· 

Konkrete Anwendung von TOM - Teil 2

3. Zugriffsverwaltung

Zugriff nur auf Daten gewähren, die der Benutzer wirklich benötigt.

 

Grundlegende Maßnahmen

 

  • Definieren Sie die Berechtigungsprofile in den verwendeten Systemen, indem Sie die Aufgaben und den Verantwortungsbereich trennen, um den Zugriff der Nutzer nur auf die zur Erfüllung ihrer Aufgaben unbedingt erforderlichen Daten zu beschränken.
  • Entzug der Zugriffsrechte der Benutzer, sobald sie nicht mehr berechtigt sind, bestimmte Räume zu betreten oder auf eine IT-Ressource zuzugreifen sowie am Vertragsende.
  • Durchführung einer jährlichen Überprüfung der Zugriffsrechtem, um ungenutzte Konten zu identifizieren und zu entfernen und die Rechte und die Rolle jedes Benutzers neu festzulegen.

 

Was vermieden werden sollte

 

  • Erstellen oder Verwenden von gemeinsamen Konten für mehrere Benutzer.
  • Vergabe von Administratorrechten an Benutzer, die diese nicht benötigen.
  • Einem Benutzer mehr Privilegien als nötig zu gewähren.
  • Zu vergessen, einem Benutzer gewährte temporäre Berechtigungen (z.B. für einen Ersatz) zu entfernen.
  • Zu vergessen, Benutzerkonten von Personen zu löschen, die die Unternehmen verlassen oder ihre Arbeitsgebiete geändert haben.

 

 

Weitere Maßnahmen

 

Erstellen, Dokumentieren und regelmässige Überprüfung der Zugriffskontrollrichtlinien, die der Verarbeitung angemessen sind. Die Zugriffskontrollrichtlinie muss Folgendes beinhalten:

  • Verfahren, die bei der Einstellung und beim Ausscheiden oder bei einem Positionswechsel für eine Person automatisch anzuwenden sind, wenn diese Zugang zu persönlichen Daten haben;
  • vorgesehene Konsequenzen für Personen mit Zugriff auf Daten bei Nichteinhaltung der Sicherheitsmaßnahmen;
  • Maßnahmen zur Einschränkung und Kontrolle von Zugriffsrechten auf Verarbeitungstätigkeiten.

 

4. Zugangsprotokollierung und Verwaltung von Verstößen

Zugangsprotokollierung und Organisation des Vorgehens bei Datenschutzverletzungen, um im Falle eines Datenverstoßes (Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit) reagieren zu können.

 

Um unberechtigte Zugriffe auf oder die unberechtigte Verwendung personenbezogener Daten oder die Herkunft einer Verletzung feststellen zu können, ist es notwendig, bestimmte Aktionen in den IT-Systemen zu protokollieren. Dazu müssen Logging und Vorfallmanagementmaßnahmen implementiert werden. Es müssen relevante Ereignisse aufgezeichnet werden und es muss sichergestellt werden, dass diese Protokolle nicht verändert werden können. Diese Angaben dürfen nicht über einen längeren Zeitraum aufbewahrt werden.

 

 

Grundlegende Maßnahmen

 

  • Einrichten von Protokollen (d.h. Speichern von Ereignissen in "Log-Dateien") zur Aufzeichnung von Benutzeraktivitäten, Anomalien und sicherheitsrelevanten Ereignissen.
    • Diese Protokolle dürfen Ereignisse über einen Zeitraum von höchstens sechs Monaten speichern (außer im Falle einer rechtlichen Verpflichtung oder eines besonders erheblichen Risikos für die betroffenen Personen);
    • Die Zugriffe der Benutzer sollten mindestens mit ihrer Kennung, dem Datum und der Uhrzeit ihrer Verbindung protokolliert werden ebenso wie das Datum und die Uhrzeit der Verbindungstrennung;
    • In bestimmten Fällen kann es notwendig sein, auch Informationen über die vom Benutzer vorgenommenen Aktionen zu speichern, die Art der abgerufenen und/oder geänderten Daten und die Angabe der betreffenden Daten
  • Informieren Sie die Benutzer über die Installation diese Systems, nachdem Sie die Arbeitnehmervertreter informiert und konsultiert haben.
  • Schützen Sie die Logging-Geräte und die protokollierten Informationen vor unbefugtem Zugriff, insbesondere indem Sie sie für die Personen, deren Aktivitäten protokolliert werden, unzugänglich machen.
  • Richten Sie Verfahren zur Überwachung der Datennutzung ein und führen Sie regelmäßig eine Überprüfung der protokollierten Informationen durch, um mögliche Anomalien festzustellen.
  • Stellen Sie sicher, dass die für die Protokollierung Verantwortlichen den für die Datenverarbeitung Verantwortlichen so schnell wie möglich über jede Anomalie oder jedes Sicherheitsproblem informieren.
  • Benachrichtigen Sie die zuständige Datenschutzbehörde über jeden Verstoß gegen personenbezogene Daten und, sofern nicht anders von der DSGVO vorgesehen, auch die betroffenen Personen, damit diese die Folgen begrenzen können.

 

 

Was vermieden werden sollte

 

Die Verwendung von Informationen aus den Protokollen zu einem anderen Zweck als der Gewährleistung der ordnungsgemäßen Verwendung der verarbeiteten Informationen (Beispiel: die Verwendung der Protokolle zur Zählung der geleisteten Arbeitsstunden ist ein Missbrauch, der nach dem Gesetz strafbar ist).