,
OPS.1.1.7.A9 Fein- und Umsetzungsplanung für das Systemmanagement
Dabei SOLLTEN alle in der Sicherheitsrichtlinie und im Systemmanagement-Konzept adressierten Punkte berücksichtigt werden. Eine Fein- und Umsetzungsplanung für die Systemmanagement-Lösung SOLLTE erstellt werden.
OPS.1.2.2 Archivierung
Informationsverbund/übergeordnete Aspekte R3
OPS.1.2.2.A1 Ermittlung von Einflussfaktoren für die elektronische Archivierung
Die Ergebnisse MÜSSEN in das Archivierungskonzept einfließen. Bevor entschieden wird, welche Verfahren und Produkte für die elektronische Archivierung eingesetzt werden, MÜSSEN die technischen, rechtlichen und organisatorischen Einflussfaktoren ermittelt und dokumentiert werden.
OPS.1.2.2.A10 Erstellung einer Richtlinie für die Nutzung von Archivsystemen
• Trennung von Produzenten und Konsumenten (OAIS-Modell). Es SOLLTE sichergestellt werden, dass Mitarbeitende das Archivsystem so benutzen, wie es im Archivierungskonzept vorgesehen ist. • Regelungen zur Datensicherung, • Regelungen zur Protokollierung sowie Dazu SOLLTE eine Administrations- und eine Benutzungsrichtlinie erstellt werden. Die Administrationsrichtlinie SOLLTE folgende Punkte enthalten: • Festlegung der Verantwortung für Betrieb und Administration, • Vereinbarungen über Leistungsparameter beim Betrieb (unter anderem Service Level Agreements), • Modalitäten der Vergabe von Zutritts- und Zugriffsrechten, • Modalitäten der Vergabe von Zugangsrechten zu den vom Archiv bereitgestellten Diensten, • Regelungen zum Umgang mit archivierten Daten und Archivmedien, • Überwachung des Archivsystems und der Umgebungsbedingungen,
OPS.1.2.2.A11 Einweisung in die Administration und Bedienung des Archivsystems
• Umgang mit dem Archivsystem, • Bedienung des Archivsystems sowie Die zuständigen Mitarbeitende des IT-Betriebs und die Benutzenden SOLLTEN für ihren Aufgabenbereich geschult werden. • rechtliche Rahmenbedingungen der Archivierung. Die Durchführung der Schulungen sowie die Teilnahme SOLLTEN dokumentiert werden. Die Schulung der Mitarbeitenden des IT-Betriebs SOLLTE folgende Themen umfassen: • Systemarchitektur und Sicherheitsmechanismen des verwendeten Archivsystems und des darunterliegenden Betriebssystems, • Installation und Bedienung des Archivsystems und Umgang mit Archivmedien, • Dokumentation der Administrationstätigkeiten sowie • Eskalationsprozeduren. Die Schulung der Benutzende SOLLTE folgende Themen umfassen:
OPS.1.2.2.A12 Überwachung der Speicherressourcen von Archivmedien
Sobald ein definierter Grenzwert unterschritten wird, MÜSSEN zuständige Mitarbeitende automatisch alarmiert werden. Es MÜSSEN immer ausreichend leere Archivmedien verfügbar sein, um Speicherengpässen schnell vorbeugen zu können. Die auf den Archivmedien vorhandene freie Speicherkapazität SOLLTE kontinuierlich überwacht werden. Die Alarmierung SOLLTE rollenbezogen erfolgen.
OPS.1.2.2.A13 Regelmäßige Revision der Archivierungsprozesse
Dazu SOLLTE eine Checkliste erstellt werden, die Fragen zu Verantwortlichkeiten, Organisationsprozessen, zum Einsatz der Archivierung, zur Redundanz der Archivdaten, zur Administration und zur technischen Beurteilung des Archivsystems enthält. Abweichungen SOLLTE nachgegangen werden. Es SOLLTE regelmäßig überprüft werden, ob die Archivierungsprozesse noch korrekt und ordnungsgemäß funktionieren. Die Auditergebnisse SOLLTEN nachvollziehbar dokumentiert und mit dem Soll-Zustand abgeglichen werden.
