Anmerkungen zum Zusammenspiel mit dem Grundschutzhandbuch des BSI

• Datenschutzkapitel im IT-Grundschutzhandbuch des BSI
• Regelungsbereiche
• Tabelle zum Maßnahmenkatalog Infrastruktur
• Tabelle zum Maßnahmenkatalog Organisation
• Tabelle zum Maßnahmenkatalog Personal
• Tabelle zum Maßnahmenkatalog Hardware/Software
• Tabelle zum Maßnahmenkatalog Kommunikation
• Tabelle zum Maßnahmenkatalog Notfallvorsorge

zurück nach oben springen

 

Artikel/Seite in der Druckansicht öffnen

 

Artikel/Seite per eMail versenden

   

Datenschutzkapitel im IT-Grundschutzhandbuch des BSI

Durch die Novellierung des Hessischen Datenschutzgesetzes (HDSG) vom 9.11.98 treffen einige Formulierungen des Kapitels "Datenschutz" im Grundschutzhandbuches für den Geltungsbereich des HDSG nicht mehr uneingeschränkt zu.

Beispielsweise wurden bei den technisch organisatorischen Datensicherungsmaßnahmen die Kontrollziele neu formuliert, das Dateienregister wurde durch ein von der datenverarbeitenden Stelle zuführendes Verfahrensregister abgelöst und es wurden Regelungen zu gemeinsamen Verfahren mehrerer Stellen getroffen.

Die so genannten 10er Maßnahmen (§10 Abs. 3 HDSG von 1986), in denen die zu ergreifenden Datensicherungsmaßnahmen beschrieben waren, wurden teilweise zusammengefasst und ergänzt. Die Zusammenhänge zwischen den alten und den neuen Maßnahmen sind im Wesentlichen wie folgt zu beschreiben.

zurück nach oben springen

 

Artikel/Seite in der Druckansicht öffnen

 

Artikel/Seite per eMail versenden

   

Rahmenbedingungen 

Bei der Formulierung der Kontrollziele hatte sich der Gesetzgeber zum Ziel gesetzt, verschiedene Gesichtspunkte zu berücksichtigen.

• Die Formulierungen sollten technikunabhängig sein.
  Die Anforderungen beziehen sich daher in der Regel auf Daten. An einigen Stellen werden zu Datenverarbeitungsanlagen und Datenverarbeitungsverfahren Forderungen aufgestellt, was sich aber durch den Regelungsgegenstand erklärt.
• Es sollten konkrete Maßnahmen abgeleitet werden können.
  Es wurde auf den Bezug zu den Grundbedrohungen der IT, wie sie im Sicherheitshandbuch des BSI genannt werden (Verlust der Vertraulichkeit, Integrität, Verfügbarkeit), verzichtet. Stattdessen wurden Ziele beschrieben, aus denen Maßnahmen abgeleitet werden können.
• Die Anforderungen sollen sich mit der Technik fortentwickeln.
  Neben der oben bereits genannten Technikunabhängigkeit wird dies durch die Vorgabe erreicht, die Maßnahmen dem Stand der Technik anzupassen.
• Die Maßnahmen müssen sich nach der Schutzwürdigkeit der Daten und dem Aufwand richten.

Im § 10 Absatz 1 werden Maßnahmen als erforderlich bezeichnet, soweit der damit verbundene Aufwand unter Berücksichtigung der Art der personenbezogenen Daten und ihrer Verarbeitung zum Schutz des in § 1Abs. 1 Nr. 1 genannten Rechts angemessen ist.

zurück nach oben springen

 

Artikel/Seite in der Druckansicht öffnen

 

Artikel/Seite per eMail versenden

   

Regelungsbereiche

Die gewählten Kontrollziele sollten sich ergänzen. Sie mussten die notwendigen räumlichen, organisatorischen, personellen und technischen Maßnahmen fordern. Die Regelungsbereiche waren daher

