Source: http://ifdis.de/
Timestamp: 2016-12-07 08:42:11+00:00

Document:
ABC Datenschutz und Informations-Sicherheit sind zwei Seiten der gleichen Medaille: Nur wenn die IT-Geräte, auf denen personenbezogene Daten verarbeitet werden, entsprechend geschützt werden, ist auch der Datenschutz sichergestellt. Doch die Gerätesicherheit allein macht IT-Sicherheit nicht aus, es geht zusätzlich ebenfalls um die Sicherheit außerhalb der Geräte, also um den Menschen und sein Arbeitsumfeld, wenn man IT-Sicherheit wirkungsvoll betreiben möchte.
Folgende Themen bilden - ohne Anspruch auf Vollständigkeit - unser kleines Datenschutz-ABC, um einen kurzen Abriss über aktuelle, wichtige Themen zu Datenschutz und Informationssicherheit zu bieten: Auftragsdatenverarbeitung Auftragsdatenverarbeitung - auch Datenverarbeitung im Auftrag – regelt Outsourcing der Verarbeitung dem gesetzlichen Schutz unterliegender Daten, wobei die Verantwortung für die Durchführung immer beim Auftraggeber verbleibt. Diese sind in §11 BDSG sowie §80 Zehntes Buch Sozialgesetzbuch geregelt. Die Voraussetzungen dafür sind in zehn Punkten zusammengefasst. In einem schriftlichen Vertrag sind
geregelt und müssen vom Auftraggeber fortlaufend überprüft uns angepasst werden. Binding Corporate Rules Binding Corporate Rules Corporate Compliance Die Optimierung der Überwachung und der Kontrolle von Unternehmensrisiken ist in den vergangenen Jahren Gegenstand verschiedener Gesetzgebungsverfahren gewesen; rechtspolitisch motiviert sind diese Bestrebungen auf nationaler wie auf internationaler Ebene immer durch die vorherige Feststellung erheblicher Mängel im Bereich der internen Kontrollsysteme (IKS) und des Risk Managements. Bereits nach Maßgabe von § 91 Abs. 2 AktG hat der Vorstand (mit einer zwischenzeitlich anerkannten „Ausstrahlungswirkung" auch auf die Geschäftsleitung einer GmbH, siehe BT-Drucksache 13/9712, Seite 15) „geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden" können.
Wir helfen Ihrem Unternehmen bei dem individuellen Zuschnitt, der Implementierung und dem effektiven Einsatz dieser Maßnahmen. Datenschutzberatung Der Datenschutz-Baustein 1.5 im BSI-Grundschutz
Wir helfen Unternehmen, die noch über keine Strukturen zur Umsetzung des Datenschutzes verfügen, bei der Etablierung dieser Prozesse oder führen für eine konsistente und wirksame Sicherheitskonzeption nach BSI-Grundschutz ergänzende Sicherheitsbetrachtungen und Risikoanalysen durch, um technische Lösungen umzusetzen. Eigenhaftung Eigenhaftung der IT-Verantwortlichen: vom Admin über den Vorstand bis zum Aufsichtsgremium
Vor diesem Hintergrund muss allen Verantwortlichen in Unternehmen und öffentlicher Verwaltung daran gelegen sein, gerichtsfeste Standards zur Regelung und Organisation von allen IT-Geschäftsprozessen unter den Gesichtspunkten der Compliance, Beweisrelevanz und des betriebsinternen Informationsmanagements dokumentieren zu können. Leistungsfähige und revisionssichere Archivsysteme zeigen ihre besondere Effizienz vor allem dann, wenn sie nicht allein kaufmännisch, sondern zur Speicherung und Dokumentation sämtlicher elektronischen Informationen eingesetzt werden. Wir helfen Ihnen dabei, dies maßgeschneidert auf Ihre Bedürfnisse kostengünstig umzusetzen. Fallgestaltungen Datenschutz und IT-Sicherheit sind zwei Seiten der gleichen Medaille: Nur wenn die IT-Geräte, auf denen personenbezogene Daten gespeichert sind, entsprechend geschützt werden, ist auch der Datenschutz sichergestellt. Doch die Gerätesicherheit allein macht IT-Sicherheit nicht aus, es geht zusätzlich ebenfalls um die Sicherheit außerhalb der Geräte, also um den Menschen und sein Arbeitsumfeld, wenn man IT-Sicherheit wirkungsvoll betreiben möchte.
