IT- Sicherheit - Hochschule Hannover

Hochschul-IT
Verfahrensanweisung (VA)
6.06 UIT-SICH-V2 IT-Sicherheit
Diese VA gilt ab: 01.11.2010
1. Ziel und Zweck:
„Grundsätzliche Einrichtungen zur IT-Sicherheit“
2. Geltungsbereich:
Diese VA gilt für das gesamte Netzwerk der FH-Hannover, das von der Zentral-IT
verwaltet wird. Die IT-Sicherheit umfasst die Sicherheit der IT-Systeme und der darin
gespeicherten Informationen. Es umfasst eine Einrichtung und Aufrechterhaltung
geeigneter betrieblicher und technischer Maßnahmen.
3. Beschreibung:
Die Schutzziele der IT-Sicherheit beziehen sich auf unterschiedliche Arten von Daten
und Zustände, die abgesichert werden müssen.
Datenschutz:
 Schutz persönlicher Daten vor Missbrauch. Geschützt werden muss dabei die
Privatsphäre, d. h. Persönlichkeitsdaten bzw. Anonymität müssen gewahrt
bleiben (Geregelt im Bundesdatenschutzgesetz).
Informationssicherheit (auch Datensicherheit):
 bezieht sich auf alle relevanten Informationen einer Organisation oder eines
Unternehmens einschließlich personenbezogener Daten
Vertraulichkeit:
 Daten dürfen lediglich von autorisierten Benutzern gelesen bzw. modifiziert
werden, dies gilt sowohl beim Zugriff auf gespeicherte Daten wie auch
während der Datenübertragung.
Integrität:
 Daten dürfen nicht unbemerkt verändert werden, resp. es müssen alle
Änderungen nachvollziehbar sein.
Verfügbarkeit:
 Verhinderung von Systemausfällen; der Zugriff auf Daten muss innerhalb
eines vereinbarten Zeitrahmens gewährleistet werden.
Erstellt und inhaltlich geprüft:
Datum:
Name:
27.10.2010
Karl Parnow
Änderungsdatum:
6.06 UIT-SICH-V2-IT-Sicherheit
Freigabe:
Datum:
29.10.2010
Name:
Jaspersen
Seite 1 von 3
12.2009 / HB
Hochschul-IT
Verfahrensanweisung (VA)
6.06 UIT-SICH-V2 IT-Sicherheit
Diese VA gilt ab: 01.11.2010
Authentizität:
 die Echtheit und Glaubwürdigkeit einer Person oder eines Dienstes müssen
überprüfbar sein.
Nicht-Anfechtbarkeit:
 der Nachweis, dass eine Nachricht versendet und empfangen worden ist
(Authentizität/Nachweisbarkeit)
Zugriffssteuerung:
 Reglementierung des Zugriffes von außen und in einigen sicherheitskritischen
Bereichen auch von innen
Funktionalität:
 Hardware und Software sollen erwartungsgemäß funktionieren. Einhaltung der
betrieblichen Prozesse
Technische und organisatorische Maßnahmen:
Verabschiedung von Informationsschutz- und Sicherheitsrichtlinien
(Sicherheitskonzept)
Einrichtung geeigneter Sicherheitstechniken (Firewall, Zugriffschutz, Intrusion
Detection, Virenschutz, Software-Aktualisierungen …)
Vorsorgemaßnahmen zur möglichst reibungslosen Weiterführung bzw.
Wiederaufnahme der Produktion nach Störungen (Hochverfügbarkeit, Ersatzgeräte,
Backups)
Physische beziehungsweise räumliche Sicherung von Daten, Zugriffskontrollen, das
Aufstellen fehlertoleranter Systeme und Maßnahmen der Datensicherung und die
Verschlüsselung.
Häufige Sicherheitskopien auf separaten Speichermedien anfertigen
Protokolle oder Logdateien zur späteren Ermittlung von Schadensursachen
speichern.
Erstellt und inhaltlich geprüft:
Datum:
Name:
27.10.2010
Karl Parnow
Änderungsdatum:
6.06 UIT-SICH-V2-IT-Sicherheit
Freigabe:
Datum:
29.10.2010
Name:
Jaspersen
Seite 2 von 3
12.2009 / HB
Hochschul-IT
Verfahrensanweisung (VA)
6.06 UIT-SICH-V2 IT-Sicherheit
Diese VA gilt ab: 01.11.2010
Sensibilisierung und Befähigung der Mitarbeiter
Regelmäßige Überprüfung von Maßnahmen zur Risikominimierung und -dezimierung
4. Definitionen:
IT-Sicherheit - bezeichnet die Sicherheit von technischen und logischen Systemen
der Informations- und Kommunikationstechnologie.
Computersicherheit - die Sicherheit eines Computersystems vor Ausfall und
Manipulation sowie vor unerlaubtem Zugriff
Netzwerksicherheit - ein Teilaspekt der Computersicherheit – die Sicherheit vor
unerlaubtem Zugriff
Datensicherheit - Daten jeglicher Art in ausreichendem Maße vor Verlust,
Manipulationen, unberechtigter Kenntnisnahme durch Dritte und anderen
Bedrohungen schützen.
5. Mitgeltende Dokumente:
 IT-Grundschutz-Kataloge des Bundesamtes für Sicherheit in der
Informationstechnik (BSI).
 ISO/IEC 27001: Normenreihe für Informationsicherheitsmanagementsysteme
(ISMS)
 ISO/IEC 27002:2005: Leitfaden für das Informationssicherheitsmanagement
 ISO 13335: Normenreihe zum Sicherheitsmanagement in der Informationsund Kommunikationstechnik
Erstellt und inhaltlich geprüft:
Datum:
Name:
27.10.2010
Karl Parnow
Änderungsdatum:
6.06 UIT-SICH-V2-IT-Sicherheit
Freigabe:
Datum:
29.10.2010
Name:
Jaspersen
Seite 3 von 3
12.2009 / HB