• Zutrittskontrolle
  Mit der Zutrittskontrolle sind die immer noch wichtigen räumlichen Sicherheitsmaßnahmen gefordert. Auch wenn es im Fall von PC-Arbeitsplätzen nicht immer möglich und angemessen ist restriktive Sicherheitsmaßnahmen zu ergreifen, sind im Fall von Rechenzentren oder bei Servern die Forderungen unverzichtbar.
• Benutzerkontrolle
  Es ist zwingend erforderlich, unbefugte Personen an der Nutzung von IT-Systemen oder Verfahren zu hindern. Diese Funktion, in der Literaturzur IT-Sicherheit oft als Identifikation und Authentisierung beschrieben, hat eine Schlüsselfunktion. Auf sie bauen die Zugriffskontrolle, in Teilen die Datenverarbeitungskontrolle und die Verantwortlichkeitskontrolle auf.
• Zugriffskontrolle
  Die Zugriffskontrolle fordert, dass berechtigte Benutzer eines Verfahrens nur in dem Rahmen auf Daten zugreifen dürfen, wie es(rechtlich) zulässig ist. Im Allgemeinen kann ein Benutzer zwarzulässigerweise ein Verfahren benutzen, hat dadurch aber noch keineum fassenden Zugriffsrechte.
• Datenverarbeitungskontrolle
  Die Datenverarbeitungskontrolle ist eine Art "Auffangregelung". Sie fordert, dass Daten nur im zulässigen Umfang und durch befugte Personen verarbeitet werden dürfen, wobei die Verarbeitung durch die Definition weit gefasst ist. An dieser Stelle ist es wichtig, dass kein Bezug darauf genommen wird, wo sich die Daten befinden. Die Maßnahmen gelten also beispielsweise für Daten während der Übertragung oder wenn sie auf einem Datenträger gespeichert sind. Insbesondere ist dadurch der Fall abgedeckt, dass ein Benutzer zulässigerweise in einem Netzwerk Daten verarbeitet, also die Benutzerkontrolle durchlaufen hat, und trotzdem nicht mit Betriebssystemkommandos oder Utilities beliebige Dateien anwendungsunabhängig verarbeiten darf.
• Verantwortlichkeitskontrolle
  Die Verantwortlichkeitskontrolle baut auf Protokollen und Dokumentationen auf. Sie dient dazu, die tatsächlichen Abläufe abzubilden. Sie ist eng verzahnt mit der Dokumentationskontrolle.
• Dokumentationskontrolle
  Die Dokumentationskontrolle hat zum Ziel, die Voraussetzungen für eine Kontrolle der Datenverarbeitung zu schaffen.
• Auftragskontrolle
  Die Auftragskontrolle schlägt den Bogen zu § 4, der die Datenverarbeitung im Auftrag regelt.
• Organisationskontrolle
  Die Organisationskontrolle fordert, sich nicht auf technische oder räumliche Sicherungsmaßnahmen zu beschränken, sondern auch den organisatorischen (und personellen) Maßnahmen Aufmerksamkeit zu schenken.

zurück nach oben springen

 

Artikel/Seite in der Druckansicht öffnen

 

Artikel/Seite per eMail versenden

   

Tabelle zum Maßnahmenkatalog Infrastruktur

Maßnahme des IT-GSHB M 1 Maßnahmenkatalog Infrastruktur	Zu- tritt	Da- ten- ver- ar- bei- tung	Be- nut- zer	Zu- griff	Ver- ant- wort- lich- keit	Auf- trag	Do- ku- men- ta- tion	Or- ga- ni- sa- ti- on
M 1.2 Regelungen für Zutritt zu Verteilern	X							X
M 1.12 , 1.13 Anordnung und Vermeidung von Lagehinweisen auf schützenswerte Gebäudeteile	X	X						X
M 1.15 , 1.23 Geschlossene Fenster und Türen	X							X
M 1.16 , 1.29, 1.32, 1.37, 1.38, 1.42, 1.43 Geeignete Aufstellung von IT-Systemen, Novell-Servern, ISDN-Routern, Konsolen, Druckern, Fax-Geräten, Modems usw.	X	X	X	X			X	X
M 1.17 Pförtnerdienst	X
M 1.18 , 1.19 Gefahrenmeldeanlage und Einbruchschutz		X
M 1.22 Materielle Sicherung von Leitungen und Verteilern	X	X
M 1.27 , 1.28 Klimatisierung, lokale USV		X
M 1.30 Absicherung der Datenträger mit TK-Gebührendaten		X
M 1.33 , 1.34, 1.35 Geeignete Aufbewahrung tragbarer PCs bei mobilem Einsatz oder stationär		X	X	X
M 1.36 Sichere Aufbewahrung der Datenträger vor und nach Versand		X
M 1.41 Schutz gegen elektromagnetische Einstrahlung		X
M 1.44 Geeignete Einrichtung eines häuslichen Arbeitsplatzes	X	X	X	X	X
M 1.45 Geeignete Aufbewahrung dienstlicher Unterlagen und Datenträger		X