Aus diesem Grund ist Datensicherheit ein wichtiger Bestandteil von Datenschutz, der oft vernachlässigt wird. Im BDSG ist diesem Thema ein eigener Paragraf (§ 9 BDSG) samt ausführlicher Anlage gewidmet. Demnach sollen entsprechende geeignete technische und organisatorische Maßnahmen getroffen werden, die je nach Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, einen angemessenen und wirksamen Schutz zu gewährleisten. Es werden acht Kategorien aufgezählt: GdPdU-Compliance GDPdU-Compliance, rechtssichere Dokumentation in der Praxis
Haftung Haftung für illegale IuK-Nutzung für Unternehmen
Eben diesen Maßstab in Einzelfall zu bestimmen und damit ein solches individuelles „Bündel" zu schnüren, ist eine Aufgabe jedes Unternehmens und jeder öffentlichen Verwaltung, bei der wir Ihnen mit unserer gesamten Erfahrung gerne helfen. Informationsmanagement Informationsmanagementsysteme (ISMS)
Kontrollsysteme Kontrollsysteme
IT-Systeme und IT-Anwendungen unterstützen heute bereits einen Großteil des im Rahmen der Finanzberichterstattung notwendigen Datenflusses. Auf deren Absicherung im Sinne einer effektiven Datensicherheit ist entsprechendes Augenmerk zu richten: Es liegt schon handels- und abgabenrechtlich (siehe z. B. Ziff. 4.1 GoBS) in der originären Verantwortung des Managements eines jedes Unternehmens, IT-basierte Finanzberichterstattungsprozesse so auszugestalten, dass die Integrität der Daten und deren Verfügbarkeit gewährleistet ist. Dies kann in Gleichklang mit anderen Maßnahmen nur durch systematisch gestaltete organisatorische Maßnahmen und Kontrollen im Unternehmen selbst umgesetzt werden. Ein solches wirksames „internes Kontrollsystem" (IKS) beschreibt und dokumentiert die Gesamtheit aller aufeinander abgestimmten und vernetzten Kontrollen auf Grundlage von (SEC) anerkannten Kontrollmodellen wie z.B. CobiT oder COSCO. - Ein Sicherheitsmechanismus, der übrigens auch seit der Subprime-Finanzkrise unter dem Gesichtspunkt der Verfügbarkeit relevante Finanzdaten stärker in den öffentlichen Fokus gerückt ist: Nach den gesetzlichen Vorlagen ist dabei entscheidend, dass neben der Sicherung und dem Schutz der vorhandenen Informationen aller Art in zeitnaher Abfolge zur Generierung der Daten diese ausnahmslos vollständig und genau aufgezeichnet werden. Durch die fortlaufende Kontrolle dieses Prozesses sollen die Verlässlichkeit bei der Auswertung der Daten und zugleich die betriebliche Effizienz optimiert werden. Dabei sind im Rahmen einer Art „Check-and-Balances" festen Prinzipen der Transparenz, der Gegenkontrollen, der Funktionstrennung (von operativen, verbuchenden und verwaltenden Unternehmensprozessen) sowie der Mindestinformation (entsprechend datenschutzrechtlichen Vorgaben) Rechnung zu tragen. Die gewissenhafte Umsetzung dieser Vorgaben spielt insbesondere auch im Anwendungsbereich von EURO SOX eine gewichtige Rolle in den Jährlich wiederkehrende Analysen durch Wirtschaftsprüfer nebst eidesstattlichen Versicherungen von CEO und CFO, in deren Rahmen aussagekräftige Stellungnahmen zur Wirksamkeit des IKS abgegeben und offengelegt werden müssen. Identifizierte Schwachpunkte der IT, die sich in erheblichen Fehldarstellungen in den Finanzberichten fortwirken können, werden dann auch erhebliche Relevanz bei der Frage nach einem effektiven Risk Management im Rahmen der Bewertung und Analyse nach Basel III haben - und damit wiederum bei der Frage des wirtschaftlichen Handlungsspielraumes des Unternehmens. Trotz dieser eindeutigen Rechts- und Handlungspflichten zeigt die Erfahrung in der Praxis, dass in den meisten Fällen die vorhandenen Kontrollen und Dokumentationen nicht ausreichend sind; dies schon meist deswegen, weil es bei mangelnder Homogenität der IT-Strukturen auch regelmäßig keine risikoadäquaten Richtlinien beim Einsatz der überdies nicht effizienten Technologien gibt. Fehlt es aber z. B. schon an der hinreichenden Berechtigungsvergabe und einheitlichen Abläufen, so können diese auch nicht ausreichend dokumentiert und kontrolliert werden. Eben hier zeigen sich schon die Schwachstellen, die zur Meidung von wirtschaftlichen Nachteilen und nicht zuletzt der persönlichen Haftung der Geschäftsleitung aber identifiziert und behoben werden müssen. Meldepflicht Mit dem Ersten Gesetz zum Abbau bürokratischer Hemmnisse insbesondere in der mittelständischen Wirtschaft (BGBl. 2006 I, Seite 1970 ff.) wurden auch die Vorschriften zur Meldepflicht entsprechend der neuen Regelungen zur Pflicht zur Bestellung des Beauftragten für den Datenschutz angepasst.
