Technisch und organisatorische Standardmaßnahmen zum Schutz personenbezogener Daten

der DREIST Werbeagentur OG, Achenweg 2, 5760 Saalfelden, im Folgenden kurz DREIST genannt.

Standardmaßnahmen

DREIST sieht zum Schutz personenbezogener Daten im Rahmen der folgenden Standardverarbeitungsvorgängen, welche

• nur im geringen Ausmaß personenbezogene Daten über Strafdaten und strafrechtliche Verurteilungen bzw. besondere Kategorien von personenbezogenen Daten beinhalten und

• auch sonst nur kein oder nur ein geringes Risiko aufweisen

• folgende technische und organisatorische Maßnahmen

  • zur Sicherstellung der Vertraulichkeit der Datenverarbeitung,
  • zur Sicherstellung der Integrität der Datenverarbeitung,
  • zur Sicherstellung der Verfügbarkeit der Datenverarbeitung,
  • zur Sicherstellung der Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung,
  • zur Sicherstellung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu den personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen und
• zur Sicherstellung der regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

in den nachfolgenden Bereichen vor:

1.0 Organisationskontrolle

• 1.4 Wird der BSI IT-Grundschutz umgesetzt?
  • Ja.
• 1.5 Schriftliche Regelungen über den Betrieb, die Abläufe, die Sicherheit der Datenverarbeitung
  • 1.5.1 IT-Sicherheitskonzeption
  • 1.5.2 IT-Sicherheitsrichtlinien
• 1.6 Mitbenutzung der DV-Anlagen durch Fremdfirmen
• 1.8 Urlaubs-/Krankheitsvertretung des DV-Verantwortlichen
• 1.12 Schriftliches Programmfreigabeverfahren
• 1.16 IT-Versicherungen

2.0 Zutrittskontrolle

• 2.1 Gebäudeart
  • 2.1.4 Büro- und Wohngebäude
• 2.3 Zutritt ausreichen abgesichert
  • 2.3.1 Türen, Türschlösser
  • 2.3.5 Fenster, Sichschutzfolie
• 2.4 Auf- und Abschließen der Räume bei Arbeitsbeginn bzw. -ende
  • 2.4.1 Schlüsselregelung
  • 2.4.3 Generalschlüsselanlage
• 2.10 geregelte Zutrittskontrolle bei Tele-/Heimarbeitern

3.0 Zugangskontrolle

• 3.1 Passwordverfahren
  • 3.1.1 Forderung einer unterschiedlichen Zeichenzusammensetzung
  • 3.1.2 Mindestlänge 8 Zeichen
  • 3.1.5 Bildschirmsperre bei Pausen mit Passwort-Aktivierung
  • 3.1.8 Verwendung Gruppen-Passwörter
  • 3.1.10 Aufbewahrung Administrator-Passwörter
  • 3.1.15 Bei Administratorzugang muss Passwort länger als 8 Zeichen sein
• 3.5 Zugang von außerhalb des Intranets
• 3.7 Welcher Internet-Provider wird genutzt? CableLink, bei Bereitschaftsdiensten erfolgt teilweise auch ein Zugriff über andere Verbindungen (z.B. Mobiltelefon)
  • 3.7.2 Internet-Provider (direkt)
• 3.10 Welcher Browser wird genutzt? Chrome, Safari

4.0 Zugriffskontrolle

• 4.7 Zugriffschutz durch Bildschirmschoner
  • 4.7.1 Automatische Sperre
  • 4.7.2 Sperre über Funktionstasten
  • 4.7.3 Ausschließlich passwortgestützte Aufhebung
• 4.10 Sonstige Netzwerksicherheit
  • 4.10.4 Die Kommunikation in drahtlosen Netzen erfolgt verschlüsselt
  • 4.10.5 Zugriffe aus externen Netzen über eigenen VLANs
  • 4.10.6 Mobile Endgeräte sind verschlüsselt
  • 4.10.12 Bei Internet-Anwendungen werden Anmeldedaten verschlüsselt übertragen

5.0 Weitergabekontrolle

• 5.2 Welche Versendungsarten (allgemein)
  • 5.2.2 E-Mail

6.0 Eingabekontrolle

7.0 Auftragskontrolle

• 7.1 Sorgfältige Auswahl der Auftragsnehmer durch wen?
  • DREIST
• 7.2 Kriterien zur Auswahl der Auftragnehmer festgelegt
  • 7.2.1 Referenzen
  • 7.2.2 Zertifizierung / Gütesiegel
• 7.4 Unternehmen ist selbst als Auftragnehmer tätig
• 7.8 Grundinformation nach Artikel 28
  • 7.8.1 Gegenstand und Dauer der Verarbeitung
  • 7.8.2 Art und Zweck der Verarbeitung
  • 7.8.3 Art der personenbezogenen Daten
  • 7.8.4 Kategorien betroffener Personen (z.B. Kunden)

8.0 Verfügbarkeitskontrolle

• 8.2 Rauchverbot in Server- und PC-Arbeiträumen
• 8.6 Datensicherungsverfahren
  • 8.6.3 Sicherungen zur Sicherstellung eines ordnungsgemäßen Betriebes
    • 8.6.3.3 Datensicherung
    • 8.6.3.9 Einzelrechner
• 8.9 Spamfilter
• 8.12 Notfallplan

9.0 Trennungskontrolle

• 9.5 Trennung der verarbeitenden Systeme
  • 9.5.1 Produktion
  • 9.5.4 Entwicklung
  • 9.5.5 Arbeitsplätze und Server
    • 9.5.5.3 Unterschiedliche Nutzerkonten