Tabelle zum Maßnahmenkatalog Organisation

Maßnahme des IT-GSHB M 2 Maßnahmenkatalog Organisation	Zu- tritt	Da- ten- ver- ar- bei- tung	Be- nut- zer	Zu- griff	Ver- ant- wort- lich- keit	Auf- trag	Do- ku- men- ta- tion	Or- ga- ni- sa- ti- on
M 2.1 , M 2.26 Festlegung von Verantwortlich- keiten und Regelungen für den IT-Einsatz, Ernennung eines Administrators und eines Vertreters								X
M 2.3 , M 2.43, M 2.44, M 2.45 Datenträgerverwaltung		X				X	X	X
M 2.4 , M 2.16 Regelungen für Wartungs- und Reparaturarbeiten; Beaufsichtigung oder Begleitung von Fremdpersonen	X	X				X		X
M 2.5 Aufgabenverteilung und Funktionstrennung		X	X	X	X			X
M 2.6 , M 2.14, M 2.17, M 2.18 Vergabe von Zutrittsberechtigungen und deren Kontrolle; entsprechende Schlüsselvergabe und Schlüsselverwaltung	X	X						X
M 2.7 Vergabe von Zugangsberechtigungen	X
M 2.8 , M 2.63 Vergabe und Einrichtung von Zugriffsrechten				X
M 2.9 Nutzungsverbot nicht freigegebener Software								X
M 2.10 Überprüfung des Software-Bestandes								X
M 2.11 , M 2.22 Regelung des Paßwortgebrauchs		X	X	X	X
M 2.12 Betreuung und Beratung von IT-Benutzern								X
M 2.13 Ordnungsgemäße Entsorgung von schützenswerten Betriebsmitteln		X				X		X
M 2.18 Kontrollgänge								X
M 2.19 Neutrale Dokumentation in den Verteilern		X	X
M 2.20 Kontrolle bestehender Verbindungen		X	X
M 2.23 , M 2.24 Herausgabe einer PC-Richtlinie, Einführung eines PC-Checkheftes	X	X	X	X	X	X		X
M 2.25 , M 2.34 Dokumentation der Systemkonfiguration und der Veränderungen							X	X
M 2.27 Verzicht auf Fernwartung der TK-Anlage		X	X	X		X		X
M 2.29 Bedienungsanleitung der TK-Anlage für die Benutzer		X					X	X
M 2.30 Regelung für die Einrichtung von Benutzern / Benutzergruppen		X	X	X				X
M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile		X	X	X				X
M 2.32 Einrichtung einer eingeschränkten Benutzerumgebung		X	X	X				X
M 2.33 , M 2.38 Aufteilung der Administrationstätigkeiten		X	X	X	X			X
M 2.35 Informationsbeschaffung über Sicherheitslücken des Systems								X
M 2.36 Geregelte Übergabe und Rücknahme eines tragbaren PC		X	X					X
M 2.39 Reaktion auf Verletzungen der Sicherheitspolitik								X
M 2.41 Verpflichtung der Mitarbeiter zur Datensicherung								X
M 2.42 Festlegung der möglichen Kommunikationspartner		X			X			X
M 2.46 Angepaßtes Schlüsselmanagement bei Verschlüsselung		X				X		X
M 2.47 , M 2.48, M 2.50, M 2.53 Maßnahmen zur sicheren Nutzung von Fax-Geräten		X	X	X	X	X		X
M 2.54 , M 2.55 , M 2.56, M 2.57 Maßnahmen zur sicheren Nutzung von Anrufbeantwortern		X	X	X	X			X
M 2.60 , M 2.61 Regelungen zum sicheren Einsatz von Modems		X	X	X	X			X
M 2.62 Software-Abnahme- und Freigabe-Verfahren								X
M 2.64 Kontrolle der Protokolldateien		X			X	X		X
M 2.65 Kontrolle der Wirksamkeit der Benutzer-Trennung am PC			X	X				X
M 2.67 Festlegung einer Sicherheitsstrategie für das Peer-to-Peer-Netz								X
M 2.68 Durchführung von Sicherheitskontrollen durch die Benutzer im Peer-to-Peer-Netz								X
M 2.69 Einrichtung von Standardarbeitsplätzen								X
M 2.70 Entwicklung eines Firewall-Konzeptes								X
M 2.71 Festlegung einer Sicherheitspolitik für eine Firewall								X
M 2.72 Anforderungen an eine Firewall								X
M 2.73 Auswahl eines geeigneten Firewall-Typs								X
M 2.74 Geeignete Auswahl eines Packet-Filters								X
M 2.75 Geeignete Auswahl eines Application-Gateway								X
M 2.76 Auswahl und Implementation geeigneter Filterregeln								X
M 2.77 Sichere Anordnung weiterer Komponenten								X
M 2.78 Sicherer Betrieb einer Firewall		X	X	X	X			X
