IT-Sicherheitsrichtlinie - Universität zu Lübeck

IT-Sicherheitsrichtlinie – Ausgangssituation
III.
Risikoanalyse in Abhängigkeit vom Ergebnis der Schutzbedarfsanalyse
IV. Beschreibung der Rollen
V. Angaben über die Anzahl und Art von technischen Einrichtungen und Geräten
(Mengengerüst)
VI. Angaben der Schnittstellen zu anderen IT-Verfahren, IT-Systemen und
sonstigen Diensten
VII. Angaben über die vom IT-Verfahren betroffenen Organisationseinheiten
VIII. Aufstellungsort von Anlagen und Geräten, die wesentliche Funktionen innerhalb
des Arbeitsprozesses bzw. IT-Verfahrens erfüllen; alle weiteren Anlagen
und Geräte müssen lediglich zahlenmäßig erfasst und einer Unterorganisationseinheit
zugewiesen werden
IX. Betriebskonzept mit allen für den Betrieb notwendigen Angaben über die
im IT-Verfahren erfassten technischen Systeme
X. Soweit personenbezogene Daten der Beschäftigten automatisiert verarbeitet
werden: Angaben über den Umgang mit personenbezogenen Daten
(Landesverordnung über die Sicherheit und Ordnungsmäßigkeit
automatisierter Verarbeitung personenbezogener Daten
(Datenschutzverordnung - DSVO -))
Eine vollständige Auflistung möglicher Inhalte einer IT-Verfahrensbeschreibung stehen als
Vorlagen des ULD für die Beschreibung von Verfahren zur Verfügung
Weitere Merkmale eines IT-Verfahrens sind der längerfristige Charakter der erfassten IT-gestützten
Arbeitsabläufe. Ein IT-Verfahren wird üblicherweise über mehrere Jahre hinweg
betrieben. Bei der Festlegung von IT-Arbeitsprozessen wie auch von IT-Verfahren soll der
Grundsatz der Generalisierung bzw. der Zusammenfassung beachtet werden. Der IT-
Arbeitsprozess bildet bei der Erfassung des IT-Einsatzes die kleinste Einheit und ist als eine
sequenzielle und/oder parallele Abfolge von zusammenhängenden IT-gestützten
und/oder IT-unterstützenden Tätigkeiten definiert. Als Anhaltspunkt für eine Zusammenfassung
oder eine Trennung von Arbeitsabläufen können u. a. folgende Kriterien dienen:
Trennkriterien
Zusammenfassungskriterien
unterschiedlicher Schutzbedarf
verschiedene Datenkategorien
verschiedene „Datenbesitzer“
Praktikabilität
Arbeitsersparnis
Zusammenhängende Aufgaben
Ein oder mehrere Arbeitsprozesse können ein IT-Verfahren bilden, wobei die beteiligten
Arbeitsprozesse ein gemeinsames Ziel verfolgen müssen. Die Differenzierung eines IT-
Verfahrens in mehrere IT-Arbeitsprozesse ermöglicht, das auch relativ komplexe IT-
Verfahren angemessen aus Sicht der IT-Sicherheit, des Datenschutzes und der Mitbestimmung
behandelt und analysiert werden können. Außerdem werden damit die zukünftig
13 von 75