OPS.1.2.2.A14 Regelmäßige Beobachtung des Marktes für Archivsysteme
• der Verlust der Sicherheitseignung bei kryptografischen Algorithmen. • Wechsel der Technik bei herstellenden Unternehmen von Hard- und Software, • veröffentlichte Sicherheitslücken oder Schwachstellen sowie Der Markt für Archivsysteme SOLLTE regelmäßig und systematisch beobachtet werden. Dabei SOLLTEN unter anderem folgende Kriterien beobachtet werden: • Veränderungen bei Standards,
OPS.1.2.2.A15 Regelmäßige Aufbereitung von kryptografisch gesicherten Daten bei der Archivierung
Archivdaten, die mit kryptografischen Verfahren gesichert wurden, die sich in absehbarer Zeit nicht mehr zur Sicherung eignen werden, SOLLTEN rechtzeitig mit geeigneten Verfahren neu gesichert werden. Es SOLLTE kontinuierlich beobachtet werden, wie sich das Gebiet der Kryptografie entwickelt, um beurteilen zu können, ob ein Algorithmus weiterhin zuverlässig und ausreichend sicher ist (siehe auch OPS.1.2.2.A20 Geeigneter Einsatz kryptografischer Verfahren bei der Archivierung).
OPS.1.2.2.A16 Regelmäßige Erneuerung technischer Archivsystem-Komponenten
Archivsysteme SOLLTEN über lange Zeiträume auf dem aktuellen technischen Stand gehalten werden. Neue Hard- und Software SOLLTE vor der Installation in einem laufenden Archivsystem ausführlich getestet werden. Wenn neue Komponenten in Betrieb genommen oder neue Dateiformate eingeführt werden, SOLLTE ein Migrationskonzept erstellt werden. Darin SOLLTEN alle Änderungen, Tests und erwarteten Testergebnisse beschrieben sein. Die Konvertierung der einzelnen Daten SOLLTE dokumentiert werden (Transfervermerk). Wenn Archivdaten in neue Formate konvertiert werden, SOLLTE geprüft werden, ob die Daten aufgrund rechtlicher Anforderungen zusätzlich in ihren ursprünglichen Formaten zu archivieren sind.
OPS.1.2.2.A17 Auswahl eines geeigneten Archivsystems
Ein neues Archivsystem SOLLTE immer auf Basis der im Archivierungskonzept beschriebenen Vorgaben ausgewählt werden. Es SOLLTE die dort formulierten Anforderungen erfüllen.
OPS.1.2.2.A18 Verwendung geeigneter Archivmedien
Für die Archivierung SOLLTEN geeignete Medien ausgewählt und benutzt werden. Dabei SOLLTEN folgende Aspekte berücksichtigt werden: • das zu archivierende Datenvolumen, • die mittleren gleichzeitigen Zugriffe auf das Archivsystem. • die mittleren Zugriffszeiten sowie Ebenfalls SOLLTEN die Archivmedien die Anforderungen an eine Langzeitarchivierung hinsichtlich Revisionssicherheit und Lebensdauer erfüllen.
OPS.1.2.2.A19 Regelmäßige Funktions- und Recoverytests bei der Archivierung
Für die Fehlerbehebung SOLLTEN geeignete Prozesse definiert werden. Es SOLLTE regelmäßig geprüft werden, ob alle Archivierungsprozesse fehlerfrei funktionieren. Für die Archivierung SOLLTEN regelmäßige Funktions- und Recoverytests durchgeführt werden. Die Archivierungsdatenträger SOLLTEN mindestens einmal jährlich daraufhin überprüft werden, ob sie noch lesbar und integer sind. Weiterhin SOLLTEN die Hardwarekomponenten des Archivsystems regelmäßig auf ihre einwandfreie Funktion hin geprüft werden.
OPS.1.2.2.A2 Entwicklung eines Archivierungskonzepts
Hierbei MUSS insbesondere berücksichtigt werden, welche Regularien einzuhalten sind, welche Mitarbeitende zuständig sind und welcher Funktions- und Leistungsumfang angestrebt wird. Das Archivierungskonzept MUSS regelmäßig an die aktuellen Gegebenheiten der Institution angepasst werden. Die Institutionsleitung MUSS in diesen Prozess einbezogen werden. Es MUSS definiert werden, welche Ziele mit der Archivierung erreicht werden sollen. Die Ergebnisse MÜSSEN in einem Archivierungskonzept erfasst werden.