M 2.79 bis M 2.90 Regelungen zum Einsatz von Standardsoftware: Verantwortlichkeiten, Anforderungskatalog, Vorauswahl, Testplan, Test, Erstellen Installationsanweisung, Freigabe, Sicherstellung der Integrität, Installation und Konfiguration, Lizenzverwaltung und Versionskontrolle, Deinstallation, Überprüfung der Lieferung								X
M 2.91 Festlegung einer Sicherheitsstrategie für das Windows NT Client-Server-Netz								X
M 2.92 Durchführung von Sicherheitskontrollen im Windows NT Client-Server-Netz		X	X	X				X
M 2.93 Planung des Windows NT Netzes								X
M 2.94 Freigabe von Verzeichnissen unter Windows NT		X		X
M 2.95 , M 2.96, M 2.97 Beschaffung geeigneter Schutzschränke und deren korrekte Nutzung	X	X						X
M 2.98 Sichere Installation von Novell Netware Servern			X	X
M 2.99 Sichere Einrichtung von Novell Netware Servern			X	X
M 2.100 Sicherer Betrieb von Novell Netware Servern			X	X
M 2.101 Revision von Novell Netware Servern								X
M 2.102 Verzicht auf die Aktivierung der Remote Console			X	X
M 2.103 Einrichten von Benutzerprofilen unter Windows 95			X	X				X
M 2.104 Systemrichtlinien zur Einschränkung der Nutzungsmöglichkeiten von Windows 95				X
M 2.105 Beschaffung von TK-Anlagen								X
M 2.107 Dokumentation der ISDN-Karten-Konfiguration							X
M 2.108 Verzicht auf Fernwartung der ISDN-Netzkoppelelemente			X	X				X
M 2.109 Rechtevergabe für den Fernzugriff				X
M 2.110 Datenschutzaspekte bei der Protokollierung		X	X	X				X
M 2.111 Bereithalten von Handbüchern								X
M 2.112 Regelung des Akten- und Datenträgertransports zwischen häuslichem Arbeitsplatz und Institution		X						X
M 2.113 Regelungen für Telearbeit								X
M 2.114 Informationsfluß zwischen Telearbeiter und Institution								X
M 2.115 Betreuungs- und Wartungskonzept für Telearbeitsplätze							X	X
M 2.116 Geregelte Nutzung der Kommunikations- möglichkeiten			X	X			X	X
M 2.117 Regelung der Zugriffsmöglichkeiten des Telearbeiters				X
M 2.118, M 2.119, M 2.122, M 2.123 Maßnahmen zur Nutzung von E-Mail: Festlegung einer Sicherheitspolitik, Regelungen, einheitliche Adressen, Auswahl eines Providers								X
M 2.121 Regelmäßiges Löschen von E-Mails		X		X				X
M 2.124 Geeignete Auswahl einer Datenbank-Software								X
M 2.125 Installation und Konfiguration einer Datenbank				X
M 2.126 Erstellung eines Datenbanksicherheits- konzeptes								X
M 2.128 Zugangskontrolle einer Datenbank			X
M 2.129 Zugriffskontrolle einer Datenbank				X
M 2.130 Gewährleistung der Datenbankintegrität		X
M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen				X				X
M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/ -benutzergruppen		X	X	X				X
M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems								X
M 2.134 Richtlinien für Datenbank-Anfragen								X
M 2.136 Einhaltung von Regelungen bzgl. Arbeitsplatz und Arbeitsumgebung								X
M 2.137 Beschaffung eines geeigneten Datensicherungssystems								X
M 2.139 Ist-Aufnahme der aktuellen Netzsituation								X
M 2.140 Analyse der aktuellen Netzsituation								X
M 2.141 Entwicklung eines Netzkonzeptes								X
M 2.142 Entwicklung eines Netz-Realisierungsplans								X
M 2.143 Entwicklung eines Netzmanagementkonzeptes								X
M 2.144 Geeignete Auswahl eines Netzmanagement-Protokolls								X
M 2.145 Anforderungen an ein Netzmanagement-Tool								X
M 2.146 Sicherer Betrieb eines Netzmanagementsystems								X
M 2.147 Sichere Migration von Novell Netware 3.x Servern in Novell Netware 4.x Netze								X
M 2.148 Sichere Einrichtung von Novell Netware 4.x Netzen		X	X	X				X
M 2.149 Sicherer Betrieb von Novell Netware 4.x Netzen		X	X	X				X
M 2.150 Revision von Novell Netware 4.x Netzen								X
M 2.151 Entwurf eines NDS-Konzeptes								X
M 2.153 Dokumentation von Novell Netware 4.x Netzen							X
M 2.2000 Jahr-2000-Fähigkeit von Produkten, Programmen und Daten								X