Inhaltlich richtet sich die Meldepflicht nach § 4 e BDSG. Die meldepflichtigen Angaben sind übrigens Bestandteil der internen Verarbeitungsübersicht nach § 4 g BDSG. Notfallkonzept Notfallkonzept – BSI 100-4,
Mit dem BSI-Standard 100-4 wurde die BSI 100er Reihe um ein Notfallmanagement ergänzt, welches eng zusammenspielt sowohl mit der Risikoanalyse aus BSI 100-3 zur Ermittlung der kritischen Prozesse als auch mit dem Prozedere nach IT-Grundschutz aus BSI 100-2. Es beinhaltet für sich systematische Verfahren, mit denen man Notfällen und Krisen im Zusammenhang mit einer ganzheitlichen Informationssicherheit effizient vorbeugen und schadensminimierende Reaktionen frühzeitig einsetzen kann. Es sollen derart die Ausfallsicherheit erhöht und alle betriebsrelevanten Geschäftsprozesse im Schadensfall kurzfristig reaktiviert werden können. Mit Umsetzung dieses Standards ist eine Zertifizierung gemäß dem internationalen Standard BS 25999-2 möglich, so dass mit diesem deutschen Standard für „Continuity Management" eine weitere Nivellierung an internationale Normen erfolgte. Inhaltich geht es zunächst einmal darum, dass das Unternehmen oder die Behörde die eigenen Geschäftsprozesse analysiert und versteht, um die damit verbundenen IT-Risiken zu identifizieren: Die einzelnen Geschäftsprozesse sind dabei zu kategorisieren in „kritisch" und „unkritisch" und mit entsprechenden Maßnahme-Prioritäten zu verbinden. Vorranging zu behandeln sind alle Geschäftsprozesse, die für den Fortbestand des Unternehmens unmittelbar erforderlich sind und im Ausfall schwerwiegende (auch haftungsrechtliche) Konsequenzen nach sich ziehen können.
Um bei einem Notfall eine „Krise" zu vermeiden, d. h. ein schadensstiftendes Ereignis, für das Leitlinien im vorgenannten Sinne nicht vorgesehen sind oder nicht effizient anschlagen, muss die Geschäfts- bzw. Behördenleitung für ein permanentes internes Kontrollsystem sorgen, welches insbesondere auf der Grundlage der BSI-Standards und den jeweiligen Geschäftsprozessen für eine gerichtsfeste IT-Compliance sorgt. Wir helfen Ihnen in organisatorischer wie in technischer Hinsicht bei der Umsetzung dieser komplexen Aufgaben. Outsourcing Datenschützer Ein externer Datenschutzbeauftragter bietet gegenüber der Bestellung eines innerbetrieblichen Datenschützers viele Vorteile:
Effektive und zuverlässige Umsetzung der Aufgaben des DSB Kalkulierbare Kosten durch Outsourcing-Vertrag Kostensenkung
PCI-Compliance PCI-Compliance
Wir helfen Ihnen, in diesem Sinne alle notwenigen Ressourcen zur PCI-DSS-Compliance einzusetzen und nachzuweisen. Riskmanagement Risk-Management, Backup, Storage, Information Lifecycle
Wir schaffen Ihnen die Zeit und den Raum, sich ausschließlich um ihre eigentlichen Aufgaben zu kümmern, wir kümmern uns um Ihre Daten. Mit Sicherheit. Standards Standardisierte Kontrollmodelle (BSI, ISO, CobiT) und daraus resultierende Rechtsvorteile
Egal, ob international tätiges Großunternehmen, öffentliche Verwaltung oder Mittelständler: Wir helfen Ihnen durch umfassende konzeptionelle Beratung und konkrete Projektorganisation, Ihren haftungsrechtlich erforderlichen Compliance-Standard zu identifizieren und bringen vor dem Hintergrund der individuellen Anwendungsbedürfnisse ihrer Kunden wirtschaftliche Lösungen zum Einsatz. Verfahrensverzeichnis Verpflichtung zum Führen eines Verfahrensverzeichnisses
Nicht entnehmen lässt sich der gesetzlichen Regelung, dass auch eine Liste der zugriffsberechtigten Personen zu führen ist, wenn weder eine Meldepflicht, noch eine Verpflichtung einen Datenschutzbeauftragten zu bestellen, besteht (vgl. § 4 g Abs. 2 Satz 1). Zertifizierter Datenschutz Ziel ist ein Gütesiegel für umfassende Umsetzung aller Datenschutz- und Informations-Sicherheits-Anforderungen in der jeweiligen Ablauforganisation des Unternehmens oder der Behörde. Die Zertifizierung kann während der Erarbeitung aller nötigen Prozesse durch uns unterstützt oder durch unabhängige Datenschutz-Auditoren abgenommen werden. Copyright © 2015 IfDIS Alle Rechte vorbehalten.

References: §11
 §80
 § 91
 § 4
 § 4
 § 4