OPS.1.2.2.A20 Geeigneter Einsatz kryptografischer Verfahren bei der Archivierung
Um lange Aufbewahrungsfristen abdecken zu können, SOLLTEN Archivdaten nur mit kryptografischen Verfahren auf Basis aktueller Standards und Normen gesichert werden.
OPS.1.2.2.A21 Übertragung von Papierdaten in elektronische Archive
Werden z. B. Dokumente auf Papier digitalisiert und in ein elektronisches Archiv überführt, SOLLTE sichergestellt werden, dass die digitale Kopie mit dem Originaldokument bildlich und inhaltlich übereinstimmt.
OPS.1.2.2.A3 Geeignete Aufstellung von Archivsystemen und Lagerung von Archivmedien
Archivspeichermedien MÜSSEN geeignet gelagert werden. Es MUSS sichergestellt sein, dass nur berechtigte Personen die Räume betreten dürfen. Die IT-Komponenten eines Archivsystems MÜSSEN in gesicherten Räumen aufgestellt werden.
OPS.1.2.2.A4 Konsistente Indizierung von Daten bei der Archivierung
Alle in einem Archiv abgelegten Daten, Dokumente und Datensätze MÜSSEN eindeutig indiziert werden. Dazu MUSS bereits während der Konzeption festgelegt werden, welche Struktur und welchen Umfang die Indexangaben für ein Archiv haben sollen.
OPS.1.2.2.A5 Regelmäßige Aufbereitung von archivierten Datenbeständen
• das verwendete Datenformat von den benutzten Anwendungen verarbeitet werden kann, Über den gesamten Archivierungszeitraum hinweg MUSS sichergestellt werden, dass • die gespeicherten Daten auch zukünftig lesbar und so reproduzierbar sind, dass Semantik und Beweiskraft beibehalten werden, • das benutzte Dateisystem auf dem Speichermedium von allen beteiligten Komponenten verarbeitet werden kann, • die Speichermedien jederzeit technisch einwandfrei gelesen werden können sowie • die verwendeten kryptografischen Verfahren zur Verschlüsselung und zum Beweiswerterhalt mittels digitaler Signatur, Siegel, Zeitstempel oder technischen Beweisdaten (Evidence Records) dem Stand der Technik entsprechen.
OPS.1.2.2.A6 Schutz der Integrität der Indexdatenbank von Archivsystemen
Die Integrität der Indexdatenbank MUSS sichergestellt und überprüfbar sein. Außerdem MUSS die Indexdatenbank regelmäßig gesichert werden. Die Datensicherungen MÜSSEN wiederherstellbar sein. Mittlere und große Archive SOLLTEN über redundante Indexdatenbanken verfügen.
OPS.1.2.2.A7 Regelmäßige Datensicherung der System- und Archivdaten
Alle Archivdaten, die zugehörigen Indexdatenbanken sowie die Systemdaten MÜSSEN regelmäßig gesichert werden (siehe CON.3 Datensicherungskonzept).
OPS.1.2.2.A8 Protokollierung der Archivzugriffe
Im Archivierungskonzept SOLLTE festgelegt werden, wie lange die Protokolldaten aufbewahrt werden. Dabei SOLLTEN die institutionsinternen Vorgaben beachtet werden. Die Protokolldaten der Archivzugriffe SOLLTEN regelmäßig ausgewertet werden. Auch SOLLTE definiert sein, welche Ereignisse welchen Mitarbeitenden angezeigt werden, wie z. B. Systemfehler, Timeouts oder wenn Datensätze kopiert werden. Kritische Ereignisse SOLLTEN sofort nach der Erkennung geprüft und, falls nötig, weiter eskaliert werden. Alle Zugriffe auf elektronische Archive MÜSSEN protokolliert werden. Dafür SOLLTEN Datum, Uhrzeit, Benutzender, Client und die ausgeführten Aktionen sowie Fehlermeldungen aufgezeichnet werden.
OPS.1.2.2.A9 Auswahl geeigneter Datenformate für die Archivierung von Dokumenten
Es MUSS gewährleisten, dass sich Archivdaten sowie ausgewählte Merkmale des ursprünglichen Dokumentmediums langfristig und originalgetreu reproduzieren lassen. Es SOLLTE für eine beweis- und revisionssichere Archivierung ein verlustfreies Bildkompressionsverfahren benutzt werden. Die Syntax und Semantik der verwendeten Datenformate SOLLTE dokumentiert und von einer Standardisierungsorganisation veröffentlicht sein. Für die Archivierung MUSS ein geeignetes Datenformat ausgewählt werden. Die Dokumentstruktur des ausgewählten Datenformats MUSS eindeutig interpretierbar und elektronisch verarbeitbar sein.