Tabelle zum Maßnahmenkatalog Personal

Maßnahme des IT-GSHB M 3 Maßnahmenkatalog Personal	Zu- tritt	Daten- ver- ar- beit- ung	Be- nut- zer	Zu- griff	Ver- ant- wort- lich- keit	Auf- trag	Do- ku- men- ta- tion	Or- ga- ni- sa- ti- on
M 3.1 Geregelte Einarbeitung/Einweisung neuer Mitarbeiter								X
M 3.2 Verpflichtung der Mitarbeiter auf Einhaltung einschlägiger Gesetze, Vorschriften und Regelungen								X
M 3.3 Vertretungsregelungen								X
M 3.4 Schulung vor Programmnutzung								X
M 3.5 Schulung zu IT-Sicherheitsmaßnahmen								X
M 3.6 Geregelte Verfahrensweise beim Ausscheiden von Mitarbeitern								X
M 3.7 Anlaufstelle bei persönlichen Problemen								X
M 3.8 Vermeidung von Störungen des Betriebsklimas								X
M 3.9 Ergonomischer Arbeitsplatz								X
M 3.10 Auswahl eines vertrauenswürdigen Administrators und Vertreters								X
M 3.11 Schulung des Wartungs- und Administrationspersonals								X
M 3.12 Information aller Mitarbeiter über mögliche TK-Warnanzeigen, symbole und -töne								X
M 3.13 Sensibilisierung der Mitarbeiter für mögliche TK-Gefährdungen								X
M 3.14 Einweisung des Personals in den geregelten Ablauf eines Datenträgeraustausches		X						X
M 3.15 Informationen für alle Mitarbeiter über die Nutzung eines Fax-Gerätes								X
M 3.16 Einweisung in die Bedienung des Anrufbeantworters								X
M 3.17 Einweisung des Personals in die Modem-Benutzung								X
M 3.18 Verpflichtung der PC-Benutzer zum Abmelden nach Aufgabenerfüllung		X	X	X	X			X
M 3.19 Einweisung in den richtigen Einsatz der Sicherheitsfunktionen im Peer-to-Peer-Netz								X
M 3.21 Sicherheitstechnische Einweisung und Fortbildung des Telearbeiters								X
M 3.22 Vertretungsregelung für Telearbeit								X

