umwelt-online: Fahrpersonalverordnung - FPersV (3)
| |
zurück | |
9 Informations- Sicherheit
9.1 Informations-Sicherheitsmanagement (ISMS)
[ r9.1]
Die D-CA/der D-CP und alle ggf. von ihr beauftragten Dienstleister etablieren ein geeignetes Informations-Sicherheitsmanagement-System (ISMS), durch das die informationstechnische Sicherheit aller für die Aufgaben der D-CA/des D-CP relevanten Tätigkeiten dauerhaft gewährleistet ist.
Die Vorgehensweisen sollen den Anforderungen von [ISO] 27.001:2006 sowie [GSHB] genügen.
[r9.2]
Die D-CA/der D-CP stellt sicher, dass für alle im Zusammenhang mit der D-CA/des D-CP relevanten IT-Systeme und Informationen eine Schutzbedarfsfeststellung nach [GSHB] durchgeführt wird.
[r9.3]
Für die Tätigkeit der D-CA/des D-CP ist ein Sicherheitskonzept zu erstellen. Dieses Konzept ist mit dem Betriebskonzept abzustimmen.
[r9.4]
Erstellung und Aktualisierung des Betriebskonzepts sind Bestandteil des Informations-Sicherheitsmanagements.
9.2 Besondere Anforderungen an das Sicherheitskonzept
Der folgende Abschnitt stellt innerhalb des Sicherheitskonzepts besonders zu beachtende Gesichtspunkte zusammen. Er ist nicht als abschließende Aufzählung von dessen Inhalten gedacht.
[ r9.5]
Die D-CA/der D-CP stellt sicher, dass nur zuverlässiges und ausreichend qualifiziertes Personal mit den erforderlichen Tätigkeiten betraut wird. Dies gilt auch für das Personal bei externen Auftragnehmern.
[r9.6]
Die für die Tätigkeit der D-CA/des D-CP und ggf. externer Dienstleister eingesetzten IT-Systeme müssen so betrieben werden, dass mögliche Schädigungen durch Viren und andere schadhafte Codes weitestgehend verhindert sowie die möglichen Folgen von Schäden und Störungen minimiert werden.
Die Systeme müssen über wirksame Zugangskontrollen verfügen und insbesondere die in dieser Policy und den zugehörigen Sicherheits- und Betriebskonzepten beschriebenen Rollenkonzepte wirksam implementieren.
[ r9.7]
Die Initialisierung von Systemen, die den privaten Signaturschlüssel der D-Ca oder die geheimen symmetrischen Schlüssel KmVU, KmWC oder Km enthalten, darf nur in Kooperation von zwei Personen erfolgen, welches durch organisatorische Maßnahmen sichergestellt wird.
[r9.8]
Die D-CA/der D-CP soll für ihre/seine Aufgaben vertrauenswürdige Systeme und Software einsetzen, die durch geeignete Maßnahmen wirksam gegen unautorisierte Veränderungen geschützt sind.
Sofern speziell entwickelte Soft- oder Hardware eingesetzt wird, müssen die relevanten Sicherheitsvorgaben bereits im Entwicklungsprozess nachvollziehbar berücksichtigt werden.
Bei allen Veränderungen der eingesetzten Soft- und Hardware müssen dokumentierte Kontrollmechanismen umgesetzt werden.
[r9.9]
Die innerhalb der D-CA/des D-CP eingesetzten Netzwerke und die dort gespeicherten und verarbeiteten Daten sind durch besondere Schutzmechanismen (wie z.B. Firewalls) gegen externe Zugriffe zu schützen.
[r9.10]
Alle sicherheitsrelevanten Aktionen und Prozesse auf den für die Tätigkeit der D-CA/des D-CP relevanten IT-Systemen sind so zu protokollieren, dass sich der zugehörige Zeitpunkt und die entsprechenden Personen mit hinreichender Sicherheit nachvollziehen lassen. Dazu gehören zumindest:
[ r9.11]
Die Protokolle sind gegen Veränderung und unberechtigten Zugriff zu schützen. Sie sollen regelmäßig und anlassbezogen ausgewertet und analysiert werden.
[ r9.12]
Die Protokolldaten sollen für mindestens 7 Jahre so aufgehoben werden, dass eine Auswertung während dieser Zeitspanne jederzeit möglich ist.
[ r9.13]
Die D-CA/der D-CP erstellt einen Notfallplan, in dem das Verhalten bei schwerwiegenden Notfällen wie einer Schlüsselkompromittierung oder beim Verlust oder Ausfall von relevanten Daten und/oder IT-Systemen festgelegt ist.
[r9.14]
Die D-CA/der D-CP gewährleistet einen ausreichenden infrastrukturellen und physischen Schutz ihrer/ seiner Daten und IT-Systeme. Dieser umfasst insbesondere einen ausreichenden Zutrittsschutz für sicherheitsrelevante Bereiche.
Bereiche, in denen private und geheime Schlüssel erzeugt, aufbewahrt und verarbeitet werden, müssen durch besondere Maßnahmen geschützt werden.
9.3 Rollentrennung
[ r9.15]
Durch die Einrichtung von Rollenkonzepten soll verhindert werden, dass einzelne Personen Sicherheitsvorkehrungen der D-CA/des D-CP umgehen. Hierzu werden den einzelnen Rollen jeweils beschränkte Rechte und Pflichten zugewiesen. Die genaue Ausgestaltung hängt von den konkreten Abläufen bei der D-CA/dem D-CP ab und bleibt dem Betriebskonzept der D-CA/des D-CP vorbehalten.
Folgende Rollen sind in der D-Ca aber mindestens vorzusehen:
Keine Person der vorstehenden Rollen darf gleichzeitig mehr als eine dieser Rollen wahrnehmen.
Jede dieser Rollen ist mit mindestens einer Person zu besetzen; mindestens ein Vertreter ist zu benennen.
Folgende Rollen sind beim D-CP aber mindestens vorzusehen:
Keine Person darf gleichzeitig mehr als eine dieser Rollen wahrnehmen.
Jede dieser Rollen ist mit mindestens einer Person zu besetzen; mindestens ein Vertreter ist zu benennen.
Die Inhaber dieser Rollen sind von den IT-Systemen der D-CA/des D-CP zuverlässig zu authentifizieren.
[r9.16]
Die CA-R/CP-R-Rolle umfasst:
(Stand: 29.08.2018)
Alle vollständigen Texte in der aktuellen Fassung im Jahresabonnement
Nutzungsgebühr: 90.- € netto (Grundlizenz)
(derzeit ca. 7200 Titel s.Übersicht - keine Unterteilung in Fachbereiche)
Die Zugangskennung wird kurzfristig übermittelt
? Fragen ?
Abonnentenzugang/Volltextversion