OPS.1.2.4 Telearbeit
Informationsverbund/übergeordnete Aspekte R2
OPS.1.2.4.A1 Regelungen für Telearbeit
Die Regelungen MÜSSEN regelmäßig aktualisiert werden. Alle relevanten Aspekte der Telearbeit MÜSSEN geregelt werden. Zu Informationszwecken MÜSSEN den Telearbeitenden die geltenden Regelungen oder ein dafür vorgesehenes Merkblatt ausgehändigt werden, das die zu beachtenden Sicherheitsmaßnahmen erläutert. Alle strittigen Punkte MÜSSEN entweder durch Betriebsvereinbarungen oder durch zusätzlich zum Arbeitsvertrag getroffene individuelle Vereinbarungen zwischen dem Mitarbeitenden und der Institution geregelt werden.
OPS.1.2.4.A10 Durchführung einer Anforderungsanalyse für den Telearbeitsplatz
Es SOLLTE immer festgestellt und dokumentiert werden, welchen Schutzbedarf die am Telearbeitsplatz verarbeiteten Informationen haben. Bevor ein Telearbeitsplatz eingerichtet wird, SOLLTE eine Anforderungsanalyse durchgeführt werden. Daraus SOLLTE z. B. hervorgehen, welche Hard- und Software-Komponenten für den Telearbeitsplatz benötigt werden. Die Anforderungen an den jeweiligen Telearbeitsplatz SOLLTEN mit den IT-Verantwortlichen abgestimmt werden.
OPS.1.2.4.A2 Sicherheitstechnische Anforderungen an den Telearbeitsrechner
Es MUSS sichergestellt werden, dass nur autorisierte Personen Zugang zu den Telearbeitsrechnern haben. Darüber hinaus MUSS der Telearbeitsrechner so abgesichert werden, dass er nur für autorisierte Zwecke benutzt werden kann. Es MÜSSEN sicherheitstechnische Anforderungen festgelegt werden, die ein IT-System für die Telearbeit erfüllen muss.
OPS.1.2.4.A3 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.4.A4 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.4.A5 Sensibilisierung und Schulung der Mitarbeitenden(umbenannt von Sensibilisierung und Schulung der Mitarbeiter in Vorjahres-Edition)
Anhand eines Leitfadens MÜSSEN die Mitarbeitenden für die Gefahren sensibilisiert werden, die mit der Telearbeit verbunden sind. Außerdem MÜSSEN sie in die entsprechenden Sicherheitsmaßnahmen der Institution eingewiesen und im Umgang mit diesen geschult werden. Die Schulungs- und Sensibilisierungsmaßnahmen für Mitarbeitenden SOLLTEN regelmäßig wiederholt werden.
OPS.1.2.4.A6 Erstellen eines Sicherheitskonzeptes für Telearbeit
Das Konzept SOLLTE regelmäßig aktualisiert und überarbeitet werden. Es SOLLTE ein Sicherheitskonzept für die Telearbeit erstellt werden, das Sicherheitsziele, Schutzbedarf, Sicherheitsanforderungen sowie Risiken beschreibt. Das Sicherheitskonzept zur Telearbeit SOLLTE auf das übergreifende Sicherheitskonzept der Institution abgestimmt werden.
OPS.1.2.4.A7 Regelung der Nutzung von Kommunikationsmöglichkeiten bei Telearbeit
Es SOLLTE klar geregelt werden, welche Kommunikationsmöglichkeiten bei der Telearbeit unter welchen Rahmenbedingungen genutzt werden dürfen. Dabei SOLLTE auch geklärt werden, ob eine private Nutzung generell erlaubt oder unterbunden wird. Die dienstliche und private Nutzung von Internetdiensten bei der Telearbeit SOLLTE geregelt werden.