Tabelle zum Maßnahmenkatalog Hardware/Software

Maßnahme des IT-GSHB M 4 Maßnahmenkatalog Hardware und Software	Zu- tritt	Da- ten- ver- ar- bei- tung	Be- nut- zer	Zu- griff	Ver- ant- wort- lich- keit	Auf- trag	Do- ku- men- ta- tion	Or- ga- ni- sa- ti- on
M 4.1 Paßwortschutz für PC und Server		X	X	X	X			X
M 4.2 Bildschirmsperre		X	X	X	X			X
M 4.3 Regelmäßiger Einsatz eines Viren-Suchprogramms								X
M 4.4 Verschluß der Diskettenlaufwerkschächte		X	X	X				X
M 4.5 Protokollierung der TK-Administrationsarbeiten		X	X	X	X			X
M 4.6 Revision der TK-Anlagenkonfiguration (Soll-Ist-Abgleich)								X
M 4.7 Änderung voreingestellter Paßwörter		X	X	X	X			X
M 4.8 Schutz des TK-Bedienplatzes		X	X	X	X			X
M 4.9 Einsatz der Sicherheitsmechanismen von X-Windows		X	X	X	X			X
M 4.10 Paßwortschutz für TK-Endgeräte			X	X				X
M 4.11 Absicherung der TK-Anlagen-Schnittstellen			X	X				X
M 4.12 Sperren nicht benötigter Leistungsmerkmale			X	X				X
M 4.13 Sorgfältige Vergabe von IDs		X	X	X	X			X
M 4.14 Obligatorischer Paßwortschutz unter Unix		X	X	X	X			X
M 4.15 Gesichertes Login		X	X	X	X			X
M 4.16 Zugangsbeschränkungen für Accounts und / oder Terminals		X	X	X	X			X
M 4.17 Sperren und Löschen nicht benötigter Accounts und Terminals		X	X	X	X			X
M 4.18 Administrative und technische Absicherung des Zugangs zum Monitor- und Single-User-Modus		X	X	X	X			X
M 4.19 Restriktive Attributvergabe bei Unix-Systemdateien und -verzeichnissen		X	X	X	X			X
M 4.20 Restriktive Attributvergabe bei Unix-Benutzerdateien und -verzeichnissen		X	X	X	X			X
M 4.21 Verhinderung des unautorisierten Erlangens von Administratorrechten		X	X	X	X			X
M 4.22 Verhinderung des Vertraulichkeitsverlusts schutzbedürftiger Daten im Unix-System		X	X	X	X			X
M 4.23 Sicherer Aufruf ausführbarer Dateien		X	X	X	X			X
M 4.24 Sicherstellung einer konsistenten Systemverwaltung		X	X	X	X			X
M 4.25 Einsatz der Protokollierung im Unix-System		X	X	X	X			X
M 4.27 Paßwortschutz am tragbaren PC		X	X	X	X			X
M 4.28 Software-Reinstallation bei Benutzerwechsel eines tragbaren PC								X
M 4.29 Einsatz eines Verschlüsselungsproduktes für tragbare PCs		X	X	X				X
M 4.30 Nutzung der in Anwendungsprogrammen angebotenen Sicherheitsfunktionen		X	X	X	X			X
M 4.32 Physikalisches Löschen der Datenträger vor und nach Verwendung		X		X				X
M 4.33 Einsatz eines Viren-Suchprogramms vor und nach einer Datenübertragung								X
M 4.34 Einsatz von Verschlüsselung, Checksummen oder Digitalen Signaturen								X
M 4.35 Verifizieren der zu übertragenden Daten vor Versand		X			X			X
M 4.36 Sperren bestimmter Fax-Empfängerrufnummern			X		X			X
M 4.37 Sperren bestimmter Fax-Absenderrufnummern			X		X			X
M 4.38 Abschalten nicht benötigter Leistungsmerkmale		X	X	X				X
M 4.41 Einsatz eines angemessenen PC-Sicherheitsproduktes		X	X	X	X			X
M 4.42 Implementierung von Sicherheitsfunktionalitäten in der IT Anwendung		X						X
M 4.43 Fax-Gerät mit automatischer Eingangskuvertierung		X						X
M 4.44 Prüfung eingehender Dateien auf Makro-Viren								X
M 4.45 Einrichtung einer sicheren Peer-to-Peer-Umgebung								X
M 4.46 Nutzung des Anmeldepaßwortes unter WfW und Windows 95		X	X	X	X			X
M 4.47 Protokollierung der Firewall-Aktivitäten			X	X	X			X
M 4.48 Paßwortschutz unter Windows NT		X	X	X
M 4.49 Absicherung des Boot-Vorgangs für ein Windows NT System		X	X
M 4.50 Strukturierte Systemverwaltung unter Windows NT								X
M 4.51 Benutzerprofile zur Einschränkung der Nutzungsmöglichkeiten von Windows NT		X		X
M 4.52 Geräteschutz unter Windows NT			X
M 4.53 Restriktive Vergabe von Zugriffsrechten auf Dateien und Verzeichnisse unter Windows NT		X		X
M 4.54 Protokollierung unter Windows NT		X	X	X	X
M 4.55 Sichere Installation von Windows NT		X
M 4.56 Sicheres Löschen unter Windows NT und Windows 95		X		X
M 4.58 Freigabe von Verzeichnissen unter Windows 95		X		X
M 4.59 Deaktivieren nicht benötigter ISDN-Karten-Funktionalitäten		X		X
M 4.60 Deaktivieren nicht benötigter ISDN-Router-Funktionalitäten		X		X
M 4.61 Nutzung vorhandener Sicherheitsmechanismen der ISDN-Komponenten		X
M 4.63 Sicherheitstechnische Anforderungen an den Telearbeitsrechner		X	X	X
M 4.64 Verifizieren der zu übertragenden Daten vor Weitergabe / Beseitigung von Restinformationen		X		X
M 4.65 Test neuer Hard- und Software		X
M 4.67 Sperren und Löschen nicht benötigter Datenbank-Accounts			X	X
M 4.68 Sicherstellung einer konsistenten Datenbankverwaltung								X
M 4.69 Regelmäßiger Sicherheitscheck der Datenbank								X
M 4.70 Durchführung einer Datenbanküberwachung								X
M 4.71 Restriktive Handhabung von Datenbank-Links				X				X
M 4.72 Datenbank-Verschlüsselung		X		X
M 4.75 Schutz der Registrierung unter Windows NT		X	X	X
M 4.76 Sichere Systemversion von Windows NT		X	X	X
M 4.77 Schutz der Administratorkonten unter Windows NT		X	X	X				X
M 4.78 Sorgfältige Durchführung von Konfigurationsänderungen		X
M 4.79 Sichere Zugriffsmechanismen bei lokaler Administration		X	X	X
M 4.80 Sichere Zugriffsmechanismen bei Fernadministration		X	X	X
M 4.81 Audit und Protokollierung der Aktivitäten im Netz		X
M 4.82 Sichere Konfiguration der aktiven Netzkomponenten		X
M 4.83 Update/Upgrade von Soft- und Hardware im Netzbereich		X