OPS.1.2.4.A8 Informationsfluss zwischen Mitarbeitenden und Institution(umbenannt von Informationsfluss zwischen Mitarbeiter und Institution in Vorjahres-Edition)
Ein regelmäßiger innerbetrieblicher Informationsaustausch zwischen den Mitarbeitenden und der Institution SOLLTE gewährleistet sein. Allen Kollegen und Kolleginnen der jeweiligen Mitarbeitenden SOLLTE bekannt sein, wann und wo diese erreicht werden können. Technische und organisatorische Telearbeitsregelungen zur Aufgabenbewältigung, zu Sicherheitsvorfällen und sonstigen Problemen SOLLTEN geregelt und an die Mitarbeitenden kommuniziert werden. Alle Mitarbeitenden SOLLTEN zeitnah über geänderte Sicherheitsanforderungen und andere sicherheitsrelevante Aspekte informiert werden.
OPS.1.2.4.A9 Betreuungs- und Wartungskonzept für Telearbeitsplätze
Darin SOLLTEN folgende Aspekte geregelt werden: Kontaktperson des IT-Betriebs, Wartungstermine, Fernwartung, Transport der IT-Geräte und Einführung von Standard-Telearbeitsrechnern. Damit die Mitarbeitenden einsatzfähig bleiben, SOLLTEN für sie Kontaktpersonen für Hard- und Softwareprobleme benannt werden. Für Telearbeitsplätze SOLLTE ein spezielles Betreuungs- und Wartungskonzept erstellt werden.
OPS.1.2.5 Fernwartung
Informationsverbund/übergeordnete Aspekte R3
OPS.1.2.5.A1 Planung des Einsatzes der Fernwartung
Dabei MUSS mindestens berücksichtigt werden, welche IT-Systeme ferngewartet werden sollen und wer dafür zuständig ist. Der Einsatz der Fernwartung MUSS an die Institution angepasst werden. Die Fernwartung MUSS hinsichtlich technischer und organisatorischer Aspekte bedarfsgerecht geplant werden.
OPS.1.2.5.A10 Umgang mit Fernwartungswerkzeugen(umbenannt von Verwaltung der Fernwartungswerkzeuge in Vorjahres-Edition)
Ergänzend zu den allgemeinen Schulungsmaßnahmen SOLLTEN Musterabläufe für die passive und die aktive Fernwartung erstellt und kommuniziert werden. Es SOLLTE ein Ansprechpartner oder eine Ansprechpartnerin für alle fachlichen Fragen zu den Fernwartungswerkzeugen benannt werden. Zusätzlich zu den allgemeinen Schulungsmaßnahmen SOLLTE der IT-Betrieb besonders im Umgang mit den Fernwartungswerkzeugen sensibilisiert und geschult werden. Es SOLLTEN organisatorische Verwaltungsprozesse zum Umgang mit den ausgewählten Fernwartungswerkzeugen etabliert werden. Es SOLLTE eine Bedienungsanleitung für den Umgang mit den Fernwartungswerkzeugen vorliegen.
OPS.1.2.5.A11 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.5.A12 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.5.A13 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.5.A14 Dedizierte Clients und Konten bei der Fernwartung(umbenannt von Dedizierte Clients bei der Fernwartung in Vorjahres-Edition)
Alle weiteren Funktionen auf diesen IT-Systemen SOLLTEN deaktiviert werden. Zur Fernwartung SOLLTEN IT-Systeme eingesetzt werden, die ausschließlich zur Administration von anderen IT-Systemen dienen. Die Netzkommunikation der Administrationssysteme SOLLTE so eingeschränkt werden, dass nur Verbindungen zu IT-Systemen möglich sind, die administriert werden sollen. Für Fernwartungszugänge SOLLTEN dedizierte Konten verwendet werden.
OPS.1.2.5.A15 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.5.A16 ENTFALLEN
Diese Anforderung ist entfallen.
OPS.1.2.5.A17 Authentisierungsmechanismen bei der Fernwartung
Für die Fernwartung SOLLTEN Mehr-Faktor-Verfahren zur Authentisierung eingesetzt werden. Die Auswahl der Authentisierungsmethode und die Gründe, die zu der Auswahl geführt haben, SOLLTEN dokumentiert werden. Fernwartungszugänge SOLLTEN im Identitäts- und Berechtigungsmanagement der Institution berücksichtigt werden.
OPS.1.2.5.A18 ENTFALLEN
Diese Anforderung ist entfallen.