Tabelle zum Maßnahmenkatalog Kommunikation

Maßnahme des IT-GSHB M 5 Maßnahmenkatalog Kommunikation	Zu- tritt	Da- ten- ver- ar- bei- tung	Be- nutzer	Zu- griff	Ver- ant- wort- lich- keit	Auf- trag	Do- ku- men- ta- tion	Or- ga- ni- sa- ti- on
M 5.2 Auswahl einer geeigneten Netz-Topographie		X		X
M 5.4 Dokumentation und Kennzeichnung der Verkabelung							X
M 5.6 Obligatorischer Einsatz eines Netzpaßwortes		X	X	X	X			X
M 5.7 Netzverwaltung		X	X	X	X			X
M 5.8 Monatlicher Sicherheitscheck des Netzes		X	X	X	X			X
M 5.9 Protokollierung am Server		X	X	X	X			X
M 5.10 Restriktive Rechtevergabe		X	X	X	X			X
M 5.11 Server-Konsole sperren		X	X	X	X			X
M 5.12 Einrichtung eines zusätzlichen Netzadministrators		X	X	X	X			X
M 5.13 Geeigneter Einsatz von Elementen zur Netzkopplung					X			X
M 5.14 Absicherung interner Remote-Zugänge					X			X
M 5.15 Absicherung externer Remote-Zugänge					X			X
M 5.16 Übersicht über Netzdienste					X			X
M 5.17 Einsatz der Sicherheitsmechanismen von NFS					X			X
M 5.18 Einsatz der Sicherheitsmechanismen von NIS					X			X
M 5.19 Einsatz der Sicherheitsmechanismen von sendmail					X			X
M 5.20 Einsatz der Sicherheitsmechanismen von rlogin, rsh und rcp					X			X
M 5.21 Sicherer Einsatz von telnet, ftp, tftp und rexec					X			X
M 5.22 Kompatibilitätsprüfung des Sender- und Empfängersystems					X			X
M 5.23 Auswahl einer geeigneten Versandart für den Datenträger		X						X
M 5.24 Nutzung eines geeigneten Fax-Vorblattes		X
M 5.25 Nutzung von Sende- und Empfangsprotokollen		X	X		X			X
M 5.26 Telefonische Ankündigung einer Fax-Sendung		X	X		X			X
M 5.27 Telefonische Rückversicherung über korrekten Fax Empfang		X	X		X			X
M 5.28 Telefonische Rückversicherung über korrekten Fax Absender		X	X		X			X
M 5.29 Gelegentliche Kontrolle programmierter Zieladressen und Protokolle		X	X		X			X
M 5.30 Aktivierung einer vorhandenen Callback Option								X
M 5.31 Geeignete Modem-Konfiguration								X
M 5.32 Sicherer Einsatz von Kommunikationssoftware								X
M 5.33 Absicherung der per Modem durchgeführten Fernwartung								X
M 5.34 Einsatz von Einmalpaßwörtern								X
M 5.35 Einsatz der Sicherheitsmechanismen von UUCP								X
M 5.36 Verschlüsselung unter Unix und Windows NT								X
M 5.37 Einschränken der Peer-to-Peer- Funktionalitäten bei Nutzung von WfW, Windows 95 oder Windows NT in einem servergestützten Netz								X
M 5.38 Sichere Einbindung von DOS-PCs in ein Unix-Netz								X
M 5.39 Sicherer Einsatz der Protokolle und Dienste								X
M 5.40 Sichere Einbindung von DOS-PCs in ein Windows NT Netz		X	X	X
M 5.41 Sichere Konfiguration des Fernzugriffs unter Windows NT		X
M 5.42 Sichere Konfiguration der TCP/IP-Netzverwaltung unter Windows NT		X		X
M 5.43 Sichere Konfiguration der TCP/IP-Netzdienste unter Windows NT		X		X
M 5.44 Einseitiger Verbindungsaufbau		X	X
M 5.45 Sicherheit von WWW-Browsern		X
M 5.46 Einsatz von Standalone-Systemen zur Nutzung des Internets		X
M 5.47 Einrichten einer Closed User Group			X
M 5.48 Authentisieren mittels CLIP/COLP			X
M 5.49 Callback basierend auf CLIP/COLP			X
M 5.50 Authentisierung mittels PAP/CHAP			X
M 5.51 Sicherheitstechnische Anforderungen an die Kommunikations- verbindung Telearbeitsrechner - Institution		X	X
M 5.52 Sicherheitstechnische Anforderungen an den Kommunikationsrechner		X
M 5.53 Schutz vor Mailbomben		X
M 5.54 Schutz vor Mailüberlastung und Spam		X
M 5.55 Kontrolle von Alias-Dateien und Verteilerlisten		X		X
M 5.56 Sicherer Betrieb eines Mailservers		X		X
M 5.57 Sichere Konfiguration der Mailclients		X	X	X
M 5.59 Schutz vor DNS-Spoofing		X
M 5.60 Auswahl einer geeigneten Backbone-Technologie		X	X
M 5.61 Geeignete physikalische Segmentierung		X	X	X
M 5.62 Geeignete logische Segmentierung		X	X	X

Tabelle zum Maßnahmenkatalog Notfallvorsorge

Maßnahme des IT-GSHB M 6 Maßnahmenkatalog Notfallvorsorge	Zu- tritt	Da- ten- ver- ar- bei- tung	Be- nut- zer	Zu- griff	Ver- ant- wort- lich- keit	Auf- trag	Do- ku- men- ta- tion	Or- ga- ni- sa- ti- on
M 6.13 Erstellung eines Datensicherungsplans		X				X		X
M 6.19 Datensicherung am PC								X
M 6.20 Geeignete Aufbewahrung der Backup Datenträger		X						X
M 6.21 Sicherungskopie der eingesetzten Software								X
M 6.22 Sporadische Überprüfung auf Wiederherstellbarkeit von Datensicherungen								X
M 6.23 Verhaltensregeln bei Auftreten eines Computer Virus								X
M 6.24 Erstellen einer PC-Notfalldiskette								X
M 6.25 Regelmäßige Datensicherung der Server-Festplatte								X
M 6.26 Regelmäßige Datensicherung der TK Anlagen Konfigurationsdaten								X
M 6.27 Sichern des CMOS RAM								X
M 6.28 Vereinbarungen über Lieferzeiten "lebensnotwendiger" TK Baugruppen		X
M 6.31 Verhaltensregeln nach Verlust der Systemintegrität								X
M 6.32 Regelmäßige Datensicherung		X
M 6.33 Entwicklung eines Datensicherungskonzepts								X
M 6.34 Erhebung der Einflußfaktoren der Datensicherung								X
M 6.35 Festlegung Verfahrensweise für die Datensicherung								X
M 6.36 Festlegung des Minimal- datensicherungskonzeptes								X
M 6.37 Dokumentation der Datensicherung							X
M 6.41 Übungen zur Datenrekonstruktion								X
M 6.42 Erstellung von Rettungsdisketten für Windows NT								X
M 6.43 Einsatz redundanter Windows NT Server								X
M 6.44 Datensicherung unter Windows NT		X						X
M 6.45 Datensicherung unter Windows 95		X						X
M 6.46 Erstellung von Rettungsdisketten für Windows 95								X
M 6.47 Aufbewahrung der Backup Datenträger für Telearbeit		X
M 6.48 Verhaltensregeln nach Verlust Datenbankintegrität								X
M 6.49 Datensicherung einer Datenbank								X
M 6.50 Archivierung von Datenbeständen								X
M 6.51 Wiederherstellung einer Datenbank								X
M 6.52 Regelmäßige Sicherung der Konfigurationsdaten aktiver Netzkomponenten		X						X
M 6.53 Redundante Auslegung der Netzkomponenten		X
M 6.54 Verhaltensregeln nach Verlust der Netzintegrität		X						X
M 6.55 Reduzierung Wiederanlaufzeit für Netware Server								X